Ортақ VPN тіркелгісінің сессия шегі: неге бір құрылғы үзіледі

Сіз телефоныңызда әлдеқашан жұмыс істеп тұрған тіркелгіге екінші ноутбук қосасыз, және телефонның туннелі бір минут ішінде үзіледі. Немесе жаңа құрылғы қосылуды ешқашан аяқтамайды, ал клиент күту уақытының орнына саясат хабарламасымен аяқталады. Екі жағдайда да желі дұрыс; шешім оның үстінде қабылданды. Ортақ кіру — бір сәйкестік, және көптеген VPN қызметтері сіздегі құрылғылар санын емес, сол сәйкестікті санайды. Мен клиент экранынан сыртқа қарай жұмыс істеймін, өйткені ол әдетте қай қабат сізді қабылдамағанын көрсетеді.

Желіге тиіспес бұрын клиент хабарламасын оқыңыз

Үш ақау ұқсас көрінеді және олай емес. Күту уақыты пакеттеріңіз еш жерге жетпегенін білдіреді. TLS немесе сертификат қатесі соңғы нүкте жауап бергенін, бірақ қол алысудың сәтсіз аяқталғанын білдіреді. Аутентификация немесе саясаттан бас тарту шлюздің сіздің деректеріңізді оқып, содан кейін олардан бас тартқанын білдіреді. Тек үшіншісі сессия шегі туралы әңгімеге жатады, сондықтан алдымен соны анықтаңыз.

OpenVPN клиенттері қызықты жолдарды журнал панелінде ұстайды. Одан кейінгі қайталау цикліне емес, соңғы қосылу әрекетіне айналдырыңыз және AUTH_FAILED немесе жіберілген себеп жолын іздеңіз. Клиент көбінесе түсініктемесіз жалпы бас тартуды хабарлайды, сондықтан келесі қадам — сервер, клиент параметрлері емес. Провайдер қолданбалары одан да нашар: құрылғы шегі туралы хабарлама пайдалы, бірақ екі секундтан кейін құлайтын қосылым — саясат шешімі, нашар құпиясөз емес. Қалай болғанда да құрылғы атын және нақты уақытты жазып алыңыз; оператор бұл жұпты секундтар ішінде кіру жазбасымен сәйкестендіре алады.

Сессияларды сервер санайтын жерде санаңыз

Маңызды санауыш шлюзде тұрады. Сервер --status кілтімен іске қосылғанда OpenVPN күй файлын жазады және әр қосылған клиентті ортақ атымен, нақты мекенжайымен және трафик санауыштарымен тізімдейді.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Бірдей ортақ аты бар екі жол — бір сертификат астындағы екі тірі сессия. Әдепкі бойынша OpenVPN екеуін де ұстамайды: --duplicate-cn болмаса, сол сертификатты қолданатын екінші қосылым біріншісін алмастырады, ал ескі құрылғы туннелінен айырылады. Дәл осы алмастыру — сәйкестік шегінің белгісі. Кездейсоқ пакет жоғалтуы басқа құрылғы пайда болған сәтте дәл бір құрылғыны әдеппен ажыратпайды.

WireGuard-та тексеруге арналған сессия кестесі жоқ. wg show wg0 серіктестерді және олардың соңғы қол алысуын шығарады, ал әр тіркелген құрылғы өз кілті бар серіктес. Ондағы ортақ тіркелгі — бірнеше машинаға көшірілген конфигурация файлы, ал шектеу осы конфигурацияларды тарататын нәрседен келеді: провайдер порталы, орын саны немесе жария мекенжайыңызға байланған ереже. Өз шлюзіңізді басқарсаңыз, OpenVPN 2.6 нұсқаулығы сервер жағындағы опцияларды құжаттайды.

Бір хабарламаның артында жасырынған төрт шекті ажыратыңыз

Ортақ тіркелгі билеттерінің көбі қабылдаудың төрт шешімінің бірі. Клиент оларды ажырата алмайды, бірақ қай құрылғы сәтсіз болатыны туралы үлгі ажырата алады.

Бірдей сәйкестік, екінші қосылым. Жаңа құрылғы жұмыс істейді, ал ескісі сол сәтте өледі. Бұл шлюз немесе тіркелгі жүйесі қолданатын сәйкестік бойынша бір мезгілдік ереже. Ештеңе бұзылмаған; қызмет өз саясатында жазылғанды істейді.

