പങ്കിട്ട VPN അക്കൗണ്ടിന്റെ സെഷൻ പരിധി: ഒരു ഉപകരണം മാത്രം വീഴുന്നത് എന്തുകൊണ്ട്

നിങ്ങളുടെ ഫോണിൽ ഇതിനകം പ്രവർത്തിക്കുന്ന അക്കൗണ്ടിലേക്ക് രണ്ടാമതൊരു ലാപ്ടോപ്പ് ചേർക്കുമ്പോൾ ഒരു മിനിറ്റിനുള്ളിൽ ഫോണിന്റെ ടണൽ വീഴുന്നു. അല്ലെങ്കിൽ പുതിയ ഉപകരണം ഒരിക്കലും കണക്ഷൻ പൂർത്തിയാക്കുന്നില്ല, ക്ലയന്റ് സമയപരിധിക്കു പകരം ഒരു നയ സന്ദേശത്തിൽ അവസാനിക്കുന്നു. രണ്ടു സന്ദർഭങ്ങളിലും നെറ്റ്വർക്ക് കുഴപ്പമില്ല; തീരുമാനം അതിനു മുകളിലാണ് എടുത്തത്. പങ്കിട്ട ലോഗിൻ ഒരു ഐഡന്റിറ്റിയാണ്, മിക്ക VPN സേവനങ്ങളും നിങ്ങളുടെ ഉപകരണങ്ങളുടെ എണ്ണമല്ല, ആ ഐഡന്റിറ്റിയാണ് എണ്ണുന്നത്. ഞാൻ ക്ലയന്റ് സ്ക്രീനിൽ നിന്ന് പുറത്തേക്കാണ് പ്രവർത്തിക്കുന്നത്, കാരണം ഏത് പാളിയാണ് നിങ്ങളെ നിരസിച്ചത് എന്ന് സാധാരണ അതിൽ കാണാം.

നെറ്റ്വർക്കിൽ തൊടുന്നതിന് മുൻപ് ക്ലയന്റ് സന്ദേശം വായിക്കുക

മൂന്ന് പരാജയങ്ങൾ സമാനമായി തോന്നുന്നു, അല്ല. സമയപരിധി എന്നാൽ നിങ്ങളുടെ പാക്കറ്റുകൾ എവിടെയും എത്തിയില്ല. TLS അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് പിശക് എന്നാൽ അന്തിമ ബിന്ദു ഉത്തരം നൽകി, പക്ഷേ ഹാൻഡ്ഷേക്ക് പരാജയപ്പെട്ടു. പ്രാമാണീകരണമോ നയമോ നിരസിക്കൽ എന്നാൽ ഗേറ്റ്വേ നിങ്ങളുടെ വിവരങ്ങൾ വായിച്ചു, പിന്നീട് അവ നിരസിച്ചു. മൂന്നാമത്തേത് മാത്രമാണ് സെഷൻ പരിധിയുടെ കഥയിൽ പെടുന്നത്, അതിനാൽ ആദ്യം അത് ഉറപ്പാക്കുക.

OpenVPN ക്ലയന്റുകൾ പ്രധാന വരികൾ ലോഗ് പാനലിൽ സൂക്ഷിക്കുന്നു. പിന്നീട് വരുന്ന വീണ്ടും ശ്രമിക്കൽ ലൂപ്പിലേക്കല്ല, അവസാന കണക്ഷൻ ശ്രമത്തിലേക്ക് സ്ക്രോൾ ചെയ്യുക, AUTH_FAILED അല്ലെങ്കിൽ അയച്ച കാരണ സ്ട്രിംഗ് തിരയുക. ക്ലയന്റ് പലപ്പോഴും വിശദീകരണമില്ലാതെ പൊതുവായ നിരസിക്കൽ റിപ്പോർട്ട് ചെയ്യുന്നു, അതിനാൽ അടുത്ത ഘട്ടം സെർവറാണ്, ക്ലയന്റ് ക്രമീകരണങ്ങളല്ല. ദാതാവിന്റെ ആപ്പുകൾ കൂടുതൽ മോശമാണ്: ഉപകരണ പരിധി സന്ദേശം ഉപയോഗപ്രദമാണ്, പക്ഷേ രണ്ട് സെക്കൻഡിന് ശേഷം തകരുന്ന കണക്ഷൻ നയ തീരുമാനമാണ്, മോശം പാസ്വേഡല്ല. ഏതായാലും ഉപകരണത്തിന്റെ പേരും കൃത്യ സമയവും എഴുതി വയ്ക്കുക; ഓപ്പറേറ്റർക്ക് ആ ജോടി സെക്കൻഡുകൾക്കുള്ളിൽ ഒരു ആക്സസ് റെക്കോർഡുമായി ഒരുമിപ്പിക്കാം.

