सामायिक VPN खात्याची सत्र मर्यादा: एक उपकरण का बंद पडते

तुमच्या फोनवर आधीच चालू असलेल्या खात्यात तुम्ही दुसरा लॅपटॉप जोडता, आणि फोनची टनेल एका मिनिटात तुटते. किंवा नवे उपकरण कधीही जोडणी पूर्ण करत नाही, आणि क्लायंट कालबाह्यतेऐवजी धोरण-संदेशावर संपतो. दोन्ही बाबतीत नेटवर्क ठीक आहे; निर्णय त्याच्या वर घेतला गेला. सामायिक लॉगिन एक ओळख आहे, आणि बहुतेक VPN सेवा तुमच्याकडील उपकरणांची संख्या नव्हे तर ती ओळख मोजतात. मी क्लायंट स्क्रीनपासून बाहेरच्या दिशेने काम करतो, कारण ती सहसा कोणत्या स्तराने तुम्हाला नाकारले ते दाखवते.

नेटवर्कला हात लावण्यापूर्वी क्लायंटचा संदेश वाचा

तीन अपयश सारखी दिसतात आणि ती नाहीत. कालबाह्यता म्हणजे तुमचे पॅकेट कुठेही पोहोचले नाहीत. TLS किंवा प्रमाणपत्र त्रुटी म्हणजे टोकाने उत्तर दिले पण हस्तांदोलन अयशस्वी झाले. प्रमाणीकरण किंवा धोरण नाकारणे म्हणजे गेटवेने तुमची माहिती वाचली आणि नंतर ती नाकारली. तिसरेच सत्र-मर्यादेच्या कथेशी संबंधित आहे, म्हणून ते आधी निश्चित करा.

OpenVPN क्लायंट महत्त्वाच्या ओळी त्यांच्या लॉग पॅनेलमध्ये ठेवतात. त्यानंतर येणाऱ्या पुनर्प्रयत्न चक्राकडे नाही, तर शेवटच्या जोडणी प्रयत्नाकडे स्क्रोल करा, आणि AUTH_FAILED किंवा पाठवलेली कारण-स्ट्रिंग शोधा. क्लायंट अनेकदा स्पष्टीकरणाशिवाय सर्वसाधारण नाकारणी नोंदवतो, म्हणून पुढचे पाऊल सर्व्हर आहे, क्लायंटची सेटिंग्ज नाही. प्रदात्याचे अनुप्रयोग अधिक वाईट आहेत: उपकरण-मर्यादेचा संदेश उपयुक्त आहे, पण दोन सेकंदांनंतर कोसळणारी जोडणी धोरण-निर्णय आहे, खराब पासवर्ड नाही. कोणत्याही परिस्थितीत उपकरणाचे नाव आणि नेमकी वेळ लिहून ठेवा; ऑपरेटर ती जोडी काही सेकंदांत प्रवेश-नोंदीशी जुळवू शकतो.

सत्रे तिथे मोजा जिथे सर्व्हर ती मोजतो

महत्त्वाचा काउंटर गेटवेवर राहतो. सर्व्हर --status ने सुरू झाल्यावर OpenVPN स्थिती-फाइल लिहितो, आणि प्रत्येक जोडलेला क्लायंट त्याच्या सामान्य नावासह, खऱ्या पत्त्यासह आणि रहदारी-काउंटरसह सूचीबद्ध करतो.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

एकाच सामान्य नावाच्या दोन ओळी एका प्रमाणपत्राखालील दोन जिवंत सत्रे आहेत. डीफॉल्टनुसार OpenVPN दोन्ही ठेवत नाही: --duplicate-cn शिवाय, तेच प्रमाणपत्र वापरणारी दुसरी जोडणी पहिलीची जागा घेते, आणि जुने उपकरण आपली टनेल गमावते. ती जागा घेणे हीच ओळख-मर्यादेची खूण आहे. यादृच्छिक पॅकेट हानी दुसरे उपकरण दिसण्याच्याच क्षणी नेमके एक उपकरण नम्रपणे डिस्कनेक्ट करत नाही.

WireGuard कडे तपासण्यासाठी सत्र-तक्ता नाही. wg show wg0 साथीदार आणि त्यांचे शेवटचे हस्तांदोलन छापते, आणि प्रत्येक नोंदणीकृत उपकरण स्वतःच्या किल्लीसह एक साथीदार आहे. तिथले सामायिक खाते म्हणजे अनेक मशीनवर नकल केलेली कॉन्फिग फाइल, आणि मर्यादा त्या कॉन्फिगचे वाटप करणाऱ्याकडून येते: प्रदात्याचे पोर्टल, जागांची संख्या, किंवा तुमच्या सार्वजनिक पत्त्याशी बांधलेला नियम. तुम्ही स्वतःचे गेटवे चालवत असाल तर OpenVPN 2.6 मॅन्युअल सर्व्हर-बाजूचे पर्याय दस्तऐवज करते.

एका संदेशामागे लपलेल्या चार मर्यादा वेगळ्या करा

बहुतेक सामायिक-खाते तिकिटे चार प्रवेश-निर्णयांपैकी एक असतात. क्लायंट त्यांना वेगळे करू शकत नाही, पण कोणते उपकरण अयशस्वी होते याचा नमुना करू शकतो.

तीच ओळख, दुसरी जोडणी. नवे उपकरण चालते आणि जुने त्याच क्षणी मरते. हा गेटवे किंवा खाते-प्रणाली लागू करणारा प्रति-ओळख एकाचवेळ नियम आहे. काहीच तुटलेले नाही; सेवा तिच्या धोरणात सांगितलेलेच करत आहे.

