L-indirizz tal-peer inbidel f'nofs is-sessjoni: x'jagħmel float f'OpenVPN

Il-laptop jgħaddi mill-Wi-Fi tal-uffiċċju għal hotspot tat-telefon, il-mina tibqa' għaddejja ftit sekondi oħra, u mbagħad it-traffiku jieqaf filwaqt li l-interface għadha tgħid li hija konnessa. Fuq is-server, il-lista tal-istat għadha turi l-indirizz pubbliku l-antik. Din hija s-sitwazzjoni li għaliha jeżisti float, u hija wkoll is-sitwazzjoni fejn in-nies jistennew ħafna aktar milli jagħmel. Li tifhem il-limitu sew ibiddel waqfa konfuża jew fi bidla ta' konfigurazzjoni ta' linja waħda jew fi investigazzjoni kompletament oħra.

X'jillaxka float, u x'qatt ma jillaxka

Normalment sessjoni tibqa' titkellem mal-indirizz u l-port ta' barra li bihom bdiet, u l-pakketti li jaslu minn kullimkien ieħor jiġu injorati. L-għażla float tneħħi dak ir-rabta stretta ladarba l-peer ikun diġà wera ruħu, sabiex mapping tas-sors mibdul jista' jkompli bl-istess sessjoni minflok ma jiġi mwarrab. Xejn mill-verifiki kriptografiċi ma jinbidel: iċ-ċwievet, iċ-ċertifikati u kwalunkwe protezzjoni HMAC jibqgħu eżatt kif konfigurati.

Dan huwa deċiżjoni għal kull pakkett, mhux politika dwar min jista' jikkonnettja. Magna mhux magħrufa li tibgħat pakkett minn indirizz ġdid ma wriet xejn, u l-pakkett tagħha jintrema bħal kwalunkwe traffiku ieħor mhux awtentikat. Huwa biss it-traffiku li jgħaddi mill-awtentikazzjoni tas-sessjoni stess li jista' jċaqlaq l-indirizz tal-peer irreġistrat, u għalhekk huwa sigur li float jibqa' mixgħul f'ambjenti fejn il-klijenti jiċċaqilqu.

Ma jgħid xejn lanqas dwar il-mina ta' ġewwa. Indirizz ta' barra mċaqlaq ma jallokax mill-ġdid indirizz tal-mina, ma jbiddilx il-pool u ma jagħtix lill-peer aċċess għal xi ħaġa ġdida. Fil-mina, l-istess identità u l-istess rotot imbuttati japplikaw qabel u wara l-moviment. It-tħarbix lanqas ma jerġa' jinnegozja l-kanal tad-dejta, għalhekk iċ-ċifrar u ċ-ċwievet innegozjati jkomplu.

Il-pakkett li jċaqlaq sessjoni irid jiġi awtentikat

Ibda sessjoni bil-mod tas-soltu kontra l-bogħod konfigurat, u float jamministra x'jiġri meta l-mapping jinbidel. Operatur mobbli li jerġa' jinnumera f'nofs il-fluss, gateway NAT li jerġa' jikteb il-mapping tal-port tiegħu, jew laptop li jbiddel l-uplink kollha jipproduċu l-istess forma: pakketti awtentikati minn tuple ġdida, li jaslu f'sessjoni li għadha temmen fl-antika.

Meta jiġi mistoqsi jekk float jaħdimx, il-prova utli hija handshake komplut segwit minn bidla tas-sors aċċettata, mhux linja tal-log biss dwar l-indirizz. Qabbel l-indirizzi ta' barra l-antik u l-ġdid mas-sessjoni li baqgħet ħajja, u mbagħad ikkonferma li t-traffiku tassew kompla mill-mina.

Jekk is-sessjoni tmut minflok ma tiċċaqlaq, il-pakkett li wasal mill-indirizz il-ġdid x'aktarx falla fl-awtentikazzjoni jew ma wasal xejn. Iż-żewġ każijiet jidhru identiċi mill-klijent. Fuq is-server, qabda fuq l-interface pubblika tgħidlek liema waħda għandek qabel ma tmiss kwalunkwe konfigurazzjoni.

