OpenVPN remote-random: karışık sıra, tek tünel

Varsayım, remote-random eklemenin profili dönen bir havuza çevirdiği ve her bağlantının farklı bir adresten çıktığıdır. Direktifin gerçekte yaptığı şey, istemci bağlanmaya başladığında remote listesini bir kez karıştırmak ve sonra bu yeni sırayla denemektir. Sonunda açılan tünel yine tek bir uç noktada biter ve oturumun tüm ömrü boyunca orada kalır.

Bu fark hem testler hem de gizlilik iddiaları için önemlidir.

Seçenek bağlantı anında neyi değiştirir

Bir istemci profili, her biri kendi ana bilgisayar adı ve bağlantı noktasına sahip birkaç remote satırı taşıyabilir. Direktif olmadan dosya sırasıyla denenir; onunla liste oturum başında bir kez yeniden sıralanır ve yanıt veren ilk adres kazanır. Geri kalanlar bu deneme için yedek olarak kalır, paralel yollar değil. Tek remote taşıyan bir profil direktife karıştıracak bir şey vermez ve bunun bir önemi olup olmadığını görmenin en hızlı yolu budur.

OpenVPN kılavuzu bu seçeneği bağlantı denemelerinin sırasını etkileyen bir seçenek olarak belgeler ve davranışta beklenmesi gereken kapsam tam olarak budur.

Yeniden bağlanma yeni bir seçim döngüsü başlatır, bu yüzden sonraki bir oturum başka bir yere düşebilir. Etkin tünel ayaktayken yer değiştirmez.

Mit: her istek yeni bir sunucu alır

Kurulduktan sonra tünel, o oturumun tüm trafiğini seçilen eşe taşır. Her istek için yeniden seçim yoktur ve direktif bireysel bağlantılar için bir yük dengeleyici değildir: adayları karıştırır, paketleri dağıtmaz. O tüneli paylaşan her uygulama aynı eşi paylaşır. Tarayıcı çıkışı hakkında ne bildirirse bildirsin, bu oturuma aittir, tek bir isteğe değil.

Bir test iki farklı çıkış gösteriyorsa, tek bir kurnaz seçenek yerine iki ayrı oturum arayın. Bu fark, aralarında yeniden bağlanma olduğunda tarayıcı testinin ve indirme testinin neden uyuşmayabileceğini de açıklar.

remote-random-hostname ne içindir

Benzer adlı ikinci bir direktif, çözümleme için kullanılan ana bilgisayar adını değiştirir, remote listesinin sırasını değil. Bir adın round-robin DNS üzerinden birden çok adrese çözüldüğü kurulumlar için vardır ve yalnızca hizmet bunun için inşa edildiğinde kullanılmalıdır. Yalnızca çözümleme adımı değişir; aday listesinin sırası değişmez.

Adlar ilişkili göründüğü için etkinleştirmek yaygın bir hatadır. Joker sertifika veya değiştirilmiş adı beklemeyen bir DNS düzeni çözümleyemez ya da doğrulayamaz.

Seçilen uç noktayı günlükten okuyun

Sonuç çıkarmadan önce oturumun gerçekte hangi eşi kullandığını kaydedin. Ayrıntılı çıktı denenmekte olan adresi belirtir ve profilin kendisi kaç aday olduğunu gösterir. Karıştırmayı suçlamadan önce bu sayıyı günlükteki adresle karşılaştırın.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Performans karşılaştırması için diğer remote'ları yorum satırına alarak uç noktayı sabitleyin, böylece test edilen değişken yol değil protokol veya istemci olur. Gizlilik sorusu için hizmetin kimliğini ve günlüklemesini bir bütün olarak değerlendirin; karıştırılmış ilk seçim çerezleri silmez, hesap oturumunu kaldırmaz ve iki operatörü eşdeğer yapmaz.

Sağlanan güven malzemesini ve desteklenen uç nokta kümesini bir arada tutun. Yeniden karıştırma yalnızca o kümenin denendiği sırayı değiştirir.