Lotutakmörk sameiginlegs VPN-reiknings: hvers vegna eitt tæki dettur út

Þú bætir annarri fartölvu við reikninginn sem þegar keyrir í símanum þínum, og göngin í símanum detta út innan mínútu. Eða nýja tækið klárar aldrei tenginguna, og biðlarinn endar á stefnuskilaboðum í stað tímamarka. Netið er í lagi í báðum tilvikum; ákvörðun var tekin fyrir ofan það. Sameiginleg innskráning er eitt auðkenni, og flestar VPN-þjónustur telja það auðkenni frekar en fjölda tækja sem þú átt. Ég vinn út frá skjá biðlarans, því hann sýnir venjulega hvaða lag hafnaði þér.

Lestu skilaboð biðlarans áður en þú snertir netið

Þrjú mistök líta svipað út og eru það ekki. Tímamörk þýða að pakkarnir þínir náðu hvergi. TLS- eða vottorðsvilla þýðir að endapunkturinn svaraði en handabandið brást. Höfnun auðkenningar eða stefnu þýðir að gáttin las skilríkin þín og hafnaði þeim síðan. Aðeins þriðja málið tilheyrir sögu um lotutakmörk, svo festu það fyrst.

OpenVPN-biðlarar halda áhugaverðu línum í annálssvæðinu sínu. Skrunaðu að síðustu tengingartilraun í stað endurtilraunalykkjunnar sem fylgir, og leitaðu að AUTH_FAILED eða sendum ástæðustreng. Biðlarinn tilkynnir oft almenna höfnun án skýringar, svo næsta skref er þjónninn, ekki stillingar biðlarans. Forrit veitenda eru verri: skilaboð um tækjamörk eru gagnleg, en tenging sem hrynur eftir tvær sekúndur er stefnuákvörðun, ekki slæmt lykilorð. Skrifaðu niður heiti tækisins og nákvæman tíma í öllum tilvikum; rekstraraðili getur parað það við aðgangsfærslu á sekúndum.

Teldu lotur þar sem þjónninn telur þær

Teljarinn sem skiptir máli býr á gáttinni. OpenVPN skrifar stöðuskrá þegar þjónninn er ræstur með --status, og skráir hvern tengdan biðlara með sameiginlegu nafni, raunverulegu vistfangi og umferðarteljurum.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Tvær raðir með sama sameiginlega nafni eru tvær lifandi lotur undir einu vottorði. Sjálfgefið heldur OpenVPN ekki báðum: án --duplicate-cn kemur önnur tenging með sama vottorði í stað þeirrar fyrri, og eldra tækið missir göngin sín. Sú skipting er einkenni auðkennistakmarka. Handahófskennt pakkatap aftengir ekki kurteislega nákvæmlega eitt tæki á þeirri stundu sem annað birtist.

WireGuard hefur enga lotutöflu til að skoða. wg show wg0 prentar jafningja og síðasta handaband þeirra, og hvert skráð tæki er jafningi með eigin lykli. Sameiginlegur reikningur þar er stillingarskrá sem er afrituð á nokkrar vélar, og takmörkin koma frá því sem úthlutar þeim stillingum: gátt veitanda, sætafjölda eða reglu sem er bundin við almenna vistfangið þitt. OpenVPN 2.6 handbókin skjalfestir valkostina á þjónshliðinni ef þú rekur þína eigin gátt.

Aðgreindu takmörkin fjögur sem fela sig bak við eitt skilaboð

Flest miðar um sameiginlegan reikning eru ein af fjórum inngönguákvörðunum. Biðlarinn getur ekki greint þau, en mynstrið hvaða tæki bregst getur.

Sama auðkenni, önnur tenging. Nýja tækið virkar og það gamla deyr á sama augnabliki. Þetta er regla um samtímis auðkenni sem gáttin eða reikningskerfið framfylgir. Ekkert er brotið; þjónustan gerir það sem stefna hennar segir.

