D'Adress vum Peer huet sech mëtt an der Sitzung geännert: wat OpenVPN float mécht

De Laptop wiesselt vum Büro-Wi-Fi op en Handy-Hotspot, den Tunnel hält nach e puer Sekonnen, an duerno steet den Traffic sto, wärend d'Interface nach ëmmer behaapt, se wier verbonnen. Um Server weist d'Statuslëscht nach ëmmer déi al ëffentlech Adress. Dat ass d'Situatioun, fir déi et float gëtt, an et ass och déi Situatioun, an där d'Leit sech vill méi vun him verspriechen, wéi et mécht. Wann een d'Grenz richteg versteet, gëtt aus engem verwirrenden Halt entweder eng Konfiguratiounsännerung vun enger Zeil oder eng ganz aner Enquête.

Wat float luedert, a wat et ni luedert

Normalerweis schwätzt eng Sitzung weider mat där baussenzeger Adress a Port, mat deenen se ugefaangen huet, a Pakete vun aneren Endorte ginn ignoréiert. D'Optioun float hëlt déi strikt Bindung ewech, nodeems de Peer sech schonn ausgewisen huet, sou datt eng geännert Quell-Mapping déi selwecht Sitzung ka weiderféieren, amplaz verworft ze ginn. Un de kryptographeschen Kontrollen ännert sech näischt: Schlësselen, Zertifikater an all HMAC-Schutz bleiwen genee wéi konfiguréiert.

Et ass eng Entscheedung pro Paket, keng Politik driwwer, wien sech verbinne kann. Eng onbekannt Maschinn, déi e Paket vun enger neier Adress schéckt, huet näischt bewisen, a säi Paket gëtt verworf wéi all aneren net-authentifizéierten Traffic. Nëmmen den Traffic, deen duerch d'Authentifikatioun vun der Sitzung selwer geet, kann déi ageschriwwen Peer-Adress verréckelen, an dofir ass et sécher, float a Betriber un ze loossen, an deene Clienten ëmmer réckelen.

Et seet och näischt iwwer den bannenzegen Tunnel. Eng verréckelt baussenzeg Adress gëtt keng Tunneladress nei zou, ännert net de Pool a gëtt dem Peer keen Zougang zu eppes Neies. Am Tunnel gëllen déi selwecht Identitéit an déiselwecht gedroe Strecken virum an nom Verréckelen. Eng Beweegung handelt och den Datenkanal net nei aus, dofir ginn déi ausgehandelt Verschlësselung an d'Schlësselen weider.

De Paket, deen eng Sitzung beweegt, muss sech authentifizéieren

Start eng Sitzung op déi gewinnt Aart géint dat konfiguréiert gefuere Enn, a float geréiert, wat geschitt, wann d'Mapping sech ännert. En Handysnetz, dat mëtt am Floss ëmnummeréiert, en NAT-Gateway, dee seng Port-Mapping ëmmer nees schreift, oder e Laptop, deen den Uplink wiesselt, produzéieren alleguerten déiselwecht Form: authentifizéiert Paketen aus engem neien Tuple, déi bei enger Sitzung ukommen, déi nach un déi al gleeft.

Wa gefrot gëtt, ob float fonctionnéiert, ass den nëtzlechen Noweis en ofgeschloss Handshake, duerno eng akzeptéiert Quellännerung, an net eng Logzeil just iwwer d'Adress. Korreléier déi al an déi nei baussenzeg Adress mat der Sitzung, déi lieweg blouf, a confirméier duerno, datt den Traffic wierklech duerch den Tunnel weidergaangen ass.

Wann d'Sitzung stierft amplaz sech ze beweegen, ass de Paket vun der neier Adress wahrscheinlech un der Authentifikatioun gescheitert oder guer net ukomm. Béid Fäll gesinn aus Client-Sicht identesch aus. Um Server seet eng Opnam op der ëffentlecher Interface Iech, wéi ee vun deenen zwee Dir hutt, ier Dir eng Konfiguratioun upackt.

