OpenVPN remote-random: premešan vrstni red, en tunel

Predpostavka je, da dodajanje remote-random spremeni profil v vrteči se nabor, zato vsaka povezava pride z drugega naslova. Kar direktiva v resnici naredi, je, da enkrat premeša seznam remote-ov, ko se odjemalec začne povezovati, in jih nato preizkusi v tem novem vrstnem redu. Tunel, ki se na koncu dvigne, se še vedno konča na eni končni točki in tam ostane vso življenjsko dobo seje.

Ta razlika je pomembna tako za testiranje kot za trditve o zasebnosti.

Kaj možnost spremeni ob povezavi

Profil odjemalca lahko vsebuje več vrstic remote, vsaka s svojim imenom gostitelja in vrati. Brez direktive se preizkušajo v vrstnem redu datoteke; z njo se seznam enkrat na začetku seje preuredi in zmaga prvi naslov, ki odgovori. Ostali ostanejo rezervne možnosti za ta poskus, ne vzporedne poti. Profil z enim samim remote-om direktivi ne ponudi ničesar za mešanje, in to je najhitrejši način, da ugotovite, ali lahko sploh kaj pomeni.

Priročnik OpenVPN to možnost dokumentira kot vpliv na vrstni red poskusov povezave, in natanko takšen obseg gre pričakovati v vedenju.

Ponovna povezava začne nov cikel izbire, zato lahko poznejša seja pristane drugje. Aktivni tunel se med delovanjem ne premakne.

Mit: vsaka zahteva dobi nov strežnik

Ko je tunel vzpostavljen, prenaša ves promet te seje do izbranega partnerja. Ni ponovne izbire pri vsaki zahtevi, in direktiva ni uravnavalnik obremenitve za posamezne povezave: meša kandidate, ne razporeja paketov. Vsaka aplikacija, ki si deli ta tunel, si deli istega partnerja. Karkoli brskalnik poroča o svojem izhodu, pripada seji, ne posamezni zahtevi.

Če test pokaže dva različna izhoda, iščite dve ločeni seji, ne ene premetene možnosti. Ta razlika pojasni tudi, zakaj se preizkus v brskalniku in preizkus prenosa lahko razhajata, ko je med njima prišlo do ponovne povezave.

Čemu je namenjen remote-random-hostname

Druga direktiva s podobnim imenom spremeni ime gostitelja, uporabljeno za razreševanje, ne vrstnega reda seznama remote. Obstaja za uvedbe, kjer se ime prek round-robin DNS razreši v več naslovov, in uporabiti jo je treba le, kadar je storitev zgrajena za to. Spremeni se le korak razreševanja; vrstni red seznama kandidatov ne.

Omogočiti jo zato, ker se imena zdijo povezana, je pogosta napaka. Potrdilo z nadomestnim znakom ali postavitev DNS, ki ne pričakuje spremenjenega imena, preprosto ne bo razrešilo ali potrdilo.

Preberite izbrano končno točko iz dnevnika

Preden sklepate, zabeležite, katerega partnerja je seja dejansko uporabila. Podroben izpis navaja naslov, ki se preizkuša, in sam profil kaže, koliko kandidatov je na voljo. Primerjajte to število z naslovom v dnevniku, preden krivite mešanje.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Za primerjavo delovanja pripnite končno točko tako, da zakomentirate druge remote-e, da bo preizkušena spremenljivka protokol ali odjemalec in ne pot. Za vprašanje zasebnosti ocenite identiteto storitve in njeno beleženje kot celoto; premešana prva izbira ne izbriše piškotkov, ne odstrani prijave v račun in ne naredi dveh operaterjev enakovrednih.

Imejte dobavljeno gradivo zaupanja in podprti nabor končnih točk skupaj. Ponovno mešanje spremeni le vrstni red, v katerem se ta nabor preizkuša.