Sæta- eða tækjafjöldi í áskrift. Fyrstu tækin haldast tengd og næsta er hafnað á meðan hin halda áfram. Athugaðu tækjalista veitandans áður en þú breytir biðlara, því ekki er hægt að laga leyfistakmörk á biðlarahlið.

Þak sem er bundið við almenna vistfangið þitt. Tvær fartölvur bak við eina heimaleið senda mistökast á meðan sama innskráning virkar frá símaforystu. Færðu annað tækið á annað net til að prófa. Ef það tengist þar ertu að skoða reglu á hvert vistfang eða NAT-reglu, ekki fjölda reikningsins.

Hámark á öllum þjóninum. Allir á gáttinni mistakast á sama annríkistíma, þar á meðal reikningar sem voru í lagi í gær. --max-clients OpenVPN hagar sér þannig, og það hefur ekkert með skráðu tækin þín að gera.

Hreinsaðu úreltar lotur áður en þú kaupir fleiri sæti

Lota sem endaði illa getur enn haldið sæti. RADIUS-bókhald skrifar færslu þegar lota hefst og lokar henni þegar lotan stöðvast; þegar biðlari hverfur kemur stöðvunin aldrei og þjónninn heldur lotunni þar til millifærsla eða tímamörk renna út. Á FreeRADIUS-gátt geturðu séð opnu færslurnar:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Opin færsla með gömlum upphafstíma og enga umferð tilheyrir tæki sem er þegar farið. Lokaðu henni gegnum stjórnborð rekstraraðila eða með aftengingarbeiðni, áður en þú gerir ráð fyrir að takmörkin hafi verið raunveruleg. Símar tengjast aftur þegar Wi-Fi framselur til farsíma, og fartölva getur keyrt eitt göng í stýrikerfinu auk annars inni í forriti veitanda, sem telst sem tvær lotur frá einni vél.

Hættu að deila einu auðkenni milli tækja sem keyra saman

Varanleg leiðrétting er byggingarleg. Gefðu hverju tæki eigið vottorð með einstöku sameiginlegu nafni, eða eigin reikning, og skráðu hvaða manneskja og vél heldur því. Í OpenVPN þýðir það eitt biðlaravottorð á hvert tæki, með --duplicate-cn slökkt nema þú viljir yfirtökuhegðun; í WireGuard eitt lyklapar á hvert tæki, búið til þar og aldrei afritað.

Að klóna prófíl til að komast fram hjá tækjamörkum brýtur afturköllun: afturköllun einnar eintakseyðu klippir hvert tæki sem deilir henni, og annállinn getur ekki lengur sagt hvaða vél gerði hvað. Ef takmörkin eru viðskiptaleg er heiðarleg leiðrétting viðbótarsæti; ef þau eru innri stefna skaltu biðja um annað auðkenni með sömu aðgangsréttindum.

Sannreyndu í föstum röðum

Prófaðu viðgerðina á sama hátt í hvert sinn, svo niðurstaðan þýði eitthvað.

• Skráðu þig út á hverju tæki og staðfestu að virki listi þjónsins sé tómur; færsla sem hreinsast ekki er úrelt lota, ekki villa í biðlara.
• Tengdu tækin eitt í einu og fylgstu með listanum milli tenginga.
• Ef tvö verða að keyra saman skaltu staðfesta að báðar raðir beri mismunandi auðkenni og að bæði haldi handabandinu fersku.
• Endurtaktu eftir skipti frá Wi-Fi yfir í farsíma, því endurtenging getur búið til aðra færslu.

Ef gamla tækið dettur enn út þegar nýja tengist er gáttin að framfylgja reglu á hvert auðkenni sem þér hefur ekki verið veitt undanþága frá. Farðu með tækjaheiti, tímastimpla og listann yfir virkar lotur til rekstraraðilans; það breytir óljósum kvörtunum í stefnuspurningu sem hann getur svarað.