L-iskoperta hija mekkaniżmu kompletament separat

float ma jsolvx ismijiet b'timer u ma jsegwix rekord DNS dinamiku. Jekk l-isem tal-host tas-server jibda jsolvi għal indirizz ġdid, klijent inattiv m'għandux raġuni jintebaħ u m'għandux pakkett mill-endpoint il-ġdid biex jawtentika. Dik il-problema tappartjeni għal-loġika tar-rikonnessjoni, għall-imġiba tat-tentattiv mill-ġdid tal-klijent stess u għad-DNS, mhux għal float.

Iż-żieda tal-għażla darba oħra ma tistax tikkumpensa għan-nuqqas ta' rotta lejn l-indirizz il-ġdid. Lanqas ma tgħin meta l-peer ikun sieket, għax peer sieket qatt ma jibgħat il-pakkett awtentikat li jċaqlaq xi ħaġa.

Il-firewall ta' taħt għandu wkoll vuċi. Regola li tippermetti biss l-endpoint ta' barra l-antik timblokka l-indirizz mibdul qabel ma OpenVPN jara, u l-ebda konfigurazzjoni tal-klijent ma tissewwiha. Erġa' eżamina ċ-ċiklu tal-ħajja tal-indirizzi permessi bħala kompitu għalih; it-twessigħ tar-regola għal kwalunkwe sors ibiddel problema żgħira ma' waħda kbira.

Meta NetworkManager ikollu l-profil

Profil tal-linja tal-kmand u konnessjoni importata huma konfigurazzjonijiet separati, u l-editjar ta' waħda ma jmissx lill-oħra. Qabel ma tassumi li l-għażla mhijiex appoġġata, stabbilixxi liema tip ta' plugin tuża tassew il-profil salvat u fejn jgħixu l-valuri tiegħu. L-UUID tal-profil huwa l-identifikatur li jgħodd meta tispezzjona jew tbiddel xi ħaġa.

Spezzjona l-konnessjoni salvata u mhux il-fajl tal-import oriġinali. Linja li tibqa' ħajja f'fajl .ovpn ma tipprova xejn jekk il-maniġer attiv qatt ma applikaha, u editur mingħajr kaxxa tal-immakkjar għal għażla partikolari lanqas ma jipprova xejn dwar il-kapaċitajiet tal-protokoll.

Tgħaddix patch lil plugin ippakkjat biex iżżid l-imġiba, speċjalment mhux b'diff miktub għal verżjoni storika ta' komponent mhux relatat. Jekk l-integrazzjoni installata tassew ma tistax tesprimi s-setting, il-pass korrett huwa profil appoġġat jew triq tal-klijent oħra approvata min min hu sid l-iskjerament.

Ipprova t-tranżizzjoni minflok tassumiha

Mexxi t-test kif iseħħ il-falliment. Ikkonnettja, ivverifika t-traffiku mill-mina, ġġiegħel l-indirizz ta' barra jinbidel, u mbagħad iċċekkja tliet affarijiet: is-sessjoni għadha teżisti, l-indirizz tal-peer irreġistrat ċċaqlaq, u talba reali għadha tasal fid-destinazzjoni tagħha. Xi ħaġa inqas mit-tlieta hija tweġiba parzjali.

Żomm l-aċċess għall-irkupru disponibbli waqt li tittestja, għax l-esperimenti tat-tħarbix għandhom id-drawwa li jħallu l-magna li qed taħdem minnha mitluqa. Kunsill serjali jew rotta barra mill-band ibiddlu test fallut fi rkupru ta' ħames minuti minflok żjara fuq il-post.

Fl-aħħar, iddeskrivi biss il-każ li pprattikajt. Bidla fl-indirizz li tirnexxi matul sessjoni mhijiex prova li migrazzjonijiet tad-DNS, implimentazzjoni oħra tal-klijent jew profil mibni mill-ġdid se jġibu ruħhom l-istess. Id-dokumentazzjoni ta' link-options tiddikjara l-ambitu tal-għażla b'mod preċiż; il-log tat-test tiegħek għandu jgħid liema parti minn dak l-ambitu tassew koprejt.