საერთო VPN ანგარიშის სესიის ლიმიტი: რატომ ვარდება ერთი მოწყობილობა

თქვენ დაამატებთ მეორე ლეპტოპს იმ ანგარიშს, რომელიც უკვე მუშაობს თქვენს ტელეფონზე, და ტელეფონის გვირაბი ერთ წუთში ვარდება. ან ახალი მოწყობილობა ვერასოდეს ამთავრებს დაკავშირებას და კლიენტი დროის ამოწურვის ნაცვლად პოლიტიკის შეტყობინებით სრულდება. ორივე შემთხვევაში ქსელი რიგზეა; გადაწყვეტილება მის ზემოთ მიიღეს. საერთო შესვლა ერთი იდენტობაა და VPN სერვისების უმეტესობა სწორედ ამ იდენტობას ითვლის და არა თქვენი მოწყობილობების რაოდენობას. მე კლიენტის ეკრანიდან გარეთ ვმუშაობ, რადგან ის ჩვეულებრივ გვიჩვენებს, რომელმა ფენამ გაგიმართლათ უარი.

წაიკითხეთ კლიენტის შეტყობინება ქსელზე შეხებამდე

სამი მარცხი ერთმანეთს ჰგავს და არ არის. დროის ამოწურვა ნიშნავს, რომ თქვენი პაკეტები არსად მივიდა. TLS ან სერტიფიკატის შეცდომა ნიშნავს, რომ ბოლო წერტილმა უპასუხა, მაგრამ ხელის ჩამორთმევა ჩავარდა. ავთენტიფიკაციის ან პოლიტიკის უარი ნიშნავს, რომ კარიბჭემ წაიკითხა თქვენი მონაცემები და შემდეგ უარყო ისინი. მხოლოდ მესამე ეკუთვნის სესიის ლიმიტის ისტორიას, ამიტომ ჯერ ის დაადგინეთ.

OpenVPN-ის კლიენტები საინტერესო ხაზებს ლოგის პანელში ინახავენ. გადაახვიეთ ბოლო კავშირის ცდამდე და არა მის შემდეგ მოსულ განმეორებით ციკლამდე, და მოძებნეთ AUTH_FAILED ან გამოგზავნილი მიზეზის სტრიქონი. კლიენტი ხშირად იუწყება ზოგად უარზე განმარტების გარეშე, ამიტომ შემდეგი ნაბიჯი სერვერია და არა კლიენტის პარამეტრები. პროვაიდერის აპები უარესია: მოწყობილობის ლიმიტის შეტყობინება სასარგებლოა, მაგრამ ორ წამში ჩამონგრეული კავშირი პოლიტიკის გადაწყვეტილებაა და არა ცუდი პაროლი. ყოველ შემთხვევაში ჩაწერეთ მოწყობილობის სახელი და ზუსტი დრო; ოპერატორს შეუძლია ეს წყვილი წამებში შეადაროს წვდომის ჩანაწერს.

დათვალეთ სესიები იქ, სადაც სერვერი ითვლის მათ

მნიშვნელოვანი მთვლელი კარიბჭეზე ცხოვრობს. OpenVPN წერს სტატუსის ფაილს, როცა სერვერი --status-ით ირთვება, და ჩამოთვლის ყოველ დაკავშირებულ კლიენტს მისი საერთო სახელით, რეალური მისამართითა და ტრაფიკის მთვლელებით.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

ორი სტრიქონი ერთი და იმავე საერთო სახელით ორი ცოცხალი სესიაა ერთი სერტიფიკატის ქვეშ. ნაგულისხმევად OpenVPN ორივეს არ ინახავს: --duplicate-cn-ის გარეშე იმავე სერტიფიკატის მეორე კავშირი ცვლის პირველს და ძველი მოწყობილობა კარგავს გვირაბს. ეს ჩანაცვლება იდენტობის ლიმიტის ნიშანია. შემთხვევითი პაკეტის დაკარგვა ზრდილობიანად არ წყვეტს ზუსტად ერთ მოწყობილობას იმ მომენტში, როცა მეორე ჩნდება.

WireGuard-ს სესიების ცხრილი არ აქვს საშემოწმებლად. wg show wg0 ბეჭდავს პარტნიორებს და მათ ბოლო ხელის ჩამორთმევას, და ყოველი რეგისტრირებული მოწყობილობა პარტნიორია საკუთარი გასაღებით. საერთო ანგარიში იქ რამდენიმე მანქანაზე კოპირებული კონფიგურაციის ფაილია და ლიმიტი მოდის იქიდან, რაც ამ კონფიგურაციებს ანაწილებს: პროვაიდერის პორტალი, ადგილების რაოდენობა ან თქვენს საჯარო მისამართზე მიბმული წესი. OpenVPN 2.6-ის სახელმძღვანელო აღწერს სერვერის მხარის პარამეტრებს, თუ საკუთარ კარიბჭეს მართავთ.

გამოყავით ოთხი ლიმიტი, რომლებიც ერთი შეტყობინების მიღმა იმალება

საერთო ანგარიშის ტიკეტების უმეტესობა შესვლის ოთხი გადაწყვეტილებიდან ერთია. კლიენტი ვერ განასხვავებს მათ, მაგრამ იმის ნიმუში, თუ რომელი მოწყობილობა ვარდება, შეუძლია.

იგივე იდენტობა, მეორე კავშირი. ახალი მოწყობილობა მუშაობს და ძველი იმავე წამს კვდება. ეს არის იდენტობის მიხედვით ერთდროულობის წესი, რომელსაც კარიბჭე ან ანგარიშის სისტემა ახორციელებს. არაფერი გაფუჭებულა; სერვისი აკეთებს იმას, რასაც მისი პოლიტიკა ამბობს.

