Шериктин дареги сессиянын ортосунда өзгөрдү: OpenVPN-де float эмне кылат

Ноутбук кеңсе Wi-Fi-инен телефон хотспотуна өтөт, туннель дагы бир нече секунд турат, анан интерфейс дагы эле туташкан деп ырастап турганда трафик токтойт. Серверде статус тизмеси дагы эле эски коомдук даректи көрсөтүп турат. Бул — float бар болушунун себеби болгон кырдаал жана адамдар анын кылганынан алда канча көп нерсе күткөн кырдаал. Чекти туура түшүнүү башты ооруткан токтоп калууну же бир саптык конфигурация өзгөртүүгө, же таптакыр башка иликтөөгө айландырат.

float эмнени бошотот жана эмнени эч качан бошотпойт

Адатта сессия башталган сырткы дарек жана порт менен сүйлөшүүнү улантат, ал эми башка жактан келген пакеттер эске алынбайт. float параметри шерик өзүн буга чейин далилдегенден кийин ошол катуу байланышты алып салат, ошондуктан өзгөргөн булак картасы ошол эле сессияны уланта алат, ыргытылып кетпейт. Криптографиялык текшерүүлөрдө эч нерсе өзгөрбөйт: ачкычтар, сертификаттар жана кандайдыр бир HMAC коргоо конфигурацияланган бойдон калат.

Бул ар бир пакет үчүн кабыл алынган чечим, ким туташа алаары тууралуу саясат эмес. Жаңы даректен пакет жиберген белгисиз машина эч нерсени далилдеген жок, анын пакети башка кандайдыр бир аутентификацияланбаган трафик сыяктуу эле ыргытылат. Жазылган шериктин дарегин сессиянын өз аутентификациясынан өткөн трафик гана жылдыра алат, ошондуктан кардарлар кыймылдаган чөйрөлөрдө float күйүк туруусу коопсуз.

Ал ички туннель жөнүндө да эч нерсе айтпайт. Жылдырылган сырткы дарек туннель дарегин кайра ыйгарып бербейт, бассейнди өзгөртпөйт жана шерикке жаңы нерсеге жетүү укугун бербейт. Туннелдин ичинде жылдырууга чейин жана андан кийин ошол эле инсандык менен ошол эле түртүлгөн маршруттар колдонулат. Оош-кыйыш дайындар каналын кайра сүйлөшпөйт, ошондуктан келишилген шифр жана ачкычтар уланат.

Сессияны жылдырган пакет аутентификациядан өтүшү керек

Конфигурацияланган алыскы тарапка каршы сессияны кадимки жол менен баштаңыз, ал эми карта өзгөргөндө эмне болорун float чечет. Агымдын ортосунда номурлоону өзгөрткөн уюлдук оператор, порт картасын кайра жазган NAT дарбазасы же жогорку каналды алмаштырган ноутбук — баары бирдей форманы жаратат: жаңы кортежден келген аутентификацияланган пакеттер эскисине дагы ишенген сессияга жетет.

float иштеп жатабы деп сурашканда, пайдалуу далил — бүткөн кол алышуу жана андан кийин кабыл алынган булак өзгөрүүсү, дарек жөнүндө гана журнал сабы эмес. Эски жана жаңы сырткы даректи тирүү калган сессия менен байланыштырыңыз, анан трафик чын эле туннель аркылуу уланганын ырастаңыз.

Эгер сессия жылдыруунун ордуна өлүп калса, жаңы даректен келген пакет аутентификациядан өтпөй калган же такыр келбеген болушу мүмкүн. Кардар тараптан эки учур тең бирдей көрүнөт. Серверде коомдук интерфейстеги кармоо кайсы учур экенин конфигурацияга тийиш эле эле айтып берет.

