Sessiounslimit vun engem gedeelte VPN-Kont: firwat ee Gerät erausfält

Eng gedeelte Umeldung erreecht hire Limite vun gläichzäitege Sessiounen an ee Gerät fält eraus. Liest d’Message vum Client, zielt d’Sessiounen um Server an da reparéiert d’Identitéitsmodell.

Dir füügt en zweeten Laptop dobäi beim Kont, dee schonn op Ärem Telefon leeft, an den Tunnel vum Telefon fält bannent enger Minutt eraus. Oder den neien Gerät fäerdeg seng Verbindung ni, an de Client endt op enger Richtlinnemessage amplaz vun engem Timeout. D’Netzwierk ass a béide Fäll an der Rei; d’Entscheedung gouf driwwer geholl. Eng gedeelte Umeldung ass eng Identitéit, an déi meescht VPN-Servicer zielen déi Identitéit amplaz vun der Zuel vun de Geräter, déi Dir hutt. Ech schaffen vum Client sengem Écran no baussen, well en normalerweis weist, wéi eng Schicht Iech ofgeleent huet.

Liest dem Client seng Message, ier Dir d’Netzwierk beréiert

Dräi Feeler gesinn ähnlech aus a sinn et net. En Timeout heescht, datt Är Paketen néierens ukomm sinn. En TLS- oder Zertifikatsfeeler heescht, datt den Endpunkt geäntwert huet, awer den Handshake gescheitert ass. Eng Ofleehnung vun der Authentifikatioun oder der Richtlinn heescht, datt den Gateway Är Umeldungsdaten gelies huet an se dann ofgeleent huet. Nëmmen déi drëtt gehéiert zu enger Geschicht iwwer de Sessiounslimit, also fixéiert se als éischt.

OpenVPN-Cliente behalen déi interessant Zeilen an hirem Log-Panneau. Scrollt bis bei de leschten Verbindungsversuch an net an de Widderhuelungsschleif, déi duerno kënnt, a sicht no AUTH_FAILED oder engem geschéckten Gronds-String. De Client mellt dacks eng allgemeng Ofleehnung ouni Erklärung, dofir ass den nächste Schrëtt de Server an net dem Client seng Astellungen. D’Appe vun de Fournisseuren si méi schlëmm: eng Message iwwer de Gerätelimite ass nëtzlech, awer eng Verbindung, déi no zwou Sekonnen zesummebrécht, ass eng Richtlinnenentscheedung an net e falscht Passwuert. Schreift an all Fall den Numm vum Gerät an d’exakt Zäit op; en Operateur kann d’Paar a Sekonnen mat engem Zougangsrekord vergläichen.

Zielt d’Sessiounen do, wou de Server se zielt

De Compteur, op deen et ukënnt, läit um Gateway. OpenVPN schreift eng Statusdatei, wann de Server mat --status gestart gëtt, a lëscht all verbonnene Client mat sengem gemeinsamen Numm, senger realer Adress a senge Verkéierscompteuren op.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Zwou Zeilen mam selwechten gemeinsamen Numm sinn zwou lieweg Sessiounen ënner engem Zertifikat. Standardméisseg behält OpenVPN net béid: ouni --duplicate-cn ersetzt eng zweet Verbindung mam selwechten Zertifikat déi éischt, an den eelere Gerät verléiert säin Tunnel. Dës Ersetzung ass d’Signatur vun engem Identitéitslimite. Zoufällege Paketverloscht trennt net héiflech genau ee Gerät an deem Moment, wou en anert erschéngt.

WireGuard huet keng Sessiounstabell, déi een inspectéiere kann. wg show wg0 dréckt d’Peeren an hire leschten Handshake aus, an all ageschriwwene Gerät ass eng Peier mat sengem eegene Schlëssel. E gedeelte Kont do ass eng Konfiguratiounsdatei, déi op méi Maschinnen kopéiert gouf, an de Limite kënnt vun deem, wat déi Konfiguratiounen ausgëtt: en Händlerportal, eng Zuel vu Sëtz oder eng Regel, déi un Är ëffentlech Adress gebonne ass. Den OpenVPN-2.6-Handbuch dokumentéiert d’Optiounen op der Serversäit, wann Dir Ären eegene Gateway bedreift.

Trennt déi véier Limiten, déi sech hannert enger eenzeger Message verstoppen

Déi meescht Ticketten iwwer e gedeelte Kont sinn eng vun véier Admissiounsentscheedungen. De Client kann se net ënnerscheeden, awer d’Muster, wéi ee Gerät feelt, kann et.

Déi selwecht Identitéit, eng zweet Verbindung. Den neien Gerät funktionéiert an den ale stierft am selwechte Moment. Dat ass eng Regel fir Gläichzäitegkeet pro Identitéit, déi den Gateway oder de Kontesystem ëmsetzt. Näischt ass futti; de Service mécht dat, wat seng Richtlinn seet.

