Terfyn sesiynau cyfrif VPN a rennir: pam mae un ddyfais yn cwympo

Rydych chi'n ychwanegu ail liniadur at y cyfrif sydd eisoes yn rhedeg ar eich ffôn, ac mae twnnel y ffôn yn cwympo o fewn munud. Neu nid yw'r ddyfais newydd byth yn gorffen cysylltu, ac mae'r cleient yn gorffen ar neges polisi yn lle ar amserlen. Mae'r rhwydwaith yn iawn yn y ddau achos; gwnaed penderfyniad mynediad uwch ei ben. Mae mewngofnodi a rennir yn un hunaniaeth, ac mae'r rhan fwyaf o wasanaethau VPN yn cyfrif y hunaniaeth honno yn hytrach na nifer y dyfeisiau sy'n eiddo i chi. Rwy'n gweithio allan o sgrin y cleient, sy'n dangos fel arfer pa haen a'ch gwrthododd.

Darllenwch neges y cleient cyn cyffwrdd â'r rhwydwaith

Mae tri methiant yn edrych yn debyg ac nid ydynt. Mae amserlen yn golygu na chyrhaeddodd eich pecynnau unrhyw le. Mae gwall TLS neu dystysgrif yn golygu bod y pen draw wedi ateb ond bod yr ysgwyd llaw wedi methu. Mae gwrthodiad dilysu neu bolisi yn golygu bod y porth wedi darllen eich manylion mewngofnodi ac yna wedi eu gwrthod. Dim ond yr trydydd sy'n perthyn i stori terfyn sesiynau, felly pennwch ef gyntaf.

Mae cleientiaid OpenVPN yn cadw'r llinellau diddorol yn eu panel log. Sgroliwch i'r ymgais gysylltu olaf yn hytrach nag i'r ddolen ailgynnig sy'n dilyn, a chwiliwch am AUTH_FAILED neu linyn rheswm a wthiwyd. Yn aml mae'r cleient yn adrodd gwrthodiad cyffredinol heb esboniad, felly'r cam nesaf yw'r gweinydd, nid gosodiadau'r cleient. Mae apiau'r darparwr yn waeth: mae neges terfyn dyfeisiau yn ddefnyddiol, ond mae cysylltiad sy'n dymchwel ar ôl dwy eiliad yn benderfyniad polisi, nid yn gyfrinair gwael. Nodwch enw'r ddyfais a'r amser union beth bynnag; gall gweithredwr baru'r pâr hwnnw â chofnod mynediad mewn eiliadau.

Cyfrwch sesiynau lle mae'r gweinydd yn eu cyfrif

Mae'r rhifydd sy'n bwysig yn byw ar y porth. Mae OpenVPN yn ysgrifennu ffeil statws pan gaiff y gweinydd ei gychwyn gyda --status, gan restru pob cleient cysylltiedig gyda'i enw cyffredin, ei gyfeiriad go iawn a'i fesuryddion traffig.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Mae dwy res â'r un enw cyffredin yn ddwy sesiwn fyw o dan un dystysgrif. Yn ôl y rhagosodiad nid yw OpenVPN yn cadw'r ddwy: heb --duplicate-cn, mae ail gysylltiad yn defnyddio'r un dystysgrif yn disodli'r cyntaf, ac mae'r ddyfais hŷn yn colli ei thwnnel. Mae'r disodli hwnnw yn arwydd terfyn hunaniaeth. Nid yw colli pecynnau ar hap yn datgysylltu'n gwrtais unrhyw un ddyfais yn union y foment y mae un arall yn ymddangos.

Nid oes gan WireGuard unrhyw dabl sesiwn i'w archwilio. Mae wg show wg0 yn argraffu'r cymheiriaid a'u hysgwyd llaw diweddaraf, a phob dyfais gofrestredig yn gymar â'i allwedd ei hun. Mae cyfrif a rennir yno yn ffeil ffurfweddu a gopïwyd i sawl peiriant, ac mae'r terfyn yn dod o beth bynnag sy'n dosbarthu'r ffurfweddiadau hynny: porth y darparwr, cyfrif seddi, neu reol sy'n seiliedig ar eich cyfeiriad cyhoeddus. Mae llawlyfr OpenVPN 2.6 yn dogfennu'r opsiynau ar ochr y gweinydd os ydych yn rhedeg eich porth eich hun.

Gwahanwch y pedwar terfyn sy'n cuddio y tu ôl i un neges

Mae'r rhan fwyaf o docynnau cyfrif a rennir yn un o bedwar penderfyniad mynediad. Ni all y cleient eu gwahaniaethu, ond gall patrwm pa ddyfais sy'n methu.

Yr un hunaniaeth, ail gysylltiad. Mae'r ddyfais newydd yn gweithio ac mae'r hen un yn marw ar yr un foment. Rheol cydamseredd fesul hunaniaeth yw hon, a orfodir gan y porth neu'r system gyfrifon. Nid oes dim wedi torri; mae'r gwasanaeth yn gwneud yr hyn y mae ei bolisi'n ei ddweud.

