Gedeelde VPN-rekening se sessielimiet: waarom een toestel afval

Jy voeg ’n tweede skootrekenaar by die rekening wat reeds op jou selfoon loop, en die selfoon se tonnel val binne ’n minuut af. Of die nuwe toestel maak nooit klaar met konekteer nie, en die kliënt eindig op ’n beleidsboodskap eerder as op ’n tydsverloop. Die netwerk is in beide gevalle reg; daar is bo dit ’n toelatingsbesluit geneem. ’n Gedeelde aanmelding is een identiteit, en die meeste VPN-dienste tel daardie identiteit eerder as die aantal toestelle wat jy besit. Ek werk van die kliëntskerm uit, wat gewoonlik wys watter laag jou geweier het.

Lees die kliënt se boodskap voordat jy aan die netwerk raak

Drie mislukkings lyk dieselfde en is nie. ’n Tydsverloop beteken jou pakkette het niks bereik nie. ’n TLS- of sertifikaatfout beteken die eindpunt het geantwoord maar die handdruk het gefaal. ’n Verifikasie- of beleidsverwerping beteken die poort het jou geloofsbriewe gelees en dit dan van die hand gewys. Net die derde hoort by ’n sessielimiet-storie, so maak dit eerste vasgestel.

OpenVPN-kliënte hou die interessante reëls in hul logpaneel. Rol na die laaste konekpoging eerder as na die herprobeer-lus wat daarop volg, en soek na AUTH_FAILED of ’n rede-string wat gestoot is. Die kliënt rapporteer dikwels ’n generiese verwerping sonder verduideliking, so die volgende stap is die bediener, nie die kliënt se instellings nie. Verskaffer-apps is erger: ’n toestellimiet-boodskap is nuttig, maar ’n verbinding wat ná twee sekondes ineenstort, is ’n beleidsbesluit, nie ’n slegte wagwoord nie. Skryf die toestelnaam en die presiese tyd in elk geval neer; ’n operateur kan daardie paar binne sekondes teen ’n toegangsrekord pas.

Tel sessies waar die bediener dit tel

Die teller wat saak maak, woon op die poort. OpenVPN skryf ’n statuslêer wanneer die bediener met --status begin word, en lys elke gekoppelde kliënt met sy gemeenskaplike naam, werklike adres en verkeerstellers.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Twee rye met dieselfde gemeenskaplike naam is twee lewende sessies onder een sertifikaat. OpenVPN hou by verstek nie albei nie: sonder --duplicate-cn vervang ’n tweede verbinding wat dieselfde sertifikaat gebruik die eerste, en die ouer toestel verloor sy tonnel. Daardie vervanging is die kenmerk van ’n identiteitslimiet. Lukrake pakketverlies ontkoppel nie beleefd presies een toestel op die oomblik dat ’n ander verskyn nie.

WireGuard het geen sessietabel om te ondersoek nie. wg show wg0 druk eweknieë en hul jongste handdruk, en elke geregistreerde toestel is ’n eweknie met sy eie sleutel. ’n Gedeelde rekening daar is ’n konfigurasielêer wat op verskeie masjiene gekopieer is, en die limiet kom van wat ook al daardie konfigurasies uitdeel: ’n verskafferportaal, ’n sitplektelling of ’n reël wat aan jou openbare adres gekoppel is. Die OpenVPN 2.6-handleiding dokumenteer die bedienerkant-opsies as jy jou eie poort bedryf.

Skei die vier limiete wat agter een boodskap skuil

Die meeste gedeelde-rekening-kaartjies is een van vier toelatingsbesluite. Die kliënt kan hulle nie onderskei nie, maar die patroon van watter toestel faal, kan.

Dieselfde identiteit, tweede verbinding. Die nuwe toestel werk en die oue sterf op dieselfde oomblik. Dit is ’n per-identiteit-gelyktydigheidsreël wat deur die poort of die rekeningstelsel afgedwing word. Niks is stukkend nie; die diens doen wat sy beleid sê.

