Had sesi akaun VPN dikongsi: mengapa satu peranti tercicir

Anda menambah komputer riba kedua pada akaun yang sudah berjalan pada telefon anda, dan terowong telefon terputus dalam masa seminit. Atau peranti baharu tidak pernah menyelesaikan sambungan, dan klien berakhir pada mesej dasar dan bukan tamat masa. Rangkaian baik dalam kedua-dua kes; keputusan dibuat di atasnya. Log masuk dikongsi ialah satu identiti, dan kebanyakan perkhidmatan VPN mengira identiti itu dan bukan bilangan peranti yang anda miliki. Saya bekerja dari skrin klien ke luar, kerana ia biasanya menunjukkan lapisan mana yang menolak anda.

Baca mesej klien sebelum menyentuh rangkaian

Tiga kegagalan kelihatan serupa dan bukan. Tamat masa bermakna paket anda tidak sampai ke mana-mana. Ralat TLS atau sijil bermakna titik akhir menjawab tetapi jabat tangan gagal. Penolakan pengesahan atau dasar bermakna get laluan membaca kelayakan anda dan kemudian menolaknya. Hanya yang ketiga tergolong dalam kisah had sesi, jadi tetapkan itu dahulu.

Klien OpenVPN menyimpan baris menarik dalam panel log mereka. Tatal ke percubaan sambungan terakhir dan bukan ke gelung cubaan semula yang menyusul, dan cari AUTH_FAILED atau rentetan sebab yang dihantar. Klien sering melaporkan penolakan umum tanpa penjelasan, jadi langkah seterusnya ialah pelayan, bukan tetapan klien. Aplikasi penyedia lebih teruk: mesej had peranti berguna, tetapi sambungan yang runtuh selepas dua saat ialah keputusan dasar, bukan kata laluan salah. Catat nama peranti dan masa tepat dalam apa jua keadaan; pengendali boleh memadankan pasangan itu dengan rekod akses dalam beberapa saat.

Kira sesi di tempat pelayan mengiranya

Pembilang yang penting tinggal di get laluan. OpenVPN menulis fail status apabila pelayan dimulakan dengan --status, menyenaraikan setiap klien yang bersambung dengan nama umumnya, alamat sebenar dan pembilang trafiknya.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Dua baris dengan nama umum yang sama ialah dua sesi hidup di bawah satu sijil. Secara lalai OpenVPN tidak menyimpan kedua-duanya: tanpa --duplicate-cn, sambungan kedua yang menggunakan sijil sama menggantikan yang pertama, dan peranti lebih lama kehilangan terowongnya. Penggantian itu ialah tanda tangan had identiti. Kehilangan paket rawak tidak memutuskan dengan sopan tepat satu peranti pada saat peranti lain muncul.

WireGuard tiada jadual sesi untuk diperiksa. wg show wg0 mencetak rakan dan jabat tangan terakhir mereka, dan setiap peranti berdaftar ialah rakan dengan kuncinya sendiri. Akaun dikongsi di situ ialah fail konfigurasi yang disalin ke beberapa mesin, dan had datang daripada apa sahaja yang mengagihkan konfigurasi itu: portal penyedia, kiraan tempat duduk, atau peraturan yang terikat pada alamat awam anda. Manual OpenVPN 2.6 mendokumenkan pilihan sebelah pelayan jika anda mengendalikan get laluan sendiri.

Asingkan empat had yang bersembunyi di sebalik satu mesej

Kebanyakan tiket akaun dikongsi ialah salah satu daripada empat keputusan kemasukan. Klien tidak dapat membezakannya, tetapi corak peranti mana yang gagal boleh.

Identiti sama, sambungan kedua. Peranti baharu berfungsi dan yang lama mati pada saat yang sama. Itu peraturan keserentakan per identiti yang dikuatkuasakan oleh get laluan atau sistem akaun. Tiada apa yang rosak; perkhidmatan melakukan apa yang dasar katakan.

