Partekatutako VPN kontuaren saio-muga: zergatik erortzen den gailu bat

Telefonoan jada dabilen kontuari bigarren ordenagailu eramangarri bat gehitzen diozu, eta telefonoaren tunela minutu batean erortzen da. Edo gailu berriak ez du inoiz konexioa amaitzen, eta bezeroak politika-mezu batean bukatzen du, denbora-mugan beharrean. Sarea ondo dago bi kasuetan; erabakia haren gainean hartu zen. Partekatutako saio-hasiera identitate bat da, eta VPN zerbitzu gehienek identitate hori zenbatzen dute, ez daukazun gailu kopurua. Bezeroaren pantailatik kanpora lan egiten dut, normalean erakusten baitu zein geruzak uko egin zizun.

Irakurri bezeroaren mezua sarea ukitu aurretik

Hiru hutsegite antzekoak dira eta ez dira. Denbora-muga batek zure paketeek inora iritsi ez zirela esan nahi du. TLS edo ziurtagiri errore batek muturrak erantzun zuela baina esku-ematea huts egin zuela esan nahi du. Autentifikazio edo politika ukapen batek atebideak zure kredentzialak irakurri eta gero ukatu zituela esan nahi du. Hirugarrena soilik dagokio saio-mugaren istorioari, beraz, finkatu hura lehenengo.

OpenVPN bezeroek lerro interesgarriak gordetzen dituzte beren erregistro panelean. Joan azken konexio-saiakerara, ez ondoren datorren berriro saiatzeko begiztara, eta bilatu AUTH_FAILED edo bidalitako arrazoi-kate bat. Bezeroak askotan ukapen orokorra jakinarazten du azalpenik gabe, beraz hurrengo urratsa zerbitzaria da, ez bezeroaren ezarpenak. Hornitzaileen aplikazioak okerragoak dira: gailu-mugaren mezu bat erabilgarria da, baina bi segundo igaro ondoren erortzen den konexioa politika-erabakia da, ez pasahitz txarra. Idatzi gailuaren izena eta ordu zehatza edozein kasutan; operadore batek pare hori sarbide-erregistro batekin pareka dezake segundoetan.

Zenbatu saioak zerbitzariak zenbatzen dituen tokian

Garrantzia duen kontagailua atebidean bizi da. OpenVPN-k egoera-fitxategi bat idazten du zerbitzaria --status aukerarekin abiatzen denean, konektatutako bezero bakoitza bere izen komunarekin, benetako helbidearekin eta trafiko-kontagailuekin zerrendatuz.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Izen komun bera duten bi errenkada ziurtagiri bakarraren peko bi saio bizirik dira. Lehenespenez OpenVPN-k ez ditu biak gordetzen: --duplicate-cn gabe, ziurtagiri bera erabiltzen duen bigarren konexio batek lehenengoa ordezkatzen du, eta gailu zaharrak bere tunela galtzen du. Ordezkapen hori identitate-mugaren sinadura da. Ausazko pakete-galerek ez dute gailu bat soilik adeitasunez deskonektatzen beste bat agertzen den unean.

WireGuard-ek ez du saio-taularik ikuskatzeko. wg show wg0 komandoak kideak eta haien azken esku-ematea inprimatzen ditu, eta erregistratutako gailu bakoitza bere gakoa duen kide bat da. Han partekatutako kontua hainbat makinatara kopiatutako konfigurazio-fitxategi bat da, eta muga konfigurazio horiek banatzen dituenaren araberakoa da: hornitzailearen ataria, eserleku-kontua edo zure helbide publikora lotutako araua. OpenVPN 2.6 eskuliburuak zerbitzari aldeko aukerak dokumentatzen ditu zure atebidea zuk kudeatzen baduzu.

Bereizi mezu bakar baten atzean ezkutatzen diren lau mugak

Partekatutako kontuen txartel gehienak onarpen-erabaki lauetako bat dira. Bezeroak ezin ditu bereizi, baina huts egiten duen gailuaren ereduak bai.

Identitate bera, bigarren konexioa. Gailu berria dabil eta zaharra une berean hiltzen da. Identitate bakoitzeko aldi bereko arau bat da, atebideak edo kontu-sistemak ezarria. Ez dago ezer hautsita; zerbitzuak bere politikan esaten duena egiten du.

