Nhiều remote OpenVPN: danh sách failover, không phải gộp kênh

Hai dòng remote trong một hồ sơ trông như làn thứ hai; thực ra chúng là lần thử thứ hai. Khi endpoint đầu tiên ngừng trả lời, ứng dụng chuyển sang cái tiếp theo và phiên không rộng hơn. Hãy gọi danh sách đó là failover ngay từ đầu, nếu không bạn sẽ vặn sai nút.

Danh sách remote mang lại gì

Hãy xem hồ sơ là một tập lần thử có thứ tự, không phải bể chứa dung lượng. Mỗi mục có lượt dựng đường hầm, và phiên sống trên mục đã trả lời. Danh sách dài hơn cải thiện cơ hội kết nối, không phải độ lớn của đường ống.

Gộp kênh thật sự là một cỗ máy khác. Chia một luồng qua nhiều đường đòi hỏi phần mềm ở cả hai đầu để tách và ghép lại lưu lượng theo thứ tự.

Nhà cung cấp hứa hẹn đường hầm nhanh hơn từ nhiều máy chủ hơn đang bán đúng mô hình thứ hai đó, không phải danh sách dài hơn. Nếu ứng dụng chỉ thử endpoint lần lượt, năm mục thay đổi cơ hội của bạn và không gì khác. Hãy quan sát một sự cố: phiên rớt và quay lại ở nơi khác, điều mà nhật ký hiển thị như một endpoint mới, không bao giờ như một đường ống rộng hơn.

Các khối giữ cài đặt với một endpoint

Một dòng remote thông thường mang một địa chỉ, đôi khi cả cổng và giao thức. Khi một endpoint cần proxy, hoặc một phương thức vận chuyển mà phần còn lại của tệp không dùng, hãy đặt những cài đặt đó vào một khối kết nối giữ chúng với nó. Khối nội tuyến cũng hoạt động trong một tệp .ovpn, và hầu hết hồ sơ được phân phối theo cách đó.

Mọi thứ ngoài khối đóng vai trò mặc định cho các mục không ghi đè nó. Đó là lý do một khối được dựng và bốn remote thường hoạt động theo cách mà danh sách địa chỉ không thể giải thích.

Xóa một khối bạn không nhận ra không phải việc mỹ quan. Endpoint mà nó thuộc về quay lại giá trị mặc định của tệp, có thể là phương thức vận chuyển khác với cái nó đang lắng nghe. Bỏ lớp bọc sai và một mục thất bại trong khi phần còn lại chạy, nên nó trông như máy chủ tồi chứ không phải hồ sơ hỏng. Hãy đọc từng remote cùng phương thức vận chuyển, cổng và proxy trước khi sửa.

Thứ tự thử lại và cái giá của remote-random

Thứ tự quan trọng vì mỗi mục chết tốn thời gian trước lần thử tiếp theo. Đặt endpoint bạn muốn lên đầu và coi phần còn lại là phương án dự phòng có xếp hạng.

remote-random xáo trộn thứ tự khởi đầu, điều này phân tán tải qua các máy chủ tương đương và phản tác dụng khi một endpoint rõ ràng là chính. Dù thế nào, hãy ghi lại endpoint mà ứng dụng đã chọn; tên hồ sơ không nói gì khi kết nối có vẻ chậm. Grep dòng liên kết từ nhật ký chi tiết cho thấy phiên đã hạ cánh ở đâu.

Trộn nhà cung cấp phá vỡ tuyên bố tin cậy

Hồ sơ cũng là một tuyên bố về danh tính: những địa chỉ này là dịch vụ bạn muốn đến, và chứng chỉ được ghim thuộc về nó. Ném máy chủ công cộng miễn phí vào tệp đó phá vỡ tuyên bố: chứng chỉ của họ và của bạn mô tả những dịch vụ khác nhau. Kết quả thường gặp là lỗi danh tính, hoặc thông tin đăng nhập bị trao cho một máy chủ ngoài mạng của nhà cung cấp bạn. Giữ các lựa chọn thay thế trong tập mà nhà cung cấp của bạn phân phối, với thông tin đăng nhập và vật liệu tin cậy khớp nhau.

Nếu bạn cần endpoint từ hai nhà cung cấp, đó là định tuyến, không phải sửa hồ sơ. Hãy giải quyết nó phía trên đường hầm, nơi bạn có thể nói lưu lượng nào đi đường nào.

Kiểm tra từng mục thay vì giả định

Sau khi cập nhật hồ sơ được phê duyệt, hãy cố ý kết nối tới từng endpoint cần thiết và xác nhận phương thức vận chuyển nào đã lên. Một lần chạy chi tiết làm điều đó hiện rõ. Khởi chạy openvpn --config office.ovpn --verb 4 và đọc dòng liên kết cho địa chỉ bạn mong đợi. Sau đó kiểm tra tài nguyên phía sau đường hầm; một mục có thể hoàn tất bắt tay và vẫn không định tuyến bạn đi đâu cả.

Failover cần bài kiểm tra riêng thay vì hy vọng. Chặn endpoint đầu tiên trong phòng thí nghiệm, khởi chạy ứng dụng và đo thời gian để chuyển tiếp. Một danh sách dài sau mục đầu chậm tệ hơn một danh sách ngắn khởi đầu tốt.

Kiểm tra lại danh sách mỗi khi nhà cung cấp thay đổi nó. Một tập được nhập chỉ hữu ích khi các mục của nó còn tồn tại và nói phương thức vận chuyển mà các khối của bạn mô tả. Hướng dẫn OpenVPN 2.6 đề cập tại đây các chỉ thị remote, connection và random-order, và đó là phiên bản cần kiểm tra khi cú pháp còn nghi ngờ.