Kiraan tempat duduk atau peranti pada pelan. Peranti pertama kekal bersambung dan yang seterusnya ditolak sementara yang lain terus berjalan. Semak senarai peranti penyedia sebelum menukar klien, kerana had lesen tidak boleh dibetulkan dari sebelah klien.

Had yang terikat pada alamat awam anda. Dua komputer riba di belakang satu penghala rumah gagal sementara log masuk yang sama berfungsi dari titik akses telefon. Pindahkan peranti kedua ke rangkaian lain untuk mengujinya. Jika ia bersambung di sana, anda melihat peraturan per alamat atau peraturan NAT, bukan kiraan akaun.

Maksimum seluruh pelayan. Semua orang di get laluan gagal pada jam sibuk yang sama, termasuk akaun yang semalam baik. --max-clients OpenVPN berkelakuan begitu, dan ia tiada kaitan dengan peranti berdaftar anda.

Bersihkan sesi lapuk sebelum membeli lebih banyak tempat duduk

Sesi yang berakhir dengan buruk masih boleh memegang slot. Perakaunan RADIUS menulis rekod apabila sesi bermula dan menutupnya apabila sesi berhenti; apabila klien hilang, hentian tidak pernah tiba dan pelayan menyimpan sesi sehingga kemas kini sementara atau tamat masa luput. Pada get laluan FreeRADIUS anda boleh melihat rekod terbuka:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Rekod terbuka dengan masa mula lama dan tanpa trafik milik peranti yang sudah pergi. Tutupnya melalui konsol pengendali atau dengan permintaan putus, sebelum anda menganggap had itu nyata. Telefon bersambung semula apabila Wi-Fi menyerahkan kepada mudah alih, dan komputer riba boleh menjalankan satu terowong dalam OS serta satu lagi di dalam aplikasi vendor, yang dikira sebagai dua sesi dari satu mesin.

Berhenti berkongsi satu identiti antara peranti yang berjalan bersama

Pembaikan tahan lama bersifat struktur. Beri setiap peranti sijilnya sendiri dengan nama umum unik, atau akaunnya sendiri, dan catat siapa orang dan mesin yang memegangnya. Pada OpenVPN itu bermakna satu sijil klien setiap peranti, dengan --duplicate-cn dibiarkan mati melainkan anda mahu tingkah laku pengambilalihan; pada WireGuard, satu pasangan kunci setiap peranti, dijana di situ dan tidak pernah disalin.

Mengklon profil untuk melepasi had peranti merosakkan pembatalan: membatalkan satu salinan memotong setiap peranti yang berkongsinya, dan log tidak lagi dapat mengatakan mesin mana melakukan apa. Jika had itu komersial, pembaikan jujurnya ialah tempat duduk tambahan; jika ia dasar dalaman, minta identiti kedua dengan hak akses yang sama.

Sahkan dalam urutan tetap

Uji pembaikan dengan cara yang sama setiap kali, supaya hasilnya bermakna.

• Log keluar pada setiap peranti dan sahkan senarai aktif pelayan kosong; entri yang tidak bersih ialah sesi lapuk, bukan pepijat klien.
• Sambungkan peranti satu demi satu dan perhatikan senarai antara sambungan.
• Jika dua harus berjalan bersama, sahkan kedua-dua baris membawa identiti berbeza dan kedua-duanya mengekalkan jabat tangan segar.
• Ulang selepas peralihan Wi-Fi ke mudah alih, kerana sambungan semula boleh mencipta rekod kedua.

Jika peranti lama masih tercicir apabila yang baharu bersambung, get laluan menguatkuasakan peraturan per identiti yang anda tidak diberi pengecualian. Bawa kepada pengendali nama peranti, cap masa dan senarai sesi aktif; itu mengubah aduan kabur menjadi soalan dasar yang boleh mereka jawab.