Sesiolimo de kunhavata VPN-konto: kial unu aparato falas

Vi aldonas duan tekkomputilon al la konto, kiu jam funkcias sur via telefono, kaj la tunelo de la telefono falas ene de minuto. Aŭ la nova aparato neniam finas konektiĝi, kaj la kliento finiĝas per politika mesaĝo anstataŭ per tempolimo. La reto estas en ordo en ambaŭ kazoj; decido pri akcepto estis farita super ĝi. Kunhavata ensaluto estas unu identeco, kaj plimulto de VPN-servoj nombradas tiun identecon anstataŭ la nombron de aparatoj, kiujn vi posedas. Mi laboras ekde la klienta ekrano eksteren, ĉar ĝi kutime montras, kiu tavolo rifuzis vin.

Legu la mesaĝon de la kliento antaŭ ol tuŝi la reton

Tri paneoj aspektas similaj kaj ne estas. Tempolimo signifas, ke viaj pakoj atingis nenion. TLS- aŭ atestila eraro signifas, ke la finpunkto respondis sed la manpremo malsukcesis. Rifuzo de aŭtentigo aŭ politiko signifas, ke la enirejo legis viajn akreditaĵojn kaj poste malakceptis ilin. Nur la tria apartenas al historio pri sesiolimo, do unue fiksu ĝin.

Klientoj de OpenVPN tenas la interesajn liniojn en sia protokola panelo. Rulumu al la lasta konektoprovo anstataŭ al la ripeta buklo post ĝi, kaj serĉu AUTH_FAILED aŭ senditan kialan ĉenon. La kliento ofte raportas ĝeneralan rifuzon sen klarigo, do la sekva paŝo estas la servilo, ne la agordoj de la kliento. Aplikoj de provizantoj estas pli malbonaj: mesaĝo pri aparatolimo utilas, sed konekto, kiu kolapsas post du sekundoj, estas politika decido, ne malbona pasvorto. Ĉiuokaze notu la nomon de la aparato kaj la ĝustan horon; operatoro povas akordigi tiun paron kun alirregistro en sekundoj.

Nombru sesiojn tie, kie la servilo nombradas ilin

La nombrilo, kiu gravas, loĝas sur la enirejo. OpenVPN skribas statusan dosieron, kiam la servilo startas kun --status, listigante ĉiun konektitan klienton kun ĝia komuna nomo, reala adreso kaj trafikaj nombriloj.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Du vicoj kun la sama komuna nomo estas du vivantaj sesioj sub unu atestilo. Defaŭlte OpenVPN ne tenas ambaŭ: sen --duplicate-cn dua konekto uzanta la saman atestilon anstataŭas la unuan, kaj la pli malnova aparato perdas sian tunelon. Tiu anstataŭo estas la subskribo de identeclimo. Hazarda pakoperdo ne ĝentile malkonektas precize unu aparaton en la momento, kiam alia aperas.

WireGuard ne havas sesian tabelon por inspekti. wg show wg0 presas la partnerojn kaj ilian lastan manpremon, kaj ĉiu registrita aparato estas partnero kun propra ŝlosilo. Kunhavata konto tie estas agorda dosiero kopiita al pluraj maŝinoj, kaj la limo venas de tio, kio disdonas tiujn agordojn: portalo de provizanto, nombro de sidejoj aŭ regulo ligita al via publika adreso. La manlibro de OpenVPN 2.6 dokumentas la servilflankajn opciojn, se vi mem funkciigas enirejon.

Apartigu la kvar limojn, kiuj kaŝiĝas malantaŭ unu mesaĝo

Plimulto de biletoj pri kunhavata konto estas unu el kvar akceptaj decidoj. La kliento ne povas distingi ilin, sed la ŝablono de tio, kiu aparato falas, povas.

Sama identeco, dua konekto. La nova aparato funkcias kaj la malnova mortas en la sama momento. Tio estas regulo pri samtempeco por identeco, kiun plenumas la enirejo aŭ la konta sistemo. Nenio estas rompita; la servo faras tion, kion diras ĝia politiko.