സെർവർ എണ്ണുന്നിടത്ത് സെഷനുകൾ എണ്ണുക

പ്രധാന കൗണ്ടർ ഗേറ്റ്വേയിലാണ്. സെർവർ --status ഉപയോഗിച്ച് ആരംഭിക്കുമ്പോൾ OpenVPN ഒരു സ്റ്റാറ്റസ് ഫയൽ എഴുതുന്നു, ഓരോ കണക്ട് ചെയ്ത ക്ലയന്റിനെയും അതിന്റെ പൊതുനാമം, യഥാർത്ഥ വിലാസം, ട്രാഫിക് കൗണ്ടറുകൾ എന്നിവയോടെ പട്ടികപ്പെടുത്തുന്നു.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

ഒരേ പൊതുനാമമുള്ള രണ്ട് വരികൾ ഒരു സർട്ടിഫിക്കറ്റിന് കീഴിലുള്ള രണ്ട് ജീവനുള്ള സെഷനുകളാണ്. സ്വതവേ OpenVPN രണ്ടും സൂക്ഷിക്കുന്നില്ല: --duplicate-cn ഇല്ലാതെ, അതേ സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുന്ന രണ്ടാമത്തെ കണക്ഷൻ ആദ്യത്തേതിനെ മാറ്റിസ്ഥാപിക്കുന്നു, പഴയ ഉപകരണം അതിന്റെ ടണൽ നഷ്ടപ്പെടുത്തുന്നു. ആ മാറ്റിസ്ഥാപിക്കലാണ് ഐഡന്റിറ്റി പരിധിയുടെ ഒപ്പ്. ക്രമരഹിത പാക്കറ്റ് നഷ്ടം മറ്റൊന്ന് പ്രത്യക്ഷപ്പെടുന്ന അതേ നിമിഷത്തിൽ കൃത്യമായി ഒരു ഉപകരണത്തെ മാന്യമായി വിച്ഛേദിക്കുന്നില്ല.

WireGuard-ൽ പരിശോധിക്കാൻ ഒരു സെഷൻ പട്ടികയില്ല. wg show wg0 പിയറുകളും അവരുടെ ഏറ്റവും പുതിയ ഹാൻഡ്ഷേക്കും പ്രിന്റ് ചെയ്യുന്നു, ഓരോ രജിസ്റ്റർ ചെയ്ത ഉപകരണവും സ്വന്തം കീയുള്ള ഒരു പിയർ ആണ്. അവിടെയുള്ള പങ്കിട്ട അക്കൗണ്ട് പല മെഷീനുകളിലേക്ക് പകർത്തിയ ഒരു കോൺഫിഗ് ഫയലാണ്, പരിധി ആ കോൺഫിഗുകൾ വിതരണം ചെയ്യുന്നതിൽ നിന്നാണ് വരുന്നത്: ദാതാവിന്റെ പോർട്ടൽ, സീറ്റ് എണ്ണം, അല്ലെങ്കിൽ നിങ്ങളുടെ പൊതു വിലാസവുമായി ബന്ധിപ്പിച്ച ഒരു നിയമം. സ്വന്തം ഗേറ്റ്വേ നടത്തുന്നുവെങ്കിൽ OpenVPN 2.6 മാനുവൽ സെർവർ വശത്തെ ഓപ്ഷനുകൾ രേഖപ്പെടുത്തുന്നു.

ഒരു സന്ദേശത്തിന് പിന്നിൽ ഒളിച്ചിരിക്കുന്ന നാല് പരിധികൾ വേർതിരിക്കുക

പങ്കിട്ട അക്കൗണ്ട് ടിക്കറ്റുകളിൽ മിക്കതും നാല് പ്രവേശന തീരുമാനങ്ങളിൽ ഒന്നാണ്. ക്ലയന്റിന് അവ തിരിച്ചറിയാനാവില്ല, എന്നാൽ ഏത് ഉപകരണം പരാജയപ്പെടുന്നു എന്ന മാതൃകയ്ക്ക് കഴിയും.

അതേ ഐഡന്റിറ്റി, രണ്ടാമത്തെ കണക്ഷൻ. പുതിയ ഉപകരണം പ്രവർത്തിക്കുന്നു, പഴയത് അതേ നിമിഷത്തിൽ മരിക്കുന്നു. ഗേറ്റ്വേയോ അക്കൗണ്ട് സിസ്റ്റമോ നടപ്പാക്കുന്ന ഐഡന്റിറ്റി അടിസ്ഥാനമാക്കിയ ഒരേസമയ നിയമമാണിത്. ഒന്നും കേടായിട്ടില്ല; സേവനം അതിന്റെ നയം പറയുന്നത് ചെയ്യുന്നു.

