Jaetun VPN-tilin istuntoraja: miksi yksi laite putoaa

Lisäät toisen kannettavan tiliin, joka jo toimii puhelimessasi, ja puhelimen tunneli putoaa minuutin sisällä. Tai uusi laite ei koskaan saa yhteyttä valmiiksi ja asiakasohjelma päätyy aikakatkaisun sijaan käytäntöviestiin. Verkko on kunnossa molemmissa tapauksissa; päätös tehtiin sen yläpuolella. Jaettu kirjautuminen on yksi identiteetti, ja useimmat VPN-palvelut laskevat tuon identiteetin, eivät omistamiesi laitteiden määrää. Työskentelen asiakasohjelman näytöstä ulospäin, koska se yleensä näyttää, mikä kerros hylkäsi sinut.

Lue asiakasohjelman viesti ennen kuin kosket verkkoon

Kolme vikaa näyttävät samoilta eivätkä ole. Aikakatkaisu tarkoittaa, että pakettisi eivät saavuttaneet mitään. TLS- tai varmennevirhe tarkoittaa, että päätepiste vastasi mutta kättely epäonnistui. Todennuksen tai käytännön hylkäys tarkoittaa, että yhdyskäytävä luki tunnuksesi ja hylkäsi ne sitten. Vain kolmas kuuluu istuntorajan tarinaan, joten selvitä se ensin.

OpenVPN-asiakasohjelmat pitävät kiinnostavat rivit lokipaneelissaan. Vieritä viimeiseen yhteysyritykseen, älä sitä seuraavaan uudelleenyrityssilmukkaan, ja etsi AUTH_FAILED tai lähetetty syymerkkijono. Asiakasohjelma ilmoittaa usein yleisestä hylkäyksestä ilman selitystä, joten seuraava askel on palvelin, ei asiakasohjelman asetukset. Palveluntarjoajien sovellukset ovat pahempia: laiterajaviesti on hyödyllinen, mutta kahden sekunnin kuluttua romahtava yhteys on käytäntöpäätös, ei huono salasana. Kirjoita laitteen nimi ja tarkka aika joka tapauksessa muistiin; operaattori voi sovittaa sen parin pääsytietueeseen sekunneissa.

Laske istunnot siellä, missä palvelin laskee ne

Tärkeä laskuri asuu yhdyskäytävässä. OpenVPN kirjoittaa tilatiedoston, kun palvelin käynnistetään valitsimella --status, ja luettelee jokaisen yhdistetyn asiakasohjelman yleisnimineen, todellisine osoitteineen ja liikennelaskureineen.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Kaksi riviä samalla yleisnimellä ovat kaksi elävää istuntoa yhden varmenteen alla. Oletuksena OpenVPN ei pidä molempia: ilman valitsinta --duplicate-cn toinen yhteys samalla varmenteella korvaa ensimmäisen, ja vanhempi laite menettää tunnelinsa. Tämä korvaus on identiteettirajan allekirjoitus. Satunnainen pakettihäviö ei kohteliaasti katkaise täsmälleen yhtä laitetta hetkellä, jolloin toinen ilmestyy.

WireGuardilla ei ole istuntotaulukkoa tarkasteltavaksi. wg show wg0 tulostaa vertaiset ja niiden viimeisimmän kättelyn, ja jokainen rekisteröity laite on vertainen omalla avaimellaan. Jaettu tili on siellä usealle koneelle kopioitu asetustiedosto, ja raja tulee siitä, mikä noita asetuksia jakaa: palveluntarjoajan portaali, paikkamäärä tai julkinen osoitteeseesi sidottu sääntö. OpenVPN 2.6 -käsikirja dokumentoi palvelinpuolen valitsimet, jos pidät omaa yhdyskäytävää.

Erottele neljä rajaa, jotka piiloutuvat yhden viestin taakse

Useimmat jaetun tilin tiketit ovat yksi neljästä sisäänottopäätöksestä. Asiakasohjelma ei pysty erottamaan niitä, mutta kuvio siitä, mikä laite epäonnistuu, pystyy.

Sama identiteetti, toinen yhteys. Uusi laite toimii ja vanha kuolee samalla hetkellä. Se on identiteettikohtainen samanaikaisuussääntö, jota yhdyskäytävä tai tilijärjestelmä valvoo. Mikään ei ole rikki; palvelu tekee sen, mitä sen käytäntö sanoo.