Zuel vu Sëtz oder Geräter am Plang. Déi éischt Geräter bleiwen verbonnen an déi nächst gëtt ofgeleent, während déi aner weiderlafen. Kuckt d’Gerätelëscht vum Fournisseur, ier Dir e Client ännert, well e Lizenzlimite kann een net vun der Clientsäit aus reparéieren.

E Plafong, deen un Är ëffentlech Adress gebonne ass. Zwee Laptoppen hannert engem Heemrouter feelen, während déi selwecht Umeldung vun engem Telefonhotspot aus funktionéiert. Verréckelt den zweeten Gerät op en anert Netzwierk, fir et ze testen. Wann en do sech verbënnt, kuckt Dir eng Regel pro Adress oder eng NAT-Regel, net d’Zuel vum Kont.

E Maximum iwwer de ganze Server. Jiddereen um Gateway feelt an der selwechter occupéierter Stonn, och Konten, déi gëschter an der Rei waren. Dem OpenVPN säi --max-clients behält sech sou, an et huet näischt mat Ären ageschriwwene Geräter ze dinn.

Bot veralt Sessiounen op, ier Dir méi Sëtz kaaft

Eng Sessioun, déi schlecht opgehalen huet, kann nach ëmmer eng Plaz halen. D’RADIUS-Comptabilitéit schreift e Rekord, wann eng Sessioun ufänkt, an deet en zou, wann d’Sessioun ophält; wann e Client verschwënnt, kënnt d’Stopp ni un, an de Server behält d’Sessioun, bis en Interims-Update oder en Timeout ofleeft. Op engem FreeRADIUS-Gateway kënnt Dir déi oppe Rekorden gesinn:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

En oppene Rekord mat enger aler Startzäit an ouni Verkéier gehéiert zu engem Gerät, dee schonn fort ass. Maacht en zou iwwer dem Operateur seng Konsole oder mat enger Ufro fir ofzekoppelen, ier Dir unhëlt, datt de Limite real war. Telefone verbënnen sech erëm, wann d’Wi-Fi un d’Mobilnetz iwwergëtt, an e Laptop kann een Tunnel am Betribssystem plus en aneren an enger Händler-App lafen loossen, wat als zwou Sessiounen vun enger Maschinn zielt.

Hält op, eng Identitéit tëschent Geräter ze deelen, déi zesummen lafen

Déi dauerhaft Léisung ass strukturell. Gitt all Gerät säin eegent Zertifikat mat engem eenzegaartege gemeinsamen Numm, oder säin eegene Kont, a notéiert, wéi eng Persoun a wéi eng Maschinn en hält. Bei OpenVPN heescht dat ee Client-Zertifikat pro Gerät, mat --duplicate-cn ausgeschalt, ausser Dir wëllt Iwwerhuelverhalen; bei WireGuard ee Schlësselpaar pro Gerät, do generéiert an ni kopéiert.

E Profil klonen, fir e Gerätelimite ze ëmgoen, brécht d’Widderruffung: eng Kopie widderruffen trennt all Gerät, deen se deelt, an de Log kann net méi soen, wéi eng Maschinn wat gemaach huet. Wann de Limite kommerziell ass, ass déi éierlech Léisung en zousätzleche Sëtz; wann et eng intern Richtlinn ass, freet no enger zweeter Identitéit mat deene selwechte Zougangsrechter.

Iwwerpréift an enger fester Reiefolleg

Test d’Reparatur all Kéier op déi selwecht Manéier, sou datt d’Resultat eppes bedeit.

  • Mellt Iech op all Gerät of a bestätegt, datt déi aktiv Lëscht vum Server eidel ass; en Aschreiwung, déi sech net botzt, ass eng veralt Sessioun an net e Clientfehler.
  • Verbind d’Geräter een no deem aneren a beobacht d’Lëscht tëschent de Verbindungen.
  • Wann zwee zesummen musse lafen, bestätegt, datt béid Zeilen ënnerschiddlech Identitéiten droen an datt béid hire Handshake frësch halen.
  • Widderhuelt et no engem Iwwergang vun Wi-Fi op Mobil, well eng Reverbindung en zweeten Rekord ka schaafen.

Wann den ale Gerät nach ëmmer erausfält, wann den neien sech verbënnt, ëmsetzt den Gateway eng Regel pro Identitéit, fir déi Dir keng Ausnam kritt hutt. Bréngt dem Operateur d’Geräternimm, d’Zäitstempelen an d’Lëscht vun den aktive Sessiounen; dat mécht eng vag Beschwerd zu enger Richtlinnsfro, op déi se kënnen äntweren.

Ähnlech Artikelen