Sesjonsgrense for ein delt VPN-konto: kvifor éi eining fell ut

Du legg til ein ekstra berbar PC på kontoen som allereie køyrer på telefonen, og tunnelen på telefonen fell ut innan eitt minutt. Eller den nye eininga fullfører aldri tilkoplinga, og klienten endar på ei policymelding i staden for ein tidsavbrot. Nettverket er i orden i begge tilfelle; avgjerda vart teken over det. Ei delt innlogging er éin identitet, og dei fleste VPN-tenester tel den identiteten i staden for talet på einingar du eig. Eg arbeider frå skjermen til klienten og utover, fordi han vanlegvis viser kva lag som avviste deg.

Les meldinga frå klienten før du rører nettverket

Tre feil ser like ut og er det ikkje. Eit tidsavbrot betyr at pakkane dine ikkje nådde noko. Ein TLS- eller sertifikatfeil betyr at endepunktet svara, men handtrykket mislukkast. Ei avvising av autentisering eller policy betyr at gatewayen las påloggingsinformasjonen din og deretter avviste han. Berre den tredje høyrer til ei historie om sesjonsgrense, så fastset den fyrst.

OpenVPN-klientar held dei interessante linjene i loggpanelet sitt. Rull til det siste tilkoplingsforsøket i staden for gjentakingsløkka som følgjer, og sjå etter AUTH_FAILED eller ein send årsakstekst. Klienten rapporterer ofte ei generisk avvising utan forklaring, så neste steg er serveren, ikkje innstillingane til klienten. Appane til leverandørane er verre: ei melding om einingsgrense er nyttig, men ei tilkopling som kollapsar etter to sekund er ei policyavgjerd, ikkje eit dårleg passord. Skriv ned namnet på eininga og det nøyaktige tidspunktet uansett; ein operatør kan matche paret mot ein tilgangspost på sekund.

Tel sesjonar der serveren tel dei

Teljaren som betyr noko, bur på gatewayen. OpenVPN skriv ei statusfil når serveren vert starta med --status, og listar kvar tilkopla klient med fellesnamnet, den verkelege adressa og trafikkteljarane sine.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

To rader med same fellesnamn er to levande sesjonar under eitt sertifikat. Som standard held ikkje OpenVPN begge: utan --duplicate-cn erstattar ei andre tilkopling med same sertifikat den fyrste, og den eldre eininga mistar tunnelen sin. Den erstatninga er signaturen på ei identitetsgrense. Tilfeldig pakketap koplar ikkje høfleg frå nøyaktig éi eining i det augneblinken ei anna dukkar opp.

WireGuard har ingen sesjonstabell å inspisere. wg show wg0 skriv ut peerane og det siste handtrykket deira, og kvar registrert eining er ein peer med sin eigen nøkkel. Ein delt konto der er ei konfigurasjonsfil kopiert til fleire maskinar, og grensa kjem frå det som deler ut desse konfigurasjonane: ein leverandørportal, eit tal på plassar eller ein regel knytt til den offentlege adressa di. OpenVPN 2.6-handboka dokumenterer serverinnstillingane om du driv din eigen gateway.

Skil dei fire grensene som gøymer seg bak éi melding

Dei fleste sakene om delt konto er éin av fire tilgangsavgjerder. Klienten kan ikkje skilje dei, men mønsteret i kva eining som sviktar kan.

Same identitet, andre tilkopling. Den nye eininga verkar, og den gamle døyr i same augneblink. Det er ein samtidighetsregel per identitet som gatewayen eller kontosystemet handhevar. Ingenting er øydelagt; tenesta gjer det policyen seier.

Tal på plassar eller einingar på abonnementet. Dei fyrste einingane held fram med å vere tilkopla, og den neste vert avvist medan dei andre held fram. Sjekk einingslista til leverandøren før du endrar ein klient, fordi ei lisensgrense ikkje kan rettast opp frå klientsida.

Ei grense knytt til den offentlege adressa di. To berbare PC-ar bak éin heimerutar feilar medan same innlogging verkar frå ein telefonhotspot. Flytt den andre eininga til eit anna nettverk for å teste. Om ho koplar til der, ser du på ein regel per adresse eller ein NAT-regel, ikkje kontotalet.

Eit maksimum for heile serveren. Alle på gatewayen feilar i same travle time, også kontoar som var i orden i går. --max-clients i OpenVPN oppfører seg slik, og det har ingenting med dei registrerte einingane dine å gjere.

Rydd opp i utdaterte sesjonar før du kjøper fleire plassar

Ein sesjon som enda dårleg kan framleis halde på ein plass. RADIUS-rekneskap skriv ein post når ein sesjon startar og lukkar han når sesjonen stoppar; når ein klient forsvinn, kjem stoppen aldri, og serveren held på sesjonen til ei mellomoppdatering eller eit tidsavbrot går ut. På ein FreeRADIUS-gateway kan du sjå dei opne postane:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Ein open post med gammalt starttidspunkt og ingen trafikk høyrer til ei eining som allereie er borte. Lukk han via konsollen til operatøren eller med ein fråkopingsførespurnad, før du går ut frå at grensa var reell. Telefonar koplar til på nytt når Wi-Fi overlèt til mobilnettet, og ein berbar PC kan køyre éin tunnel i operativsystemet pluss ein annan inne i ein leverandørapp, noko som tel som to sesjonar frå éin maskin.

Slutt å dele éin identitet mellom einingar som køyrer saman

Den varige rettinga er strukturell. Gi kvar eining sitt eige sertifikat med eit unikt fellesnamn, eller sin eigen konto, og registrer kven person og kva maskin som har han. På OpenVPN betyr det eitt klient sertifikat per eining, med --duplicate-cn slått av om du ikkje vil ha overtakingsoppførsel; på WireGuard eitt nøkkelpar per eining, generert der og aldri kopiert.

Å klone ein profil for å omgå ei einingsgrense øydelegg tilbakekalling: tilbakekalling av éin kopi kuttar kvar eining som deler han, og loggen kan ikkje lenger seie kva maskin som gjorde kva. Om grensa er kommersiell, er den ærlege rettinga ein ekstra plass; om det er intern policy, be om ein andre identitet med dei same tilgangsrettane.

Verifiser i fast rekkjefølgje

Test rettinga på same måte kvar gong, slik at resultatet betyr noko.

• Logg ut på kvar eining og stadfest at den aktive lista til serveren er tom; ein oppføring som ikkje vert rydda, er ein utdatert sesjon, ikkje ein klientfeil.
• Kople til einingane éi om gongen og følg med på lista mellom tilkoplingane.
• Om to må køyre saman, stadfest at begge radene har ulike identitetar og at begge held handtrykket ferskt.
• Gjenta etter ein overgang frå Wi-Fi til mobilnett, sidan ei ny tilkopling kan lage ein andre post.

Om den gamle eininga framleis fell ut når den nye koplar til, handhevar gatewayen ein regel per identitet som du ikkje har fått unntak for. Ta med einingsnamna, tidsstempla og lista over aktive sesjonar til operatøren; det gjer ei vag klage til eit policyspørsmål dei kan svare på.