Planean eserleku edo gailu-kontua. Lehen gailuak konektatuta geratzen dira eta hurrengoa ukatzen da, besteek lanean jarraitzen duten bitartean. Begiratu hornitzailearen gailuen zerrenda bezero bat aldatu aurretik, lizentzia-muga ezin baita bezero aldean konpondu.

Zure helbide publikora lotutako muga. Etxeko router bakar baten atzeko bi ordenagailu eramangarrik huts egiten dute, saio-hasiera berak telefonoaren hotspotetik funtzionatzen duen bitartean. Eraman bigarren gailua beste sare batera probatzeko. Han konektatzen bada, helbide bakoitzeko araua edo NAT araua ikusten ari zara, ez kontuaren kopurua.

Zerbitzari osoko maximoa. Atebideko guztiek ordu punta berean huts egiten dute, atzo ondo zeuden kontuek barne. OpenVPN-ren --max-clients horrela jokatzen du, eta ez du zerikusirik erregistratu dituzun gailuekin.

Garbitu saio zaharkituak eserleku gehiago erosi aurretik

Gaizki amaitu zen saio batek oraindik leku bat har dezake. RADIUS kontabilitateak erregistro bat idazten du saioa hasten denean eta ixten du saioa gelditzen denean; bezero bat desagertzen denean, geldiaraztea ez da inoiz iristen eta zerbitzariak saioa mantentzen du tarteko eguneratze edo denbora-muga bat iraungi arte. FreeRADIUS atebide batean erregistro irekiak ikus ditzakezu:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Hasiera-ordu zaharra eta trafikorik ez dituen erregistro ireki bat jada joan den gailu batenak da. Itxi ezazu operadorearen kontsola edo deskonexio-eskaera baten bidez, muga erreala zela pentsatu aurretik. Telefonoak berriro konektatzen dira Wi-Fi-k mugikorrera pasatzen duenean, eta ordenagailu eramangarri batek tunel bat exekuta dezake sistema eragilean eta beste bat hornitzailearen aplikazio baten barruan, eta hori bi saio bezala zenbatzen da makina batetik.

Utzi identitate bat elkarrekin dabiltzan gailuen artean partekatzeari

Konponbide iraunkorra egiturazkoa da. Eman gailu bakoitzari izen komun bakarra duen ziurtagiri propioa edo bere kontua, eta erregistratu zein pertsonak eta zein makinak daukaten. OpenVPN-n horrek bezero ziurtagiri bat esan nahi du gailu bakoitzeko, --duplicate-cn itzalita utzita, ez baduzu jabetze-jokabiderik nahi; WireGuard-en, gako-pare bat gailu bakoitzeko, han sortua eta inoiz kopiatu gabea.

Gailu-muga bat saihesteko profila klonatzeak baliogabetzea hausten du: kopia bat baliogabetzeak harekin partekatzen duen gailu guztia mozten du, eta erregistroak ezin du jada esan zein makinak zer egin zuen. Muga komertziala bada, konponbide zintzoa eserleku gehigarri bat da; barne-politika bada, eskatu identitate bigarren bat sarbide-eskubide berberekin.

Egiaztatu ordena finko batean

Probatu konponketa beti modu berean, emaitzak zerbait esan dezan.

• Amaitu saioa gailu guztietan eta berretsi zerbitzariaren zerrenda aktiboa hutsik dagoela; garbitzen ez den sarrera bat saio zaharkitua da, ez bezeroaren akatsa.
• Konektatu gailuak banan-banan eta begiratu zerrenda konexioen artean.
• Bik elkarrekin ibili behar badute, berretsi bi errenkadek identitate desberdinak dituztela eta biek esku-ematea fresko mantentzen dutela.
• Errepikatu Wi-Fi-tik mugikorrera pasatu ondoren, berriz konektatzeak bigarren erregistro bat sor baitezake.

Gailu zaharrak oraindik erortzen bada berria konektatzen denean, atebideak identitate bakoitzeko arau bat ezartzen du, eta ez zaizu salbuespenik eman. Eraman operadoreari gailuen izenak, denbora-markak eta saio aktiboen zerrenda; horrek kexa lausoa erantzun dezaketen politika-galdera bihurtzen du.