Sesjelimyt fan in dielde VPN-account: wêrom't ien apparaat útfalt

Jo foegje in twadde laptop ta oan it account dat al op jo telefoan draait, en de tunnel fan 'e telefoan falt binnen in minút út. Of it nije apparaat makket it ferbinen nea ôf, en de klant einiget op in beliedsberjocht ynstee fan in time-out. It netwurk is yn beide gefallen goed; der is boppe it netwurk in talittingsbeslissing nommen. In dielde oanmelding is ien identiteit, en de measte VPN-tsjinsten telle dy identiteit ynstee fan it oantal apparaten dat jo hawwe. Ik wurkje fan it skerm fan 'e klant nei bûten, want dat lit meastentiids sjen hokker laach jo wegere hat.

Lês it berjocht fan 'e klant foardat jo it netwurk oanreitsje

Trije flaters lykje op inoar en binne dat net. In time-out betsjut dat jo pakketten nearne oankaam binne. In TLS- of sertifikaatflater betsjut dat it einpunt antwurde hat, mar de hânskudding mislearre. In ôfwizing fan autentikaasje of belied betsjut dat de poarte jo oanmeldgegevens lies en se doe wegere. Allinnich de tredde heart by in ferhaal oer sesjelimyt, dus stel dy earst fêst.

OpenVPN-klanten hâlde de nijsgjirrige rigels yn har logpaneel. Skrol nei de lêste ferbiningspoging ynstee fan 'e werpogingslus dy't dêrop folget, en sykje nei AUTH_FAILED of in útsmiten redenstring. De klant meldt faak in algemiene ôfwizing sûnder útlis, dus de folgjende stap is de server, net de ynstellingen fan 'e klant. Appen fan oanbieders binne slimmer: in berjocht oer apparaatlimyt is nuttich, mar in ferbining dy't nei twa sekonden ynstoart is in beliedsbeslissing, net in ferkeard wachtwurd. Skriuw hoe dan ek de namme fan it apparaat en de krekte tiid op; in operator kin dat pear yn sekonden mei in tagongsrecord ferlykje.

Tel sesjes dêr't de server se telt

De teller dy't fan belang is wennet op 'e poarte. OpenVPN skriuwt in statusbestân as de server mei --status start wurdt, en listet elke ferbûn klant op mei syn mienskiplike namme, echte adres en ferkearstellers.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Twa rigels mei deselde mienskiplike namme binne twa libbene sesjes ûnder ien sertifikaat. Standert hâldt OpenVPN net beide: sûnder --duplicate-cn ferfangt in twadde ferbining mei itselde sertifikaat de earste, en it âldere apparaat ferliest syn tunnel. Dy ferfanging is it skaaimerk fan in identiteitslimyt. Tafallich pakketferlies ferbrekt net freonlik krekt ien apparaat op it stuit dat in oar ferskynt.

WireGuard hat gjin sesjetabel om te besjen. wg show wg0 printsje de pearen en har lêste hânskudding, en elk registrearre apparaat is in pear mei syn eigen kaai. In dield account is dêr in konfiguraasjebestân dat nei ferskate masines kopiearre is, en it limyt komt fan wat dy konfiguraasjes útjout: in portaal fan de oanbieder, in oantal sitten of in regel dy't oan jo iepenbiere adres bûn is. De OpenVPN 2.6-hantlieding dokumintearret de serverkant-opsjes as jo jo eigen poarte beheare.

Skied de fjouwer limiten dy't efter ien berjocht skûlje

De measte tickets oer in dield account binne ien fan fjouwer talittingsbeslissingen. De klant kin se net ûnderskiede, mar it patroan fan hokker apparaat falt wol.

Deselde identiteit, twadde ferbining. It nije apparaat wurket en it âlde stjert op itselde stuit. Dat is in regel foar tagelykheid per identiteit dy't de poarte of it accountsysteem hanthavent. Neat is stikken; de tsjinst docht wat syn belied seit.