ადგილების ან მოწყობილობების რაოდენობა გეგმაში. პირველი მოწყობილობები დაკავშირებული რჩება და შემდეგზე უარს ამბობენ, სანამ დანარჩენები აგრძელებენ მუშაობას. კლიენტის შეცვლამდე შეამოწმეთ პროვაიდერის მოწყობილობების სია, რადგან ლიცენზიის ლიმიტი კლიენტის მხრიდან არ გამოსწორდება.

ზედა ზღვარი, მიბმული თქვენს საჯარო მისამართზე. ერთი სახლის როუტერის უკან ორი ლეპტოპი ვარდება, მაშინ როცა იგივე შესვლა ტელეფონის ჰოთსპოტიდან მუშაობს. შესამოწმებლად გადაიტანეთ მეორე მოწყობილობა სხვა ქსელში. თუ იქ დაუკავშირდა, თქვენ ხედავთ მისამართის მიხედვით წესს ან NAT წესს და არა ანგარიშის რაოდენობას.

მაქსიმუმი მთელ სერვერზე. კარიბჭეზე ყველა იმავე დატვირთულ საათში ვარდება, მათ შორის ანგარიშები, რომლებიც გუშინ რიგზე იყვნენ. OpenVPN-ის --max-clients ასე იქცევა და მას თქვენს რეგისტრირებულ მოწყობილობებთან კავშირი არ აქვს.

გაასუფთავეთ მოძველებული სესიები, სანამ მეტ ადგილს იყიდით

ცუდად დასრულებულ სესიას ჯერ კიდევ შეუძლია ადგილის დაკავება. RADIUS-ის აღრიცხვა წერს ჩანაწერს სესიის დაწყებისას და ხურავს მას სესიის გაჩერებისას; როცა კლიენტი ქრება, გაჩერება არასოდეს მოდის და სერვერი სესიას ინახავს, სანამ შუალედური განახლება ან დროის ლიმიტი ამოიწურება. FreeRADIUS-ის კარიბჭეზე შეგიძლიათ ნახოთ ღია ჩანაწერები:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

ღია ჩანაწერი ძველი დაწყების დროით და ტრაფიკის გარეშე ეკუთვნის უკვე წასულ მოწყობილობას. დახურეთ ის ოპერატორის კონსოლიდან ან გათიშვის მოთხოვნით, სანამ ჩათვლით, რომ ლიმიტი რეალური იყო. ტელეფონები ხელახლა უკავშირდებიან, როცა Wi-Fi მობილურ ქსელს გადასცემს, და ლეპტოპს შეუძლია ერთი გვირაბი ოპერაციულ სისტემაში და კიდევ ერთი პროვაიდერის აპში გაუშვას, რაც ორ სესიად ითვლება ერთი მანქანიდან.

შეწყვიტეთ ერთი იდენტობის გაზიარება ერთად მომუშავე მოწყობილობებს შორის

გამძლე გამოსწორება სტრუქტურულია. მიეცით ყოველ მოწყობილობას საკუთარი სერტიფიკატი უნიკალური საერთო სახელით, ან საკუთარი ანგარიში, და ჩაწერეთ, რომელი ადამიანი და რომელი მანქანა ფლობს მას. OpenVPN-ში ეს ნიშნავს ერთ კლიენტის სერტიფიკატს თითო მოწყობილობაზე, --duplicate-cn გამორთული, თუ ჩაგდების ქცევა არ გსურთ; WireGuard-ში ერთი გასაღების წყვილი თითო მოწყობილობაზე, რომელიც იქ იქმნება და არასოდეს კოპირდება.

პროფილის კლონირება მოწყობილობის ლიმიტის გვერდის ასავლელად არღვევს გაუქმებას: ერთი ასლის გაუქმება წყვეტს ყოველ მოწყობილობას, რომელიც მას იზიარებს, და ლოგი ვეღარ იტყვის, რომელმა მანქანამ რა გააკეთა. თუ ლიმიტი კომერციულია, პატიოსანი გამოსწორება დამატებითი ადგილია; თუ ეს შიდა პოლიტიკაა, მოითხოვეთ მეორე იდენტობა იგივე წვდომის უფლებებით.

გადაამოწმეთ ფიქსირებული თანმიმდევრობით

ყოველ ჯერზე ერთნაირად გამოსცადეთ შეკეთება, რომ შედეგი რაღაცას ნიშნავდეს.

• გამოდით ყოველი მოწყობილობიდან და დაადასტურეთ, რომ სერვერის აქტიური სია ცარიელია; ჩანაწერი, რომელიც არ იწმინდება, მოძველებული სესიაა და არა კლიენტის ხარვეზი.
• შეაერთეთ მოწყობილობები სათითაოდ და დააკვირდით სიას კავშირებს შორის.
• თუ ორი ერთად უნდა იმუშაოს, დაადასტურეთ, რომ ორივე სტრიქონს განსხვავებული იდენტობა აქვს და ორივე ხელის ჩამორთმევას ახალს ინახავს.
• გაიმეორეთ Wi-Fi-დან მობილურ ქსელზე გადასვლის შემდეგ, რადგან ხელახალი დაკავშირება მეორე ჩანაწერს შექმნის.

თუ ძველი მოწყობილობა მაინც ვარდება ახლის დაკავშირებისას, კარიბჭე ახორციელებს იდენტობის მიხედვით წესს, რომელზეც გამონაკლისი არ მიგიღიათ. წაიღეთ ოპერატორთან მოწყობილობების სახელები, დროის ნიშნები და აქტიური სესიების სია; ეს ბუნდოვან ჩივილს პოლიტიკის კითხვად აქცევს, რომელზეც მათ პასუხი შეუძლიათ.