Sessiya o'rtasida peer manzili o'zgardi: OpenVPN'da float nima qiladi

Noutbuk ofis Wi-Fi tarmog'idan telefon hotspotiga o'tadi, tunnel yana bir necha soniya turadi, so'ngra interfeys hali ham ulangan deb da'vo qilayotganda trafik to'xtaydi. Serverda holat ro'yxati hali ham eski ommaviy manzilni ko'rsatadi. Bu float mavjud bo'lishining sababi bo'lgan vaziyat va ayni paytda odamlar undan qiladigan ishidan ancha ko'proq narsa kutadigan vaziyat. Chegarani to'g'ri tushunish chalkash to'xtashni yo bir qatorli konfiguratsiya o'zgarishiga, yo butunlay boshqa tekshiruvga aylantiradi.

float nimani yumshatadi va nimani hech qachon yumshatmaydi

Odatda sessiya boshlangan tashqi manzil va port bilan gaplashishda davom etadi, boshqa joydan kelgan paketlar esa e'tiborsiz qoldiriladi. float opsiyasi peer o'zini allaqachon isbotlagandan keyin bu qat'iy bog'lanishni olib tashlaydi, shuning uchun o'zgargan manba xaritasi tashlab yuborilish o'rniga xuddi shu sessiyani davom ettirishi mumkin. Kriptografik tekshiruvlarda hech narsa o'zgarmaydi: kalitlar, sertifikatlar va har qanday HMAC himoyasi sozlanganidek qoladi.

Bu har bir paket uchun qabul qilinadigan qaror, kim ulanishi mumkinligi haqidagi siyosat emas. Yangi manzildan paket yuborgan noma'lum mashina hech narsani isbotlamadi va uning paketi boshqa har qanday autentifikatsiyadan o'tmagan trafik kabi tashlanadi. Faqat sessiyaning o'z autentifikatsiyasidan o'tgan trafik yozib olingan peer manzilini siljita oladi, shuning uchun mijozlar harakatlanadigan muhitlarda floatni yoqilgan holda qoldirish xavfsiz.

U ichki tunnel haqida ham hech narsa demaydi. Siljitilgan tashqi manzil tunnel manzilini qayta tayinlamaydi, hovuzni o'zgartirmaydi va peerga yangi narsaga kirish huquqini bermaydi. Tunnel ichida siljishdan oldin ham, keyin ham bir xil shaxs va bir xil itarilgan marshrutlar amal qiladi. Harakatlanish ma'lumot kanalini ham qayta kelishmaydi, shuning uchun kelishilgan shifr va kalitlar davom etadi.

Sessiyani siljitadigan paket autentifikatsiyadan o'tishi kerak

Sessiyani sozlangan uzoq tomonga qarshi odatdagi usulda boshlang, xarita o'zgarganda nima bo'lishini float hal qiladi. Oqim o'rtasida raqamlashni o'zgartiradigan mobil operator, port xaritasini qayta yozadigan NAT darvozasi yoki yuqori ulanishni almashtiradigan noutbuk — barchasi bir xil shaklni hosil qiladi: yangi kortejdan kelgan autentifikatsiyalangan paketlar hali ham eskisiga ishonadigan sessiyaga yetib boradi.

float ishlayaptimi deb so'ralganda foydali dalil tugallangan qo'l siqish va undan keyin qabul qilingan manba o'zgarishi, faqat manzil haqidagi jurnal satri emas. Eski va yangi tashqi manzilni tirik qolgan sessiya bilan bog'lang, so'ngra trafik haqiqatan ham tunnel orqali davom etganini tasdiqlang.

Agar sessiya siljish o'rniga o'lib qolsa, yangi manzildan kelgan paket autentifikatsiyadan o'tmagan yoki umuman kelmagan bo'lishi mumkin. Mijoz tomonidan ikkala holat ham bir xil ko'rinadi. Serverda ommaviy interfeysdagi ushlash qaysi biri ekanini har qanday konfiguratsiyaga tegishdan oldin aytadi.

