OpenVPN remote-random: sumaišyta tvarka, vienas tunelis

Prielaida yra ta, kad pridėjus remote-random profilis tampa besisukančiu rinkiniu, todėl kiekvienas ryšys išeina iš kito adreso. Iš tikrųjų direktyva daro tai: vieną kartą sumaišo remote įrašų sąrašą, kai klientas pradeda jungtis, ir tada bando juos ta nauja tvarka. Tunelis, kuris galiausiai pakyla, vis tiek baigiasi viename galiniame taške ir ten lieka visą sesijos gyvavimo laiką.

Šis skirtumas svarbus tiek testavimui, tiek privatumo teiginiams.

Ką parinktis pakeičia jungiantis

Kliento profilyje gali būti keli remote įrašai, kiekvienas su savo pagrindinio kompiuterio vardu ir prievadu. Be direktyvos jie bandomi failo tvarka; su ja sąrašas vieną kartą perstatomas sesijos pradžioje ir laimi pirmasis atsakęs adresas. Likę lieka atsarginiais šiam bandymui, o ne lygiagrečiais keliais. Profilis su vienu remote neduoda direktyvai ką maišyti, ir tai greičiausias būdas pamatyti, ar tai gali turėti reikšmės.

OpenVPN vadove parinktis dokumentuojama kaip veikianti jungimosi bandymų tvarką, ir būtent tokios apimties reikia tikėtis elgsenoje.

Prisijungimas iš naujo pradeda naują pasirinkimo ciklą, todėl vėlesnė sesija gali atsidurti kitur. Veikiantis tunelis nejuda, kol jis pakeltas.

Mitas: kiekviena užklausa gauna naują serverį

Kai tunelis jau suformuotas, jis perduoda visą tos sesijos srautą pasirinktam partneriui. Nėra pakartotinio pasirinkimo kiekvienai užklausai, ir direktyva nėra atskirų ryšių apkrovos balansuotojas: ji maišo kandidatus, o ne paskirsto paketus. Kiekviena programa, kuri dalijasi šiuo tuneliu, dalijasi tuo pačiu partneriu. Ką naršyklė praneša apie savo išėjimą, priklauso sesijai, o ne vienai užklausai.

Jei testas rodo du skirtingus išėjimus, ieškokite dviejų atskirų sesijų, o ne vienos gudrios parinkties. Šis skirtumas taip pat paaiškina, kodėl naršyklės testas ir atsisiuntimo testas gali nesutarti, kai tarp jų įvyko prisijungimas iš naujo.

Kam skirtas remote-random-hostname

Antra direktyva panašiu pavadinimu keičia sprendimui naudojamą pagrindinio kompiuterio vardą, o ne remote sąrašo tvarką. Ji egzistuoja diegimams, kuriuose vardas per round-robin DNS išsprendžiamas į kelis adresus, ir ją reikia naudoti tik tada, kai paslauga tam sukurta. Keičiasi tik sprendimo žingsnis; kandidatų sąrašo tvarka nesikeičia.

Įjungti ją todėl, kad vardai atrodo susiję, yra dažna klaida. Pakaitos sertifikatas arba DNS išdėstymas, kuris nesitiki pakeisto vardo, tiesiog neišspręs arba nepatvirtins.

Perskaitykite pasirinktą galinį tašką iš žurnalo

Užrašykite, kurį partnerį sesija iš tikrųjų naudojo, prieš darydami išvadas. Išsamus išvedimas nurodo bandomą adresą, o pats profilis rodo, kiek yra kandidatų. Palyginkite tą skaičių su adresu žurnale, prieš kaltindami maišymą.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Norėdami palyginti našumą, užfiksuokite galinį tašką komentuodami kitus remote įrašus, kad bandomasis kintamasis būtų protokolas arba klientas, o ne kelias. Privatumo klausimui vertinkite paslaugos tapatybę ir jos žurnalą kaip visumą; sumaišytas pirmasis pasirinkimas neištrina slapukų, nepašalina prisijungimo prie paskyros ir nepadaro dviejų operatorių lygiaverčių.

Laikykite kartu pateiktą pasitikėjimo medžiagą ir palaikomą galinių taškų rinkinį. Per maišymas keičia tik tvarką, kuria tas rinkinys bandomas.