Жоспардағы орын немесе құрылғы саны. Алғашқы құрылғылар қосылып қалады, келесісі бас тартылады, қалғандары жалғасады. Клиентті өзгертер алдында провайдердің құрылғы тізімін тексеріңіз, өйткені лицензия шегін клиент жағынан түзету мүмкін емес.

Жария мекенжайыңызға байланған шек. Бір үй маршрутизаторының артындағы екі ноутбук сәтсіз болады, ал сол кіру телефон хотспотынан жұмыс істейді. Тексеру үшін екінші құрылғыны басқа желіге көшіріңіз. Егер ол сонда қосылса, сіз мекенжай бойынша ережені немесе NAT ережесін көріп тұрсыз, тіркелгі санын емес.

Бүкіл сервер бойынша максимум. Шлюздегі барлығы бірдей қарбалас сағатта сәтсіз болады, кеше дұрыс болған тіркелгілер де. OpenVPN-нің --max-clients кілті осылай әрекет етеді және оның тіркелген құрылғыларыңызға қатысы жоқ.

Қосымша орын сатып алмас бұрын ескірген сессияларды тазалаңыз

Нашар аяқталған сессия әлі де орын ұстап тұруы мүмкін. RADIUS есебі сессия басталғанда жазба жасайды және сессия тоқтағанда оны жабады; клиент жоғалғанда тоқтау ешқашан келмейді де, сервер аралық жаңарту немесе күту уақыты бітпейінше сессияны ұстайды. FreeRADIUS шлюзінде ашық жазбаларды көре аласыз:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Ескі басталу уақыты бар және трафигі жоқ ашық жазба — әлдеқашан кеткен құрылғыға тиесілі. Шектеу шынайы болды деп есептемес бұрын оны оператор консолінен немесе ажырату сұранысымен жабыңыз. Wi-Fi ұялы желіге өткенде телефондар қайта қосылады, ал ноутбук операциялық жүйеде бір туннель және провайдер қолданбасының ішінде тағы біреуін жүргізе алады, бұл бір машинадан екі сессия ретінде саналады.

Бірге жұмыс істейтін құрылғылар арасында бір сәйкестікті бөлісуді тоқтатыңыз

Тұрақты шешім — құрылымдық. Әр құрылғыға бірегей ортақ аты бар өз сертификатын немесе өз тіркелгісін беріңіз және оны қай адам мен қай машина ұстайтынын жазыңыз. OpenVPN-де бұл әр құрылғыға бір клиент сертификаты деген сөз, ал --duplicate-cn басып алу мінезін қаламасаңыз өшірулі қалады; WireGuard-та әр құрылғыға бір кілт жұбы, сол жерде жасалады және ешқашан көшірілмейді.

Құрылғы шегін айналып өту үшін профильді клондау кері қайтаруды бұзады: бір көшірмені кері қайтару оны бөлісетін әр құрылғыны кеседі, ал журнал енді қай машинаның не істегенін айта алмайды. Егер шектеу коммерциялық болса, адал шешім — қосымша орын; егер бұл ішкі саясат болса, сол кіру құқықтары бар екінші сәйкестік сұраңыз.

Бекітілген тәртіппен тексеріңіз

Әр жолы бірдей тексеріңіз, сонда нәтиженің мәні болады.

• Әр құрылғыдан шығыңыз және сервердің белсенді тізімі бос екенін растаңыз; тазаланбайтын жазба — ескірген сессия, клиент ақауы емес.
• Құрылғыларды бір-бірлеп қосыңыз және қосылымдар арасында тізімді бақылаңыз.
• Екеуі бірге жұмыс істеуі керек болса, екі жолдың да түрлі сәйкестіктері бар екенін және екеуі де қол алысуды жаңа ұстайтынын растаңыз.
• Wi-Fi-дан ұялы желіге ауысқаннан кейін қайталаңыз, өйткені қайта қосылу екінші жазба жасауы мүмкін.

Егер жаңа құрылғы қосылғанда ескі құрылғы әлі де үзілсе, шлюз сізге ерекшелік берілмеген сәйкестік бойынша ережені қолданып тұр. Операторға құрылғы атауларын, уақыт белгілерін және белсенді сессиялар тізімін апарыңыз; бұл бұлыңғыр шағымды олар жауап бере алатын саясат сұрағына айналдырады.