Ortaq VPN hesabında sessiya limiti: niyə bir cihaz düşür

Telefonunuzda artıq işləyən hesaba ikinci bir noutbuk əlavə edirsiniz və telefonun tuneli bir dəqiqə içində düşür. Ya da yeni cihaz qoşulmanı heç vaxt bitirmir və müştəri fasilə yerinə siyasət mesajı ilə yekunlaşır. Hər iki halda şəbəkə qaydasındadır; qərar onun üstündə verilib. Ortaq giriş bir kimlikdir və VPN xidmətlərinin çoxu sahib olduğunuz cihazların sayını deyil, həmin kimliyi sayır. Mən müştəri ekranından xaricə doğru işləyirəm, çünki o, adətən hansı qatın sizi rədd etdiyini göstərir.

Şəbəkəyə toxunmazdan əvvəl müştəri mesajını oxuyun

Üç nasazlıq oxşar görünür və deyildir. Fasilə paketlərinizin heç yerə çatmadığını bildirir. TLS və ya sertifikat xətası son nöqtənin cavab verdiyini, amma əl sıxmanın uğursuz olduğunu bildirir. Autentifikasiya və ya siyasət rəddi isə şlüzün etimad məlumatlarınızı oxuyub sonra rədd etdiyini bildirir. Yalnız üçüncüsü sessiya limiti hekayəsinə aiddir, ona görə əvvəlcə onu dəqiqləşdirin.

OpenVPN müştəriləri maraqlı sətirləri öz jurnal panelində saxlayır. Sonrakı təkrar cəhdlər dövrəsinə deyil, son qoşulma cəhdinə diyirləyin və AUTH_FAILED sətrini ya da itələnmiş səbəb sətrini axtarın. Müştəri çox vaxt izahsız ümumi rədd bildirir, ona görə növbəti addım müştərinin ayarları deyil, serverdir. Provayder tətbiqləri daha pisdir: cihaz limiti mesajı faydalıdır, amma iki saniyədən sonra çökən bağlantı pis parol deyil, siyasət qərarıdır. Hər halda cihazın adını və dəqiq vaxtı yazın; operator bu cütlüyü saniyələr içində giriş qeydi ilə tutuşdura bilər.

Sessiyaları serverin saydığı yerdə sayın

Vacib sayğac şlüzün üzərindədir. OpenVPN server --status ilə başladıldıqda status faylı yazır və hər qoşulmuş müştərini ümumi adı, real ünvanı və trafik sayğacları ilə siyahıya alır.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Eyni ümumi ada malik iki sətir bir sertifikat altında iki canlı sessiyadır. OpenVPN susmaya görə hər ikisini saxlamır: --duplicate-cn olmadan eyni sertifikatı istifadə edən ikinci bağlantı birincini əvəz edir və köhnə cihaz tunelini itirir. Bu əvəzləmə kimlik limitinin imzasıdır. Təsadüfi paket itkisi digər cihaz peyda olan anda bir cihazı nəzakətlə ayırmır.

WireGuard-da yoxlamaq üçün sessiya cədvəli yoxdur. wg show wg0 həmyaşıdları və onların son əl sıxmasını çap edir, hər qeydiyyatdan keçmiş cihaz isə öz açarı olan bir həmyaşıddır. Orada ortaq hesab bir neçə maşına köçürülmüş konfiqurasiya faylıdır və limit həmin konfiqurasiyaları paylayan şeydən gəlir: provayder portalı, oturacaq sayı və ya açıq ünvanınıza bağlı qayda. OpenVPN 2.6 təlimatı öz şlüzünüzü idarə edirsinizsə server tərəfi seçimlərini sənədləşdirir.

Bir mesajın arxasında gizlənən dörd limiti ayırın

Ortaq hesab müraciətlərinin çoxu dörd qəbul qərarından biridir. Müştəri onları fərqləndirə bilmir, amma hansı cihazın uğursuz olduğu nümunəsi bilir.

Eyni kimlik, ikinci bağlantı. Yeni cihaz işləyir və köhnə eyni anda ölür. Bu, şlüz və ya hesab sistemi tərəfindən tətbiq olunan kimlik başına paralellik qaydasıdır. Heç nə pozulmayıb; xidmət öz siyasətinin dediyini edir.

