Eş adresi oturum ortasında değişti: OpenVPN float ne yapar

Dizüstü bilgisayar ofis Wi-Fi'sinden telefon hotspot'una geçer, tünel birkaç saniye daha ayakta kalır ve ardından arayüz hâlâ bağlı olduğunu iddia ederken trafik durur. Sunucuda durum listesi hâlâ eski genel adresi gösterir. float tam da bu durum için vardır ve aynı zamanda insanların ondan yaptığından çok daha fazlasını beklediği durumdur. Sınırı doğru anlamak, kafa karıştıran bir takılmayı ya tek satırlık bir yapılandırma değişikliğine ya da bambaşka bir incelemeye dönüştürür.

float neyi gevşetir ve neyi asla gevşetmez

Normalde bir oturum başladığı dış adres ve bağlantı noktasıyla konuşmaya devam eder ve başka herhangi bir yerden gelen paketler yok sayılır. float seçeneği, eş kendini zaten kanıtladıktan sonra bu katı bağlamayı kaldırır, böylece değişen kaynak eşlemesi atılmak yerine aynı oturumu sürdürebilir. Şifreleme denetimlerinde hiçbir şey değişmez: anahtarlar, sertifikalar ve herhangi bir HMAC koruması tam olarak yapılandırıldığı gibi kalır.

Bu, her paket için verilen bir karardır, kimin bağlanabileceğine dair bir politika değildir. Yeni bir adresten paket gönderen bilinmeyen bir makine hiçbir şey kanıtlamamıştır ve paketi diğer tüm kimliği doğrulanmamış trafik gibi atılır. Kayıtlı eş adresini yalnızca oturumun kendi kimlik doğrulamasından geçen trafik taşıyabilir, bu yüzden istemcilerin dolaştığı ortamlarda float'ı açık bırakmak güvenlidir.

İç tünel hakkında da hiçbir şey söylemez. Taşınan bir dış adres tünel adresini yeniden atamaz, havuzu değiştirmez ve eşe yeni bir şeye erişim vermez. Tünelin içinde taşımadan önce ve sonra aynı kimlik ve aynı itilen yollar geçerlidir. Dolaşma veri kanalını da yeniden müzakere etmez, bu yüzden anlaşılan şifreleme ve anahtarlar devam eder.

Oturumu taşıyan paket kimliğini doğrulamalıdır

Oturumu yapılandırılmış uzak uca karşı olağan şekilde başlatın, eşleme değiştiğinde ne olduğunu float yönetir. Akışın ortasında numaralandırmayı değiştiren bir mobil operatör, bağlantı noktası eşlemesini yeniden yazan bir NAT geçidi veya üst bağlantıyı değiştiren bir dizüstü bilgisayar hepsi aynı biçimi üretir: yeni bir tuple'dan gelen kimliği doğrulanmış paketler, hâlâ eskisine inanan bir oturuma ulaşır.

float'ın çalışıp çalışmadığı sorulduğunda yararlı kanıt, tamamlanmış bir el sıkışma ve ardından kabul edilen bir kaynak değişikliğidir, yalnızca adresle ilgili bir günlük satırı değil. Eski ve yeni dış adresi hayatta kalan oturumla ilişkilendirin, ardından trafiğin gerçekten tünelden devam ettiğini doğrulayın.

Oturum taşınmak yerine ölürse, yeni adresten gelen paket büyük olasılıkla kimlik doğrulamada başarısız oldu ya da hiç gelmedi. İki durum da istemci tarafından aynı görünür. Sunucuda genel arayüzde alınan bir yakalama, herhangi bir yapılandırmaya dokunmadan önce hangisiyle karşı karşıya olduğunuzu söyler.

Keşif tamamen ayrı bir mekanizmadır

float adları bir zamanlayıcıyla çözmez ve dinamik bir DNS kaydını izlemez. Sunucunun ana bilgisayar adı yeni bir adrese çözülmeye başlarsa, boşta duran bir istemcinin bunu fark etmek için bir nedeni ve yeni uç noktadan kimliğini doğrulayacak bir paketi yoktur. Bu sorun yeniden bağlanma mantığına, istemcinin kendi yeniden deneme davranışına ve DNS'e aittir, float'a değil.

Seçeneği bir kez daha eklemek yeni adrese giden yolun yokluğunu telafi edemez. Eş sessizken de yardımcı olmaz, çünkü sessiz bir eş bir şeyi taşıyacak kimliği doğrulanmış paketi asla göndermez.

Alttaki güvenlik duvarının da söz hakkı vardır. Yalnızca eski dış uç noktaya izin veren bir kural, değişen adresi OpenVPN onu görmeden önce engeller ve hiçbir istemci tarafı yapılandırması bunu düzeltmez. İzin verilen adreslerin yaşam döngüsünü ayrı bir görev olarak gözden geçirin; kuralı herhangi bir kaynağa genişletmek küçük bir sorunu büyük bir sorunla değiş tokuş etmektir.

Profili NetworkManager sahiplendiğinde

Komut satırı profili ile içe aktarılmış bağlantı ayrı yapılandırmalardır ve birini düzenlemek diğerine dokunmaz. Seçeneğin desteklenmediğini varsaymadan önce, kayıtlı profilin gerçekte hangi eklenti türünü kullandığını ve değerlerinin nerede yaşadığını belirleyin. Profilin UUID'si, bir şeyi incelerken veya değiştirirken önem taşıyan tanımlayıcıdır.

Orijinal içe aktarma dosyası yerine kayıtlı bağlantıyı inceleyin. Bir .ovpn dosyasında kalan satır, etkin yönetici onu hiç uygulamadıysa hiçbir şey kanıtlamaz ve belirli bir seçenek için onay kutusu olmayan bir düzenleyici de protokolün yetenekleri hakkında hiçbir şey kanıtlamaz.

Davranışı eklemek için paketlenmiş bir eklentiyi yamalamayın, özellikle de ilgisiz bir bileşenin tarihsel sürümü için yazılmış bir diff ile hiç yamalamayın. Kurulu tümleştirme ayarı gerçekten ifade edemiyorsa doğru adım, desteklenen bir profil veya dağıtımın sahibinin onayladığı başka bir istemci yoludur.

Geçişi varsaymak yerine kanıtlayın

Testi arıza nasıl ortaya çıkıyorsa öyle çalıştırın. Bağlanın, tünelden trafiği doğrulayın, dış adresi değişmeye zorlayın ve ardından üç şeyi kontrol edin: oturum hâlâ var, kayıtlı eş adresi taşınmış ve gerçek bir istek hâlâ hedefine ulaşıyor. Üçünden azı kısmi bir yanıttır.

Test ederken kurtarma erişimini hazır tutun, çünkü dolaşma deneyleri üzerinde çalıştığınız makineyi mahsur bırakma alışkanlığına sahiptir. Bir seri konsol veya bant dışı yol, başarısız bir testi saha ziyareti yerine beş dakikalık bir kurtarmaya dönüştürür.

Son olarak yalnızca gerçekten denediğiniz durumu tanımlayın. Bir oturum sırasında başarılı bir adres değişikliği, DNS geçişlerinin, başka bir istemci uygulamasının veya yeniden oluşturulmuş bir profilin aynı şekilde davranacağının kanıtı değildir. link-options belgeleri seçeneğin kapsamını kesin olarak belirtir; test günlüğünüz bu kapsamın hangi bölümünü gerçekten kapsadığınızı söylemelidir.