Naslov partnerja se je spremenil sredi seje: kaj počne float v OpenVPN

Prenosnik preide z Wi-Fi v pisarni na hotspot v telefonu, tunel zdrži še nekaj sekund, nato pa promet obstane, medtem ko vmesnik še vedno trdi, da je povezan. Na strežniku seznam stanja še vedno kaže stari javni naslov. To je položaj, za katerega float obstaja, in hkrati položaj, v katerem ljudje od njega pričakujejo veliko več, kot zmore. Pravilno razumevanje meje spremeni zmedeno zaustavitev bodisi v enovrstično spremembo konfiguracije bodisi v povsem drugo preiskavo.

Kaj float sprosti in česa nikoli ne sprosti

Seja običajno še naprej govori z zunanjim naslovom in vrati, s katerima se je začela, paketi, ki prispejo od drugod, pa se prezrejo. Možnost float odpravi to strogo vezavo, ko se je partner že izkazal, zato lahko spremenjeno preslikavo vira nadaljuje isto sejo, namesto da bi bila zavržena. Pri kriptografskih preverjanjih se nič ne spremeni: ključi, potrdila in kakršna koli zaščita HMAC ostanejo natanko tako, kot so nastavljeni.

To je odločitev za vsak paket, ne politika o tem, kdo se sme povezati. Neznan stroj, ki pošlje paket z novega naslova, ni ničesar dokazal, in njegov paket se zavrže kot vsak drug neoverjen promet. Samo promet, ki prestane lastno overjanje seje, lahko premakne zabeleženi naslov partnerja, zato je varno pustiti float vklopljen v okoljih, kjer se odjemalci gibljejo.

Nič ne pove niti o notranjem tunelu. Premaknjen zunanji naslov ne dodeli novega naslova tunela, ne spremeni bazena in partnerju ne omogoči dostopa do česa novega. Znotraj tunela pred premikom in po njem veljata ista identiteta in iste potisnjene poti. Premik tudi ne ponovno pogaja podatkovnega kanala, zato se dogovorjena šifra in ključi nadaljujejo.

Paket, ki premakne sejo, mora biti overjen

Začnite sejo na običajen način proti nastavljenemu oddaljenemu koncu, in float poskrbi za to, kar se zgodi ob spremembi preslikave. Mobilni operater, ki sredi toka preštevilči, prehod NAT, ki prepiše svoje preslikavo vrat, ali prenosnik, ki zamenja zgornjo povezavo, vsi ustvarijo isto obliko: overjeni paketi iz nove tuple, ki prispejo v sejo, ki še vedno verjame v staro.

Ko vas vprašajo, ali float deluje, je koristen dokaz dokončan rokovanje, ki mu sledi sprejeta sprememba vira, ne vrstica dnevnika samo o naslovu. Povežite stari in novi zunanji naslov s sejo, ki je ostala živa, nato potrdite, da se je promet res nadaljeval skozi tunel.

Če seja umre namesto da bi se premaknila, paket, ki je prispel z novega naslova, verjetno ni prestal overjanja ali pa sploh ni prispel. Oba primera sta z vidika odjemalca videti enako. Na strežniku vam zajem na javnem vmesniku pove, kateri od obeh je, preden se dotaknete kakršne koli konfiguracije.

Odkrivanje je povsem ločen mehanizem

float ne razrešuje imen po časovniku in ne sledi dinamičnemu zapisu DNS. Če se začne ime gostitelja strežnika razreševati na nov naslov, nedejavni odjemalec nima razloga, da bi to opazil, in nima paketa z nove končne točke, ki bi ga overil. Ta težava spada k logiki ponovnega povezovanja, k obnašanju lastnega ponovnega poskusa odjemalca in k DNS, ne k floatu.

Dodajanje možnosti še enkrat ne nadomesti manjkajoče poti do novega naslova. Ne pomaga niti, ko partner molči, ker molčeči partner nikoli ne pošlje overjenega paketa, ki bi kaj premaknil.

Spodnji požarni zid ima prav tako besedo. Pravilo, ki dovoljuje samo stari zunanji končni točki, blokira spremenjeni naslov, preden ga OpenVPN sploh vidi, in nobena odjemalska konfiguracija tega ne odpravi. Preglejte življenjski cikel dovoljenih naslovov kot ločeno nalogo; razširitev pravila na kateri koli vir zamenja majhno težavo za veliko.

Ko profil upravlja NetworkManager

Profil iz ukazne vrstice in uvožena povezava sta ločeni konfiguraciji, urejanje ene pa se druge ne dotakne. Preden domnevate, da možnost ni podprta, ugotovite, katero vrsto vtičnika shranjeni profil dejansko uporablja in kje živijo njegove vrednosti. UUID profila je identifikator, ki je pomemben, ko kaj pregledujete ali spreminjate.

Preglejte shranjeno povezavo, ne izvirne datoteke za uvoz. Vrstica, ki preživi v datoteki .ovpn, ne dokaže ničesar, če je aktivni upravitelj nikoli ni uporabil, in urejevalnik brez potrditvenega polja za določeno možnost prav tako ne dokaže ničesar o zmožnostih protokola.

Ne popravljajte pakiranega vtičnika, da bi dodali vedenje, še posebej ne z diffom, napisanim za zgodovinsko različico nepovezane komponente. Če nameščena integracija res ne more izraziti nastavitve, je pravi korak podprt profil ali druga odjemalska pot, ki jo odobri lastnik uvajanja.

Dokažite prehod, namesto da bi ga domnevali

Izvedite preizkus tako, kot se okvara zgodi. Povežite se, preverite promet skozi tunel, prisilite zunanji naslov k spremembi in nato preverite tri stvari: seja še obstaja, zabeleženi naslov partnerja se je premaknil in resnična zahteva še vedno doseže cilj. Karkoli manj od vseh treh je delen odgovor.

Med preizkušanjem imejte na voljo dostop za obnovitev, ker poskusi gibanja radi pustijo stroj, s katerega delate, nasedel. Serijska konzola ali izvenpasovna pot spremeni neuspešen preizkus v petminutno obnovitev namesto obiska na lokaciji.

Nazadnje opišite samo primer, ki ste ga preizkusili. Uspešna sprememba naslova med sejo ni dokaz, da se bodo migracije DNS, druga odjemalska izvedba ali obnovljen profil obnašali enako. Dokumentacija link-options natančno navaja obseg možnosti; vaš dnevnik preizkusa bi moral navesti, kateri del tega obsega ste dejansko pokrili.