Аныктоо — таптакыр өзүнчө механизм

float аттарды таймер боюнча чечпейт жана динамикалык DNS жазуусун көзөмөлдөбөйт. Эгер сервердин хост аты жаңы дарекке чечиле баштаса, бош кардардын муну байкоого себеби жок жана жаңы акыркы чекиттен аутентификациялоочу пакети жок. Бул маселе кайра туташуу логикасына, кардардын өзүнүн кайталап аракет кылуу жүрүм-турумуна жана DNS-ке таандык, float-ка эмес.

Параметрди дагы бир жолу кошуу жаңы дарекке маршруттун жоктугун ордун толтура албайт. Шерик үнсүз болгондо да жардам бербейт, анткени үнсүз шерик эч нерсени жылдыра турган аутентификацияланган пакетти эч качан жибербейт.

Төмөнкү брандмауэрдин да сөзү бар. Тек эски сырткы акыркы чекитке уруксат берген эреже өзгөргөн даректи OpenVPN аны көрө электе эле бөгөттөйт, ал эми кардар тараптагы эч бир конфигурация муну оңдобойт. Уруксат берилген даректердин жашоо циклин өзүнчө тапшырма катары карап чыгыңыз; эрежени каалаган булакка кеңейтүү кичине маселени чоң маселе менен алмаштырат.

Профиль NetworkManagerдин ээлигинде болгондо

Буйрук сабынын профили жана импорттолгон туташуу өзүнчө конфигурациялар, бирин түзөтүү экинчисине тийбейт. Параметр колдоого алынбайт деп ойлоого чейин сакталган профиль чындыгында кандай плагин түрүн колдонорун жана анын маанилери кайда жайгашканын аныктаңыз. Профилдин UUID — бир нерсени текшергенде же өзгөрткөндө маанилүү идентификатор.

Баштапкы импорт файлын эмес, сакталган туташууну текшериңиз. .ovpn файлында калган сап активдүү менеджер аны эч качан колдонбосо, эч нерсени далилдебейт, ал эми белгилүү бир параметр үчүн белги коюучу кутучасы жок редактор да протоколдун мүмкүнчүлүктөрү тууралуу эч нерсени далилдебейт.

Жүрүм-турумду кошуу үчүн таңгакталган плагинди жамабаңыз, айрыкча байланышы жок компоненттин тарыхый версиясы үчүн жазылган diff менен эмес. Эгер орнотулган интеграция бул жөндөөнү чындыгында билдире албаса, туура кадам — колдоого алынган профиль же жайгаштыруунун ээси бекиткен башка кардар жолу.

Болжолдоонун ордуна өтүүнү далилдеңиз

Сынакты бузулуу болуп жаткандай жүргүзүңүз. Туташыңыз, туннель аркылуу трафикти текшериңиз, сырткы даректи өзгөрүүгө мажбурлаңыз, анан үч нерсени текшериңиз: сессия дагы бар, жазылган шериктин дареги жылды, жана чыныгы суроо-талап дагы эле бара турган жерине жетет. Ушул үчөөнөн кем нерсе — жарым-жартылай жооп.

Сынак учурунда калыбына келтирүү мүмкүнчүлүгүн жеткиликтүү кармаңыз, анткени көчүү тажрыйбалары сиз иштеп жаткан машинаны тушап калтырууга адаттанган. Сериялык консоль же тилкеден тышкаркы маршрут ийгиликсиз сынакты жерге баруунун ордуна беш мүнөттүк калыбына келтирүүгө айландырат.

Акырында, сиз сынаган гана учурду сүрөттөңүз. Сессия учурундагы ийгиликтүү дарек өзгөрүүсү DNS көчүрүүлөрү, башка кардар ишке ашырылышы же кайра курулган профиль дал ушундай жүрүм-турум көрсөтөт деген далил эмес. link-options документтери параметрдин көлөмүн так көрсөтөт; сынак журналыңыз ошол көлөмдүн кайсы бөлүгүн чындыгында камтыганыңызды жазышы керек.