Mai multe remote OpenVPN: listă de failover, nu legare de conexiuni

Două linii remote într-un profil arată ca o a doua cale; sunt o a doua încercare. Când primul endpoint nu mai răspunde, clientul trece mai departe și sesiunea nu devine mai lată. Numărați lista failover de la început, altfel veți regla butonul greșit.

Ce vă oferă o listă remote

Tratați profilul ca un set ordonat de încercări, nu ca un bazin de capacitate. Fiecare intrare primește rândul ei la ridicarea tunelului, iar sesiunea trăiește pe cea care a răspuns. O listă mai lungă îmbunătățește șansele de conectare, nu dimensiunea țevii.

Agregarea reală este o altă mașină. Împărțirea unui flux pe mai multe căi cere software la ambele capete pentru a împărți și a reasambla traficul în ordine.

Un furnizor care promite tuneluri mai rapide din mai multe servere vinde exact acel al doilea model, nu o listă mai lungă. Dacă clientul doar încearcă endpointurile pe rând, cinci intrări schimbă șansele și nimic altceva. Urmăriți o întrerupere: sesiunea cade și revine altundeva, ceea ce jurnalul arată ca un endpoint nou, niciodată ca o țeavă mai lată.

Blocuri care păstrează setările cu un singur endpoint

O linie remote simplă duce o adresă și uneori un port și un protocol. Când un endpoint are nevoie de un proxy sau de un transport pe care restul fișierului nu îl folosește, puneți acele setări într-un bloc de conexiune care le păstrează împreună cu el. Blocurile inline funcționează și într-un singur fișier .ovpn, și așa sunt livrate majoritatea profilelor.

Tot ce este în afara unui bloc acționează ca valoare implicită pentru intrările care nu îl suprascriu. De aceea un bloc construit și patru remote simple se comportă în moduri pe care lista de adrese nu le poate explica.

Ștergerea unui bloc pe care nu îl recunoașteți nu este cosmetică. Endpointul căruia îi aparținea revine la valorile implicite ale fișierului, care pot fi un alt transport decât cel pe care ascultă. Scoateți învelișul greșit și o intrare eșuează în timp ce restul funcționează, așa că pare un server prost, nu un profil stricat. Citiți fiecare remote împreună cu transportul, portul și proxyul lui înainte de a edita.

Ordinea reîncercărilor și costul remote-random

Ordinea contează pentru că fiecare intrare moartă costă timp înainte de următoarea încercare. Puneți endpointul dorit primul și tratați restul ca rezerve ordonate.

remote-random amestecă ordinea de pornire, ceea ce împrăștie sarcina pe servere echivalente și se întoarce împotrivă când un endpoint este clar principal. În orice caz, înregistrați endpointul ales de client; numele profilului nu spune nimic când o conexiune pare lentă. Un grep al liniei de legătură într-un jurnal detaliat arată unde a aterizat sesiunea.

Amestecarea operatorilor rupe declarația de încredere

Un profil este și o afirmație despre identitate: aceste adrese sunt serviciul pe care voiați să îl atingeți, iar certificatul fixat îi aparține. Aruncarea unor servere publice gratuite în acel fișier rupe afirmația: certificatele lor și al dumneavoastră descriu servicii diferite. Rezultatul obișnuit este o eroare de identitate sau acreditări oferite unui host din afara rețelei furnizorului. Țineți alternativele în setul distribuit de operator, cu acreditări și material de încredere potrivite.

Dacă aveți nevoie de endpointuri de la doi furnizori, aceasta este rutare, nu editarea profilului. Rezolvați-o deasupra tunelului, unde puteți spune ce trafic ia ce cale.

Testați fiecare intrare în loc să presupuneți

După o actualizare aprobată a profilului, conectați-vă intenționat la fiecare endpoint necesar și confirmați ce transport a urcat. O rulare detaliată face asta vizibil. Porniți openvpn --config office.ovpn --verb 4 și citiți linia de legătură pentru adresa așteptată. Apoi verificați resursele din spatele tunelului; o intrare poate finaliza strângerea de mână și totuși să nu vă direcționeze nicăieri.

Failoverul are nevoie de propriul test, nu de speranță. Blocați primul endpoint într-un laborator, porniți clientul și măsurați cât durează trecerea mai departe. O listă lungă în spatele unei prime intrări lente este mai rea decât una scurtă care pornește bine.

Verificați din nou lista de fiecare dată când operatorul o schimbă. Un set importat este util doar cât timp intrările lui există și vorbesc transportul pe care îl descriu blocurile dumneavoastră. Manualul OpenVPN 2.6 acoperă aici directivele remote, connection și random-order, și este versiunea de verificat când sintaxa este îndoielnică.