Limitu ta’ sessjonijiet ta’ kont VPN kondiviż: għaliex apparat wieħed jaqa’

Login kondiviż jilħaq il-limitu tiegħu ta’ sessjonijiet konkorrenti u apparat wieħed jaqa’. Aqra l-messaġġ tal-klijent, għodd is-sessjonijiet fuq is-server, imbagħad sewwi l-mudell tal-identità.

Iżżid it-tieni laptop mal-kont li diġà qed jaħdem fuq il-telefon tiegħek, u t-tunnel tat-telefon jaqa’ fi żmien minuta. Jew l-apparat il-ġdid qatt ma jispiċċa jgħaqqad, u l-klijent jispiċċa fuq messaġġ ta’ politika minflok waqfa ta’ ħin. In-network tajjeb fiż-żewġ każijiet; id-deċiżjoni tittieħdet fuqu. Login kondiviż huwa identità waħda, u ħafna mis-servizzi VPN jgħoddu dik l-identità minflok l-għadd ta’ apparati li għandek. Naħdem mill-iskrin tal-klijent ’il barra, għax normalment juri liema saff warrabek.

Aqra l-messaġġ tal-klijent qabel ma tmiss in-network

Tliet fallimenti jidhru simili u mhumiex. Waqfa ta’ ħin tfisser li l-pakketti tiegħek ma waslu imkien. Żball ta’ TLS jew ta’ ċertifikat ifisser li l-punt tat-tarf wieġeb imma l-ħsieba tal-idejn falliet. Ċaħda ta’ awtentikazzjoni jew ta’ politika tfisser li l-gateway qara l-kredenzjali tiegħek u mbagħad ċaħadhom. It-tielet waħda biss tappartjeni għal storja ta’ limitu ta’ sessjonijiet, mela stabbilixxi dik l-ewwel.

Il-klijenti ta’ OpenVPN iżommu l-linji interessanti fil-pannell tal-log tagħhom. Skrollja sal-aħħar tentattiv ta’ konnessjoni u mhux lejn iċ-ċiklu ta’ tentattivi mill-ġdid li jiġi warajh, u fittex AUTH_FAILED jew string ta’ raġuni mibgħuta. Il-klijent spiss jirrapporta ċaħda ġenerika mingħajr spjegazzjoni, mela l-pass li jmiss huwa s-server, mhux is-settings tal-klijent. L-apps tal-fornitur huma agħar: messaġġ ta’ limitu tal-apparati huwa utli, imma konnessjoni li tiġġarraf wara żewġ sekondi hija deċiżjoni ta’ politika, mhux password ħażina. Ikteb l-isem tal-apparat u l-ħin eżatt f’kull każ; operatur jista’ jqabbel dak il-par ma’ rekord ta’ aċċess fi ftit sekondi.

Għodd is-sessjonijiet fejn is-server jgħoddhom

Il-counter li jgħodd jgħix fuq il-gateway. OpenVPN jikteb fajl tal-istat meta s-server jinbeda b’--status, u jelenka kull klijent konness bl-isem komuni tiegħu, l-indirizz reali u l-counters tat-traffiku.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Żewġ ringieli bl-istess isem komuni huma żewġ sessjonijiet ħajjin taħt ċertifikat wieħed. B’mod awtomatiku OpenVPN ma jżommx it-tnejn: mingħajr --duplicate-cn, it-tieni konnessjoni bl-istess ċertifikat tissostitwixxi l-ewwel waħda, u l-apparat il-qadim jitlef it-tunnel tiegħu. Dik is-sostituzzjoni hija l-firma ta’ limitu tal-identità. Telf każwali ta’ pakketti ma jiskonnettjax bil-kortesija eżattament apparat wieħed fil-mument li jidher ieħor.

WireGuard m’għandu l-ebda tabella ta’ sessjonijiet x’jiġi eżaminat. wg show wg0 jipprintja l-pari u l-aħħar ħsieba tal-idejn tagħhom, u kull apparat irreġistrat huwa par bil-kjavi tiegħu stess. Kont kondiviż hemmhekk huwa fajl ta’ konfigurazzjoni kkopjat fuq bosta magni, u l-limitu jiġi minn dak li jqassam dawk il-konfigurazzjonijiet: portal tal-fornitur, għadd ta’ sedili jew regola marbuta mal-indirizz pubbliku tiegħek. Il-manwal ta’ OpenVPN 2.6 jiddokumenta l-għażliet tan-naħa tas-server jekk tmexxi l-gateway tiegħek.

Issepara l-erba’ limiti li jinħbew wara messaġġ wieħed

Ħafna mill-biljetti tal-kont kondiviż huma waħda minn erba’ deċiżjonijiet ta’ dħul. Il-klijent ma jistax jiddistingwihom, imma l-mudell ta’ liema apparat ifalli jista’.