Paikka- tai laitemäärä tilauksessa. Ensimmäiset laitteet pysyvät yhdistettyinä ja seuraava hylätään muiden jatkaessa. Tarkista palveluntarjoajan laiteluettelo ennen kuin muutat asiakasohjelmaa, koska lisenssirajaa ei voi korjata asiakasohjelman puolelta.

Julkiseen osoitteeseesi sidottu yläraja. Kaksi kannettavaa yhden kotireitittimen takana epäonnistuu, kun sama kirjautuminen toimii puhelimen hot spotista. Siirrä toinen laite toiseen verkkoon testataksesi. Jos se yhdistyy siellä, katsot osoitekohtaista sääntöä tai NAT-sääntöä, et tilin määrää.

Koko palvelimen enimmäismäärä. Kaikki yhdyskäytävässä epäonnistuvat samana ruuhkahetkenä, myös tilit, jotka olivat eilen kunnossa. OpenVPN:n --max-clients käyttäytyy näin, eikä sillä ole mitään tekemistä rekisteröityjen laitteidesi kanssa.

Siivoa vanhentuneet istunnot ennen kuin ostat lisää paikkoja

Huonosti päättynyt istunto voi yhä pitää paikan. RADIUS-kirjanpito kirjoittaa tietueen, kun istunto alkaa, ja sulkee sen, kun istunto pysähtyy; kun asiakasohjelma katoaa, pysäytys ei koskaan saavu ja palvelin pitää istunnon, kunnes väliaikainen päivitys tai aikakatkaisu päättyy. FreeRADIUS-yhdyskäytävässä näet avoimet tietueet:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Avoin tietue, jossa on vanha alkamisaika eikä lainkaan liikennettä, kuuluu laitteelle, joka on jo poissa. Sulje se operaattorin konsolista tai katkaisupyynnöllä, ennen kuin oletat rajan olleen todellinen. Puhelimet yhdistyvät uudelleen, kun Wi-Fi luovuttaa matkapuhelinverkolle, ja kannettava voi pitää yhtä tunnelia käyttöjärjestelmässä ja toista palveluntarjoajan sovelluksessa, mikä lasketaan kahdeksi istunnoksi yhdestä koneesta.

Lopeta yhden identiteetin jakaminen laitteille, jotka toimivat yhdessä

Kestävä korjaus on rakenteellinen. Anna jokaiselle laitteelle oma varmenne, jolla on ainutlaatuinen yleisnimi, tai oma tili, ja kirjaa, kuka henkilö ja mikä kone sitä pitää. OpenVPN:ssä se tarkoittaa yhtä asiakasvarmennetta laitetta kohti, ja --duplicate-cn jätetään pois päältä, ellet halua haltuunottokäyttäytymistä; WireGuardissa yhtä avainparia laitetta kohti, joka luodaan siellä eikä sitä koskaan kopioida.

Profiilin kloonaaminen laiterajan kiertämiseksi rikkoo peruutuksen: yhden kopion peruutus katkaisee jokaisen laitteen, joka jakaa sen, eikä loki voi enää kertoa, mikä kone teki mitä. Jos raja on kaupallinen, rehellinen korjaus on lisätty paikka; jos se on sisäinen käytäntö, pyydä toista identiteettiä samoilla käyttöoikeuksilla.

Vahvista kiinteässä järjestyksessä

Testaa korjaus joka kerta samalla tavalla, jotta tuloksella on merkitys.

• Kirjaudu ulos jokaiselta laitteelta ja vahvista, että palvelimen aktiiviluettelo on tyhjä; merkintä, joka ei poistu, on vanhentunut istunto eikä asiakasohjelman vika.
• Yhdistä laitteet yksi kerrallaan ja seuraa luetteloa yhteyksien välillä.
• Jos kahden on toimittava yhdessä, vahvista, että molemmilla riveillä on eri identiteetti ja että molemmat pitävät kättelynsä tuoreena.
• Toista Wi-Fi:stä matkapuhelinverkkoon siirtymisen jälkeen, koska uudelleenyhdistäminen voi luoda toisen tietueen.

Jos vanha laite putoaa yhä, kun uusi yhdistyy, yhdyskäytävä valvoo identiteettikohtaista sääntöä, johon sinulle ei ole myönnetty poikkeusta. Vie operaattorille laitteiden nimet, aikaleimat ja aktiivisten istuntojen luettelo; se muuttaa epämääräisen valituksen käytäntökysymykseksi, johon he voivat vastata.