Nombro de sidejoj aŭ aparatoj en la plano. La unuaj aparatoj restas konektitaj kaj la sekva estas rifuzata, dum la aliaj daŭre funkcias. Kontrolu la aparatliston de la provizanto antaŭ ol ŝanĝi klienton, ĉar licencan limon oni ne povas ripari de la klienta flanko.

Supra limo ligita al via publika adreso. Du tekkomputiloj malantaŭ unu hejma enkursigilo falas, dum la sama ensaluto funkcias el poŝtelefona konekta punkto. Movu la duan aparaton al alia reto por testi. Se ĝi konektiĝas tie, vi rigardas regulon laŭ adreso aŭ regulon NAT, ne la kontan nombron.

Maksimumo por la tuta servilo. Ĉiuj sur la enirejo falas en la sama okupata horo, inkluzive de kontoj, kiuj hieraŭ estis en ordo. --max-clients de OpenVPN kondutas tiel, kaj ĝi havas nenion komunan kun viaj registritaj aparatoj.

Purigu malnoviĝintajn sesiojn antaŭ ol aĉeti pliajn sidejojn

Sesio, kiu finiĝis malbone, povas ankoraŭ teni lokon. RADIUS-kontado skribas registron, kiam sesio komenciĝas, kaj fermas ĝin, kiam la sesio haltas; kiam kliento malaperas, la halto neniam alvenas kaj la servilo tenas la sesion, ĝis provizora ĝisdatigo aŭ tempolimo finiĝas. Sur FreeRADIUS-enirejo vi povas vidi la malfermitajn registojn:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Malfermita registro kun malnova komenca tempo kaj sen trafiko apartenas al aparato, kiu jam foriris. Fermu ĝin per la konzolo de la operatoro aŭ per malkonekta peto, antaŭ ol supozi, ke la limo estis reala. Telefonoj rekonektiĝas, kiam Wi-Fi transdonas al la poŝreto, kaj tekkomputilo povas funkciigi unu tunelon en la operaciumo plus alian ene de provizanta aplikaĵo, kio nombriĝas kiel du sesioj el unu maŝino.

Ĉesu kunhavigi unu identecon inter aparatoj, kiuj funkcias kune

La daŭra solvo estas struktura. Donu al ĉiu aparato sian propran atestilon kun unika komuna nomo aŭ sian propran konton, kaj registru, kiu persono kaj maŝino tenas ĝin. Ĉe OpenVPN tio signifas unu klientan atestilon por aparato, kun --duplicate-cn malŝaltita krom se vi volas transprenan konduton; ĉe WireGuard unu ŝlosilparon por aparato, generitan tie kaj neniam kopiitan.

Klonado de profilo por eviti aparatolimon rompas revokadon: revoko de unu kopio fortranĉas ĉiun aparaton, kiu kunhavas ĝin, kaj la protokolo ne plu povas diri, kiu maŝino faris kion. Se la limo estas komerca, la honesta solvo estas aldonita sidejo; se ĝi estas interna politiko, petu duan identecon kun la samaj alirrajtoj.

Kontrolu laŭ fiksa ordo

Testu la riparon same ĉiufoje, por ke la rezulto signifu ion.

• Elsalutu sur ĉiu aparato kaj konfirmu, ke la aktiva listo de la servilo estas malplena; enskribo, kiu ne puriĝas, estas malnova sesio, ne klienta cimo.
• Konektu la aparatojn unu post la alia kaj observu la liston inter la konektoj.
• Se du devas funkcii kune, konfirmu, ke ambaŭ vicoj portas malsamajn identecojn kaj ke ambaŭ tenas sian manpremon freŝa.
• Ripetu post transiro de Wi-Fi al poŝreto, ĉar rekonekto povas krei duan registron.

Se la malnova aparato ankoraŭ falas, kiam la nova konektiĝas, la enirejo plenumas regulon laŭ identeco, por kiu vi ne ricevis escepton. Alportu al la operatoro la aparatnomojn, la tempomarkojn kaj la liston de aktivaj sesioj; tio ŝanĝas nebulan plendon en politikan demandon, kiun ili povas respondi.