Ograničenje sesija dijeljenog VPN računa: zašto jedan uređaj ispada

Dodate drugi laptop na račun koji već radi na telefonu i tunel telefona ispadne u roku od minute. Ili se novi uređaj nikad ne poveže do kraja, a klijent završi na poruci o politici umjesto na isteku vremena. Mreža je u oba slučaja u redu; odluka je donesena iznad nje. Dijeljena prijava je jedan identitet i većina VPN usluga broji taj identitet, a ne broj uređaja koje posjedujete. Radim od ekrana klijenta prema van, jer on obično pokazuje koji vas je sloj odbio.

Pročitajte poruku klijenta prije nego dirate mrežu

Tri kvara izgledaju slično i nisu. Istek vremena znači da vaši paketi nisu stigli nikamo. Greška TLS-a ili certifikata znači da je krajnja točka odgovorila, ali je rukovanje propalo. Odbijanje autentifikacije ili politike znači da je pristupnik pročitao vaše akreditive i zatim ih odbio. Samo treći pripada priči o ograničenju sesija, pa ga prvo utvrdite.

OpenVPN klijenti drže zanimljive retke u svom panelu zapisa. Pomaknite se do posljednjeg pokušaja povezivanja, a ne do petlje ponovnih pokušaja koja slijedi, i tražite AUTH_FAILED ili poslani niz s razlogom. Klijent često prijavi općenito odbijanje bez objašnjenja, pa je sljedeći korak server, a ne postavke klijenta. Aplikacije pružatelja su gore: poruka o ograničenju uređaja je korisna, ali veza koja se sruši nakon dvije sekunde je odluka politike, a ne loša lozinka. Zapišite ime uređaja i točno vrijeme u svakom slučaju; operater može taj par upariti sa zapisom pristupa u sekundama.

Brojite sesije tamo gdje ih server broji

Brojač koji je važan živi na pristupniku. OpenVPN piše datoteku stanja kad se server pokrene s --status, navodeći svakog povezanog klijenta s njegovim zajedničkim imenom, stvarnom adresom i brojačima prometa.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Dva retka s istim zajedničkim imenom su dvije žive sesije pod jednim certifikatom. OpenVPN prema zadanim postavkama ne drži oba: bez --duplicate-cn druga veza s istim certifikatom zamjenjuje prvu i stariji uređaj gubi tunel. Ta zamjena je potpis ograničenja identiteta. Slučajni gubitak paketa ne isključuje pristojno točno jedan uređaj u trenutku kad se pojavi drugi.

WireGuard nema tablicu sesija za pregled. wg show wg0 ispisuje partnere i njihovo posljednje rukovanje, a svaki evidentirani uređaj je partner s vlastitim ključem. Dijeljeni račun tamo je konfiguracijska datoteka kopirana na nekoliko strojeva, a ograničenje dolazi od onoga što te konfiguracije dijeli: portala pružatelja, broja mjesta ili pravila vezanog uz vašu javnu adresu. Priručnik OpenVPN 2.6 dokumentira opcije na strani servera ako sami vodite pristupnik.

Razdvojite četiri ograničenja koja se kriju iza jedne poruke

Većina zahtjeva za dijeljeni račun jedna je od četiri odluke o dopuštanju. Klijent ih ne može razlikovati, ali obrazac toga koji uređaj pada može.

Isti identitet, druga veza. Novi uređaj radi, a stari umire u istom trenutku. To je pravilo istovremenosti po identitetu koje provodi pristupnik ili sustav računa. Ništa nije pokvareno; usluga radi ono što njezina politika kaže.

Broj mjesta ili uređaja u planu. Prvi uređaji ostaju povezani, a sljedeći se odbija dok ostali nastavljaju raditi. Provjerite popis uređaja pružatelja prije nego promijenite klijenta, jer se ograničenje licence ne može popraviti s klijentske strane.

Graničnik vezan uz vašu javnu adresu. Dva laptopa iza jednog kućnog usmjerivača padaju, dok ista prijava radi s telefonske pristupne točke. Premjestite drugi uređaj na drugu mrežu da to testirate. Ako se tamo poveže, gledate pravilo po adresi ili NAT pravilo, a ne broj računa.

Maksimum na razini servera. Svi na pristupniku padaju u istom prometnom satu, uključujući račune koji su jučer bili u redu. --max-clients u OpenVPN-u ponaša se tako i nema nikakve veze s vašim evidentiranim uređajima.

Očistite zaostale sesije prije kupnje dodatnih mjesta

Sesija koja je loše završila još može držati mjesto. RADIUS računovodstvo piše zapis kad sesija počne i zatvara ga kad sesija stane; kad klijent nestane, zaustavljanje nikad ne stigne i server drži sesiju dok ne istekne privremeno ažuriranje ili istek vremena. Na pristupniku s FreeRADIUS-om možete vidjeti otvorene zapise:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Otvoren zapis sa starim vremenom početka i bez prometa pripada uređaju kojeg više nema. Zatvorite ga kroz konzolu operatera ili zahtjevom za odspajanje, prije nego pretpostavite da je ograničenje bilo stvarno. Telefoni se ponovno povezuju kad Wi-Fi preda vezu mobilnoj mreži, a laptop može držati jedan tunel u OS-u plus još jedan unutar aplikacije pružatelja, što se broji kao dvije sesije s jednog stroja.

Prestanite dijeliti jedan identitet među uređajima koji rade zajedno

Trajno rješenje je strukturno. Dajte svakom uređaju vlastiti certifikat s jedinstvenim zajedničkim imenom ili vlastiti račun i zabilježite koja osoba i koji stroj ga drži. Na OpenVPN-u to znači jedan klijentski certifikat po uređaju, uz --duplicate-cn isključen osim ako želite ponašanje preuzimanja; na WireGuardu jedan par ključeva po uređaju, generiran tamo i nikad kopiran.

Kloniranje profila da biste zaobišli ograničenje uređaja lomi opoziv: opoziv jedne kopije odsijeca svaki uređaj koji je dijeli, a zapis više ne može reći koji je stroj što učinio. Ako je ograničenje komercijalno, pošteno rješenje je dodatno mjesto; ako je unutarnja politika, zatražite drugi identitet s istim pravima pristupa.

Provjeravajte u fiksnom redoslijedu

Testirajte popravak svaki put na isti način, da rezultat nešto znači.

• Odjavite se na svakom uređaju i potvrdite da je aktivni popis servera prazan; unos koji se ne čisti je zaostala sesija, a ne greška klijenta.
• Povezujte uređaje jedan po jedan i promatrajte popis između veza.
• Ako dva moraju raditi zajedno, potvrdite da oba retka nose različite identitete i da oba drže rukovanje svježim.
• Ponovite nakon prijelaza s Wi-Fi-ja na mobilnu mrežu, jer ponovno povezivanje može stvoriti drugi zapis.

Ako stari uređaj i dalje ispada kad se novi poveže, pristupnik provodi pravilo po identitetu za koje niste dobili iznimku. Donesite operateru imena uređaja, vremenske oznake i popis aktivnih sesija; to nejasnu pritužbu pretvara u pitanje politike na koje mogu odgovoriti.