Koplietota VPN konta sesiju limits: kāpēc viena ierīce atkrīt

Jūs pievienojat otru klēpjdatoru kontam, kas jau darbojas jūsu telefonā, un telefona tunelis atkrīt minūtes laikā. Vai arī jaunā ierīce nekad nepabeidz savienojumu, un klients beidzas ar politikas ziņojumu, nevis ar taimautu. Tīkls abos gadījumos ir kārtībā; lēmums tika pieņemts virs tā. Koplietota pieteikšanās ir viena identitāte, un lielākā daļa VPN pakalpojumu skaita šo identitāti, nevis jūsu ierīču skaitu. Es strādāju no klienta ekrāna uz āru, jo tas parasti parāda, kurš slānis jūs noraidīja.

Izlasiet klienta ziņojumu, pirms pieskaraties tīklam

Trīs kļūmes izskatās līdzīgas un nav. Taimauts nozīmē, ka jūsu paketes nekur nenokļuva. TLS vai sertifikāta kļūda nozīmē, ka galapunkts atbildēja, bet rokas spiediens neizdevās. Autentifikācijas vai politikas noraidījums nozīmē, ka vārteja nolasīja jūsu datus un pēc tam tos noraidīja. Tikai trešā pieder pie sesiju limita stāsta, tāpēc vispirms to nosakiet.

OpenVPN klienti interesantās rindas glabā žurnāla panelī. Ritiniet līdz pēdējam savienojuma mēģinājumam, nevis uz pēc tā sekojošo atkārtošanas cilpu, un meklējiet AUTH_FAILED vai nosūtītu iemesla virkni. Klients bieži ziņo par vispārīgu noraidījumu bez paskaidrojuma, tāpēc nākamais solis ir serveris, nevis klienta iestatījumi. Pakalpojumu sniedzēju lietotnes ir sliktākas: ziņojums par ierīču limitu ir noderīgs, bet savienojums, kas sabrūk pēc divām sekundēm, ir politikas lēmums, nevis slikta parole. Jebkurā gadījumā pierakstiet ierīces nosaukumu un precīzu laiku; operators šo pāri var saskaņot ar piekļuves ierakstu sekundēs.

Saskaitiet sesijas tur, kur tās skaita serveris

Svarīgais skaitītājs dzīvo uz vārtejas. OpenVPN raksta statusa failu, kad serveris tiek palaists ar --status, uzskaitot katru pievienoto klientu ar tā kopējo nosaukumu, reālo adresi un trafika skaitītājiem.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Divas rindas ar vienu un to pašu kopējo nosaukumu ir divas dzīvas sesijas zem viena sertifikāta. Pēc noklusējuma OpenVPN netur abas: bez --duplicate-cn otrs savienojums ar to pašu sertifikātu aizstāj pirmo, un vecākā ierīce zaudē savu tuneli. Šī aizstāšana ir identitātes limita paraksts. Nejauša pakešu zudums pieklājīgi neatvieno tieši vienu ierīci tajā mirklī, kad parādās cita.

WireGuard nav sesiju tabulas, ko apskatīt. wg show wg0 izdrukā partnerus un viņu pēdējo rokas spiedienu, un katra reģistrētā ierīce ir partneris ar savu atslēgu. Koplietots konts tur ir konfigurācijas fails, kas nokopēts uz vairākām mašīnām, un limits nāk no tā, kas šos failus izplata: pakalpojumu sniedzēja portāls, vietu skaits vai noteikums, kas saistīts ar jūsu publisko adresi. OpenVPN 2.6 rokasgrāmata dokumentē servera puses opcijas, ja pārvaldāt savu vārteju.

Atdaliet četrus limitus, kas slēpjas aiz viena ziņojuma

Lielākā daļa koplietota konta pieteikumu ir viens no četriem uzņemšanas lēmumiem. Klients tos nevar atšķirt, bet modelis, kura ierīce neizdodas, var.

Tā pati identitāte, otrais savienojums. Jaunā ierīce darbojas, un vecā mirst tajā pašā mirklī. Tā ir identitātes līmeņa vienlaicības kārtula, ko īsteno vārteja vai kontu sistēma. Nekas nav salūzis; pakalpojums dara to, ko saka tā politika.