Sitplek- of toesteltelling op die plan. Die eerste toestelle bly gekoppel en die volgende een word geweier terwyl die ander bly loop. Kyk na die verskaffer se toestellys voordat jy ’n kliënt verander, want ’n lisensielimiet kan nie van die kliëntkant af reggemaak word nie.

’n Limiet wat aan jou openbare adres gekoppel is. Twee skootrekenaars agter een tuisroeteerder faal terwyl dieselfde aanmelding van ’n selfoon-hotspot af werk. Skuif die tweede toestel na ’n ander netwerk om dit te toets. As dit daar koppel, kyk jy na ’n per-adres- of NAT-reël, nie na die rekeningtelling nie.

’n Bedienerwye maksimum. Almal op die poort faal op dieselfde besige uur, insluitend rekeninge wat gister nog reg was. OpenVPN se --max-clients werk so, en dit het niks met jou geregistreerde toestelle te doen nie.

Maak verouderde sessies skoon voordat jy meer sitplekke koop

’n Sessie wat sleg geëindig het, kan steeds ’n plek hou. RADIUS-verantwoording skryf ’n rekord wanneer ’n sessie begin en sluit dit wanneer die sessie stop; wanneer ’n kliënt verdwyn, kom die stop nooit nie en die bediener hou die sessie totdat ’n tussentydse opdatering of ’n tydsverloop verstryk. Op ’n FreeRADIUS-poort kan jy die oop rekords sien:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

’n Oop rekord met ’n ou begintyd en geen verkeer nie behoort aan ’n toestel wat reeds weg is. Sluit dit deur die operateur se konsole of met ’n ontkoppelversoek, voordat jy aanneem die limiet was werklik. Selfone koppel weer wanneer Wi-Fi na sellulêr oorgaan, en ’n skootrekenaar kan een tonnel in die bedryfstelsel plus nog een binne ’n verskaffer-app laat loop, wat as twee sessies van een masjien tel.

Hou op om een identiteit oor toestelle te deel wat saam loop

Die blywende oplossing is struktureel. Gee elke toestel sy eie sertifikaat met ’n unieke gemeenskaplike naam, of sy eie rekening, en teken aan watter persoon en masjien dit het. Op OpenVPN beteken dit een kliëntsertifikaat per toestel, met --duplicate-cn afgeskakel tensy jy oorname-gedrag wil hê; op WireGuard een sleutelpaar per toestel, daar gegenereer en nooit gekopieer nie.

Om ’n profiel te kloon om ’n toestellimiet te omseil, breek herroeping: die herroeping van een kopie sny elke toestel wat dit deel, en die log kan nie meer sê watter masjien wat gedoen het nie. As die limiet kommersieel is, is die eerlike oplossing ’n bykomende sitplek; as dit interne beleid is, vra vir ’n tweede identiteit met dieselfde toegangsregte.

Verifieer in ’n vaste volgorde

Toets die herstelling elke keer op dieselfde manier, sodat die resultaat iets beteken.

• Meld op elke toestel af en bevestig dat die bediener se aktiewe lys leeg is; ’n inskrywing wat nie skoonmaak nie, is ’n verouderde sessie, nie ’n kliëntfout nie.
• Koppel die toestelle een op ’n slag en kyk tussen verbindings na die lys.
• As twee saam moet loop, bevestig dat albei rye verskillende identiteite dra en albei hul handdruk vars hou.
• Herhaal ná ’n oorgang van Wi-Fi na sellulêr, want ’n herverbinding kan ’n tweede rekord skep.

As die ou toestel steeds afval wanneer die nuwe een koppel, dwing die poort ’n per-identiteit-reël af waarvoor jy nie ’n uitsondering gekry het nie. Bring die operateur die toestelname, die tydmerke en die aktiewe-sessie-lys; dit verander ’n vae klag in ’n beleidsvraag wat hulle kan antwoord.