Aniqlash butunlay alohida mexanizm

float nomlarni taymer bo'yicha hal qilmaydi va dinamik DNS yozuvini kuzatmaydi. Agar serverning xost nomi yangi manzilga hal bo'la boshlasa, bo'sh turgan mijozning buni payqashga sababi yo'q va yangi oxirgi nuqtadan autentifikatsiya qiladigan paketi yo'q. Bu muammo qayta ulanish mantiqiga, mijozning o'z qayta urinish xulq-atvoriga va DNSga tegishli, floatga emas.

Opsiyani yana bir marta qo'shish yangi manzilga marshrut yo'qligini qoplay olmaydi. Peer jim bo'lganda ham yordam bermaydi, chunki jim peer hech qachon biror narsani siljitadigan autentifikatsiyalangan paketni yubormaydi.

Pastdagi xavfsizlik devorining ham o'z so'zi bor. Faqat eski tashqi oxirgi nuqtaga ruxsat beradigan qoida o'zgargan manzilni OpenVPN uni ko'rishidan oldin bloklaydi va mijoz tomonidagi hech qanday konfiguratsiya buni tuzatmaydi. Ruxsat etilgan manzillarning hayot tsiklini alohida vazifa sifatida ko'rib chiqing; qoidani har qanday manbaga kengaytirish kichik muammoni kattasi bilan almashtirishdir.

Profil NetworkManager qo'lida bo'lganda

Buyruq satri profili va import qilingan ulanish alohida konfiguratsiyalar, birini tahrirlash ikkinchisiga tegmaydi. Opsiya qo'llab-quvvatlanmaydi deb taxmin qilishdan oldin saqlangan profil aslida qanday plagin turidan foydalanishini va uning qiymatlari qayerda yashashini aniqlang. Profil UUID si biror narsani tekshirgan yoki o'zgartirgan paytda muhim bo'lgan identifikator.

Asl import faylini emas, saqlangan ulanishni tekshiring. .ovpn faylida qolgan satr, agar faol menejer uni hech qachon qo'llamagan bo'lsa, hech narsani isbotlamaydi, ma'lum bir opsiya uchun belgilash katakchasi yo'q tahrirlovchi ham protokol imkoniyatlari haqida hech narsani isbotlamaydi.

Xulq-atvorni qo'shish uchun paketlangan plaginni yamab qo'ymang, ayniqsa bog'liq bo'lmagan komponentning tarixiy versiyasi uchun yozilgan diff bilan emas. Agar o'rnatilgan integratsiya bu sozlamani haqiqatan ifodalay olmasa, to'g'ri qadam — qo'llab-quvvatlanadigan profil yoki joylashtirish egasi tomonidan tasdiqlangan boshqa mijoz yo'li.

Taxmin qilish o'rniga o'tishni isbotlang

Sinovni nosozlik qanday yuz bersa, shunday o'tkazing. Ulanish, tunnel orqali trafikni tekshiring, tashqi manzilni o'zgarishga majbur qiling, so'ngra uchta narsani tekshiring: sessiya hali ham bor, yozib olingan peer manzili siljigan va haqiqiy so'rov hali ham manziliga yetib boradi. Uchtadan kam bo'lgan har qanday narsa qisman javob.

Sinov paytida tiklash kirishini tayyor holda saqlang, chunki harakatlanish tajribalari siz ishlayotgan mashinani tashlab ketishga odatlangan. Seriyali konsol yoki tarmoq tashqarisidagi yo'l muvaffaqiyatsiz sinovni saytga tashrif o'rniga besh daqiqalik tiklashga aylantiradi.

Nihoyat, faqat o'zingiz sinab ko'rgan vaziyatni tavsiflang. Sessiya davomida muvaffaqiyatli manzil o'zgarishi DNS ko'chishlari, boshqa mijoz tatbiqi yoki qayta qurilgan profil xuddi shunday xatti-harakat qiladi degan dalil emas. link-options hujjatlari opsiyaning qamrovini aniq ko'rsatadi; sinov jurnalingiz bu qamrovning qaysi qismini haqiqatan qamrab olganingizni aytishi kerak.