OpenVPN remote-random: hinalo ang pagkakasunod-sunod, isang tunnel

Ang palagay ay kapag idinagdag ang remote-random, nagiging umiikot na pool ang profile at bawat koneksyon ay lumalabas mula sa ibang address. Ang aktwal na ginagawa ng direktiba ay haluin ang listahan ng mga remote nang isang beses, kapag nagsimulang kumonekta ang client, at pagkatapos ay subukan ang mga ito sa bagong pagkakasunod-sunod. Ang tunnel na sa huli ay bumabangon ay nagtatapos pa rin sa isang endpoint at nananatili roon sa buong buhay ng session.

Mahalaga ang pagkakaibang iyon para sa pagsubok at para sa mga pahayag tungkol sa privacy.

Ano ang binabago ng opsyon kapag kumokonekta

Ang profile ng client ay maaaring magdala ng ilang linya ng remote, bawat isa ay may sariling hostname at port. Kung walang direktiba, sinusubukan ang mga ito ayon sa pagkakasunod-sunod ng file; kung mayroon, isang beses na isinaayos muli ang listahan sa simula ng session at ang unang address na tumugon ang panalo. Ang natitira ay nananatiling reserba para sa pagtatangkang ito, hindi magkatulad na landas. Ang profile na may isang remote ay walang ibinibigay na haluin sa direktiba, at ito ang pinakamabilis na paraan upang makita kung may kahulugan ito.

Itinatala ng manwal ng OpenVPN ang opsyon bilang nakakaapekto sa pagkakasunod-sunod ng mga pagtatangka ng koneksyon, at iyon mismo ang saklaw na dapat asahan sa pag-uugali.

Ang muling pagkonekta ay nag-uumpisa ng bagong ikot ng pagpili, kaya ang susunod na session ay maaaring mapunta sa ibang lugar. Hindi gumagalaw ang aktibong tunnel habang nakatayo ito.

Mito: bawat kahilingan ay nakakakuha ng bagong server

Kapag naitatag na, dinadala ng tunnel ang lahat ng trapiko ng session na iyon sa napiling peer. Walang muling pagpili sa bawat kahilingan, at ang direktiba ay hindi load balancer para sa mga indibidwal na koneksyon: hinahalo nito ang mga kandidato, hindi ito nagbabahagi ng mga packet. Bawat aplikasyon na nagbabahagi ng tunnel na iyon ay nagbabahagi rin ng parehong peer. Anuman ang iniuulat ng browser tungkol sa labasan nito ay pag-aari ng session, hindi ng isang kahilingan.

Kung ang isang pagsubok ay nagpapakita ng dalawang magkaibang labasan, maghanap ng dalawang magkahiwalay na session sa halip na isang matalinong opsyon. Ipinapaliwanag din ng pagkakaibang iyon kung bakit maaaring hindi magkasundo ang pagsubok sa browser at ang pagsubok sa pag-download kapag may muling pagkonektang nangyari sa pagitan nila.

Para saan ang remote-random-hostname

Binabago ng ikalawang direktiba na may katulad na pangalan ang hostname na ginagamit sa pagresolba, hindi ang pagkakasunod-sunod ng listahan ng remote. Umiiral ito para sa mga deployment kung saan ang isang pangalan ay nare-resolba sa ilang address sa pamamagitan ng round-robin DNS, at dapat gamitin lamang kapag ang serbisyo ay ginawa para dito. Ang hakbang ng pagresolba lamang ang nagbabago; ang pagkakasunod-sunod ng listahan ng kandidato ay hindi.

Ang i-enable ito dahil mukhang magkaugnay ang mga pangalan ay karaniwang pagkakamali. Ang wildcard certificate o layout ng DNS na hindi umaasa sa binagong pangalan ay simpleng hindi makakaresolba o makakapagpatunay.

Basahin ang napiling endpoint mula sa log

Itala kung aling peer ang aktwal na ginamit ng session bago gumawa ng mga konklusyon. Pinangalanan ng detalyadong output ang address na sinusubukan, at ipinapakita ng profile mismo kung ilang kandidato ang mayroon. Ihambing ang bilang na iyon sa address sa log bago sisihin ang paghahalo.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Para sa paghahambing ng performance, i-pin ang endpoint sa pamamagitan ng pagkomento sa iba pang remote, upang ang variable na sinusubukan ay ang protocol o client at hindi ang landas. Para sa tanong sa privacy, suriin ang pagkakakilanlan ng serbisyo at ang pag-log nito sa kabuuan; ang hinalong unang pagpili ay hindi nagbubura ng cookies, hindi nag-aalis ng pag-login sa account at hindi ginagawang magkatulad ang dalawang operator.

Panatilihing magkasama ang ibinigay na materyal ng pagtitiwala at ang sinusuportahang hanay ng mga endpoint. Ang muling paghahalo ay binabago lamang ang pagkakasunod-sunod kung saan sinusubukan ang hanay na iyon.