Partnera adrese sesijas vidū mainījās: ko dara OpenVPN float

Klēpjdators pāriet no biroja Wi-Fi uz tālruņa hotspotu, tunelis turas vēl dažas sekundes, un tad datu plūsma apstājas, kamēr saskarne joprojām apgalvo, ka ir savienota. Serverī statusa saraksts joprojām rāda veco publisko adresi. Šī ir situācija, kurai float pastāv, un reizē situācija, kurā cilvēki no tā gaida daudz vairāk, nekā tas dara. Pareizi izprotot robežu, mulsinoša iestrēgšana pārvēršas vai nu vienas rindas konfigurācijas izmaiņā, vai pavisam citā izmeklēšanā.

Ko float atslābina un ko tas nekad neatslābina

Parasti sesija turpina sarunāties ar to ārējo adresi un portu, ar kuriem tā sākās, un paketes, kas nāk no jebkurienes citur, tiek ignorētas. Opcija float noņem šo stingro piesaisti pēc tam, kad partneris jau ir pierādījis sevi, tāpēc mainītā avota kartēšana var turpināt to pašu sesiju, nevis tikt izmesta. Kriptogrāfiskajās pārbaudēs nekas nemainās: atslēgas, sertifikāti un jebkura HMAC aizsardzība paliek tieši tādi, kā konfigurēti.

Tas ir lēmums katram paketei, nevis politika par to, kurš drīkst pieslēgties. Nezināma mašīna, kas sūta paketi no jaunas adreses, neko nav pierādījusi, un tās pakete tiek izmesta kā jebkura cita neautentificēta plūsma. Tikai tā plūsma, kas iztur pašas sesijas autentifikāciju, var pārvietot ierakstīto partnera adresi, un tāpēc ir droši atstāt float ieslēgtu vidēs, kur klienti pārvietojas.

Tas neko nepasaka arī par iekšējo tuneli. Pārvietota ārējā adrese nepiešķir jaunu tuneļa adresi, nemaina kopu un nedod partnerim piekļuvi kaut kam jaunam. Tuneļa iekšpusē pirms un pēc pārvietošanas darbojas tā pati identitāte un tie paši uzstumtie maršruti. Pārvietošanās arī vēlreiz nevienojas par datu kanālu, tāpēc saskaņotais šifrs un atslēgas turpinās.

Paketei, kas pārvieto sesiju, jāautentificējas

Sāciet sesiju ierastajā veidā pret konfigurēto attālo galu, un float risina, kas notiek, kad kartēšana mainās. Mobilo sakaru operators, kas plūsmas vidū pārnumurē, NAT vārteja, kas pārraksta savu porta kartēšanu, vai klēpjdators, kas maina augšupējo savienojumu, visi rada vienu un to pašu formu: autentificētas paketes no jauna korteža, kas nonāk sesijā, kura joprojām tic vecajam.

Kad jautā, vai float darbojas, noderīgs pierādījums ir pabeigta rokasspiediena procedūra un pēc tam pieņemtas avota izmaiņas, nevis žurnāla rinda tikai par adresi. Saistiet veco un jauno ārējo adresi ar sesiju, kas palika dzīva, un pēc tam apstipriniet, ka plūsma tiešām turpinājās caur tuneli.

Ja sesija mirst, nevis pārvietojas, pakete, kas ieradās no jaunās adreses, droši vien neizturēja autentifikāciju vai arī nemaz neieradās. Abi gadījumi no klienta puses izskatās vienādi. Serverī publiskās saskarnes uztveršana pateiks, kurš no tiem ir, pirms pieskaraties jebkurai konfigurācijai.

Atklāšana ir pilnīgi atsevišķs mehānisms

float neatrisina vārdus pēc taimera un neizseko dinamisku DNS ierakstu. Ja servera resursdatora vārds sāk atrisināties uz jaunu adresi, dīkstāvē esošam klientam nav pamata to pamanīt un nav paketes no jaunā galapunkta, ko autentificēt. Šī problēma pieder atkārtotas savienošanās loģikai, paša klienta atkārtota mēģinājuma uzvedībai un DNS, nevis float.

Opcijas pievienošana vēlreiz nevar kompensēt maršruta trūkumu uz jauno adresi. Tā nepalīdzēs arī tad, kad partneris klusē, jo klusējošs partneris nekad neatsūta autentificēto paketi, kas kaut ko pārvietotu.

Apakšējam ugunsmūrim arī ir vārds. Noteikums, kas atļauj tikai veco ārējo galapunktu, bloķē mainīto adresi pirms tam, kad OpenVPN to vispār ierauga, un nekāda klienta konfigurācija to neizlabo. Pārskatiet atļauto adrešu dzīves ciklu kā atsevišķu uzdevumu; noteikuma paplašināšana uz jebkuru avotu mazo problēmu apmaina pret lielu.

Kad profilu pārvalda NetworkManager

Komandrindas profils un importētais savienojums ir atsevišķas konfigurācijas, un viena rediģēšana neaizskar otru. Pirms pieņemat, ka opcija netiek atbalstīta, noskaidrojiet, kāda veida spraudni saglabātais profils patiešām izmanto un kur atrodas tā vērtības. Profila UUID ir identifikators, kam ir nozīme, kad kaut ko pārbaudāt vai maināt.

Pārbaudiet saglabāto savienojumu, nevis sākotnējo importa failu. Rinda, kas izdzīvo .ovpn failā, neko nepierāda, ja aktīvais pārvaldnieks to nekad nav piemērojis, un redaktors bez izvēles rūtiņas noteiktai opcijai arī neko nepierāda par protokola iespējām.

Nelabojiet iepakotu spraudni, lai pievienotu uzvedību, jo īpaši ne ar diff, kas rakstīts kādas nesaistītas komponentes vēsturiskai versijai. Ja instalētā integrācija patiešām nespēj izteikt iestatījumu, pareizais solis ir atbalstīts profils vai cits klienta ceļš, ko apstiprinājis izvietojuma īpašnieks.

Pierādiet pāreju, nevis pieņemiet to

Veiciet testu tā, kā notiek kļūme. Pieslēdzieties, pārbaudiet plūsmu caur tuneli, piespiediet ārējo adresi mainīties un pēc tam pārbaudiet trīs lietas: sesija joprojām pastāv, ierakstītā partnera adrese ir pārvietojusies un reāls pieprasījums joprojām sasniedz galamērķi. Viss, kas ir mazāk par visām trim, ir daļēja atbilde.

Testēšanas laikā turiet pieejamu atkopšanas piekļuvi, jo pārvietošanās eksperimenti mēdz atstāt iesprūdušu mašīnu, no kuras strādājat. Sērijveida konsole vai ārpusjoslas maršruts pārvērš neizdevušos testu piecu minūšu atkopšanā, nevis vizītē uz vietas.

Visbeidzot, aprakstiet tikai to gadījumu, kuru esat pārbaudījis. Veiksmīga adreses maiņa sesijas laikā nav pierādījums tam, ka DNS migrācijas, cita klienta implementācija vai pārbūvēts profils izturēsies tāpat. link-options dokumentācija precīzi norāda šīs opcijas tvērumu; jūsu testa žurnālā jānorāda, kuru no šī tvēruma daļām jūs patiešām aptvērāt.