Flera OpenVPN-remotes: failover-lista, inte kanalbundning

Två remote-rader i en profil ser ut som en andra fil; de är ett andra försök. När den första endpointen slutar svara går klienten vidare och sessionen blir inte bredare. Kalla listan failover tidigt, annars vrider du på fel ratt.

Vad en remote-lista ger dig

Behandla profilen som en ordnad uppsättning försök, inte som en pool av kapacitet. Varje post får sin tur att resa tunneln, och sessionen lever på den som svarade. En längre lista förbättrar chanserna att ansluta, inte storleken på röret.

Äkta aggregering är en annan maskin. Att dela ett flöde över flera vägar kräver programvara i båda ändar som delar upp och sätter ihop trafiken i ordning.

En leverantör som lovar snabbare tunnlar från fler servrar säljer just den andra modellen, inte en längre lista. Om klienten bara provar endpoints i tur och ordning ändrar fem poster dina chanser och inget annat. Se på ett avbrott: sessionen faller och kommer tillbaka någon annanstans, vilket loggen visar som en ny endpoint, aldrig som ett bredare rör.

Block som håller inställningar med en endpoint

En vanlig remote-rad bär en adress, och ibland en port och ett protokoll. När en endpoint behöver en proxy, eller en transport som resten av filen inte använder, lägg de inställningarna i ett anslutningsblock som håller dem med den. Inline-block fungerar också i en enda .ovpn-fil, och så levereras de flesta profiler.

Allt utanför ett block fungerar som standard för poster som inte åsidosätter det. Därför beter sig ett byggt block och fyra vanliga remotes på sätt som adresslistan inte kan förklara.

Att radera ett block du inte känner igen är inte kosmetiskt. Den endpoint det hörde till faller tillbaka på filens standardvärden, som kan vara en annan transport än den den lyssnar på. Ta bort det felaktiga höljet och en post misslyckas medan resten fungerar, så det ser ut som en dålig server i stället för en trasig profil. Läs varje remote med dess transport, port och proxy innan du redigerar.

Ordning för nya försök och priset för remote-random

Ordningen spelar roll eftersom varje död post kostar tid innan nästa försök. Sätt den endpoint du vill ha först och behandla resten som rangordnade reserver.

remote-random blandar startordningen, vilket sprider lasten över likvärdiga servrar och slår tillbaka när en endpoint är tydligt primär. Oavsett vilket, logga den endpoint som klienten valde; profilnamnet säger ingenting när en anslutning känns långsam. Att greppa länkraden från en detaljerad logg visar var sessionen landade.

Att blanda operatörer bryter tillitsförklaringen

En profil är också ett påstående om identitet: dessa adresser är tjänsten du menade att nå, och det fästa certifikatet tillhör den. Att slänga in gratis offentliga servrar i den filen bryter påståendet: deras certifikat och ditt beskriver olika tjänster. Det vanliga utfallet är ett identitetsfel, eller inloggningsuppgifter som erbjuds en värd utanför din leverantörs nätverk. Håll alternativen inom den uppsättning din operatör distribuerar, med matchande inloggningsuppgifter och tillitsmaterial.

Om du behöver endpoints från två leverantörer är det routing, inte en profilredigering. Lös det ovanför tunneln, där du kan säga vilken trafik som tar vilken väg.

Testa varje post i stället för att anta

Efter en godkänd profiluppdatering, anslut medvetet till varje nödvändig endpoint och bekräfta vilken transport som kom upp. En detaljerad körning gör det synligt. Starta openvpn --config office.ovpn --verb 4 och läs länkraden för den adress du förväntade dig. Kontrollera sedan resurserna bakom tunneln; en post kan slutföra handskakningen och ändå inte dirigera dig någonstans.

Failover behöver sitt eget test i stället för en förhoppning. Blockera den första endpointen i ett labb, starta klienten och mät hur lång tid det tar att gå vidare. En lång lista bakom en långsam första post är sämre än en kort som startar bra.

Kontrollera listan igen varje gång operatören ändrar den. En importerad uppsättning är bara användbar så länge dess poster finns och talar den transport som dina block beskriver. OpenVPN 2.6-handboken täcker här direktiven remote, connection och random-order, och det är versionen du bör kontrollera när syntaxen är oklar.