Cyfrif seddi neu ddyfeisiau ar y cynllun. Mae'r dyfeisiau cyntaf yn aros yn gysylltiedig ac mae'r un nesaf yn cael ei wrthod tra bo's eraill yn dal i redeg. Gwiriwch restr dyfeisiau'r darparwr cyn newid cleient, oherwydd ni ellir trwsio terfyn trwydded o ochr y cleient.

Cap sy'n gysylltiedig â'ch cyfeiriad cyhoeddus. Mae dau liniadur y tu ôl i un llwybrydd cartref yn methu tra bo'r un mewngofnodi'n gweithio o hotspot ffôn. Symudwch yr ail ddyfais i rwydwaith arall i'w phrofi. Os yw'n cysylltu yno, rydych yn edrych ar reol fesul cyfeiriad neu reol NAT, nid ar gyfrif y cyfrif.

Uchafswm ar draws y gweinydd. Mae pawb ar y porth yn methu yn yr un awr brysur, gan gynnwys cyfrifon oedd yn iawn ddoe. Mae --max-clients OpenVPN yn ymddwyn felly, ac nid oes a wnelo â'ch dyfeisiau cofrestredig.

Cliriwch sesiynau hen ffasiwn cyn prynu mwy o seddi

Gall sesiwn a ddaeth i ben yn wael ddal slot o hyd. Mae cyfrifyddu RADIUS yn ysgrifennu cofnod pan fydd sesiwn yn cychwyn ac yn ei gau pan fydd y sesiwn yn stopio; pan fydd cleient yn diflannu, nid yw'r stop byth yn cyrraedd ac mae'r gweinydd yn cadw'r sesiwn nes bod diweddariad interim neu amserlen yn dod i ben. Ar borth FreeRADIUS gallwch weld y cofnodion agored:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Mae cofnod agored ag amser cychwyn hen a dim traffig yn perthyn i ddyfais sydd eisoes wedi mynd. Caewch ef drwy gonsol y gweithredwr neu â chais datgysylltu, cyn i chi dybio bod y terfyn yn real. Mae ffonau'n ailgysylltu pan fydd Wi-Fi yn trosglwyddo i rwydwaith symudol, a gall liniadur redeg un twnnel yn y system weithredu a un arall y tu mewn i ap darparwr, sy'n cyfrif fel dwy sesiwn o un peiriant.

Stopiwch rannu un hunaniaeth ar draws dyfeisiau sy'n rhedeg gyda'i gilydd

Mae'r atgyweiriad parhaol yn strwythurol. Rhowch dystysgrif ei hun i bob dyfais ag enw cyffredin unigryw, neu ei chyfrif ei hun, a chofnodwch pa berson a pha beiriant sy'n ei dal. Ar OpenVPN mae hynny'n golygu un dystysgrif cleient i bob dyfais, gyda --duplicate-cn wedi'i osod i ffwrdd oni bai eich bod am ymddygiad meddiannu; ar WireGuard, un pâr allwedd i bob dyfais, wedi'i gynhyrchu yno ac yn cael ei gopïo byth.

Mae clonio proffil i osgoi cap dyfeisiau yn torri dirymu: mae dirymu un copi yn torri pob dyfais sy'n ei rannu, ac ni all y log mwyach ddweud pa beiriant a wnaeth beth. Os yw'r terfyn yn fasnachol, yr atgyweiriad gonest yw sedd ychwanegol; os yw'n bolisi mewnol, gofynnwch am ail hunaniaeth â'r un hawliau mynediad.

Gwiriwch mewn trefn sefydlog

Profwch y trwsiad yr un ffordd bob tro, fel bod y canlyniad yn golygu rhywbeth.

• Allgofnodwch ar bob dyfais a chadarnhewch fod rhestr weithredol y gweinydd yn wag; mae cofnod na fydd yn clirio yn sesiwn hen ffasiwn, nid yn fyg y cleient.
• Cysylltwch y dyfeisiau un ar y tro a gwyliwch y rhestr rhwng cysylltiadau.
• Os oes rhaid i ddwy redeg gyda'i gilydd, cadarnhewch fod y ddwy res yn cario hunaniaethau gwahanol a bod y ddwy'n cadw eu hysgwyd llaw yn ffres.
• Ailadroddwch ar ôl trosglwyddiad o Wi-Fi i rwydwaith symudol, gan y gall ailgysylltu greu ail gofnod.

Os yw'r hen ddyfais yn dal i gwympo pan fydd yr un newydd yn cysylltu, mae'r porth yn gorfodi rheol fesul hunaniaeth nad ydych wedi cael eithriad iddi. Dewch â'r enwau dyfeisiau, y stampiau amser a'r rhestr sesiynau gweithredol at y gweithredwr; mae hynny'n troi cwyn annelwig yn gwestiwn polisi y gallant ei ateb.