Vietu vai ierīču skaits plānā. Pirmās ierīces paliek pievienotas, un nākamā tiek noraidīta, kamēr pārējās turpina darboties. Pārbaudiet pakalpojumu sniedzēja ierīču sarakstu, pirms maināt klientu, jo licences limitu no klienta puses nevar salabot.

Griesti, kas saistīti ar jūsu publisko adresi. Divi klēpjdatori aiz viena mājas maršrutētāja neizdodas, kamēr tā pati pieteikšanās darbojas no tālruņa piekļuves punkta. Lai pārbaudītu, pārvietojiet otro ierīci uz citu tīklu. Ja tā tur pieslēdzas, jūs redzat kārtulu uz adresi vai NAT kārtulu, nevis konta skaitu.

Maksimums visam serverim. Visi uz vārtejas neizdodas tajā pašā sastrēguma stundā, tostarp konti, kas vakar bija kārtībā. OpenVPN --max-clients uzvedas tieši tā, un tam nav nekāda sakara ar jūsu reģistrētajām ierīcēm.

Notīriet novecojušas sesijas, pirms pērkat vairāk vietu

Sesija, kas beidzās slikti, joprojām var aizņemt vietu. RADIUS uzskaite raksta ierakstu, kad sesija sākas, un aizver to, kad sesija apstājas; kad klients pazūd, apstāšanās nekad neatnāk, un serveris tur sesiju, līdz beidzas starpposma atjauninājums vai taimauts. FreeRADIUS vārtejā jūs varat redzēt atvērtos ierakstus:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Atvērts ieraksts ar vecu sākuma laiku un bez trafika pieder jau aizgājušai ierīcei. Aizveriet to operatora konsolē vai ar atvienošanas pieprasījumu, pirms pieņemat, ka limits bija īsts. Tālruņi atkārtoti pieslēdzas, kad Wi-Fi nodod mobilo tīklu, un klēpjdators var darbināt vienu tuneli operētājsistēmā un vēl vienu pakalpojumu sniedzēja lietotnē, kas skaitās kā divas sesijas no vienas mašīnas.

Pārtrauciet dalīt vienu identitāti starp ierīcēm, kas darbojas kopā

Ilgstošais labojums ir strukturāls. Dodiet katrai ierīcei savu sertifikātu ar unikālu kopējo nosaukumu vai savu kontu, un pierakstiet, kura persona un kura mašīna to tur. OpenVPN tas nozīmē vienu klienta sertifikātu katrai ierīcei, un --duplicate-cn paliek izslēgts, ja vien nevēlaties pārņemšanas uzvedību; WireGuard — vienu atslēgu pāri katrai ierīcei, kas tiek ģenerēts tur un nekad netiek kopēts.

Profila klonēšana, lai apietu ierīču limitu, salauž atsaukšanu: vienas kopijas atsaukšana nogriež katru ierīci, kas to dala, un žurnāls vairs nevar pateikt, kura mašīna ko izdarīja. Ja limits ir komerciāls, godīgais labojums ir papildu vieta; ja tā ir iekšējā politika, lūdziet otru identitāti ar tādām pašām piekļuves tiesībām.

Pārbaudiet noteiktā secībā

Katru reizi pārbaudiet labojumu vienādi, lai rezultātam būtu nozīme.

• Izlogojieties katrā ierīcē un apstipriniet, ka servera aktīvais saraksts ir tukšs; ieraksts, kas netiek notīrīts, ir novecojusi sesija, nevis klienta kļūda.
• Pievienojiet ierīces pa vienai un starp savienojumiem vērojiet sarakstu.
• Ja divām jādarbojas kopā, apstipriniet, ka abām rindām ir atšķirīgas identitātes un abas uztur svaigu rokas spiedienu.
• Atkārtojiet pēc pārejas no Wi-Fi uz mobilo tīklu, jo atkārtota pievienošanās var radīt otru ierakstu.

Ja vecā ierīce joprojām atkrīt, kad pievienojas jaunā, vārteja īsteno identitātes kārtulu, kurai jums nav piešķirts izņēmums. Aiznesiet operatoram ierīču nosaukumus, laika zīmes un aktīvo sesiju sarakstu; tas neskaidru sūdzību pārvērš politikas jautājumā, uz kuru viņi var atbildēt.