OpenVPN remote-random: измешан редослед, један тунел

Претпоставка је да додавање remote-random претвара профил у ротирајући скуп, па свака веза излази са друге адресе. Оно што директива заправо ради јесте да једном измеша листу remote ставки када клијент почне да се повезује, а затим их испроба у том новом редоследу. Тунел који на крају оживи и даље се завршава на једној крајњој тачки и остаје тамо током целог животног века сесије.

Та разлика је важна и за тестирање и за тврдње о приватности.

Шта опција мења у тренутку повезивања

Профил клијента може да носи неколико remote редова, сваки са сопственим именом хоста и портом. Без директиве они се испробавају по редоследу датотеке; са њом се листа једном преуређује на почетку сесије и побеђује прва адреса која одговори. Остале остају резервне за овај покушај, а не паралелни путеви. Профил са само једним remote-ом не даје директиви шта да меша, и то је најбржи начин да се види да ли то уопште може бити важно.

Приручник OpenVPN документује опцију као утицај на редослед покушаја повезивања, и то је тачно обим који треба очекивати у понашању.

Поновно повезивање започиње нови циклус избора, па каснија сесија може да заврши негде другде. Активни тунел се не помера док је подигнут.

Мит: сваки захтев добија нови сервер

Након успостављања, тунел преноси сав саобраћај те сесије до изабраног партнера. Нема поновног избора по захтеву, а директива није балансер оптерећења за појединачне везе: меша кандидате, не распоређује пакете. Свака апликација која дели тај тунел дели и истог партнера. Шта год прегледач извести о свом излазу, припада сесији, а не појединачном захтеву.

Ако тест покаже два различита излаза, тражите две одвојене сесије, а не једну лукаву опцију. Та разлика објашњава и зашто се тест у прегледачу и тест преузимања могу разилазити када се између њих догодило поновно повезивање.

Чему служи remote-random-hostname

Друга директива сличног имена мења име хоста које се користи за разрешавање, а не редослед листе remote. Постоји за поставке у којима се име разрешава на неколико адреса кроз round-robin DNS и треба је користити само када је услуга за то изграђена. Мења се само корак разрешавања; редослед листе кандидата не.

Укључивање јер имена изгледају повезана честа је грешка. Wildcard сертификат или DNS распоред који не очекује измењено име једноставно неће моћи да разреши или потврди.

Прочитајте изабрану крајњу тачку из дневника

Забележите ког је партнера сесија стварно користила пре него што донесете закључке. Детаљни излаз наводи адресу која се испробава, а сам профил показује колико кандидата постоји. Упоредите тај број са адресом у дневнику пре него што окривите мешање.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

За поређење перформанси причврстите крајњу тачку коментарисањем осталих remote ставки, тако да променљива која се тестира буде протокол или клијент, а не путања. За питање приватности процените идентитет услуге и њено евидентирање у целини; измешани први избор не брише колачиће, не уклања пријаву на налог и не чини два оператера једнаким.

Држите заједно испоручени материјал поверења и подржани скуп крајњих тачака. Поновно мешање мења само редослед којим се тај скуп испробава.