Limit relací sdíleného VPN účtu: proč jedno zařízení vypadne

Přidáte druhý notebook k účtu, který už běží na telefonu, a tunel telefonu do minuty vypadne. Nebo se nové zařízení nikdy nedokončí připojení a klient skončí na zprávě o zásadách místo na vypršení časového limitu. Síť je v obou případech v pořádku; rozhodnutí padlo nad ní. Sdílené přihlášení je jedna identita a většina VPN služeb počítá tuto identitu, ne počet zařízení, která vlastníte. Pracuji od obrazovky klienta ven, protože obvykle ukazuje, která vrstva vás odmítla.

Přečtěte zprávu klienta, než se dotknete sítě

Tři selhání vypadají podobně a nejsou. Vypršení znamená, že vaše pakety nikam nedorazily. Chyba TLS nebo certifikátu znamená, že koncový bod odpověděl, ale handshake selhal. Odmítnutí autentizace nebo zásad znamená, že brána přečetla vaše přihlašovací údaje a pak je odmítla. Jen třetí patří k příběhu o limitu relací, takže ho nejdřív zjistěte.

Klienti OpenVPN drží zajímavé řádky ve svém panelu protokolu. Posuňte se k poslednímu pokusu o připojení, ne k následné smyčce opakování, a hledejte AUTH_FAILED nebo zaslaný řetězec s důvodem. Klient často hlásí obecné odmítnutí bez vysvětlení, takže dalším krokem je server, ne nastavení klienta. Aplikace poskytovatelů jsou horší: zpráva o limitu zařízení je užitečná, ale spojení, které se po dvou sekundách zhroutí, je rozhodnutí zásad, ne špatné heslo. V obou případech si zapište název zařízení a přesný čas; operátor může tento pár porovnat se záznamem přístupu během sekund.

Počítejte relace tam, kde je počítá server

Počítadlo, na kterém záleží, žije na bráně. OpenVPN zapíše stavový soubor, když se server spustí s --status, a uvede každého připojeného klienta s jeho společným jménem, skutečnou adresou a počítadly provozu.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Dva řádky se stejným společným jménem jsou dvě živé relace pod jedním certifikátem. OpenVPN ve výchozím nastavení nedrží obě: bez --duplicate-cn druhé připojení se stejným certifikátem nahradí první a starší zařízení ztratí tunel. Toto nahrazení je podpisem limitu identity. Náhodná ztráta paketů zdvořile neodpojí právě jedno zařízení ve chvíli, kdy se objeví jiné.

WireGuard nemá tabulku relací k prohlédnutí. wg show wg0 vypíše protějšky a jejich poslední handshake a každé evidované zařízení je protějšek s vlastním klíčem. Sdílený účet je tam konfigurační soubor zkopírovaný na několik strojů a limit přichází od toho, co tyto konfigurace vydává: portál poskytovatele, počet míst nebo pravidlo vázané na vaši veřejnou adresu. Příručka OpenVPN 2.6 dokumentuje možnosti na straně serveru, pokud si bránu provozujete sami.

Oddělte čtyři limity, které se skrývají za jednou zprávou

Většina tiketů ke sdílenému účtu je jedno ze čtyř rozhodnutí o přijetí. Klient je nerozezná, ale vzorec toho, které zařízení selže, ano.

Stejná identita, druhé připojení. Nové zařízení funguje a staré umírá ve stejný okamžik. To je pravidlo souběžnosti na identitu, které vynucuje brána nebo systém účtů. Nic není rozbité; služba dělá, co říká její politika.

Počet míst nebo zařízení v plánu. První zařízení zůstávají připojená a další je odmítnuto, zatímco ostatní běží dál. Zkontrolujte seznam zařízení poskytovatele, než změníte klienta, protože licenční limit nelze opravit ze strany klienta.

Strop vázaný na vaši veřejnou adresu. Dva notebooky za jedním domácím routerem selhávají, zatímco stejné přihlášení funguje z hotspotu telefonu. Přesuňte druhé zařízení do jiné sítě, abyste to otestovali. Pokud se tam připojí, díváte se na pravidlo na adresu nebo pravidlo NAT, ne na počet účtu.

Maximum pro celý server. Všichni na bráně selhávají ve stejné rušné hodině, včetně účtů, které včera byly v pořádku. --max-clients v OpenVPN se chová takto a s vašimi evidovanými zařízeními nemá nic společného.

Vyčistěte staré relace, než koupíte další místa

Relace, která skončila špatně, může stále držet slot. RADIUS účtování zapíše záznam při startu relace a uzavře ho při zastavení; když klient zmizí, zastavení nikdy nedorazí a server drží relaci, dokud nevyprší průběžná aktualizace nebo časový limit. Na bráně FreeRADIUS vidíte otevřené záznamy:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Otevřený záznam se starým časem začátku a bez provozu patří zařízení, které už je pryč. Zavřete ho přes konzolu operátora nebo požadavkem na odpojení, než budete předpokládat, že limit byl skutečný. Telefony se znovu připojí, když Wi-Fi předá spojení mobilní síti, a notebook může mít jeden tunel v operačním systému a další uvnitř aplikace poskytovatele, což se počítá jako dvě relace z jednoho stroje.

Přestaňte sdílet jednu identitu mezi zařízeními, která běží společně

Trvalé řešení je strukturální. Dejte každému zařízení vlastní certifikát s jedinečným společným jménem nebo vlastní účet a zaznamenejte, která osoba a který stroj ho drží. V OpenVPN to znamená jeden klientský certifikát na zařízení, s --duplicate-cn vypnutým, pokud nechcete chování převzetí; ve WireGuardu jeden pár klíčů na zařízení, generovaný tam a nikdy nekopírovaný.

Klonování profilu, abyste obešli limit zařízení, rozbíjí odvolání: odvolání jedné kopie odřízne každé zařízení, které ji sdílí, a protokol už nemůže říct, který stroj co udělal. Pokud je limit komerční, poctivým řešením je přidané místo; pokud jde o interní zásadu, požádejte o druhou identitu se stejnými přístupovými právy.

Ověřujte v pevném pořadí

Testujte opravu pokaždé stejně, aby výsledek něco znamenal.

• Odhlaste se na každém zařízení a potvrďte, že aktivní seznam serveru je prázdný; položka, která se nevyčistí, je stará relace, ne chyba klienta.
• Připojujte zařízení jedno po druhém a mezi připojeními sledujte seznam.
• Pokud musí dvě běžet společně, potvrďte, že oba řádky nesou různé identity a oba drží handshake čerstvý.
• Opakujte po přechodu z Wi-Fi na mobilní síť, protože opětovné připojení může vytvořit druhý záznam.

Pokud staré zařízení stále vypadává, když se připojí nové, brána vynucuje pravidlo na identitu, na které jste nedostali výjimku. Přineste operátorovi názvy zařízení, časové značky a seznam aktivních relací; to promění neurčitou stížnost v otázku zásad, na kterou mohou odpovědět.