പ്ലാനിലെ സീറ്റ് അല്ലെങ്കിൽ ഉപകരണ എണ്ണം. ആദ്യ ഉപകരണങ്ങൾ കണക്ട് ചെയ്തിരിക്കും, അടുത്തത് നിരസിക്കപ്പെടും, മറ്റുള്ളവ തുടരും. ക്ലയന്റ് മാറ്റുന്നതിന് മുൻപ് ദാതാവിന്റെ ഉപകരണ പട്ടിക പരിശോധിക്കുക, കാരണം ലൈസൻസ് പരിധി ക്ലയന്റ് ഭാഗത്ത് നിന്ന് ശരിയാക്കാനാവില്ല.

നിങ്ങളുടെ പൊതു വിലാസവുമായി ബന്ധിപ്പിച്ച പരിധി. ഒരു വീട്ടു റൗട്ടറിന് പിന്നിലുള്ള രണ്ട് ലാപ്ടോപ്പുകൾ പരാജയപ്പെടുമ്പോൾ അതേ ലോഗിൻ ഫോൺ ഹോട്ട്സ്പോട്ടിൽ നിന്ന് പ്രവർത്തിക്കുന്നു. പരിശോധിക്കാൻ രണ്ടാമത്തെ ഉപകരണം മറ്റൊരു നെറ്റ്വർക്കിലേക്ക് മാറ്റുക. അവിടെ കണക്ട് ചെയ്യുന്നുവെങ്കിൽ നിങ്ങൾ കാണുന്നത് വിലാസം അടിസ്ഥാനമാക്കിയ നിയമമോ NAT നിയമമോ ആണ്, അക്കൗണ്ടിന്റെ എണ്ണമല്ല.

മുഴുവൻ സെർവറിന്റെ പരമാവധി. ഗേറ്റ്വേയിലുള്ള എല്ലാവരും ഒരേ തിരക്കുള്ള മണിക്കൂറിൽ പരാജയപ്പെടുന്നു, ഇന്നലെ കുഴപ്പമില്ലാത്ത അക്കൗണ്ടുകൾ ഉൾപ്പെടെ. OpenVPN-ന്റെ --max-clients അങ്ങനെയാണ് പെരുമാറുന്നത്, അതിന് നിങ്ങളുടെ രജിസ്റ്റർ ചെയ്ത ഉപകരണങ്ങളുമായി യാതൊരു ബന്ധവുമില്ല.

കൂടുതൽ സീറ്റുകൾ വാങ്ങുന്നതിന് മുൻപ് പഴയ സെഷനുകൾ വൃത്തിയാക്കുക

മോശമായി അവസാനിച്ച ഒരു സെഷന് ഇപ്പോഴും ഒരു സ്ഥാനം പിടിക്കാം. സെഷൻ ആരംഭിക്കുമ്പോൾ RADIUS അക്കൗണ്ടിംഗ് ഒരു റെക്കോർഡ് എഴുതുന്നു, സെഷൻ നിൽക്കുമ്പോൾ അത് അടയ്ക്കുന്നു; ക്ലയന്റ് അപ്രത്യക്ഷമാകുമ്പോൾ നിർത്തൽ ഒരിക്കലും എത്തുന്നില്ല, ഇടക്കാല അപ്ഡേറ്റോ സമയപരിധിയോ കഴിയുന്നതുവരെ സെർവർ സെഷൻ സൂക്ഷിക്കുന്നു. FreeRADIUS ഗേറ്റ്വേയിൽ തുറന്ന റെക്കോർഡുകൾ കാണാം:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

പഴയ ആരംഭ സമയവും ട്രാഫിക്കും ഇല്ലാത്ത തുറന്ന റെക്കോർഡ് ഇതിനകം പോയ ഉപകരണത്തിന്റേതാണ്. പരിധി യഥാർത്ഥമായിരുന്നു എന്ന് കരുതുന്നതിന് മുൻപ് ഓപ്പറേറ്ററുടെ കൺസോളിലൂടെയോ വിച്ഛേദന അഭ്യർത്ഥനയിലൂടെയോ അത് അടയ്ക്കുക. Wi-Fi മൊബൈലിലേക്ക് കൈമാറുമ്പോൾ ഫോണുകൾ വീണ്ടും കണക്ട് ചെയ്യുന്നു, ഒരു ലാപ്ടോപ്പ് OS-ൽ ഒരു ടണലും വെണ്ടർ ആപ്പിനുള്ളിൽ മറ്റൊന്നും ഓടിക്കാം, ഇത് ഒരു മെഷീനിൽ നിന്ന് രണ്ട് സെഷനുകളായി എണ്ണുന്നു.

