OpenVPN remote-random: sajaukta secība, viens tunelis

Pieņēmums ir tāds, ka remote-random pievienošana pārvērš profilu rotējošā kopā, tāpēc katrs savienojums nāk no citas adreses. Direktīva patiesībā dara to, ka vienu reizi sajauc remote ierakstu sarakstu, kad klients sāk savienoties, un pēc tam mēģina tos šajā jaunajā secībā. Tunelis, kas galu galā uzceļas, joprojām beidzas vienā galapunktā un paliek tur visu sesijas dzīves laiku.

Šī atšķirība ir svarīga gan testēšanai, gan privātuma apgalvojumiem.

Ko opcija maina savienošanās laikā

Klienta profilā var būt vairākas remote rindas, katrai ar savu resursdatora nosaukumu un portu. Bez direktīvas tās mēģina faila secībā; ar to saraksts sesijas sākumā vienu reizi tiek pārkārtots un uzvar pirmā atbildošā adrese. Pārējās paliek kā rezerves šim mēģinājumam, nevis paralēli ceļi. Profils ar vienu remote nedod direktīvai ko jaukt, un tas ir ātrākais veids, kā redzēt, vai tam var būt nozīme.

OpenVPN rokasgrāmata dokumentē opciju kā tādu, kas ietekmē savienošanās mēģinājumu secību, un tieši tāds ir apjoms, ko var gaidīt uzvedībā.

Atkārtota savienošanās sāk jaunu atlases ciklu, tāpēc vēlāka sesija var nonākt citur. Aktīvais tunelis nepārvietojas, kamēr tas ir uzcelts.

Mīts: katrs pieprasījums iegūst jaunu serveri

Pēc izveides tunelis pārnes visu šīs sesijas satiksmi uz izvēlēto partneri. Nav atkārtotas atlases katram pieprasījumam, un direktīva nav atsevišķu savienojumu slodzes balansētājs: tā sajauc kandidātus, tā neizplata paketes. Katra lietotne, kas dala šo tuneli, dala arī to pašu partneri. Lai ko pārlūks ziņo par savu izeju, tas pieder sesijai, nevis atsevišķam pieprasījumam.

Ja tests uzrāda divas dažādas izejas, meklējiet divas atsevišķas sesijas, nevis vienu gudru opciju. Šī atšķirība arī izskaidro, kāpēc pārlūka tests un lejupielādes tests var nesaskanēt, ja starp tiem notikusi atkārtota savienošanās.

Kam paredzēts remote-random-hostname

Otra direktīva ar līdzīgu nosaukumu maina atrisināšanai izmantoto resursdatora nosaukumu, nevis remote saraksta secību. Tā pastāv izvietojumiem, kuros nosaukums caur round-robin DNS tiek atrisināts vairākās adresēs, un tā jāizmanto tikai tad, kad pakalpojums tam ir veidots. Mainās tikai atrisināšanas solis; kandidātu saraksta secība nemainās.

Tā ieslēgšana tāpēc, ka nosaukumi izskatās saistīti, ir bieža kļūda. Aizstājējzīmes sertifikāts vai DNS izkārtojums, kas negaida mainīto nosaukumu, vienkārši nespēs to atrisināt vai validēt.

Nolasiet izvēlēto galapunktu no žurnāla

Pirms secinājumu izdarīšanas pierakstiet, kuru partneri sesija faktiski izmantoja. Detalizētā izvade nosauc mēģināto adresi, un pats profils parāda, cik kandidātu ir. Salīdziniet šo skaitu ar adresi žurnālā, pirms vainojat sajaukšanu.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Veiktspējas salīdzinājumam nofiksējiet galapunktu, komentējot citus remote ierakstus, lai testējamais mainīgais būtu protokols vai klients, nevis ceļš. Privātuma jautājumam novērtējiet pakalpojuma identitāti un tā žurnālēšanu kopumā; sajaukta pirmā izvēle nedzēš sīkfailus, nenoņem konta pieteikšanos un nepadara divus operatorus līdzvērtīgus.

Turiet kopā piegādāto uzticības materiālu un atbalstīto galapunktu kopu. Pārsajaukšana maina tikai secību, kādā šī kopa tiek mēģināta.