OpenVPN remote-random: susunan diacak, satu terowong

Andaiannya ialah menambah remote-random menjadikan profil sebagai kumpulan berputar, jadi setiap sambungan keluar dari alamat yang berbeza. Apa yang sebenarnya dilakukan oleh arahan ini ialah mengacak senarai remote sekali, apabila klien mula menyambung, dan kemudian mencubanya dalam susunan baharu itu. Terowong yang akhirnya naik masih berakhir pada satu titik akhir dan kekal di situ sepanjang hayat sesi.

Perbezaan itu penting untuk ujian dan juga dakwaan privasi.

Apa yang diubah oleh pilihan ini semasa menyambung

Profil klien boleh membawa beberapa baris remote, setiap satu dengan nama hos dan port sendiri. Tanpa arahan, baris itu dicuba mengikut susunan fail; dengannya, senarai itu diubah sekali pada permulaan sesi dan alamat pertama yang menjawab menang. Selebihnya kekal sebagai sandaran untuk percubaan ini, bukan laluan selari. Profil dengan satu remote tidak memberi apa-apa untuk diacak kepada arahan itu, dan itulah cara terpantas untuk melihat sama ada ia boleh bermakna.

Manual OpenVPN mendokumentasikan pilihan ini sebagai mempengaruhi susunan percubaan sambungan, dan itulah tepat skop yang patut dijangkakan dalam tingkah lakunya.

Menyambung semula memulakan kitaran pemilihan baharu, jadi sesi kemudian boleh mendarat di tempat lain. Terowong yang aktif tidak bergerak selagi ia naik.

Mitos: setiap permintaan mendapat pelayan baharu

Setelah terbentuk, terowong membawa semua trafik sesi itu kepada rakan yang dipilih. Tiada pemilihan semula bagi setiap permintaan, dan arahan ini bukan pengimbang beban untuk sambungan individu: ia mengacak calon, ia tidak menyebarkan paket. Setiap aplikasi yang berkongsi terowong itu berkongsi rakan yang sama. Apa sahaja yang dilaporkan pelayar tentang keluarnya adalah milik sesi, bukan permintaan individu.

Jika sesuatu ujian menunjukkan dua keluaran berbeza, cari dua sesi berasingan dan bukannya satu pilihan pintar. Perbezaan itu juga menjelaskan mengapa ujian pelayar dan ujian muat turun boleh tidak sepadan apabila sambungan semula berlaku di antaranya.

Untuk apa remote-random-hostname

Arahan kedua dengan nama serupa mengubah nama hos yang digunakan untuk penyelesaian, bukan susunan senarai remote. Ia wujud untuk penggunaan di mana nama diselesaikan kepada beberapa alamat melalui DNS round-robin, dan ia hanya patut digunakan apabila perkhidmatan itu dibina untuknya. Hanya langkah penyelesaian berubah; susunan senarai calon tidak.

Mengaktifkannya kerana nama kelihatan berkaitan ialah kesilapan biasa. Sijil wildcard atau susun atur DNS yang tidak menjangka nama yang diubah akan gagal menyelesaikan atau mengesahkan.

Baca titik akhir yang dipilih daripada log

Catat rakan mana yang sebenarnya digunakan oleh sesi sebelum membuat kesimpulan. Output terperinci menamakan alamat yang sedang dicuba, dan profil itu sendiri menunjukkan berapa banyak calon yang ada. Bandingkan bilangan itu dengan alamat dalam log sebelum menyalahkan pengacakan.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Untuk perbandingan prestasi, kunci titik akhir dengan mengomentari remote lain supaya pemboleh ubah yang diuji ialah protokol atau klien, bukan laluan. Untuk soalan privasi, nilai identiti perkhidmatan dan pencatatannya secara keseluruhan; pilihan pertama yang diacak tidak memadamkan kuki, tidak membuang log masuk akaun dan tidak menjadikan dua pengendali setara.

Simpan bahan kepercayaan yang dibekalkan bersama set titik akhir yang disokong. Pengacakan semula hanya mengubah susunan set itu dicuba.