Viaceré OpenVPN remote: zoznam failover, nie zlučovanie liniek

Dva riadky remote v jednom profile vyzerajú ako druhý pruh; sú to druhý pokus. Keď prvý endpoint prestane odpovedať, klient ide ďalej a relácia sa nerozšíri. Nazvite zoznam failover včas, inak budete ladiť nesprávny gombík.

Čo vám zoznam remote prinesie

Berte profil ako usporiadanú množinu pokusov, nie ako fond kapacity. Každá položka dostane svoj ťah na zdvihnutie tunela a relácia žije na tej, ktorá odpovedala. Dlhší zoznam zlepšuje šancu na pripojenie, nie veľkosť rúry.

Skutočná agregácia je iný stroj. Rozdeliť jeden tok cez viacero ciest vyžaduje softvér na oboch koncoch, ktorý prevádzku rozdelí a zase poskladá v poradí.

Dodávateľ, ktorý sľubuje rýchlejšie tunely z viacerých serverov, predáva práve ten druhý model, nie dlhší zoznam. Ak klient len skúša endpointy po poradí, päť položiek zmení vaše šance a nič iné. Sledujte výpadok: relácia spadne a vráti sa inde, čo log ukáže ako nový endpoint, nikdy ako širšiu rúru.

Bloky, ktoré držia nastavenia pri jednom endpointe

Obyčajný riadok remote nesie adresu a niekedy port a protokol. Keď endpoint potrebuje proxy alebo transport, ktorý zvyšok súboru nepoužíva, vložte tieto nastavenia do bloku pripojenia, ktorý ich drží s ním. Vložené bloky fungujú aj v jednom súbore .ovpn, a tak sa dodáva väčšina profilov.

Všetko mimo bloku slúži ako predvolená hodnota pre položky, ktoré ho neprepisujú. Preto sa jeden postavený blok a štyri obyčajné remote správajú spôsobmi, ktoré zoznam adries nevie vysvetliť.

Zmazanie bloku, ktorý nepoznáte, nie je kozmetika. Endpoint, ktorému patril, sa vráti k predvoleným hodnotám súboru, ktoré môžu byť iný transport než ten, na ktorom počúva. Odstráňte nesprávny obal a jedna položka zlyhá, kým ostatné fungujú, takže to vyzerá ako zlý server, nie pokazený profil. Pred úpravou si prečítajte každý remote s jeho transportom, portom a proxy.

Poradie opakovaní a cena remote-random

Poradie je dôležité, pretože každá mŕtva položka stojí čas pred ďalším pokusom. Dajte požadovaný endpoint prvý a ostatné berte ako zoradené zálohy.

remote-random zamieša počiatočné poradie, čo rozloží záťaž medzi rovnocenné servery a vypomstí sa, keď je jeden endpoint jasne hlavný. Tak či onak, zapíšte endpoint, ktorý klient vybral; názov profilu nič nehovorí, keď spojenie pôsobí pomaly. Grepovanie riadku spojenia v podrobnom logu ukáže, kde relácia pristála.

Miešanie operátorov láme vyhlásenie o dôvere

Profil je aj tvrdenie o identite: tieto adresy sú služba, ktorú ste chceli dosiahnuť, a pripnutý certifikát patrí jej. Hádzanie bezplatných verejných serverov do toho súboru tvrdenie láme: ich certifikáty a ten váš opisujú rôzne služby. Zvyčajným výsledkom je zlyhanie identity alebo prihlasovacie údaje ponúknuté hostiteľovi mimo siete vášho poskytovateľa. Držte alternatívy v množine, ktorú váš operátor distribuuje, s odpovedajúcimi prihlasovacími údajmi a materiálom dôvery.

Ak potrebujete endpointy od dvoch poskytovateľov, je to smerovanie, nie úprava profilu. Riešte to nad tunelom, kde môžete povedať, ktorá prevádzka ide ktorou cestou.

Testujte každú položku namiesto predpokladov

Po schválenej aktualizácii profilu sa zámerne pripojte ku každému požadovanému endpointu a overte, ktorý transport nabehol. Podrobný beh to ukáže. Spustite openvpn --config office.ovpn --verb 4 a prečítajte riadok spojenia pre očakávanú adresu. Potom skontrolujte zdroje za tunelom; položka môže dokončiť podanie ruky a napriek tomu vás nikam nesmerovať.

Failover potrebuje vlastný test namiesto nádeje. Zablokujte prvý endpoint v laboratóriu, spustite klienta a zmerajte, ako dlho trvá prejsť ďalej. Dlhý zoznam za pomalou prvou položkou je horší než krátky, ktorý dobre štartuje.

Znovu skontrolujte zoznam vždy, keď ho operátor zmení. Importovaná množina je užitočná len dovtedy, kým jej položky existujú a hovoria transportom, ktorý vaše bloky opisujú. Príručka OpenVPN 2.6 tu pokrýva direktívy remote, connection a random-order a je to verzia, ktorú treba overiť, keď je syntax nejasná.