Хуваалцсан VPN бүртгэлийн сессийн хязгаар: нэг төхөөрөмж яагаад салдаг вэ

Таны утсан дээр аль хэдийн ажиллаж байгаа бүртгэлд хоёр дахь зөөврийн компьютер нэмэхэд утасны туннель нэг минутын дотор салдаг. Эсвэл шинэ төхөөрөмж холболтоо хэзээ ч дуусгахгүй, клиент хүлээх хугацааны оронд бодлогын мэдээгээр төгсдөг. Хоёр тохиолдолд сүлжээ хэвийн; шийдвэр нь түүний дээр гарсан. Хуваалцсан нэвтрэлт бол нэг таних тэмдэг бөгөөд ихэнх VPN үйлчилгээ таны эзэмшдэг төхөөрөмжийн тоог биш, тэр таних тэмдгийг тоолдог. Би клиентийн дэлгэцээс гадагш ажилладаг, учир нь энэ нь ихэвчлэн аль давхарга таныг татгалзсаныг харуулдаг.

Сүлжээнд хүрэхээс өмнө клиентийн мэдээллийг уншаарай

Гурван алдаа ижил харагдана, гэхдээ тийм биш. Хүлээх хугацаа дуусах нь таны пакетууд хаашаа ч хүрээгүй гэсэн үг. TLS эсвэл гэрчилгээний алдаа нь төгсгөлийн цэг хариулсан ч гар барилт бүтэлгүйтсэн гэсэн үг. Баталгаажуулалт эсвэл бодлогоос татгалзах нь гарц таны мэдээллийг уншиж, дараа нь түүнээс татгалзсан гэсэн үг. Гурав дахь нь л сессийн хязгаарын түүхэнд хамаарна, тиймээс эхлээд үүнийг тогтоогоорой.

OpenVPN клиентүүд сонирхолтой мөрүүдийг лог хэсэгтээ хадгалдаг. Дараагийн дахин оролдлогын цикл рүү биш, сүүлийн холболтын оролдлого руу гүйлгэж, AUTH_FAILED эсвэл илгээсэн шалтгааны мөрийг хайгаарай. Клиент ихэвчлэн тайлбаргүй ерөнхий татгалзлыг мэдээлдэг тул дараагийн алхам нь сервер, клиентийн тохиргоо биш. Нийлүүлэгчийн аппууд улам муу: төхөөрөмжийн хязгаарын мэдээ хэрэгтэй, гэхдээ хоёр секундын дараа нуран унасан холболт бол бодлогын шийдвэр, муу нууц үг биш. Ямар ч тохиолдолд төхөөрөмжийн нэр, яг цагийг бичээрэй; оператор энэ хосыг секундын дотор нэвтрэх бичлэгтэй тулгаж чадна.

Сессийг сервер тоолдог газар тоол

Чухал тоолуур гарц дээр байдаг. Серверийг --status-аар эхлүүлэхэд OpenVPN төлөвийн файл бичиж, холбогдсон клиент бүрийг нийтлэг нэр, бодит хаяг, урсгалын тоолуурын хамт жагсаадаг.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Ижил нийтлэг нэртэй хоёр мөр нь нэг гэрчилгээний доорх хоёр амьд сесс юм. Анхдагчаар OpenVPN хоёуланг нь хадгалдаггүй: --duplicate-cn гүйгээр ижил гэрчилгээг ашигласан хоёр дахь холболт эхнийхийг орлуулж, хуучин төхөөрөмж туннелээ алддаг. Энэ орлуулалт нь таних хязгаарын гарын үсэг юм. Санамсаргүй пакет алдагдах нь нөгөө төхөөрөмж гарч ирэх яг тэр мөчид нэг төхөөрөмжийг эелдгээр салгадаггүй.

WireGuard-д шалгах сессийн хүснэгт байхгүй. wg show wg0 түншүүд болон тэдний хамгийн сүүлийн гар барилтыг хэвлэдэг бөгөөд бүртгэгдсэн төхөөрөмж бүр өөрийн түлхүүртэй түнш юм. Тэнд хуваалцсан бүртгэл гэдэг нь хэд хэдэн машин руу хуулагдсан тохиргооны файл бөгөөд хязгаар нь тэдгээр тохиргоог тараадаг зүйлээс ирдэг: нийлүүлэгчийн портал, суудлын тоо эсвэл таны нийтийн хаягтай холбосон дүрэм. Өөрийн гарцыг ажиллуулж байгаа бол OpenVPN 2.6-ын гарын авлага серверийн талын сонголтуудыг баримтжуулдаг.

Нэг мэдээний цаана нуугдсан дөрвөн хязгаарыг ялгаарай

Хуваалцсан бүртгэлийн ихэнх тасалбар нь элсэлтийн дөрвөн шийдвэрийн нэг. Клиент тэдгээрийг ялгаж чадахгүй, гэхдээ аль төхөөрөмж бүтэлгүйтдэг вэ гэсэн хэв маяг чадна.

Ижил таних тэмдэг, хоёр дахь холболт. Шинэ төхөөрөмж ажиллаж, хуучин нь яг тэр мөчид үхдэг. Энэ нь гарц эсвэл бүртгэлийн систем хэрэгжүүлдэг таних тэмдэг тус бүрийн зэрэгцээ байдлын дүрэм юм. Юу ч эвдээгүй; үйлчилгээ өөрийн бодлогын дагуу ажиллаж байна.