Oantal sitten of apparaten op it plan. De earste apparaten bliuwe ferbûn en it folgjende wurdt wegere wylst de oaren trochrinne. Kontrollearje de apparatenlist fan 'e oanbieder foardat jo in klant feroarje, want in lisinsjelimyt kin net fan 'e klantkant ôf reparearre wurde.

In limyt bûn oan jo iepenbiere adres. Twa laptops efter ien thúsrouter falle ôf wylst deselde oanmelding fan in telefoanhotspot wurket. Ferpleats it twadde apparaat nei in oar netwurk om it te testen. As it dêr ferbynt, sjogge jo in regel per adres of in NAT-regel, net it oantal fan it account.

In maksimum foar de hiele server. Elkenien op 'e poarte falt op itselde drokke oere ôf, ek accounts dy't juster goed wiene. De --max-clients fan OpenVPN gedraacht him sa, en it hat neat te meitsjen mei jo registrearre apparaten.

Skjinje ferâldere sesjes op foardat jo mear sitten keapje

In sesje dy't min einige kin noch in plak hâlde. RADIUS-boekhâlding skriuwt in record as in sesje begjint en slút it as de sesje stoppet; as in klant ferdwynt, komt de stop nea en de server hâldt de sesje oant in tuskenfernijing of in time-out ferrint. Op in FreeRADIUS-poarte kinne jo de iepen records sjen:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

In iepen record mei in âlde starttiid en gjin ferkear heart by in apparaat dat al fuort is. Slút it fia de console fan 'e operator of mei in ôfskiedingsfersyk, foardat jo oannimme dat it limyt echt wie. Telefoanen ferbine op 'e nij as Wi-Fi oerdraacht oan mobyl, en in laptop kin ien tunnel yn it bestjoeringssysteem plus ien yn in app fan in oanbieder draaie, wat as twa sesjes fan ien masine telt.

Hâld op mei ien identiteit te dielen tusken apparaten dy't tegearre rinne

De duorsume oplossing is struktureel. Jou elk apparaat syn eigen sertifikaat mei in unike mienskiplike namme, of syn eigen account, en registrearje hokker persoan en masine it hat. Op OpenVPN betsjut dat ien kliïntsertifikaat per apparaat, mei --duplicate-cn útskeakele, útsein as jo oernamegedrach wolle; op WireGuard ien kaaipear per apparaat, dêr generearre en nea kopiearre.

In profyl klonje om in apparaatlimyt te omgean brekt yntrekking: it yntrekken fan ien kopy snijt elk apparaat dat dy dielt, en it log kin net mear sizze hokker masine wat die. As it limyt kommersjeel is, is de earlike oplossing in taheakke sit; as it yntern belied is, freegje om in twadde identiteit mei deselde tagongsrjochten.

Ferifiearje yn in fêste folchoarder

Test de reparaasje elke kear op deselde manier, sadat it resultaat wat betsjut.

• Meld ôf op elk apparaat en befêstigje dat de aktive list fan 'e server leech is; in yngong dy't net skjinnet is in ferâldere sesje, net in flater fan 'e klant.
• Ferbyn de apparaten ien foar ien en besjoch de list tusken de ferbiningen.
• As twa tegearre rinne moatte, befêstigje dat beide rigels ferskillende identiteiten hawwe en beide har hânskudding farsk hâlde.
• Werhelje nei in oergong fan Wi-Fi nei mobyl, want in nije ferbining kin in twadde record meitsje.

As it âlde apparaat noch altyd útfalt as it nije ferbynt, hanthavent de poarte in regel per identiteit dêr't jo gjin útsûndering foar krigen hawwe. Nim de apparaatnammen, de tiidstimpels en de list fan aktive sesjes nei de operator; dat makket in ûndúdlike klacht ta in beliedsfraach dy't se beantwurdzje kinne.