Жалпы VPN аккаунтунун сессия чеги: эмне үчүн бир түзмөк үзүлөт

Сиз телефонуңузда мурунтан иштеп жаткан аккаунтка экинчи ноутбук кошосуз, жана телефондун туннели бир мүнөттүн ичинде үзүлөт. Же жаңы түзмөк туташууну эч качан бүтпөйт, жана кардар күтүү убактысынын ордуна саясат билдирүүсү менен бүтөт. Эки учурда тең тармак жакшы; чечим анын үстүндө кабыл алынган. Жалпы кирүү бир идентификация, жана VPN кызматтарынын көбү сиздеги түзмөктөрдүн санын эмес, ошол идентификацияны санайт. Мен кардар экранынан сыртка карай иштейм, анткени ал адатта кайсы катмар сизди четке какканын көрсөтөт.

Тармакка тийүүдөн мурун кардар билдирүүсүн окуңуз

Үч бузулуу окшош көрүнөт жана андай эмес. Күтүү убактысы пакеттериңиз эч жерге жетпегенин билдирет. TLS же сертификат катасы акыркы чекит жооп бергенин, бирок кол алышуу ийгиликсиз болгонун билдирет. Аутентификация же саясаттан баш тартуу шлюз сиздин маалыматтарыңызды окуп, анан алардан баш тартканын билдирет. Үчүнчүсү гана сессия чегинин окуясына таандык, ошондуктан аны биринчи аныктаңыз.

OpenVPN кардарлары кызыктуу саптарды журнал панелинде сакташат. Андан кийинки кайталоо циклина эмес, акыркы туташуу аракетине жылдырыңыз жана AUTH_FAILED же жиберилген себеп сабын издеңиз. Кардар көбүнчө түшүндүрмөсүз жалпы баш тартууну билдирет, ошондуктан кийинки кадам — сервер, кардардын жөндөөлөрү эмес. Провайдер колдонмолору андан жаман: түзмөк чеги тууралуу билдирүү пайдалуу, бирок эки секунддан кийин кулап түшкөн туташуу — саясат чечими, жаман сырсөз эмес. Кандай болбосун түзмөктүн атын жана так убакытты жазып алыңыз; оператор бул жупту секунддар ичинде кирүү жазуусу менен салыштыра алат.

Сессияларды сервер санаган жерде санаңыз

Маанилүү эсептегич шлюзде турат. Сервер --status менен иштетилгенде OpenVPN статус файлын жазат жана ар бир туташкан кардарды жалпы аты, чыныгы дареги жана трафик эсептегичтери менен тизмелейт.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Бирдей жалпы аты бар эки сап — бир сертификаттын астындагы эки тирүү сессия. Демейде OpenVPN экөөнү тең кармабайт: --duplicate-cn болбосо, ошол сертификатты колдонгон экинчи туташуу биринчисин алмаштырат, ал эми эски түзмөк туннелинен ажырайт. Ошол алмаштыруу — идентификация чегинин белгиси. Кокустан пакет жоготуу башка түзмөк пайда болгон учурда так бир түзмөктү сылыктык менен ажыратпайт.

WireGuard'да текшерүү үчүн сессия таблицасы жок. wg show wg0 өнөктөштөрдү жана алардын акыркы кол алышуусун басып чыгарат, ал эми ар бир катталган түзмөк өз ачкычы бар өнөктөш. Ал жердеги жалпы аккаунт — бир нече машинага көчүрүлгөн конфигурация файлы, ал эми чектөө ошол конфигурацияларды таратат нерседен келет: провайдер порталы, орун саны же сиздин коомдук дарегиңизге байланган эреже. Өз шлюзүңүздү башкарсаңыз, OpenVPN 2.6 колдонмосу сервер тараптагы параметрлерди документтейт.

Бир билдирүүнүн артында жашырылган төрт чекти ажыратыңыз

Жалпы аккаунт билеттеринин көбү кабыл алуунун төрт чечиминин бири. Кардар аларды ажырата албайт, бирок кайсы түзмөк ийгиликсиз болорун көрсөткөн үлгү ажырата алат.

Бирдей идентификация, экинчи туташуу. Жаңы түзмөк иштейт, ал эми эскиси ошол эле учурда өлөт. Бул шлюз же аккаунт системасы колдонгон идентификация боюнча бир убакыттык эреже. Эч нерсе бузулган жок; кызмат өз саясатында жазылганды аткарат.

