OpenVPN remote-random: duercherneen geheit Reihenfolge, een Tunnel

D’Unnahm ass, datt d’Bäisetze vun remote-random e Profil an e rotéierende Pool verwandelt, sou datt all Verbindung vun enger anerer Adress erauskënnt. Wat d’Direktiv tatsächlech mécht, ass d’Lëscht vun de Remotes eemol duercherneen ze geheien, wann de Client ufänkt ze verbannen, an se duerno an där neier Reihenfolge ze probéieren. Den Tunnel, deen um Enn opgeet, endt nach ëmmer op engem eenzegen Endpunkt a bleift do fir d’ganzt Liewen vun der Sessioun.

Dësen Ënnerscheed ass souwuel fir Tester wéi och fir Privatsphär-Aussagen wichteg.

Wat d’Optioun beim Verbannen ännert

E Clientprofil kann e puer remote-Linnen droen, jiddwer mat hirem eegene Hostnumm an hirem eegene Port. Ouni d’Direktiv ginn se an der Dateireihenfolge probéiert; mat hir gëtt d’Lëscht eemol beim Sessiounsstart ëmgeleet a gewënnt déi éischt Adress, déi äntwert. Déi aner bleiwen Ersatzméiglechkeeten fir dëse Versuch, keng parallel Weeër. E Profil mat nëmmen engem Remote gëtt der Direktiv näischt ze duercherneen ze geheien, an dat ass de séierste Wee ze gesinn, ob dat iwwerhaapt ka wichteg sinn.

D’OpenVPN-Handbuch dokumentéiert d’Optioun als beaflosst d’Reihenfolge vun de Verbindungsversich, an dat ass genee dee Beräich, deen am Verhalen ze erwaarden ass.

Eng Reverbindung fänkt en neien Auswielzyklus un, sou datt eng méi spéit Sessioun soss uechter kënnt. Den aktiven Tunnel beweegt sech net, esou laang wéi en op ass.

Mythos: all Ufro kritt e neie Server

Eemol etabléiert, dréit den Tunnel den ganze Verkéier vun där Sessioun zu dem gewielte Peer. Et gëtt keng Nei-Auswiel pro Ufro, an d’Direktiv ass kee Laaschtausgläich fir eenzel Verbindungen: se mécht Kandidaten duercherneen, se verdeelt keng Paketen. All Applikatioun, déi dësen Tunnel deelt, deelt déiselwechten Peer. Wat och ëmmer e Browser iwwer säin Ausgang mëldet, gehéiert zur Sessioun, net zu enger eenzeger Ufro.

Wann en Test zwou verschidden Ausgäng weist, sicht zwou getrennte Sessiounen anstatt eng clever Optioun. Dësen Ënnerscheed erklärt och, firwat en Browsertest an en Downloadtest kënnen net iwwerenee stëmmen, wann tëscht hinnen eng Reverbindung geschitt ass.

Fir wat remote-random-hostname do ass

Eng zweet Direktiv mat engem ähnlechen Numm ännert den Hostnumm, deen fir d’Opléisung benotzt gëtt, net d’Reihenfolge vun der Remote-Lëscht. Se existéiert fir Deployementer, wou en Numm iwwer Round-Robin-DNS op e puer Adressen opgeléist gëtt, an se soll nëmme benotzt ginn, wann den Déngscht dofir gebaut ass. Nëmmen den Opléisungsschrëtt ännert sech; d’Reihenfolge vun der Kandidatelëscht net.

Se aktivéieren, well d’Nimm verwandt ausgesinn, ass e heefege Feeler. En Wildcard-Zertifikat oder en DNS-Layout, deen den geännerten Numm net erwaart, wäert einfach net opléisen oder net validéieren.

Liest den ausgewielten Endpunkt aus dem Log

Nottéiert, wéi ee Peer eng Sessioun tatsächlech benotzt huet, ier Dir Conclusiounen zitt. Ausféierlech Ausgabe nennen d’Adress, déi probéiert gëtt, an de Profil selwer weist, wéi vill Kandidaten et gëtt. Vergläicht déi Zuel mat der Adress am Log, ier Dir d’Duercherneen hei beschëllegt.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Fir e Leeschtungsverglach fixéiert den Endpunkt, andeems Dir déi aner Remotes auskommentéiert, sou datt d’Variabel ënner Test d’Protokoll oder de Client ass an net de Wee. Fir eng Privatsphärsfro bewäert d’Identitéit vum Déngscht an seng Logbuch als Ganzt; eng duercherneen éischt Wiel läscht keng Cookies, entfernt kee Kontologin a mécht zwou Bedreiwer net gläichwäerteg.

Halt dat geliwwert Vertrauensmaterial an dee vun de Endpunkten ënnerstëtzten Ensembel beienee. D’Nei-Duercherneen ännert nëmmen d’Reihenfolge, an där dësen Ensembel probéiert gëtt.