OpenVPN remote-random: promiješan redoslijed, jedan tunel

Pretpostavka je da dodavanje remote-random pretvara profil u rotirajući skup pa svaka veza izlazi s druge adrese. Ono što direktiva zapravo radi jest da jednom promiješa popis remote stavki kad se klijent počne spajati, a zatim ih isproba tim novim redoslijedom. Tunel koji na kraju oživi i dalje završava na jednoj krajnjoj točki i ostaje tamo cijeli životni vijek sesije.

Ta razlika važna je i za testiranje i za tvrdnje o privatnosti.

Što opcija mijenja u trenutku spajanja

Profil klijenta može nositi nekoliko remote redaka, svaki s vlastitim imenom hosta i portom. Bez direktive isprobavaju se redoslijedom datoteke; s njom se popis jednom preuređuje na početku sesije i pobjeđuje prva adresa koja odgovori. Ostale ostaju rezervne za ovaj pokušaj, a ne paralelni putovi. Profil s jednim remoteom ne daje direktivi što miješati, a to je najbrži način da se vidi može li uopće biti važna.

OpenVPN-ov priručnik dokumentira opciju kao utjecaj na redoslijed pokušaja spajanja, i to je točno opseg koji treba očekivati u ponašanju.

Ponovno spajanje započinje novi ciklus odabira, pa kasnija sesija može završiti negdje drugdje. Aktivni se tunel ne pomiče dok je uključen.

Mit: svaki zahtjev dobiva novi poslužitelj

Nakon uspostave tunel prenosi sav promet te sesije do odabranog partnera. Nema ponovnog odabira po zahtjevu, a direktiva nije balansirnik opterećenja za pojedinačne veze: miješa kandidate, ne raspoređuje pakete. Svaka aplikacija koja dijeli taj tunel dijeli i istog partnera. Što god preglednik izvijesti o svom izlazu, pripada sesiji, a ne pojedinačnom zahtjevu.

Ako test pokaže dva različita izlaza, tražite dvije odvojene sesije, a ne jednu lukavu opciju. Ta razlika objašnjava i zašto se test u pregledniku i test preuzimanja mogu razilaziti kad se između njih dogodilo ponovno spajanje.

Čemu služi remote-random-hostname

Druga direktiva sličnog imena mijenja ime hosta koje se koristi za razrješavanje, a ne redoslijed popisa remotea. Postoji za postave u kojima se ime razrješava na nekoliko adresa kroz round-robin DNS i treba je koristiti samo kad je usluga za to izgrađena. Mijenja se samo korak razrješavanja; redoslijed popisa kandidata ne.

Uključivanje jer imena izgledaju povezana česta je pogreška. Wildcard certifikat ili DNS raspored koji ne očekuje izmijenjeno ime jednostavno neće moći razriješiti ili potvrditi.

Pročitajte odabranu krajnju točku iz dnevnika

Zabilježite kojeg je partnera sesija stvarno koristila prije donošenja zaključaka. Opširni izlaz navodi adresu koja se pokušava, a sam profil pokazuje koliko kandidata postoji. Usporedite taj broj s adresom u dnevniku prije nego okrivite miješanje.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Za usporedbu performansi prikvačite krajnju točku komentiranjem ostalih remotea kako bi promjenjiva u testu bila protokol ili klijent, a ne put. Za pitanje privatnosti procijenite identitet usluge i zapisivanje u cjelini; promiješan prvi izbor ne briše kolačiće, ne uklanja prijavu na račun i ne čini dva operatera jednakima.

Držite isporučeni materijal povjerenja i podržani skup krajnjih točaka zajedno. Ponovno miješanje mijenja samo redoslijed kojim se taj skup isprobava.