OpenVPN หลาย remote: รายการ failover ไม่ใช่การรวมลิงก์

สองบรรทัด remote ในโปรไฟล์เดียวดูเหมือนช่องทางที่สอง แต่จริง ๆ คือความพยายามครั้งที่สอง เมื่อ endpoint แรกหยุดตอบ ไคลเอนต์จะไปต่อและเซสชันไม่ได้กว้างขึ้น เรียกมันว่า failover ตั้งแต่ต้น ไม่อย่างนั้นคุณจะปรับปุ่มผิด

รายการ remote ให้อะไรคุณ

มองโปรไฟล์เป็นชุดความพยายามที่เรียงลำดับ ไม่ใช่สระของกำลังความสามารถ แต่ละรายการได้โอกาสยกอุโมงค์ และเซสชันอยู่บนรายการที่ตอบได้ รายการที่ยาวขึ้นช่วยเพิ่มโอกาสเชื่อมต่อ ไม่ใช่ขนาดของท่อ

การรวมลิงก์จริงเป็นเครื่องอีกแบบ การแยกหนึ่งโฟลว์ไปหลายเส้นทางต้องมีซอฟต์แวร์ทั้งสองฝั่งเพื่อแบ่งและประกอบทราฟฟิกกลับตามลำดับ

ผู้ขายที่สัญญาอุโมงค์เร็วขึ้นจากเซิร์ฟเวอร์มากขึ้นขายแบบจำลองที่สองนั้น ไม่ใช่รายการที่ยาวขึ้น ถ้าไคลเอนต์เพียงลอง endpoint ทีละตัว ห้ารายการก็เปลี่ยนแค่โอกาสของคุณ ไม่มีอะไรอื่น ดูเหตุขัดข้อง: เซสชันหลุดแล้วกลับมาใหม่ที่อื่น ซึ่งบันทึกแสดงเป็น endpoint ใหม่ ไม่เคยแสดงเป็นท่อที่กว้างขึ้น

บล็อกที่เก็บการตั้งค่าไว้กับ endpoint เดียว

บรรทัด remote ธรรมดาแบกที่อยู่ และบางครั้งก็พอร์ตกับโปรโตคอล เมื่อ endpoint ต้องใช้พร็อกซี หรือใช้การขนส่งที่ส่วนที่เหลือของไฟล์ไม่ได้ใช้ ให้ใส่การตั้งค่าเหล่านั้นในบล็อกการเชื่อมต่อที่เก็บไว้กับมัน บล็อกแบบอินไลน์ใช้ได้ในไฟล์ .ovpn เดียว และโปรไฟล์ส่วนใหญ่ก็ส่งมาแบบนั้น

ทุกอย่างนอกบล็อกทำหน้าที่เป็นค่าเริ่มต้นสำหรับรายการที่ไม่ได้เขียนทับ นั่นคือเหตุผลที่บล็อกที่สร้างขึ้นหนึ่งบล็อกกับ remote ธรรมดาสี่ตัวทำงานในแบบที่รายการที่อยู่ธิบายไม่ได้

การลบบล็อกที่คุณไม่รู้จักไม่ใช่เรื่องความสวยงาม endpoint ที่มันเคยสังกัดจะกลับไปใช้ค่าเริ่มต้นของไฟล์ ซึ่งอาจเป็นการขนส่งที่ต่างจากที่มันฟังอยู่ ถอดเปลือกผิดออกแล้วรายการหนึ่งล้มเหลวในขณะที่ที่เหลือทำงาน จึงดูเหมือนเซิร์ฟเวอร์แย่ ไม่ใช่โปรไฟล์พัง อ่าน remote แต่ละตัวพร้อมการขนส่ง พอร์ต และพร็อกซีก่อนแก้ไข

ลำดับของความพยายามใหม่และราคาของ remote-random

ลำดับสำคัญเพราะรายการที่ตายแล้วแต่ละรายการกินเวลาก่อนความพยายามถัดไป วาง endpoint ที่ต้องการไว้ก่อนและถือที่เหลือเป็นตัวสำรองที่จัดอันดับแล้ว

remote-random สลับลำดับเริ่มต้น ซึ่งกระจายโหลดไปยังเซิร์ฟเวอร์ที่เทียบเท่ากัน และย้อนกลับเมื่อ endpoint หนึ่งเป็นตัวหลักชัดเจน ไม่ว่าอย่างไร ให้บันทึก endpoint ที่ไคลเอนต์เลือก ชื่อโปรไฟล์ไม่ได้บอกอะไรเมื่อการเชื่อมต่อรู้สึกช้า การ grep บรรทัดลิงก์จากบันทึกแบบละเอียดจะแสดงว่าเซสชันไปลงที่ไหน

การผสมผู้ให้บริการทำให้คำกล่าวเรื่องความไว้วางใจแตก

โปรไฟล์ยังเป็นคำกล่าวเกี่ยวกับตัวตน: ที่อยู่เหล่านี้คือบริการที่คุณตั้งใจจะเข้าถึง และใบรับรองที่ปักหมุดเป็นของบริการนั้น การเอาเซิร์ฟเวอร์สาธารณะฟรีใส่ในไฟล์นั้นทำให้คำกล่าวแตก: ใบรับรองของพวกเขากับของคุณอธิบายบริการที่ต่างกัน ผลลัพธ์ปกติคือความล้มเหลวด้านตัวตน หรือข้อมูลรับรองที่ถูกเสนอให้โฮสต์นอกเครือข่ายของผู้ให้บริการของคุณ เก็บทางเลือกไว้ในชุดที่ผู้ให้บริการของคุณแจกจ่าย พร้อมข้อมูลรับรองและวัสดุความไว้วางใจที่ตรงกัน

ถ้าต้องการ endpoint จากสองผู้ให้บริการ นั่นคือการกำหนดเส้นทาง ไม่ใช่การแก้ไขโปรไฟล์ แก้ที่เหนืออุโมงค์ ซึ่งคุณบอกได้ว่าทราฟฟิกไหนใช้เส้นทางไหน

ทดสอบแต่ละรายการแทนการสันนิษฐาน

หลังการอัปเดตโปรไฟล์ที่อนุมัติแล้ว ให้เชื่อมต่อกับทุก endpoint ที่จำเป็นโดยเจตนาและยืนยันว่าการขนส่งใดขึ้นมา การรันแบบละเอียดทำให้เห็น เริ่ม openvpn --config office.ovpn --verb 4 แล้วอ่านบรรทัดลิงก์สำหรับที่อยู่ที่คาดไว้ จากนั้นตรวจสอบทรัพยากรหลังอุโมงค์ รายการหนึ่งอาจจบแฮนด์เชกแล้วยังไม่พาคุณไปไหน

failover ต้องมีการทดสอบของตัวเอง ไม่ใช่ความหวัง ปิดกั้น endpoint แรกในแล็บ เริ่มไคลเอนต์ แล้ววัดว่าต้องใช้เวลานานแค่ไหนจึงจะไปต่อ รายการยาวหลังรายการแรกที่ช้าแย่กว่ารายการสั้นที่เริ่มได้ดี

ตรวจรายการอีกครั้งทุกครั้งที่ผู้ให้บริการเปลี่ยน ชุดที่นำเข้าใช้ได้เพียงตราบที่รายการยังมีอยู่และพูดการขนส่งที่บล็อกของคุณอธิบาย คู่มือ OpenVPN 2.6 ครอบคลุมคำสั่ง remote, connection และ random-order ที่นี่ และเป็นเวอร์ชันที่ควรตรวจเมื่อไวยากรณ์ไม่แน่ใจ