Համօգտագործվող VPN հաշվի սեսիայի սահմանաչափը՝ ինչու է մեկ սարք ընկնում

Դուք երկրորդ նոթբուք եք ավելացնում այն հաշվին, որն արդեն աշխատում է ձեր հեռախոսում, և հեռախոսի թունելը ընկնում է մեկ րոպեի ընթացքում։ Կամ նոր սարքը երբեք չի ավարտում միացումը, և հաճախորդը ավարտվում է քաղաքականության հաղորդագրությամբ՝ ժամկետի փոխարեն։ Ցանցը երկու դեպքում էլ լավ է. որոշումը կայացվել է դրա վերևում։ Համօգտագործվող մուտքը մեկ ինքնություն է, և VPN ծառայությունների մեծ մասը հաշվում է այդ ինքնությունը, այլ ոչ թե ձեր սարքերի քանակը։ Ես աշխատում եմ հաճախորդի էկրանից դեպի դուրս, որովհետև այն սովորաբար ցույց է տալիս, թե որ շերտը մերժեց ձեզ։

Կարդացեք հաճախորդի հաղորդագրությունը՝ նախքան ցանցին դիպչելը

Երեք խափանում նման են թվում և այդպիսին չեն։ Ժամկետի սպառումը նշանակում է, որ ձեր փաթեթները ոչ մի տեղ չեն հասել։ TLS-ի կամ վկայագրի սխալը նշանակում է, որ վերջնակետը պատասխանել է, բայց ձեռքսեղմումը ձախողվել է։ Նույնականացման կամ քաղաքականության մերժումը նշանակում է, որ դարպասը կարդացել է ձեր հավատարմագրերը և հետո մերժել դրանք։ Միայն երրորդն է պատկանում սեսիայի սահմանի պատմությանը, ուստի նախ հաստատեք այն։

OpenVPN հաճախորդները հետաքրքիր տողերը պահում են իրենց մատյանի վահանակում։ Ոլորեք մինչև վերջին միացման փորձը, այլ ոչ թե դրան հաջորդող կրկնափորձերի հանգույցը, և փնտրեք AUTH_FAILED կամ ուղարկված պատճառի տող։ Հաճախորդը հաճախ հաղորդում է ընդհանուր մերժման մասին՝ առանց բացատրության, ուստի հաջորդ քայլը սերվերն է, ոչ թե հաճախորդի կարգավորումները։ Մատակարարի հավելվածներն ավելի վատն են. սարքի սահմանի հաղորդագրությունն օգտակար է, բայց երկու վայրկյան հետո փլուզվող միացումը քաղաքականության որոշում է, ոչ թե վատ գաղտնաբառ։ Ամեն դեպքում գրի առեք սարքի անունը և ճշգրիտ ժամը. օպերատորը կարող է այդ զույգը վայրկյանների ընթացքում համադրել մուտքի գրառման հետ։

Հաշվեք սեսիաները այնտեղ, որտեղ սերվերն է հաշվում դրանք

Կարևոր հաշվիչը ապրում է դարպասի վրա։ OpenVPN-ը գրում է կարգավիճակի ֆայլ, երբ սերվերը գործարկվում է --status-ով՝ թվարկելով յուրաքանչյուր միացած հաճախորդ իր ընդհանուր անունով, իրական հասցեով և երթևեկության հաշվիչներով։

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Նույն ընդհանուր անունով երկու տող երկու կենդանի սեսիա են մեկ վկայագրի ներքո։ Լռելյայն OpenVPN-ը չի պահում երկուսն էլ. առանց --duplicate-cn-ի նույն վկայագիրն օգտագործող երկրորդ միացումը փոխարինում է առաջինին, և ավելի հին սարքը կորցնում է իր թունելը։ Այդ փոխարինումը ինքնության սահմանի ստորագրությունն է։ Պատահական փաթեթների կորուստը քաղաքավարիորեն չի անջատում ուղիղ մեկ սարք այն պահին, երբ հայտնվում է մյուսը։

WireGuard-ը սեսիաների աղյուսակ չունի ստուգելու համար։ wg show wg0-ը տպում է գործընկերներին և նրանց վերջին ձեռքսեղմումը, և յուրաքանչյուր գրանցված սարք գործընկեր է իր սեփական բանալիով։ Այնտեղ համօգտագործվող հաշիվը մի քանի մեքենաների վրա պատճենված կարգավորման ֆայլ է, և սահմանը գալիս է նրանից, ինչը բաժանում է այդ կարգավորումները. մատակարարի պորտալ, տեղերի քանակ կամ ձեր հանրային հասցեին կապված կանոն։ OpenVPN 2.6-ի ձեռնարկը փաստաթղթավորում է սերվերի կողմի ընտրանքները, եթե դուք ինքներդ եք վարում ձեր դարպասը։

Առանձնացրեք չորս սահմանները, որոնք թաքնված են մեկ հաղորդագրության հետևում

Համօգտագործվող հաշվի տոմսերի մեծ մասը ընդունման չորս որոշումներից մեկն է։ Հաճախորդը չի կարող տարբերել դրանք, բայց այն օրինաչափությունը, թե որ սարքն է ձախողվում, կարող է։

Նույն ինքնությունը, երկրորդ միացումը։ Նոր սարքը աշխատում է, իսկ հինը մահանում է նույն պահին։ Սա ինքնության հաշվով միաժամանակության կանոն է, որը կիրառում է դարպասը կամ հաշվի համակարգը։ Ոչինչ կոտրված չէ. ծառայությունը անում է այն, ինչ ասում է իր քաղաքականությունը։

