Jagatud VPN-konto sessioonipiirang: miks üks seade välja kukub

Lisate kontole, mis juba töötab teie telefonis, teise sülearvuti, ja telefoni tunnel kukub minuti jooksul välja. Või ei lõpeta uus seade kunagi ühendamist ja klient lõpeb ajutise asemel poliitikateatega. Võrk on mõlemal juhul korras; otsus tehti selle kohal. Jagatud sisselogimine on üks identiteet ja enamik VPN-teenuseid loeb seda identiteeti, mitte teie seadmete arvu. Ma töötan kliendi ekraanist väljapoole, sest see näitab tavaliselt, milline kiht teid tagasi lükkas.

Lugege kliendi teadet, enne kui võrku puudutate

Kolm tõrget näevad sarnased välja ja ei ole seda. Aegumine tähendab, et teie paketid ei jõudnud kuhugi. TLS-i või sertifikaadi viga tähendab, et lõpp-punkt vastas, kuid käepigistus ebaõnnestus. Autentimise või poliitika tagasilükkamine tähendab, et lüüs luges teie mandaadid ja lükkas need seejärel tagasi. Ainult kolmas kuulub sessioonipiirangu lugu, seega tehke see esimesena kindlaks.

OpenVPN-kliendid hoiavad huvitavaid ridu oma logipaneelis. Kerige viimase ühenduskatseni, mitte sellele järgnevale korduskatse ahelale, ja otsige AUTH_FAILED või saadetud põhjuse stringi. Klient teatab sageli üldisest tagasilükkamisest ilma selgituseta, seega on järgmine samm server, mitte kliendi seaded. Teenusepakkuja rakendused on hullemad: seadmepiirangu teade on kasulik, kuid kahe sekundi pärast kokku kukkuv ühendus on poliitikaotsus, mitte vale parool. Kirjutage igal juhul üles seadme nimi ja täpne aeg; operaator saab selle paari sekundite jooksul juurdepääsukirjega sobitada.

Loendage sessioone seal, kus server neid loeb

Loendur, millel on tähtsust, elab lüüsil. OpenVPN kirjutab olekufaili, kui server käivitatakse valikuga --status, loetledes iga ühendatud kliendi selle üldnime, tegeliku aadressi ja liiklusloenduritega.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Kaks rida sama üldnimega on kaks elusat sessiooni ühe sertifikaadi all. Vaikimisi ei hoia OpenVPN mõlemat: ilma valikuta --duplicate-cn asendab sama sertifikaati kasutav teine ühendus esimest ja vanem seade kaotab oma tunneli. See asendamine on identiteedipiirangu tunnus. Juhuslik paketikaotus ei ühenda viisakalt lahti täpselt üht seadet hetkel, mil ilmub teine.

WireGuardil pole sessioonitabelit, mida uurida. wg show wg0 trükib partnerid ja nende viimase käepigistuse ning iga registreeritud seade on partner oma võtmega. Jagatud konto on seal mitmesse masinasse kopeeritud konfiguratsioonifail ja piirang tuleb sellest, mis neid konfiguratsioone jagab: teenusepakkuja portaal, kohtade arv või teie avaliku aadressiga seotud reegel. OpenVPN 2.6 käsiraamat dokumenteerib serveripoolsed valikud, kui hoiate oma lüüsi.

Eraldage neli piirangut, mis peidavad end ühe teate taga

Enamik jagatud konto pöördumisi on üks neljast vastuvõtuotsusest. Klient ei suuda neid eristada, kuid muster, milline seade ebaõnnestub, suudab.

Sama identiteet, teine ühendus. Uus seade töötab ja vana sureb samal hetkel. See on identiteedipõhine samaaegsuse reegel, mida jõustab lüüs või kontosüsteem. Miski pole katki; teenus teeb seda, mida selle poliitika ütleb.

Kohtade või seadmete arv paketis. Esimesed seadmed jäävad ühendatuks ja järgmine lükatakse tagasi, samal ajal kui teised jätkavad. Kontrollige teenusepakkuja seadmete loendit enne kliendi muutmist, sest litsentsipiirangut ei saa kliendi poolelt parandada.

Teie avaliku aadressiga seotud ülempiir. Kaks sülearvutit ühe koduruuteri taga ebaõnnestuvad, samal ajal kui sama sisselogimine töötab telefoni hotspotist. Liigutage teine seade testmiseks teise võrku. Kui see seal ühendub, vaatate aadressipõhist või NAT-reeglit, mitte konto arvu.

Serveripõhine maksimum. Kõik lüüsil ebaõnnestuvad samal tipptunnil, sealhulgas kontod, mis eile olid korras. OpenVPN-i --max-clients käitub nii ja sellel pole teie registreeritud seadmetega midagi pistmist.

Puhastage aegunud sessioonid enne, kui ostate juurde kohti

Halvasti lõppenud sessioon võib endiselt kohta hoida. RADIUS-arvestus kirjutab kirje sessiooni alguses ja sulgeb selle sessiooni lõppedes; kui klient kaob, ei saabu lõpp kunagi ja server hoiab sessiooni, kuni vahekokkuvõte või aegumine lõpeb. FreeRADIUS-lüüsil näete avatud kirjeid:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Avatud kirje vana algusaja ja liikluseta kuulub seadmele, mis on juba kadunud. Sulgege see operaatori konsoolist või ühenduse katkestamise taotlusega, enne kui eeldate, et piirang oli tõeline. Telefonid ühenduvad uuesti, kui Wi-Fi annab üle mobiilsidele, ja sülearvuti võib hoida üht tunnelit operatsioonisüsteemis ja teist teenusepakkuja rakenduses, mis loetakse kaheks sessiooniks ühest masinast.

Lõpetage ühe identiteedi jagamine seadmete vahel, mis töötavad koos

Püsiv lahendus on struktuurne. Andke igale seadmele oma sertifikaat kordumatu üldnimega või oma konto ja registreerige, milline inimene ja masin seda hoiab. OpenVPN-is tähendab see üht kliendisertifikaati seadme kohta, kusjuures --duplicate-cn jääb välja, kui te ei soovi ülevõtmise käitumist; WireGuardis üht võtmepaari seadme kohta, mis luuakse seal ja mida ei kopeerita kunagi.

Profiili kloonimine seadmepiirangust möödaminekuks lõhub tühistamise: ühe koopia tühistamine lõikab iga seadme, mis seda jagab, ja logi ei saa enam öelda, milline masin mida tegi. Kui piirang on kommertsiaalne, on aus lahendus lisakoht; kui see on sisepoliitika, küsige teist identiteeti samade juurdepääsuõigustega.

Kontrollige kindlas järjekorras

Testige parandust iga kord samamoodi, et tulemus midagi tähendaks.

• Logige igast seadmest välja ja kinnitage, et serveri aktiivne loend on tühi; kirje, mis ei puhastu, on aegunud sessioon, mitte kliendi viga.
• Ühendage seadmeid ükshaaval ja jälgige loendit ühenduste vahel.
• Kui kaks peavad koos töötama, kinnitage, et mõlemad read kannavad erinevaid identiteete ja mõlemad hoiavad oma käepigistust värskena.
• Korrake pärast Wi-Fi-lt mobiilsidele üleminekut, sest uuesti ühendamine võib luua teise kirje.

Kui vana seade kukub endiselt välja, kui uus ühendub, jõustab lüüs identiteedipõhist reeglit, millele te pole erandit saanud. Tooge operaatorile seadmete nimed, ajatemplid ja aktiivsete sessioonide loend; see muudab ebamäärase kaebuse poliitikaküsimuseks, millele nad saavad vastata.