Όριο συνεδριών σε κοινόχρηστο λογαριασμό VPN: γιατί πέφτει μία συσκευή

Προσθέτετε ένα δεύτερο φορητό στον λογαριασμό που ήδη τρέχει στο τηλέφωνό σας και η σήραγγα του τηλεφώνου πέφτει μέσα σε ένα λεπτό. Ή η νέα συσκευή δεν ολοκληρώνει ποτέ τη σύνδεση και ο πελάτης καταλήγει σε μήνυμα πολιτικής αντί για λήξη χρόνου. Το δίκτυο είναι εντάξει και στις δύο περιπτώσεις. Η απόφαση εισδοχής ελήφθη πάνω από αυτό. Μια κοινόχρηστη σύνδεση είναι μία ταυτότητα και οι περισσότερες υπηρεσίες VPN μετρούν αυτή την ταυτότητα και όχι τον αριθμό των συσκευών που έχετε. Δουλεύω από την οθόνη του πελάτη προς τα έξω, γιατί συνήθως δείχνει ποιο επίπεδο σας αρνήθηκε.

Διαβάστε το μήνυμα του πελάτη πριν αγγίξετε το δίκτυο

Τρεις αστοχίες μοιάζουν μεταξύ τους και δεν είναι. Η λήξη χρόνου σημαίνει ότι τα πακέτα σας δεν έφτασαν πουθενά. Ένα σφάλμα TLS ή πιστοποιητικού σημαίνει ότι το τελικό σημείο απάντησε αλλά η χειραψία απέτυχε. Μια απόρριψη ταυτοποίησης ή πολιτικής σημαίνει ότι η πύλη διάβασε τα διαπιστευτήριά σας και μετά τα απέρριψε. Μόνο η τρίτη ανήκει σε ιστορία ορίου συνεδριών, οπότε καθορίστε την πρώτη.

Οι πελάτες OpenVPN κρατούν τις ενδιαφέρουσες γραμμές στο παράθυρο καταγραφής τους. Κυλήστε στην τελευταία προσπάθεια σύνδεσης και όχι στον βρόχο επαναλήψεων που ακολουθεί, και αναζητήστε AUTH_FAILED ή ένα συμβολοσειρά αιτίας που στάλθηκε. Ο πελάτης συχνά αναφέρει μια γενική απόρριψη χωρίς εξήγηση, οπότε το επόμενο βήμα είναι ο διακομιστής και όχι οι ρυθμίσεις του πελάτη. Οι εφαρμογές παρόχων είναι χειρότερες. Ένα μήνυμα ορίου συσκευών είναι χρήσιμο, αλλά μια σύνδεση που καταρρέει μετά από δύο δευτερόλεπτα είναι απόφαση πολιτικής και όχι κακός κωδικός. Σημειώστε το όνομα της συσκευής και την ακριβή ώρα σε κάθε περίπτωση. Ένας χειριστής μπορεί να αντιστοιχίσει αυτό το ζεύγος με μια εγγραφή πρόσβασης σε δευτερόλεπτα.

Μετρήστε τις συνεδρίες εκεί όπου τις μετρά ο διακομιστής

Ο μετρητής που έχει σημασία ζει στην πύλη. Ο OpenVPN γράφει ένα αρχείο κατάστασης όταν ο διακομιστής ξεκινά με --status, καταγράφοντας κάθε συνδεδεμένο πελάτη με το κοινό του όνομα, την πραγματική του διεύθυνση και τους μετρητές κίνησης.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Δύο γραμμές με το ίδιο κοινό όνομα είναι δύο ζωντανές συνεδρίες κάτω από ένα πιστοποιητικό. Από προεπιλογή ο OpenVPN δεν κρατά και τις δύο. Χωρίς --duplicate-cn, μια δεύτερη σύνδεση με το ίδιο πιστοποιητικό αντικαθιστά την πρώτη και η παλαιότερη συσκευή χάνει τη σήραγγά της. Αυτή η αντικατάσταση είναι το σήμα ενός ορίου ταυτότητας. Η τυχαία απώλεια πακέτων δεν αποσυνδέει ευγενικά ακριβώς μία συσκευή τη στιγμή που εμφανίζεται μια άλλη.