Տեղերի կամ սարքերի քանակը պլանում։ Առաջին սարքերը մնում են միացված, իսկ հաջորդը մերժվում է, մինչ մյուսները շարունակում են աշխատել։ Ստուգեք մատակարարի սարքերի ցանկը՝ նախքան հաճախորդը փոխելը, որովհետև լիցենզիայի սահմանը հնարավոր չէ ուղղել հաճախորդի կողմից։

Ձեր հանրային հասցեին կապված սահման։ Մեկ տնային երթուղիչի հետևում գտնվող երկու նոթբուք ձախողվում են, մինչ նույն մուտքը աշխատում է հեռախոսի հոթսփոթից։ Փորձելու համար տեղափոխեք երկրորդ սարքը այլ ցանց։ Եթե այնտեղ միանում է, դուք տեսնում եք հասցեով կանոն կամ NAT կանոն, ոչ թե հաշվի քանակը։

Ամբողջ սերվերի առավելագույնը։ Դարպասի բոլոր օգտվողները ձախողվում են նույն ծանրաբեռնված ժամին, ներառյալ այն հաշիվները, որոնք երեկ լավ էին։ OpenVPN-ի --max-clients-ը հենց այդպես է վարվում, և դա ոչ մի կապ չունի ձեր գրանցված սարքերի հետ։

Մաքրեք հնացած սեսիաները՝ նախքան ավելի շատ տեղեր գնելը

Վատ ավարտված սեսիան դեռ կարող է տեղ զբաղեցնել։ RADIUS-ի հաշվառումը գրառում է կատարում, երբ սեսիան սկսվում է, և փակում այն, երբ սեսիան դադարում է. երբ հաճախորդը անհետանում է, դադարեցումը երբեք չի գալիս, և սերվերը պահում է սեսիան այնքան, մինչև լրանում է միջանկյալ թարմացումը կամ ժամկետը։ FreeRADIUS դարպասի վրա կարող եք տեսնել բաց գրառումները.

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Հին մեկնարկի ժամանակով և առանց երթևեկության բաց գրառումը պատկանում է արդեն հեռացած սարքի։ Փակեք այն օպերատորի կոնսոլից կամ անջատման հարցումով՝ նախքան ենթադրելը, որ սահմանը իրական էր։ Հեռախոսները նորից են միանում, երբ Wi-Fi-ն հանձնում է բջջային ցանցին, և նոթբուքը կարող է մեկ թունել վարել օպերացիոն համակարգում և ևս մեկը՝ մատակարարի հավելվածի ներսում, ինչը հաշվվում է որպես երկու սեսիա մեկ մեքենայից։

Դադարեցրեք մեկ ինքնություն կիսել միասին աշխատող սարքերի միջև

Երկարատև լուծումը կառուցվածքային է։ Տվեք յուրաքանչյուր սարքի իր սեփական վկայագիրը՝ եզակի ընդհանուր անունով, կամ իր սեփական հաշիվը, և գրանցեք, թե որ մարդն ու որ մեքենան է այն պահում։ OpenVPN-ում դա նշանակում է մեկ հաճախորդի վկայագիր յուրաքանչյուր սարքի համար՝ --duplicate-cn-ը անջատված, եթե չեք ուզում զավթման վարքագիծ. WireGuard-ում՝ մեկ բանալու զույգ յուրաքանչյուր սարքի համար, որը ստեղծվում է այնտեղ և երբեք չի պատճենվում։

Պրոֆիլի կլոնավորումը՝ սարքի սահմանից խուսափելու համար, կոտրում է չեղարկումը. մեկ օրինակի չեղարկումը կտրում է այն կիսող յուրաքանչյուր սարք, և մատյանը այլևս չի կարող ասել, թե որ մեքենան ինչ արեց։ Եթե սահմանը կոմերցիոն է, ազնիվ լուծումը ավելացված տեղն է. եթե դա ներքին քաղաքականություն է, խնդրեք երկրորդ ինքնություն նույն մուտքի իրավունքներով։

Ստուգեք ֆիքսված հերթականությամբ

Ամեն անգամ նույն կերպ փորձարկեք վերանորոգումը, որպեսզի արդյունքը ինչ-որ բան նշանակի։

• Դուրս եկեք յուրաքանչյուր սարքից և հաստատեք, որ սերվերի ակտիվ ցանկը դատարկ է. չմաքրվող գրառումը հնացած սեսիա է, ոչ թե հաճախորդի խափանում։
• Միացրեք սարքերը մեկ առ մեկ և հետևեք ցանկին միացումների միջև։
• Եթե երկուսը պետք է աշխատեն միասին, հաստատեք, որ երկու տողերն էլ տարբեր ինքնություններ են կրում, և երկուսն էլ ձեռքսեղմումը թարմ են պահում։
• Կրկնեք Wi-Fi-ից բջջային ցանցին անցումից հետո, քանի որ նոր միացումը կարող է երկրորդ գրառում ստեղծել։

Եթե հին սարքը դեռ ընկնում է, երբ նորը միանում է, դարպասը կիրառում է ինքնության հաշվով կանոն, որի համար ձեզ բացառություն չի տրվել։ Օպերատորին տարեք սարքերի անունները, ժամանակի նշանները և ակտիվ սեսիաների ցանկը. դա անորոշ բողոքը վերածում է քաղաքականության հարցի, որին նրանք կարող են պատասխանել։