Flere OpenVPN-remotes: failover-liste, ikke kanalbonding

To remote-linjer i én profil ser ut som en annen bane; de er et annet forsøk. Når det første endpointet slutter å svare, går klienten videre, og sesjonen blir ikke bredere. Kall listen failover tidlig, ellers skrur du på feil knapp.

Hva en remote-liste gir deg

Behandle profilen som et ordnet sett av forsøk, ikke som en pool av kapasitet. Hver oppføring får sin runde til å reise tunnelen, og sesjonen lever på den som svarte. En lengre liste forbedrer sjansene for å koble til, ikke størrelsen på røret.

Ekte aggregering er en annen maskin. Å dele én strøm over flere veier krever programvare i begge ender som deler og setter sammen trafikken i riktig rekkefølge.

En leverandør som lover raskere tunneler fra flere servere, selger nettopp den andre modellen, ikke en lengre liste. Hvis klienten bare prøver endepunkter etter tur, endrer fem oppføringer sjansene dine og ingenting annet. Se på et avbrudd: sesjonen faller og kommer tilbake et annet sted, noe loggen viser som et nytt endpoint, aldri som et bredere rør.

Blokker som holder innstillinger sammen med ett endpoint

En vanlig remote-linje bærer en adresse, og noen ganger port og protokoll. Når et endpoint trenger en proxy, eller en transport som resten av filen ikke bruker, legger du innstillingene i en tilkoblingsblokk som holder dem sammen med det. Inline-blokker fungerer også i én .ovpn-fil, og slik leveres de fleste profiler.

Alt utenfor en blokk virker som standard for oppføringer som ikke overstyrer den. Derfor oppfører én bygget blokk og fire vanlige remotes seg på måter adresselisten ikke kan forklare.

Å slette en blokk du ikke kjenner igjen er ikke kosmetisk. Endepunktet den hørte til, faller tilbake til filens standarder, som kan være en annen transport enn den den lytter på. Fjern den feil innpakningen, og én oppføring feiler mens resten virker, så det ser ut som en dårlig server i stedet for en ødelagt profil. Les hver remote med transport, port og proxy før du redigerer.

Rekkefølge for nye forsøk og prisen for remote-random

Rekkefølgen betyr noe fordi hver død oppføring koster tid før neste forsøk. Sett endpointet du vil ha først og behandle resten som rangerte reserver.

remote-random stokker startrekkefølgen, noe som sprer lasten over likeverdige servere og slår tilbake når ett endpoint tydelig er primært. Uansett, logg endpointet klienten valgte; profilnavnet sier ingenting når en tilkobling føles treg. Grep av lenkelinjen fra en detaljert logg viser hvor sesjonen landet.

Å blande operatører bryter tillitserklæringen

En profil er også en påstand om identitet: disse adressene er tjenesten du mente å nå, og det festede sertifikatet tilhører den. Å slenge gratis offentlige servere inn i den filen bryter påstanden: deres sertifikater og ditt beskriver forskjellige tjenester. Det vanlige utfallet er en identitetsfeil, eller påloggingsdata som tilbys en vert utenfor nettverket til leverandøren din. Hold alternativene innenfor settet operatøren din distribuerer, med samsvarende påloggingsdata og tillitsmateriale.

Hvis du trenger endepunkter fra to leverandører, er det ruting, ikke en profilendring. Løs det over tunnelen, der du kan si hvilken trafikk som tar hvilken vei.

Test hver oppføring i stedet for å anta

Etter en godkjent profiloppdatering, koble bevisst til hvert påkrevde endpoint og bekreft hvilken transport som kom opp. En detaljert kjøring gjør det synlig. Start openvpn --config office.ovpn --verb 4 og les lenkelinjen for adressen du forventet. Sjekk deretter ressursene bak tunnelen; en oppføring kan fullføre håndtrykket og likevel ikke rute deg noe sted.

Failover trenger sin egen test i stedet for et håp. Blokker det første endpointet i et laboratorium, start klienten, og mål hvor lang tid det tar å gå videre. En lang liste bak en treg første oppføring er verre enn en kort som starter godt.

Sjekk listen på nytt hver gang operatøren endrer den. Et importert sett er bare nyttig så lenge oppføringene finnes og snakker transporten blokkene dine beskriver. OpenVPN 2.6-håndboken dekker her direktivene remote, connection og random-order, og det er versjonen du bør sjekke når syntaksen er usikker.