Το WireGuard δεν έχει πίνακα συνεδριών για έλεγχο. Το wg show wg0 εκτυπώνει τους ομότιμους και την τελευταία τους χειραψία, και κάθε καταχωρισμένη συσκευή είναι ένας ομότιμος με το δικό του κλειδί. Ένας κοινόχρηστος λογαριασμός εκεί είναι ένα αρχείο ρυθμίσεων αντιγραμμένο σε πολλές μηχανές, και το όριο προέρχεται από ό,τι μοιράζει αυτές τις ρυθμίσεις: μια πύλη παρόχου, ένας αριθμός θέσεων ή ένας κανόνας δεμένος με τη δημόσια διεύθυνσή σας. Το εγχειρίδιο του OpenVPN 2.6 τεκμηριώνει τις επιλογές από την πλευρά του διακομιστή αν τρέχετε τη δική σας πύλη.

Ξεχωρίστε τα τέσσερα όρια που κρύβονται πίσω από ένα μήνυμα

Τα περισσότερα αιτήματα για κοινόχρηστο λογαριασμό είναι μία από τέσσερις αποφάσεις εισδοχής. Ο πελάτης δεν μπορεί να τα ξεχωρίσει, αλλά το μοτίβο της συσκευής που αποτυγχάνει μπορεί.

Ίδια ταυτότητα, δεύτερη σύνδεση. Η νέα συσκευή λειτουργεί και η παλιά πεθαίνει την ίδια στιγμή. Είναι ένας κανόνας ταυτοχρονίας ανά ταυτότητα που επιβάλλει η πύλη ή το σύστημα λογαριασμών. Τίποτα δεν είναι χαλασμένο. Η υπηρεσία κάνει αυτό που λέει η πολιτική της.

Αριθμός θέσεων ή συσκευών στο πρόγραμμα. Οι πρώτες συσκευές μένουν συνδεδεμένες και η επόμενη απορρίπτεται ενώ οι άλλες συνεχίζουν. Ελέγξτε τη λίστα συσκευών του παρόχου πριν αλλάξετε πελάτη, γιατί ένα όριο άδειας δεν διορθώνεται από την πλευρά του πελάτη.

Ένα ανώτατο όριο δεμένο με τη δημόσια διεύθυνσή σας. Δύο φορητοί πίσω από ένα οικιακό δρομολογητή αποτυγχάνουν, ενώ η ίδια σύνδεση λειτουργεί από hotspot τηλεφώνου. Μετακινήστε τη δεύτερη συσκευή σε άλλο δίκτυο για να το δοκιμάσετε. Αν συνδεθεί εκεί, βλέπετε κανόνα ανά διεύθυνση ή κανόνα NAT και όχι τον αριθμό του λογαριασμού.

Μέγιστο σε όλο τον διακομιστή. Όλοι στην πύλη αποτυγχάνουν την ίδια ώρα αιχμής, ακόμα και λογαριασμοί που χθες ήταν εντάξει. Το --max-clients του OpenVPN συμπεριφέρεται έτσι και δεν έχει καμία σχέση με τις καταχωρισμένες συσκευές σας.