ഒരുമിച്ച് പ്രവർത്തിക്കുന്ന ഉപകരണങ്ങൾക്കിടയിൽ ഒരു ഐഡന്റിറ്റി പങ്കിടുന്നത് നിർത്തുക

ശാശ്വത പരിഹാരം ഘടനാപരമാണ്. ഓരോ ഉപകരണത്തിനും അതുല്യമായ പൊതുനാമമുള്ള സ്വന്തം സർട്ടിഫിക്കറ്റോ സ്വന്തം അക്കൗണ്ടോ നൽകുക, ഏത് വ്യക്തിയും ഏത് മെഷീനും അത് കൈവശം വയ്ക്കുന്നു എന്ന് രേഖപ്പെടുത്തുക. OpenVPN-ൽ ഇതിനർത്ഥം ഓരോ ഉപകരണത്തിനും ഒരു ക്ലയന്റ് സർട്ടിഫിക്കറ്റ്, ഏറ്റെടുക്കൽ സ്വഭാവം വേണ്ടെങ്കിൽ --duplicate-cn ഓഫ് ആയി വയ്ക്കുന്നു; WireGuard-ൽ ഓരോ ഉപകരണത്തിനും ഒരു കീ ജോടി, അവിടെ തന്നെ സൃഷ്ടിക്കുന്നു, ഒരിക്കലും പകർത്തുന്നില്ല.

ഉപകരണ പരിധി ഒഴിവാക്കാൻ പ്രൊഫൈൽ ക്ലോൺ ചെയ്യുന്നത് റദ്ദാക്കൽ തകർക്കുന്നു: ഒരു പകർപ്പ് റദ്ദാക്കുമ്പോൾ അത് പങ്കിടുന്ന ഓരോ ഉപകരണവും വെട്ടിമാറുന്നു, ഏത് മെഷീൻ എന്ത് ചെയ്തു എന്ന് ലോഗിന് ഇനി പറയാനാവില്ല. പരിധി വാണിജ്യപരമെങ്കിൽ സത്യസന്ധമായ പരിഹാരം ഒരു അധിക സീറ്റാണ്; അത് ആന്തരിക നയമെങ്കിൽ അതേ ആക്സസ് അവകാശങ്ങളുള്ള രണ്ടാമത്തെ ഐഡന്റിറ്റി ആവശ്യപ്പെടുക.

നിശ്ചിത ക്രമത്തിൽ പരിശോധിക്കുക

ഓരോ തവണയും അതേ രീതിയിൽ അറ്റകുറ്റപ്പണി പരിശോധിക്കുക, ഫലത്തിന് അർത്ഥമുണ്ടാകാൻ.

• എല്ലാ ഉപകരണത്തിലും സൈൻ ഔട്ട് ചെയ്ത് സെർവറിന്റെ സജീവ പട്ടിക ശൂന്യമാണെന്ന് ഉറപ്പാക്കുക; വൃത്തിയാകാത്ത എൻട്രി പഴയ സെഷനാണ്, ക്ലയന്റ് തകരാറല്ല.
• ഉപകരണങ്ങൾ ഓരോന്നായി കണക്ട് ചെയ്ത് കണക്ഷനുകൾക്കിടയിൽ പട്ടിക നിരീക്ഷിക്കുക.
• രണ്ടെണ്ണം ഒരുമിച്ച് പ്രവർത്തിക്കണമെങ്കിൽ, രണ്ട് വരികളിലും വ്യത്യസ്ത ഐഡന്റിറ്റികൾ ഉണ്ടെന്നും രണ്ടും ഹാൻഡ്ഷേക്ക് പുതുതായി സൂക്ഷിക്കുന്നുവെന്നും ഉറപ്പാക്കുക.
• Wi-Fi-ൽ നിന്ന് മൊബൈലിലേക്കുള്ള കൈമാറ്റത്തിന് ശേഷം ആവർത്തിക്കുക, കാരണം വീണ്ടും കണക്ട് ചെയ്യൽ രണ്ടാമത്തെ റെക്കോർഡ് സൃഷ്ടിച്ചേക്കാം.

പുതിയത് കണക്ട് ചെയ്യുമ്പോൾ പഴയ ഉപകരണം ഇപ്പോഴും വീഴുന്നുവെങ്കിൽ, നിങ്ങൾക്ക് ഒഴിവ് നൽകിയിട്ടില്ലാത്ത ഒരു ഐഡന്റിറ്റി അടിസ്ഥാനമാക്കിയ നിയമം ഗേറ്റ്വേ നടപ്പാക്കുന്നു. ഉപകരണങ്ങളുടെ പേരുകൾ, സമയ മുദ്രകൾ, സജീവ സെഷൻ പട്ടിക എന്നിവ ഓപ്പറേറ്ററുടെ അടുത്തേക്ക് കൊണ്ടുപോകുക; അത് അവ്യക്തമായ പരാതിയെ അവർക്ക് ഉത്തരം നൽകാവുന്ന നയ ചോദ്യമാക്കി മാറ്റുന്നു.