Nagbago ang address ng peer sa gitna ng session: ano ang ginagawa ng float sa OpenVPN

Lumipat ang laptop mula sa Wi-Fi ng opisina patungo sa hotspot ng telepono, tumatagal pa ang tunnel ng ilang segundo, at pagkatapos ay tumitigil ang trapiko habang patuloy na sinasabi ng interface na konektado ito. Sa server, patuloy na ipinapakita ng listahan ng status ang lumang pampublikong address. Ito ang sitwasyon kung saan umiiral ang float, at ito rin ang sitwasyon kung saan mas marami ang inaasahan ng mga tao kaysa sa ginagawa nito. Ang tamang pag-unawa sa hangganan ay ginagawang isang linyang pagbabago sa configuration o isang ganap na ibang imbestigasyon ang nakakalitong paghinto.

Ano ang niluluwagan ng float, at ano ang hindi nito kailanman niluluwagan

Karaniwang patuloy na nakikipag-usap ang session sa panlabas na address at port kung saan ito nagsimula, at binabalewala ang mga packet na dumarating mula sa ibang lugar. Tinatanggal ng opsyong float ang mahigpit na pagkakabit na iyon kapag naipatunay na ng peer ang sarili nito, kaya ang nabagong source mapping ay maaaring magpatuloy sa parehong session sa halip na itapon. Walang nababago sa mga cryptographic na pagsusuri: ang mga key, certificate at anumang proteksyong HMAC ay nananatiling eksaktong tulad ng naka-configure.

Ito ay desisyon sa bawat packet, hindi patakaran tungkol sa kung sino ang maaaring kumonekta. Ang isang hindi kilalang makina na nagpapadala ng packet mula sa bagong address ay walang napatunayan, at ang packet nito ay itinatapon tulad ng iba pang hindi authenticate na trapiko. Tanging ang trapikong dumadaan sa sariling authentication ng session ang makakagalaw ng naitalang address ng peer, at iyon ang dahilan kung bakit ligtas na iwanang bukas ang float sa mga kapaligirang gumagalaw ang mga kliyente.

Wala rin itong sinasabi tungkol sa panloob na tunnel. Ang inilipat na panlabas na address ay hindi muling naglalaan ng address ng tunnel, hindi nagbabago ng pool at hindi nagbibigay sa peer ng access sa anumang bago. Sa loob ng tunnel, pareho ang pagkakakilanlan at pareho ang mga itinulak na ruta bago at pagkatapos ng paglipat. Ang paglipat ay hindi rin muling nakikipagnegosasyon sa channel ng data, kaya nagpapatuloy ang napagkasunduang cipher at mga key.

Ang packet na gumagalaw ng session ay kailangang ma-authenticate

Simulan ang session sa karaniwang paraan laban sa naka-configure na malayong dulo, at ang float ang humahawak sa nangyayari kapag nagbago ang mapping. Ang operator ng mobile na muling nagnunumero sa gitna ng daloy, ang gateway ng NAT na muling nagsusulat ng mapping ng port nito, o ang laptop na nagpapalit ng uplink ay lahat gumagawa ng parehong hugis: mga authenticate na packet mula sa bagong tuple, na dumarating sa session na naniniwala pa sa luma.

Kapag tinanong kung gumagana ang float, ang kapaki-pakinabang na ebidensya ay isang natapos na handshake na sinusundan ng tinanggap na pagbabago ng source, hindi isang linya ng log tungkol sa address lamang. Iugnay ang luma at bagong panlabas na address sa session na nanatiling buhay, at pagkatapos ay kumpirmahin na talagang nagpatuloy ang trapiko sa tunnel.

Kung namatay ang session sa halip na lumipat, malamang nabigo ang packet mula sa bagong address sa authentication o hindi dumating. Pareho ang hitsura ng dalawang kaso mula sa kliyente. Sa server, sasabihin sa iyo ng capture sa pampublikong interface kung alin sa dalawa ang mayroon ka bago mo hawakan ang anumang configuration.

