Niyə eyni router arxasında yalnız bir VPN müştərisi qoşulur

İki noutbuk eyni ev şəbəkəsində oturur və ofis VPN-i onlardan yalnız birini qəbul edir. İkincisi ya vaxt aşımına uğrayır, ya da birincisi ayrılana qədər gözləyir və iki cəhd arasında heç kim müştəri ayarına toxunmayıb. Etimad məlumatları bir dəqiqə əvvəl işləyənlərin eynisidir və bu, autentifikasiyanın uğursuzluq olmadığına dair ipucudur. Bu naxışı üç mexanizm yaradır və hansı ilə üzləşdiyinizi serverin öz jurnalı deyir.

Hər hansı müştəriyə toxunmazdan əvvəl şlüz jurnalını oxuyun

Serverin hər iki cəhd barədə qeydi birinci suala cavab verir və üç yoldan biri ilə cavab verir. İkinci cəhd o jurnalda heç görünmürsə, paket dinləyiciyə çatmayıb və problemin sahibi ev routeri və ya provayderin marşrutudur. Jurnal cəhdi qeyd edib onu rədd edirsə, tunel gəlib çatıb, deməli məsələ kimlik, lisenziya və ya sessiya limitidir, naqildəki heç nə deyil. Jurnal uğurlu sessiya qeyd edir, müştəri isə hələ də uğursuzluq bildirirsə, qayıdış marşrutuna və ya iki müştəriyə eyni tunel ünvanının verilməsinə baxın.

Telefon hotspotu bu ailələri ucuz yolla ayırır: birinci qoşulu qalarkən ikinci müştərini mobil data ilə işə salın. Orada uğur ev şəbəkəsini günahlandırır, orada eyni uğursuzluq isə şlüzü günahlandırır və routeri günahsız qoyur. Nəticələrin heç biri təkbaşına qəti deyil, amma hər biri bir cəhddə axtarış sahəsinin yarısını çıxarır.

Hər nəyi dəyişməzdən əvvəl nəticəni yazın, çünki jurnalın üç nəticəsi üç əlaqəsiz təmirə aparır. Üçündən hansını gördüyünüzü göstərən qeyd, müştəri xətasının ekran şəklindən daha dəyərlidir.

Routerin GRE və NAT-T ilə nə etdiyi

PPTP klassik günahkardır: nəzarət kanalı TCP 1723, məlumat yolu isə GRE, yəni IP protokolu 47-dir. Bir çox istehlakçı routeri tək nəzarət bağlantısını izləyən PPTP köməkçisi ilə gəlir, buna görə eyni NAT arxasındakı ikinci müştəri nəzarət kanalını açır və sonra heç bir məlumat yolu almır. 47 nömrəli TCP portunu yönləndirmək GRE üçün heç nə etmir, çünki GRE port deyil, protokol nömrəsidir.

L2TP IPsec üzərində dizaynca fərqli davranır: IKE UDP 500 istifadə edir, NAT keçidi qorunan yükü UDP 4500-ə köçürür və inkapsulyasiya məhz bir ünvan arxasındakı bir neçə müştərinin eyni şlüzə çatması üçün mövcuddur. Bu dizayn şlüzün və ya aralıq qurğunun hər ünvana sessiya limiti qoymasının qarşısını almır və divandan baxanda iki uğursuzluq eyni görünür. SoftEther-in doğma protokolunda da eyni sinif problem var: işlək keçirməsi olmayan router LAN-dan birinci müştərini buraxır, ikincisini atır. Routerin ALG və ya keçirmə açarını hər iki vəziyyətdə sınayın, çünki köhnə müştəri üçün yazılmış köməkçi cari müştərinin göndərdiyi paketləri korlaya bilər.

nc -vz 203.0.113.5 1723
sudo tcpdump -ni any proto gre

Nəqliyyat limitinə bənzəyən kimlik limitləri

Router yeganə şübhəli deyil və jurnal onu alternativdən ayırır. OpenVPN serveri ümumi adı bir tunel ünvanına bağlayanda hər iki cihaz həmin ünvanı alır və duplicate-cn olmadan daha yeni sessiya köhnəni sıxışdırıb çıxarır. Bu seçimi aktivləşdirmək ikisini də qoşulu saxlayır, amma onları bir kimlik, bir sertifikat və bir ləğv qərarı ilə tərk edir, bu isə göründüyündən pisdir. İkinci cihaz sonra heç vaxt təkbaşına ləğv edilə bilməz, beləliklə rahatlıq açarı sonra ehtiyac duyacağınız bir nəzarəti səssizcə silir.

Serverin jurnalını və status faylını birlikdə oxuyun, çünki biri autentifikasiya qərarını, digəri isə hazırda kimin qoşulu olduğunu göstərir. Ümumi adı və virtual ünvanı paylaşan iki qeyd router limitini deyil, kimlik toqquşmasını təsdiqləyir. Kommersiya şlüzləri öz limitlərini əlavə edir, məsələn bir eyni vaxtlı sessiyaya icazə verən plan, lisenziya sayı və ya hər ictimai ünvana bir sessiya icazəsi verən qayda, və heç bir router ayarı bunların heç birini dəyişmir.

sudo journalctl -u openvpn-server@server -n 60 --no-pager
cat /run/openvpn/server.status

Təmiri jurnal qeydi ilə uyğunlaşdırın

Jurnaldakı rədd hər cihaz üçün ayrı etimad məlumatı, xidməti idarə edəndən daha yüksək limit və ya bir maşın üçün ikinci şlüz nöqtəsi tələb edir. Heç bir ikinci cəhd serverə çatmırsa, davamlı təmir protokolu yönləndirən və birdən çox sessiya saxlayan router, ya da routerin yaxşı idarə etdiyi nəqliyyat, məsələn tək TCP və ya UDP axınıdır. Bunlar arasında seçim aparat ömrü ilə bağlı qərardır, müştəri ayarları ilə deyil.

İşləyən cihazın profilini ikinci maşına köçürüb işi bitmiş saymayın. Bu, qoşulma problemini giriş nəzarəti probleminə çevirir, çünki itirilmiş noutbuku hələ istifadədə olan kopyadan ayırmaq artıq mümkün deyil. O, həm də ilkin nasazlığı gizlədir və üçüncü cihaz görünən kimi geri qayıdır.

İki canlı sessiyanın yoxlanması

Hər iki cihazı eyni vaxtda qoşun, hər birində nəzərdə tutulan tətbiqi işə salın, sonra birini yenidən qoşun və təkrarlayın. Qısa müddət görünən ikinci ikon trafik barədə heç nə sübut etmir və on dəqiqədən sonra düşən sessiya başqa sahibi olan başqa bir xətadır. Serverin sonda bildirdiklərini istifadəçilərin gördükləri ilə müqayisə edin, çünki bu iki hesabat çox vaxt uyğun gəlmir.

Hər iki sessiya sağ qalıb trafik daşıyırsa, düzəliş işləyir və əvvəldə yazdığınız qeyd nəyin səhv olduğunun qeydinə çevrilir. Yalnız biri sağ qalırsa, birinci addıma qayıdın və indi üç jurnal nəticəsindən hansına sahib olduğunuzu yoxlayın, çünki cavab dəyişmiş ola bilər. Router köməkçiləri başqa şəbəkədə təzədən görünən problemi gizlədə bilər, hər ünvana limit isə cihazı deyil, istifadəçini izləyir. İkinci şəbəkədən sınaq hansını həqiqətən düzəltdiyinizi tapmağın ən ucuz yoludur.