L-istess identità, it-tieni konnessjoni. L-apparat il-ġdid jaħdem u l-qadim imut fl-istess mument. Din hija regola ta’ konkorrenza għal kull identità li tinforza l-gateway jew is-sistema tal-kontijiet. Xejn mhu miksur; is-servizz qed jagħmel dak li tgħid il-politika tiegħu.

Għadd ta’ sedili jew apparati fil-pjan. L-ewwel apparati jibqgħu konnessi u dak li jmiss jiġi miċħud waqt li l-oħrajn ikomplu. Iċċekkja l-lista tal-apparati tal-fornitur qabel ma tbiddel klijent, għax limitu ta’ liċenzja ma jistax jiġi msewwi min-naħa tal-klijent.

Limitu marbut mal-indirizz pubbliku tiegħek. Żewġ laptops wara router tad-dar ifallu waqt li l-istess login jaħdem minn hotspot tat-telefon. Mexxi t-tieni apparat għal netwerk ieħor biex tittestjah. Jekk jgħaqqad hemmhekk, qed tara regola għal kull indirizz jew regola NAT, mhux l-għadd tal-kont.

Massimu mas-server kollu. Kulħadd fuq il-gateway ifalli fl-istess siegħa ta’ traffiku, inklużi kontijiet li lbieraħ kienu tajbin. --max-clients ta’ OpenVPN iġib ruħu hekk, u m’għandu x’jaqsam xejn mal-apparati rreġistrati tiegħek.

Naddaf is-sessjonijiet antiki qabel tixtri aktar sedili

Sessjoni li spiċċat ħażin xorta tista’ żżomm post. Il-kontabilità RADIUS tikteb rekord meta sessjoni tibda u tagħlqu meta s-sessjoni tieqaf; meta klijent jisparixxi, it-twaqqif qatt ma jasal u s-server iżomm is-sessjoni sakemm jiskadi aġġornament interim jew waqfa ta’ ħin. Fuq gateway FreeRADIUS tista’ tara r-rekords miftuħa:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Rekord miftuħ b’ħin tal-bidu qadim u mingħajr traffiku jappartjeni għal apparat li diġà telaq. Agħlqu mill-console tal-operatur jew b’talba ta’ skonnettjar, qabel ma tassumi li l-limitu kien reali. It-telefons jerġgħu jgħaqqdu meta l-Wi-Fi jgħaddi għall-mowbajl, u laptop jista’ jħaddem tunnel wieħed fl-OS flimkien ma’ ieħor ġewwa app tal-fornitur, li jgħodd bħala żewġ sessjonijiet minn magna waħda.

Ieqaf taqsam identità waħda bejn apparati li jaħdmu flimkien

It-tiswija dejjiema hija strutturali. Agħti lil kull apparat iċ-ċertifikat tiegħu stess b’isem komuni uniku, jew il-kont tiegħu stess, u rreġistra liema persuna u liema magna jżommuh. Fuq OpenVPN dan ifisser ċertifikat tal-klijent wieħed għal kull apparat, b’--duplicate-cn mħalli mitfi sakemm ma tkunx trid imġieba ta’ ħtif; fuq WireGuard par kjavi wieħed għal kull apparat, iġġenerat hemmhekk u qatt mhu kkopjat.

L-ikklonjar ta’ profil biex tevita limitu tal-apparati jkisser ir-revoka: irrevoka ta’ kopja waħda taqta’ kull apparat li jaqsamha, u l-log ma jistax jgħid aktar liema magna għamlet xiex. Jekk il-limitu huwa kummerċjali, it-tiswija onesta hija sedil miżjud; jekk hija politika interna, itlob tieni identità bl-istess drittijiet ta’ aċċess.

Ivverifika fi ordni fiss

Ittestja t-tiswija bl-istess mod kull darba, biex ir-riżultat ifisser xi ħaġa.

  • Oħroġ mill-kont fuq kull apparat u kkonferma li l-lista attiva tas-server hija vojta; entrata li ma tnaddafx hija sessjoni antika, mhux bug tal-klijent.
  • Qabbad l-apparati wieħed wieħed u osservah il-lista bejn il-konnessjonijiet.
  • Jekk tnejn iridu jaħdmu flimkien, ikkonferma li ż-żewġ ringieli jġorru identitajiet differenti u li t-tnejn iżommu l-ħsieba tal-idejn friska.
  • Irrepeti wara tranżizzjoni mill-Wi-Fi għall-mowbajl, għax konnessjoni mill-ġdid tista’ toħloq it-tieni rekord.

Jekk l-apparat il-qadim għadu jaqa’ meta jgħaqqad dak il-ġdid, il-gateway qed jinforza regola għal kull identità li ma ngħatatlekx eċċezzjoni għaliha. Ġib lill-operatur l-ismijiet tal-apparati, il-marki tal-ħin u l-lista tas-sessjonijiet attivi; dan ibiddel ilment vag f’mistoqsija ta’ politika li jistgħu jwieġbu.

Artikli relatati