Ang pagtuklas ay ganap na hiwalay na mekanismo

Hindi niresolba ng float ang mga pangalan sa isang timer at hindi sinusubaybayan ang isang dynamic na tala ng DNS. Kung magsisimulang maresolba ang hostname ng server sa isang bagong address, walang dahilan ang isang idle na kliyente na mapansin iyon at walang packet mula sa bagong endpoint na ma-authenticate. Ang problemang iyon ay pag-aari ng lohika ng muling pagkonekta, ng sariling pag-uugali ng kliyente sa muling pagsubok at ng DNS, hindi ng float.

Ang muling pagdaragdag ng opsyon ay hindi makababayad sa kawalan ng ruta patungo sa bagong address. Hindi rin ito makakatulong kapag tahimik ang peer, dahil ang tahimik na peer ay hindi kailanman nagpapadala ng authenticate na packet na maglilipat ng anuman.

May boses din ang firewall sa ilalim. Ang isang tuntuning nagpapahintulot lamang sa lumang panlabas na endpoint ay humaharang sa nabagong address bago pa man ito makita ng OpenVPN, at walang configuration sa panig ng kliyente ang makakapag-ayos niyon. Suriin ang lifecycle ng mga pinapayagang address bilang hiwalay na gawain; ang pagpapalawak ng tuntunin sa anumang source ay nagpapalit ng maliit na problema sa malaki.

Kapag pag-aari ng NetworkManager ang profile

Ang profile sa command line at ang na-import na koneksyon ay hiwalay na configuration, at ang pag-edit ng isa ay hindi humahawak sa isa. Bago ipagpalagay na hindi suportado ang opsyon, alamin kung anong uri ng plugin ang talagang ginagamit ng naka-save na profile at kung saan nakatira ang mga halaga nito. Ang UUID ng profile ang identifier na mahalaga kapag sinusuri o binabago mo ang anuman.

Suriin ang naka-save na koneksyon sa halip na ang orihinal na file ng import. Ang linyang natitira sa isang .ovpn file ay walang pinapatunayan kung hindi kailanman inilapat ng aktibong manager, at ang editor na walang checkbox para sa isang partikular na opsyon ay wala ring pinapatunayan tungkol sa mga kakayahan ng protocol.

Huwag i-patch ang isang naka-package na plugin upang idagdag ang pag-uugali, lalo na hindi sa isang diff na isinulat para sa makasaysayang bersyon ng isang walang kaugnayang bahagi. Kung talagang hindi maipahayag ng naka-install na integrasyon ang setting, ang tamang hakbang ay isang suportadong profile o ibang landas ng kliyente na inaprubahan ng may-ari ng deployment.

Patunayan ang transisyon sa halip na ipagpalagay ito

Patakbuhin ang test ayon sa paglitaw ng failure. Kumonekta, i-verify ang trapiko sa tunnel, pilitin ang panlabas na address na magbago, at pagkatapos ay suriin ang tatlong bagay: umiiral pa ang session, gumalaw ang naitalang address ng peer, at nakakarating pa rin sa destinasyon ang isang tunay na request. Anumang kulang sa tatlo ay bahagyang sagot.

Panatilihing available ang recovery access habang nagtetest, dahil ang mga eksperimento sa paglipat ay may ugali na iwanang na-stranded ang makinang ginagamit mo. Ang serial console o ruta sa labas ng banda ay ginagawang limang minutong recovery ang nabigong test sa halip na pagbisita sa site.

Sa wakas, ilarawan lamang ang kaso na aktwal mong sinubukan. Ang matagumpay na pagbabago ng address sa gitna ng session ay hindi ebidensya na ang mga paglipat ng DNS, ibang implementasyon ng kliyente o muling itinayong profile ay mag-uugali nang pareho. Ang dokumentasyon ng link-options ay nagsasaad ng saklaw ng opsyon nang tumpak; dapat sabihin ng iyong test log kung aling bahagi ng saklaw na iyon ang talagang sinaklaw mo.