Plan üzrə oturacaq və ya cihaz sayı. İlk cihazlar qoşulu qalır və növbəti biri rədd edilir, digərləri isə işləməyə davam edir. Müştərini dəyişməzdən əvvəl provayderin cihaz siyahısına baxın, çünki lisenziya limiti müştəri tərəfindən düzəldilə bilməz.

Açıq ünvanınıza bağlı hədd. Bir ev routeri arxasındakı iki noutbuk uğursuz olur, eyni giriş isə telefondan hotspot vasitəsilə işləyir. İkinci cihazı yoxlamaq üçün başqa şəbəkəyə köçürün. Əgər orada qoşulursa, hesab sayına deyil, ünvan başına və ya NAT qaydasına baxırsınız.

Server üzrə maksimum. Şlüzdəki hər kəs eyni sıx saatda uğursuz olur, dünən qaydasında olan hesablar da daxil. OpenVPN-in --max-clients seçimi belə davranır və qeydiyyatdan keçmiş cihazlarınızla heç bir əlaqəsi yoxdur.

Daha çox oturacaq almazdan əvvəl köhnəlmiş sessiyaları təmizləyin

Pis bitən sessiya hələ də bir yer tuta bilər. RADIUS uçotu sessiya başlayanda qeyd yazır və sessiya dayananda onu bağlayır; müştəri yoxa çıxanda dayanma heç vaxt gəlmir və server aralıq yeniləmə və ya fasilə bitənə qədər sessiyanı saxlayır. FreeRADIUS şlüzündə açıq qeydləri görə bilərsiniz:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Köhnə başlama vaxtı olan və trafiki olmayan açıq qeyd artıq getmiş cihaza aiddir. Limitin həqiqi olduğunu güman etməzdən əvvəl onu operatorun konsolundan və ya ayırma sorğusu ilə bağlayın. Wi-Fi mobil şəbəkəyə keçəndə telefonlar yenidən qoşulur və noutbuk əməliyyat sistemində bir tunel, provayder tətbiqinin içində isə başqa bir tunel işlədə bilər, bu isə bir maşından iki sessiya sayılır.

Birlikdə işləyən cihazlar arasında bir kimliyi paylaşmağı dayandırın

Davamlı həll strukturdur. Hər cihaza unikal ümumi adı olan öz sertifikatını ya da öz hesabını verin və onu hansı şəxsin və maşının saxladığını qeyd edin. OpenVPN-də bu, hər cihaz üçün bir müştəri sertifikatı deməkdir və --duplicate-cn ələ keçirmə davranışı istəmirsinizsə söndürülü qalır; WireGuard-da hər cihaz üçün bir açar cütü, orada yaradılır və heç vaxt köçürülmür.

Cihaz limitini keçmək üçün profili klonlamaq ləğvi pozur: bir nüsxəni ləğv etmək onu paylaşan hər cihazı kəsir və jurnal artıq hansı maşının nə etdiyini deyə bilmir. Limit kommersiyadırsa, dürüst həll əlavə oturacaqdır; daxili siyasətdirsə, eyni giriş hüquqları olan ikinci kimlik istəyin.

Sabit sıra ilə yoxlayın

Təmiri hər dəfə eyni şəkildə sınaqdan keçirin ki, nəticə bir şey ifadə etsin.

• Hər cihazda çıxış edin və serverin aktiv siyahısının boş olduğunu təsdiqləyin; təmizlənməyən giriş köhnəlmiş sessiyadır, müştəri xətası deyil.
• Cihazları bir-bir qoşun və bağlantılar arasında siyahıya baxın.
• İkisi birlikdə işləməlidirsə, hər iki sətrin fərqli kimliklər daşıdığını və hər ikisinin əl sıxmasını təzə saxladığını təsdiqləyin.
• Wi-Fi-dan mobil şəbəkəyə keçiddən sonra təkrarlayın, çünki yenidən qoşulma ikinci qeyd yarada bilər.

Yeni cihaz qoşulanda köhnə cihaz hələ də düşürsə, şlüz sizə istisna verilməmiş kimlik başına qayda tətbiq edir. Operatora cihaz adlarını, vaxt damğalarını və aktiv sessiya siyahısını aparın; bu, qeyri-müəyyən şikayəti cavablandıra biləcəkləri siyasət sualına çevirir.