योजनेवरील जागा किंवा उपकरणांची संख्या. पहिली उपकरणे जोडलेली राहतात आणि पुढचे नाकारले जाते, तर इतर चालू राहतात. क्लायंट बदलण्यापूर्वी प्रदात्याची उपकरण-यादी पाहा, कारण परवाना-मर्यादा क्लायंटच्या बाजूने दुरुस्त होत नाही.

तुमच्या सार्वजनिक पत्त्याशी बांधलेली मर्यादा. एका घरगुती राउटरमागील दोन लॅपटॉप अयशस्वी होतात, तर तेच लॉगिन फोन हॉटस्पॉटवरून चालते. तपासण्यासाठी दुसरे उपकरण दुसऱ्या नेटवर्कवर न्या. तिथे जोडले गेले तर तुम्ही पत्त्यानुसार नियम किंवा NAT नियम पाहत आहात, खात्याची संख्या नाही.

संपूर्ण सर्व्हरचा कमाल. गेटवेवरील सर्वजण त्याच गर्दीच्या तासाला अयशस्वी होतात, काल ठीक असलेली खातीही. OpenVPN चा --max-clients असाच वागतो, आणि त्याचा तुमच्या नोंदणीकृत उपकरणांशी काहीही संबंध नाही.

अधिक जागा खरेदी करण्यापूर्वी जुनी सत्रे साफ करा

वाईटरीत्या संपलेले सत्र अजूनही जागा धरून ठेवू शकते. सत्र सुरू झाल्यावर RADIUS लेखा नोंद लिहितो आणि सत्र थांबल्यावर ती बंद करतो; क्लायंट अदृश्य झाल्यावर थांबणे कधीच येत नाही आणि सर्व्हर मधल्या अद्ययावत किंवा कालबाह्यतेपर्यंत सत्र ठेवतो. FreeRADIUS गेटवेवर तुम्ही उघड्या नोंदी पाहू शकता:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

जुन्या सुरुवातीच्या वेळेसह आणि रहदारीशिवाय उघडी नोंद आधीच गेलेल्या उपकरणाची असते. मर्यादा खरी होती असे गृहीत धरण्यापूर्वी ती ऑपरेटरच्या कन्सोलवरून किंवा डिस्कनेक्ट विनंतीने बंद करा. Wi-Fi मोबाइलकडे सोपवते तेव्हा फोन पुन्हा जोडले जातात, आणि लॅपटॉप OS मध्ये एक टनेल आणि विक्रेता अनुप्रयोगात दुसरी चालवू शकतो, जे एका मशीनवरून दोन सत्रे म्हणून मोजले जाते.

एकत्र चालणाऱ्या उपकरणांमध्ये एक ओळख सामायिक करणे थांबवा

टिकाऊ उपाय संरचनात्मक आहे. प्रत्येक उपकरणाला अद्वितीय सामान्य नावासह स्वतःचे प्रमाणपत्र, किंवा स्वतःचे खाते द्या, आणि कोणती व्यक्ती व कोणते मशीन ते धरते ते नोंदवा. OpenVPN मध्ये याचा अर्थ प्रति उपकरण एक क्लायंट प्रमाणपत्र, आणि ताबा घेण्याचे वर्तन नको असल्यास --duplicate-cn बंद; WireGuard मध्ये प्रति उपकरण एक किल्ली-जोडी, तिथेच तयार होते आणि कधीही नकल होत नाही.

उपकरण-मर्यादा टाळण्यासाठी प्रोफाइल क्लोन करणे रद्दीकरण मोडते: एक प्रत रद्द केल्यास ती सामायिक करणारे प्रत्येक उपकरण कापले जाते, आणि लॉग आता कोणत्या मशीनने काय केले सांगू शकत नाही. मर्यादा व्यावसायिक असल्यास प्रामाणिक उपाय अतिरिक्त जागा आहे; ती अंतर्गत धोरण असल्यास त्याच प्रवेश-अधिकारांसह दुसरी ओळख मागा.

ठरलेल्या क्रमाने पडताळणी करा

प्रत्येक वेळी त्याच पद्धतीने दुरुस्ती तपासा, जेणेकरून निकालाला अर्थ असेल.

• प्रत्येक उपकरणावर साइन आउट करा आणि सर्व्हरची सक्रिय यादी रिकामी असल्याची खात्री करा; जी नोंद साफ होत नाही ती जुने सत्र आहे, क्लायंटची खराबी नाही.
• उपकरणे एका वेळी एक जोडा आणि जोडण्यांमध्ये यादी पाहा.
• दोन एकत्र चालली पाहिजेत तर दोन्ही ओळींमध्ये वेगळ्या ओळखी आहेत आणि दोन्ही हस्तांदोलन ताजे ठेवतात याची खात्री करा.
• Wi-Fi वरून मोबाइलकडे हस्तांतरानंतर पुन्हा करा, कारण पुन्हा जोडणी दुसरी नोंद तयार करू शकते.

नवे जोडले जाताना जुने उपकरण अजूनही तुटत असेल, तर गेटवे तुम्हाला सूट न दिलेला प्रति-ओळख नियम लागू करत आहे. ऑपरेटरकडे उपकरणांची नावे, वेळ-चिन्हे आणि सक्रिय-सत्र यादी घेऊन जा; यामुळे अस्पष्ट तक्रार त्यांना उत्तर देता येईल अशा धोरण-प्रश्नात बदलते.