Καθαρίστε τις παλιές συνεδρίες πριν αγοράσετε περισσότερες θέσεις

Μια συνεδρία που τελείωσε άσχημα μπορεί να κρατά ακόμα μια θέση. Η λογιστική RADIUS γράφει μια εγγραφή όταν ξεκινά μια συνεδρία και την κλείνει όταν η συνεδρία σταματά. Όταν ένας πελάτης εξαφανιστεί, το σταμάτημα δεν φτάνει ποτέ και ο διακομιστής κρατά τη συνεδρία μέχρι να λήξει μια ενδιάμεση ενημέρωση ή ένα χρονικό όριο. Σε πύλη FreeRADIUS μπορείτε να δείτε τις ανοιχτές εγγραφές:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Μια ανοιχτή εγγραφή με παλιά ώρα έναρξης και χωρίς κίνηση ανήκει σε συσκευή που έχει ήδη φύγει. Κλείστε την από την κονσόλα του χειριστή ή με αίτημα αποσύνδεσης, πριν υποθέσετε ότι το όριο ήταν πραγματικό. Τα τηλέφωνα επανασυνδέονται όταν το Wi-Fi παραδίδει στη κινητή, και ένας φορητός μπορεί να τρέχει μια σήραγγα στο λειτουργικό σύστημα και άλλη μία μέσα σε εφαρμογή παρόχου, που μετρά ως δύο συνεδρίες από μία μηχανή.

Σταματήστε να μοιράζεστε μία ταυτότητα σε συσκευές που τρέχουν μαζί

Η διαρκής λύση είναι δομική. Δώστε σε κάθε συσκευή το δικό της πιστοποιητικό με μοναδικό κοινό όνομα ή τον δικό της λογαριασμό, και καταγράψτε ποιο πρόσωπο και ποια μηχανή το κρατά. Στο OpenVPN αυτό σημαίνει ένα πιστοποιητικό πελάτη ανά συσκευή, με το --duplicate-cn κλειστό εκτός αν θέλετε συμπεριφορά κατάληψης. Στο WireGuard, ένα ζεύγος κλειδιών ανά συσκευή, που παράγεται εκεί και δεν αντιγράφεται ποτέ.

Η κλωνοποίηση προφίλ για να παρακάμψετε ένα όριο συσκευών σπάει την ανάκληση. Η ανάκληση ενός αντιγράφου κόβει κάθε συσκευή που το μοιράζεται, και το αρχείο καταγραφής δεν μπορεί πλέον να πει ποια μηχανή έκανε τι. Αν το όριο είναι εμπορικό, η έντιμη λύση είναι μια επιπλέον θέση. Αν είναι εσωτερική πολιτική, ζητήστε δεύτερη ταυτότητα με τα ίδια δικαιώματα πρόσβασης.

Επαληθεύστε με σταθερή σειρά

Δοκιμάστε την επισκευή με τον ίδιο τρόπο κάθε φορά, ώστε το αποτέλεσμα να σημαίνει κάτι.

• Αποσυνδεθείτε σε κάθε συσκευή και επιβεβαιώστε ότι η ενεργή λίστα του διακομιστή είναι κενή. Μια εγγραφή που δεν καθαρίζει είναι παλιά συνεδρία και όχι σφάλμα του πελάτη.
• Συνδέστε τις συσκευές μία κάθε φορά και παρακολουθήστε τη λίστα ανάμεσα στις συνδέσεις.
• Αν δύο πρέπει να τρέχουν μαζί, επιβεβαιώστε ότι και οι δύο γραμμές έχουν διαφορετικές ταυτότητες και ότι και οι δύο κρατούν τη χειραψία τους φρέσκια.
• Επαναλάβετε μετά από μετάβαση από Wi-Fi σε κινητή, αφού μια επανασύνδεση μπορεί να δημιουργήσει δεύτερη εγγραφή.

Αν η παλιά συσκευή πέφτει ακόμα όταν συνδέεται η νέα, η πύλη επιβάλλει κανόνα ανά ταυτότητα για τον οποίο δεν σας έχει δοθεί εξαίρεση. Φέρτε στον χειριστή τα ονόματα των συσκευών, τις χρονικές σφραγίδες και τη λίστα ενεργών συνεδριών. Αυτό μετατρέπει ένα αόριστο παράπονο σε ερώτημα πολιτικής που μπορούν να απαντήσουν.