OpenVPN remote-random: xáo trộn thứ tự, một đường hầm

Giả định là việc thêm remote-random biến hồ sơ thành một nhóm xoay vòng, nên mỗi kết nối ra từ một địa chỉ khác nhau. Điều chỉ thị này thực sự làm là xáo trộn danh sách remote một lần, khi máy khách bắt đầu kết nối, rồi thử chúng theo thứ tự mới đó. Đường hầm cuối cùng được dựng lên vẫn kết thúc ở một điểm cuối duy nhất và ở đó suốt vòng đời của phiên.

Sự khác biệt đó quan trọng với cả việc kiểm thử lẫn các tuyên bố về quyền riêng tư.

Tùy chọn này thay đổi điều gì khi kết nối

Hồ sơ máy khách có thể chứa nhiều dòng remote, mỗi dòng có tên máy chủ và cổng riêng. Không có chỉ thị, chúng được thử theo thứ tự tệp; có chỉ thị, danh sách được hoán đổi một lần khi bắt đầu phiên và địa chỉ trả lời trước sẽ thắng. Phần còn lại vẫn là phương án dự phòng cho lần thử này, không phải các đường song song. Hồ sơ chỉ có một remote không cho chỉ thị thứ gì để xáo trộn, và đây là cách nhanh nhất để xem liệu nó có ý nghĩa gì không.

Sổ tay OpenVPN ghi nhận tùy chọn này là ảnh hưởng đến thứ tự các lần thử kết nối, và đó chính xác là phạm vi cần kỳ vọng trong hành vi.

Kết nối lại bắt đầu một chu kỳ chọn mới, nên một phiên sau đó có thể hạ cánh ở nơi khác. Đường hầm đang hoạt động không di chuyển khi nó đang dựng.

Lầm tưởng: mỗi yêu cầu nhận một máy chủ mới

Sau khi được thiết lập, đường hầm mang toàn bộ lưu lượng của phiên đó đến máy ngang hàng đã chọn. Không có việc chọn lại theo từng yêu cầu, và chỉ thị này không phải bộ cân bằng tải cho từng kết nối riêng lẻ: nó xáo trộn các ứng viên, nó không phân tán gói tin. Mọi ứng dụng dùng chung đường hầm đó đều dùng chung một máy ngang hàng. Bất cứ điều gì trình duyệt báo cáo về đầu ra của nó đều thuộc về phiên, không thuộc về một yêu cầu riêng lẻ.

Nếu một bài kiểm tra cho thấy hai đầu ra khác nhau, hãy tìm hai phiên riêng biệt thay vì một tùy chọn thông minh. Sự khác biệt đó cũng giải thích vì sao bài kiểm tra trên trình duyệt và bài kiểm tra tải xuống có thể không khớp khi có một lần kết nối lại xảy ra giữa chúng.

remote-random-hostname dùng để làm gì

Một chỉ thị thứ hai có tên tương tự thay đổi tên máy chủ dùng để phân giải, không phải thứ tự của danh sách remote. Nó tồn tại cho các triển khai nơi một tên được phân giải thành nhiều địa chỉ qua DNS vòng tròn, và chỉ nên dùng khi dịch vụ được xây dựng cho việc đó. Chỉ bước phân giải thay đổi; thứ tự của danh sách ứng viên thì không.

Bật nó vì các tên trông có liên quan là một lỗi phổ biến. Chứng chỉ ký tự đại diện hoặc một bố cục DNS không mong đợi tên đã thay đổi sẽ đơn giản không phân giải hoặc không xác thực được.

Đọc điểm cuối đã chọn từ nhật ký

Ghi lại phiên thực sự đã dùng máy ngang hàng nào trước khi kết luận. Đầu ra chi tiết nêu địa chỉ đang được thử, và bản thân hồ sơ cho thấy có bao nhiêu ứng viên. So sánh con số đó với địa chỉ trong nhật ký trước khi đổ lỗi cho việc xáo trộn.

grep -c '^remote ' client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'attempting|peer connection'
openvpn --help | grep -A2 remote-random
head -20 client.ovpn

Để so sánh hiệu năng, hãy ghim điểm cuối bằng cách chú thích các remote khác, để biến được kiểm tra là giao thức hoặc máy khách chứ không phải đường đi. Với câu hỏi về quyền riêng tư, hãy đánh giá danh tính của dịch vụ và việc ghi nhật ký của nó như một tổng thể; lựa chọn đầu tiên bị xáo trộn không xóa cookie, không gỡ đăng nhập tài khoản và không làm hai nhà vận hành tương đương nhau.

Giữ cùng nhau vật liệu tin cậy được cung cấp và tập điểm cuối được hỗ trợ. Việc xáo trộn lại chỉ thay đổi thứ tự mà tập đó được thử.