OpenVPN remote-random: สลับลำดับ แต่ยังเป็นอุโมงค์เดียว

สมมติฐานคือการเพิ่ม remote-random ทำให้โปรไฟล์กลายเป็นกลุ่มที่หมุนเวียน และทุกการเชื่อมต่อออกจากที่อยู่ที่ต่างกัน สิ่งที่ไดเรกทีฟนี้ทำจริงคือสลับรายการ remote หนึ่งครั้งตอนที่ไคลเอนต์เริ่มเชื่อมต่อ แล้วลองตามลำดับใหม่นั้น อุโมงค์ที่ขึ้นมาสุดท้ายยังคงสิ้นสุดที่ปลายทางเดียวและอยู่ที่นั่นตลอดอายุของเซสชัน

ความต่างนี้สำคัญทั้งต่อการทดสอบและต่อคำกล่าวอ้างเรื่องความเป็นส่วนตัว

ตัวเลือกนี้เปลี่ยนอะไรตอนเชื่อมต่อ

โปรไฟล์ไคลเอนต์สามารถมีบรรทัด remote หลายบรรทัด แต่ละบรรทัดมีชื่อโฮสต์และพอร์ตของตัวเอง หากไม่มีไดเรกทีฟจะลองตามลำดับในไฟล์ หากมี ไดเรกทีฟจะสลับรายการหนึ่งครั้งตอนเริ่มเซสชัน และที่อยู่แรกที่ตอบกลับจะเป็นผู้ชนะ ที่เหลือยังเป็นทางเลือกสำรองสำหรับความพยายามนี้ ไม่ใช่เส้นทางคู่ขนาน โปรไฟล์ที่มี remote เดียวไม่ได้ให้อะไรไดเรกทีฟสลับ และนี่คือวิธีที่เร็วที่สุดในการดูว่ามันมีผลจริงหรือไม่

คู่มือของ OpenVPN ระบุว่าตัวเลือกนี้มีผลต่อลำดับความพยายามในการเชื่อมต่อ และนั่นคือขอบเขตที่ควรคาดหวังในพฤติกรรม

การเชื่อมต่อใหม่เริ่มรอบการเลือกใหม่ เซสชันถัดมาจึงอาจไปลงที่อื่นได้ อุโมงค์ที่ทำงานอยู่จะไม่ย้ายระหว่างที่มันขึ้นอยู่

ความเชื่อผิด: ทุกคำขอได้เซิร์ฟเวอร์ใหม่

เมื่อสร้างเสร็จ อุโมงค์จะพาการรับส่งทั้งหมดของเซสชันนั้นไปยังคู่ที่เลือกไว้ ไม่มีการเลือกใหม่ต่อคำขอ และไดเรกทีฟนี้ไม่ใช่ตัวบาลานซ์โหลดสำหรับการเชื่อมต่อแต่ละรายการ มันสลับผู้สมัคร ไม่ได้กระจายแพ็กเก็ต ทุกแอปพลิเคชันที่ใช้ร่วมอุโมงค์นั้นใช้คู่เดียวกัน สิ่งที่เบราว์เซอร์รายงานเกี่ยวกับทางออกเป็นของเซสชัน ไม่ใช่ของคำขอใดคำขอหนึ่ง

หากการทดสอบแสดงทางออกสองแบบที่ต่างกัน ให้มองหาเซสชันที่แยกจากกันสองเซสชัน ไม่ใช่ตัวเลือกฉลาดเพียงตัวเดียว ความต่างนี้ยังอธิบายด้วยว่าทำไมการทดสอบในเบราว์เซอร์กับการทดสอบดาวน์โหลดจึงไม่ตรงกันได้ เมื่อมีการเชื่อมต่อใหม่เกิดขึ้นระหว่างนั้น

remote-random-hostname ใช้ทำอะไร

ไดเรกทีฟตัวที่สองที่มีชื่อคล้ายกันเปลี่ยนชื่อโฮสต์ที่ใช้ในการแปลงชื่อ ไม่ใช่ลำดับของรายการ remote มันมีไว้สำหรับการติดตั้งที่ชื่อหนึ่งแปลงเป็นหลายที่อยู่ผ่าน DNS แบบหมุนเวียน และควรใช้เฉพาะเมื่อบริการถูกสร้างมาเพื่อสิ่งนั้น ขั้นตอนการแปลงชื่อเท่านั้นที่เปลี่ยน ลำดับของรายการผู้สมัครไม่เปลี่ยน

การเปิดใช้งานเพราะชื่อดูเกี่ยวข้องกันเป็นข้อผิดพลาดที่พบบ่อย ใบรับรองไวลด์การ์ดหรือการจัดวาง DNS ที่ไม่คาดหวังชื่อที่ถูกเปลี่ยนจะแปลงหรือตรวจสอบไม่สำเร็จ

อ่านปลายทางที่เลือกจากบันทึก

บันทึกว่าคู่ใดที่เซสชันใช้จริงก่อนสรุปผล เอาต์พุตแบบละเอียดระบุที่อยู่ที่กำลังลอง และโปรไฟล์เองแสดงจำนวนผู้สมัครที่มี เปรียบเทียบจำนวนนั้นกับที่อยู่ในบันทึกก่อนจะโทษการสลับ

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

สำหรับการเปรียบเทียบประสิทธิภาพ ให้ตรึงปลายทางโดยคอมเมนต์ remote อื่นออก เพื่อให้ตัวแปรที่ทดสอบเป็นโปรโตคอลหรือไคลเอนต์ ไม่ใช่เส้นทาง สำหรับคำถามเรื่องความเป็นส่วนตัว ให้ประเมินตัวตนของบริการและการบันทึกข้อมูลโดยรวม การเลือกครั้งแรกที่สลับแล้วไม่ได้ลบคุกกี้ ไม่ได้ลบการเข้าสู่ระบบบัญชี และไม่ได้ทำให้ผู้ให้บริการสองรายเท่าเทียมกัน

เก็บวัสดุความเชื่อถือที่จัดส่งไว้กับชุดปลายทางที่รองรับไว้ด้วยกัน การสลับใหม่เปลี่ยนเพียงลำดับที่ชุดนั้นถูกทดลอง