Пландагы орун же түзмөк саны. Биринчи түзмөктөр туташкан бойдон калат, кийинкиси четке кагылат, калгандары улантат. Кардарды өзгөртүүдөн мурун провайдердин түзмөк тизмесин текшериңиз, анткени лицензия чегин кардар тараптан оңдоого болбойт.

Коомдук дарегиңизге байланган чек. Бир үй маршрутизаторунун артындагы эки ноутбук ийгиликсиз болот, ал эми ошол эле кирүү телефон хотспотунан иштейт. Текшерүү үчүн экинчи түзмөктү башка тармакка өткөрүңүз. Эгер ал жерде туташса, сиз дарек боюнча эрежени же NAT эрежесин көрүп жатасыз, аккаунттун санын эмес.

Бүт сервер боюнча максимум. Шлюздегилердин баары бирдей тыгын саатта ийгиликсиз болот, кечээ жакшы болгон аккаунттар да. OpenVPN'дин --max-clients параметри ушундай иштейт жана анын катталган түзмөктөрүңүзгө эч кандай тиешеси жок.

Кошумча орун сатып алардан мурун эскирген сессияларды тазалаңыз

Жаман бүткөн сессия дагы эле орунду кармап турушу мүмкүн. RADIUS эсеби сессия башталганда жазуу жасайт жана сессия токтогондо аны жабат; кардар жоголгондо токтотуу эч качан келбейт жана сервер аралык жаңыртуу же күтүү убактысы бүтмөйүнчө сессияны кармайт. FreeRADIUS шлюзүндө ачык жазууларды көрө аласыз:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Эски башталуу убактысы бар жана трафиги жок ачык жазуу — мурунтан кеткен түзмөккө таандык. Чектөө чыныгы болгон деп ойлоодон мурун аны оператордун консолунан же ажыратуу сурамы менен жабыңыз. Wi-Fi уюлдук тармакка өткөндө телефондор кайра туташат, ал эми ноутбук операциялык системада бир туннель жана провайдер колдонмосунун ичинде дагы бирин иштетиши мүмкүн, бул бир машинадан эки сессия катары саналат.

Бирге иштеген түзмөктөрдүн ортосунда бир идентификацияны бөлүшүүнү токтотуңуз

Туруктуу чечим — структуралык. Ар бир түзмөккө уникалдуу жалпы аты бар өз сертификатын же өз аккаунтун бериңиз жана аны кайсы адам менен кайсы машина кармап турганын жазыңыз. OpenVPN'де бул ар бир түзмөккө бир кардар сертификаты дегенди билдирет, --duplicate-cn басып алуу жүрүмүн каалабасаңыз өчүк калат; WireGuard'да ар бир түзмөккө бир ачкыч жубу, ошол жерде жаралат жана эч качан көчүрүлбөйт.

Түзмөк чегинен өтүү үчүн профилди клондоо кайтарып алууну бузат: бир көчүрмөнү кайтарып алуу аны бөлүшкөн ар бир түзмөктү кесип салат, ал эми журнал кайсы машина эмне кылганын айта албайт. Эгер чектөө коммерциялык болсо, ак ниет чечим — кошумча орун; эгер бул ички саясат болсо, ошол эле кирүү укуктары бар экинчи идентификация сураңыз.

Бекитилген тартипте текшериңиз

Ар бир жолу бирдей текшериңиз, натыйжанын мааниси болушу үчүн.

• Ар бир түзмөктөн чыгыңыз жана сервердин активдүү тизмеси бош экенин ырастаңыз; тазаланбаган жазуу — эскирген сессия, кардардын бузулушу эмес.
• Түзмөктөрдү бир-бирден туташтырыңыз жана туташуулардын ортосунда тизмеди көзөмөлдөңүз.
• Экөө бирге иштеши керек болсо, эки саптын тең башка идентификациялары бар экенин жана экөө тең кол алышууну жаңы кармап турганын ырастаңыз.
• Wi-Fi'ден уюлдук тармакка өткөндөн кийин кайталаңыз, анткени кайра туташуу экинчи жазуу түзүшү мүмкүн.

Эгер жаңы түзмөк туташканда эски түзмөк дагы эле үзүлсө, шлюз сизге өзгөчөлүк берилбеген идентификация боюнча эрени колдонуп жатат. Операторго түзмөктөрдүн аттарын, убакыт белгилерин жана активдүү сессиялардын тизмесин алып барыңыз; бул бүдөмүк даттанууну алар жооп бере ала турган саясат суроосуна айландырат.