D'Entdeckung ass eng komplett getrennte Mechanik

float léist keng Nimm op engem Timer op a verfollegt keng dynamesch DNS-Andro. Wann den Hostnumm vum Server ufänkt op eng nei Adress opzeléisen, huet en idle Client keen Grond, dat ze bemierken, an kee Paket vum neien Endpunkt ze authentifizéieren. Dee Problem gehéiert zur Reconnect-Logik, zum eegene Widderhuelverhalen vum Client an zu DNS, net zu float.

D'Optioun nach eng Kéier dobäizesetzen kann de Fehlen vun enger Streck op déi nei Adress net kompenséieren. Et hëlleft och net, wann de Peer stëll ass, well en stëlle Peer ni dee authentifizéierte Paket schéckt, deen eppes verréckele géif.

D'Büne-Firewall huet och e Wuert matzeschwätzen. Eng Regel, déi nëmmen den alen baussenzegen Endpunkt erlaabt, blockéiert déi geännert Adress, ier OpenVPN se iwwerhaapt gesäit, a keng Client-Säit-Konfiguratioun mécht dat gutt. Kuckt de Liewenszyklus vun den erlaabten Adressen als eng eege Aufgab un; d'Regel op eng beliebig Quell auszebreeden tauscht e klengt Problem géint e grousst.

Wann NetworkManager de Profil besëtzt

E Kommandozeil-Profil an eng importéiert Verbindung sinn getrennte Konfiguratiounen, an déi eng z'änneren hëlt déi aner net un. Ier Dir unhëlt, d'Optioun wier net ënnerstëtzt, stellt fest, wéi eng Plugin-Typ de gespaarte Profil tatsächlech benotzt a wou seng Wäerter liewen. D'UUID vum Profil ass deen Identifiant, deen zielt, wann Dir eppes iwwerpréift oder ännert.

Iwwerpréift déi gespaart Verbindung amplaz vun der originaler Import-Datei. Eng Zeil, déi an enger .ovpn-Datei iwwerlieft, bewäist näischt, wann de aktiven Manager se ni ugewannt huet, an en Editeur ouni Këschtchen fir eng bestëmmt Optioun bewäist och näischt iwwer d'Fäegkeete vum Protokoll.

Patcht keen agaangene Plugin, fir d'Verhalen dobäizesetzen, besonnesch net mat engem Diff, deen fir eng historesch Versioun vun enger onbedeelegter Komponent geschriwwe gouf. Wann déi installéiert Integratioun d'Astellung wierklech net ausdrécke kann, ass dee richtege Schrëtt en ënnerstëtzte Profil oder en anere Client-Wee, deen den Eegentümer vum Deployment guttgeheescht huet.

Beweist den Iwwergank, amplaz en unzehuelen

Fuert den Test esou duerch, wéi de Feeler geschitt. Verbënnt Iech, iwwerpréift den Traffic duerch den Tunnel, zwéngt déi baussenzeg Adress sech z'änneren, a kontrolléiert duerno dräi Saachen: d'Sitzung existéiert nach, déi ageschriwwen Peer-Adress huet sech verréckelt, an eng richteg Ufro erreecht nach ëmmer hiert Zil. Alles manner wéi déi dräi ass eng deelweis Äntwert.

Halt den Erhuelungszougang bereet, während Dir test, well Beweegungsexperimenter d'Gewunnecht hunn, d'Maschinn, vun där Dir schafft, hänken ze loossen. Eng seriell Konsole oder eng Out-of-Band-Streck mécht aus engem gescheiterten Test eng fënnef Minutten Erhuelung amplaz engem Sitebesuch.

Schlussendlech beschreift just de Fall, deen Dir geübt hutt. Eng erfollegräich Adressännerung während enger Sitzung ass keen Noweis, datt DNS-Migratiounen, eng aner Client-Implementatioun oder en nei gebaute Profil sech gläich verhalen. D'link-options-Dokumentatioun seet de Beräich vun der Optioun prezis; Ären Testlog soll soen, wéi en Deel vun deem Beräich Dir wierklech ofgedeckt hutt.