Ограничување на сесии на заедничка VPN сметка: зошто еден уред отпаѓа

Додавате втор лаптоп на сметката што веќе работи на вашиот телефон, и тунелот на телефонот отпаѓа во рок од една минута. Или новиот уред никогаш не го завршува поврзувањето, а клиентот завршува со порака за политика наместо со истек на време. Мрежата е во ред во двата случаи; одлуката е донесена над неа. Заедничкото најавување е еден идентитет и повеќето VPN услуги го бројат тој идентитет, а не бројот на уреди што ги имате. Работам од екранот на клиентот кон надвор, зашто тој обично покажува кој слој ве одбил.

Прочитајте ја пораката на клиентот пред да ја допрете мрежата

Три грешки изгледаат слично и не се. Истекот на време значи дека вашите пакети не стигнале никаде. Грешка во TLS или сертификат значи дека крајната точка одговорила, но ракувањето не успеало. Одбивање на автентикација или политика значи дека порталот ги прочитал вашите податоци и потоа ги одбил. Само третото припаѓа на приказната за ограничување на сесии, затоа прво утврдете го тоа.

Клиентите на OpenVPN ги чуваат интересните редови во панелот за дневник. Скролувајте до последниот обид за поврзување, а не до циклусот за повторување што следи, и барајте AUTH_FAILED или пратен текст на причина. Клиентот често пријавува општо одбивање без објаснување, затоа следниот чекор е серверот, а не поставките на клиентот. Апликациите на давателите се полоши: пораката за ограничување на уреди е корисна, но врската што се урива по две секунди е одлука за политика, а не лоша лозинка. Во секој случај запишете го името на уредот и точното време; операторот може да го спореди тој пар со запис за пристап во секунди.

Бројте сесии таму каде што серверот ги брои

Важниот бројач живее на порталот. OpenVPN пишува датотека со состојба кога серверот се стартува со --status, наведувајќи го секој поврзан клиент со неговото заедничко име, вистинска адреса и бројачи на сообраќај.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Два реда со исто заедничко име се две живи сесии под еден сертификат. Стандардно OpenVPN не ги чува двете: без --duplicate-cn втората врска со истиот сертификат ја заменува првата, и постариот уред го губи тунелот. Таа замена е потписот на ограничувањето на идентитет. Случајното губење пакети не откачува љубезно точно еден уред во моментот кога се појавува друг.

WireGuard нема табела со сесии за преглед. wg show wg0 ги печати партнерите и нивното последно ракување, а секој регистриран уред е партнер со свој клуч. Заедничката сметка таму е конфигурациска датотека копирана на неколку машини, а ограничувањето доаѓа од она што ги дели тие конфигурации: портал на давателот, број места или правило врзано за вашата јавна адреса. Прирачникот за OpenVPN 2.6 ги документира опциите од страната на серверот ако сами управувате со порталот.

Одделете ги четирите ограничувања што се кријат зад една порака

Повеќето тикети за заедничка сметка се една од четири одлуки за прием. Клиентот не може да ги разликува, но образецот за тоа кој уред не успева може.

Ист идентитет, втора врска. Новиот уред работи, а стариот умира во истиот момент. Тоа е правило за истовременост по идентитет што го спроведува порталот или системот за сметки. Ништо не е расипано; услугата го прави она што го вели нејзината политика.

Број на места или уреди во планот. Првите уреди остануваат поврзани, а следниот е одбиен додека другите продолжуваат. Проверете ја листата на уреди на давателот пред да смените клиент, бидејќи ограничувањето на лиценцата не се поправа од страната на клиентот.

Граница врзана за вашата јавна адреса. Два лаптопи зад еден домашен рутер не успеваат, додека истото најавување работи од хотспот на телефон. Преместете го вториот уред на друга мрежа за да го тестирате. Ако таму се поврзе, гледате правило по адреса или NAT правило, а не бројот на сметката.

Максимум за целиот сервер. Сите на порталот не успеваат во истиот часови на врвот, вклучително сметки што вчера биле во ред. --max-clients на OpenVPN се однесува така и нема никаква врска со вашите регистрирани уреди.

Исчистете ги застарените сесии пред да купите повеќе места

Сесија што завршила лошо сѐ уште може да држи место. RADIUS сметководството пишува запис кога сесијата почнува и го затвора кога сесијата запира; кога клиентот исчезнува, запирањето никогаш не доаѓа и серверот ја држи сесијата додека не истече средно ажурирање или истек на време. На портал со FreeRADIUS можете да ги видите отворените записи:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Отворен запис со старо време на почеток и без сообраќај припаѓа на уред што веќе го нема. Затворете го преку конзолата на операторот или со барање за исклучување, пред да претпоставите дека ограничувањето било вистинско. Телефоните повторно се поврзуваат кога Wi-Fi предава на мобилната мрежа, а лаптопот може да држи еден тунел во оперативниот систем плус уште еден во апликација на давател, што се брои како две сесии од една машина.

Престанете да делите еден идентитет меѓу уреди што работат заедно

Трајното решение е структурно. Дајте му на секој уред свој сертификат со единствено заедничко име, или своја сметка, и запишете кое лице и која машина го држи. На OpenVPN тоа значи еден клиентски сертификат по уред, а --duplicate-cn останува исклучен освен ако сакате однесување на преземање; на WireGuard, еден пар клучеви по уред, генериран таму и никогаш копиран.

Клонирањето профил за да се заобиколи ограничување на уреди го крши отповикувањето: отповикувањето на една копија ја пресекува секој уред што ја дели, а дневникот веќе не може да каже која машина што направила. Ако ограничувањето е комерцијално, чесното решение е дополнително место; ако е внатрешна политика, побарајте втор идентитет со истите права за пристап.

Проверувајте по фиксен редослед

Секој пат тестирајте ја поправката на ист начин, за да значи нешто резултатот.

• Одјавете се на секој уред и потврдете дека активната листа на серверот е празна; запис што не се чисти е застарена сесија, а не дефект на клиентот.
• Поврзувајте ги уредите еден по еден и набљудувајте ја листата меѓу врските.
• Ако два мора да работат заедно, потврдете дека двата реда носат различни идентитети и дека двете го држат ракувањето свежо.
• Повторете по преминот од Wi-Fi на мобилна мрежа, бидејќи повторното поврзување може да создаде втор запис.

Ако стариот уред сѐ уште отпаѓа кога се поврзува новиот, порталот спроведува правило по идентитет за кое не ви е дадено исклучок. Донесете му на операторот имиња на уреди, временски ознаки и листа на активни сесии; тоа ја претвора нејасната жалба во прашање за политика на кое тие можат да одговорат.