Багц дахь суудал эсвэл төхөөрөмжийн тоо. Эхний төхөөрөмжүүд холбогдсон хэвээр, дараагийнхыг татгалзаж, бусды нь үргэлжилдэг. Клиентийг өөрчлөхөөс өмнө нийлүүлэгчийн төхөөрөмжийн жагсаалтыг шалгаарай, учир нь лицензийн хязгаарыг клиентийн талаас засах боломжгүй.

Нийтийн хаягтай холбосон хязгаар. Нэг гэрийн чиглүүлэгчийн ард хоёр зөөврийн компьютер бүтэлгүйтдэг бол мөнөөх нэвтрэлт утасны хотспотоос ажилладаг. Туршихын тулд хоёр дахь төхөөрөмжийг өөр сүлжээнд зөөгөрөй. Хэрэв тэнд холбогдвол та хаяг тус бүрийн дүрэм эсвэл NAT дүрмийг харж байна, бүртгэлийн тоог биш.

Бүх серверийн дээд хязгаар. Гарц дээрх бүгд ижил ачаалалтай цагт бүтэлгүйтдэг, өчигдөр хэвийн байсан бүртгэлүүд ч. OpenVPN-ийн --max-clients ингэж ажилладаг бөгөөд таны бүртгэсэн төхөөрөмжтэй ямар ч холбоогүй.

Илүү суудал худалдаж авахаас өмнө хуучирсан сессүүдийг цэвэрлээрэй

Муугаар төгссөн сесс байр суурийг барьж чадна. RADIUS нягтлан бодох бүртгэл сесс эхлэхэд бичлэг бичиж, сесс зогсоход хаадаг; клиент алга болоход зогсолт хэзээ ч ирэхгүй бөгөөд сервер завсрын шинэчлэл эсвэл хүлээх хугацаа дуустал сессийг барина. FreeRADIUS гарц дээр нээлттэй бичлэгүүдийг харж болно:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Хуучин эхлэх цагтай, урсгалгүй нээлттэй бичлэг нь аль хэдийн явсан төхөөрөмжийнх. Хязгаар бодит байсан гэж үзэхээс өмнө операторын консолоор эсвэл салгах хүсэлтээр хаагаарай. Wi-Fi-аас гар утасны сүлжээнд шилжихэд утаснууд дахин холбогддог, зөөврийн компьютер үйлдлийн системд нэг туннель, нийлүүлэгчийн апп дотор өөр нэгийг ажиллуулж болох бөгөөд энэ нь нэг машинаас хоёр сесс гэж тооцогддог.

Хамт ажилладаг төхөөрөмжүүдийн хооронд нэг таних тэмдгийг хуваалцахаа болино

Урт хугацааны шийдэл нь бүтцийн. Төхөөрөмж бүрт өвөрмөц нийтлэг нэртэй өөрийн гэрчилгээ эсвэл өөрийн бүртгэл өгч, аль хүн, аль машин үүнийг эзэмшиж байгааг бүртгээрэй. OpenVPN-д энэ нь төхөөрөмж бүрт нэг клиентийн гэрчилгээ гэсэн үг бөгөөд эзэмшилтийн зан төлөвийг хүсэхгүй бол --duplicate-cn унтраалттай байна; WireGuard-д төхөөрөмж бүрт нэг түлхүүрийн хос, тэнд үүсгэгдэж, хэзээ ч хуулагддаггүй.

Төхөөрөмжийн хязгаарыг тойрохын тулд профайлыг хувилах нь хүчингүй болгохыг эвддэг: нэг хуулбарыг хүчингүй болгох нь түүнийг хуваалцдаг бүх төхөөрөмжийг таслана, лог аль машин юу хийснийг хэлж чадахгүй болно. Хязгаар нь арилжааны бол шударга шийдэл нь нэмэлт суудал; дотоод бодлого бол ижил нэвтрэх эрхтэй хоёр дахь таних тэмдэг хүсээрэй.

Тогтоосон дарааллаар шалгаарай

Засварыг алга болгонд ижил аргаар туршаарай, үр дүн утга учиртай болохын тулд.

• Бүх төхөөрөмжөөс гарч, серверийн идэвхтэй жагсаалт хоосон эсэхийг баталгаажуулаарай; цэвэрлэгдэхгүй бичлэг нь хуучирсан сесс, клиентийн алдаа биш.
• Төхөөрөмжүүдийг нэг нэгээр холбож, холболтуудын хооронд жагсаалтыг ажиглаарай.
• Хоёр нь хамт ажиллах ёстой бол хоёр мөр өөр таних тэмдэгтэй, хоёулаа гар барилтыг шинэ байлгаж байгааг баталгаажуулаарай.
• Wi-Fi-аас гар утасны сүлжээнд шилжсэний дараа давтаарай, учир нь дахин холбогдох нь хоёр дахь бичлэг үүсгэж болно.

Шинэ нь холбогдоход хуучин төхөөрөмж сасар салж байвал гарц танд үл хамаарах эрх олгоогүй таних тэмдэг тус бүрийн дүрмийг хэрэгжүүлж байна. Операторт төхөөрөмжүүдийн нэр, цагийн тэмдэг, идэвхтэй сессийн жагсаалтыг аваачаарай; энэ нь бүрхэг гомдлыг тэд хариулж чадах бодлогын асуулт болгоно.