OpenVPN remote-random: измешан редослед, еден тунел

Претпоставката е дека додавањето remote-random го претвора профилот во ротирачка група, па секоја врска излегува од друга адреса. Она што директивата навистина го прави е да ја измеша листата на remote записи еднаш, кога клиентот почнува да се поврзува, и потоа да ги проба по тој нов редослед. Тунелот што на крајот се крева сѐ уште завршува на една крајна точка и останува таму за целиот животен век на сесијата.

Оваа разлика е важна и за тестирањето и за тврдењата за приватност.

Што менува опцијата при поврзување

Профилот на клиентот може да содржи неколку remote линии, секоја со свое име на домаќин и порта. Без директивата тие се пробаат по редоследот на датотеката; со неа, листата еднаш се преуредува на почетокот на сесијата и победува првата адреса што ќе одговори. Останатите остануваат резервни за овој обид, а не паралелни патеки. Профил со само еден remote не ѝ дава на директивата што да меша, и тоа е најбрзиот начин да се види дали воопшто може да има значење.

Прирачникот на OpenVPN ја документира опцијата како влијае на редоследот на обидите за поврзување, и токму тој опсег треба да се очекува во однесувањето.

Повторното поврзување започнува нов циклус на избор, па подоцнежна сесија може да заврши на друго место. Активниот тунел не се поместува додека е кренат.

Мит: секое барање добива нов сервер

Откако ќе се воспостави, тунелот го носи целиот сообраќај на таа сесија до избраниот партнер. Нема повторен избор за секое барање, и директивата не е балансер на оптоварување за поединечни врски: таа меша кандидати, не распределува пакети. Секоја апликација што го дели тој тунел го дели и истиот партнер. Што и да извести прелистувачот за својата излезна точка, тоа ѝ припаѓа на сесијата, а не на поединечно барање.

Ако тестот покаже две различни излезни точки, барајте две одделни сесии, а не една лукава опција. Оваа разлика објаснува и зошто тестот во прелистувач и тестот за преземање може да не се совпаднат кога меѓу нив се случило повторно поврзување.

За што служи remote-random-hostname

Втора директива со слично име го менува името на домаќинот што се користи за разрешување, а не редоследот на листата remote. Таа постои за распоредувања каде име се разрешува на неколку адреси преку round-robin DNS, и треба да се користи само кога услугата е изградена за тоа. Се менува само чекорот на разрешување; редоследот на листата кандидати не.

Нејзиното вклучување затоа што имињата изгледаат поврзани е честа грешка. Сертификат со џокер знак или DNS распоред што не го очекува изменетото име едноставно нема да разреши или да потврди.

Прочитајте ја избраната крајна точка од дневникот

Забележете кој партнер сесијата навистина го користела пред да извлечете заклучоци. Деталниот излез ја именува адресата што се проба, а самиот профил покажува колку кандидати има. Споредете го тој број со адресата во дневникот пред да го обвините мешањето.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

За споредба на перформансите, прицврстете ја крајната точка со коментирање на другите remote записи, така што променливата што се тестира е протоколот или клиентот, а не патеката. За прашање за приватност, оценете го идентитетот на услугата и нејзиното евидентирање како целина; измешаниот прв избор не брише колачиња, не го отстранува најавувањето на сметката и не прави двајца оператори еднакви.

Држете го доставениот материјал за доверба и поддржаното множество крајни точки заедно. Повторното мешање го менува само редоследот по кој се проба тоа множество.