Limit relácií zdieľaného VPN účtu: prečo jedno zariadenie vypadne

Pridáte druhý notebook k účtu, ktorý už beží na telefóne, a tunel telefónu do minúty vypadne. Alebo sa nové zariadenie nikdy nedokončí pripojenie a klient skončí na správe o zásadách namiesto časového limitu. Sieť je v oboch prípadoch v poriadku; rozhodnutie padlo nad ňou. Zdieľané prihlásenie je jedna identita a väčšina VPN služieb počíta túto identitu, nie počet zariadení, ktoré vlastníte. Pracujem od obrazovky klienta smerom von, pretože zvyčajne ukazuje, ktorá vrstva vás odmietla.

Prečítajte si správu klienta, skôr než sa dotknete siete

Tri zlyhania vyzerajú podobne a nie sú. Vypršanie znamená, že vaše pakety nikam nedorazili. Chyba TLS alebo certifikátu znamená, že koncový bod odpovedal, ale podanie ruky zlyhalo. Odmietnutie autentifikácie alebo zásad znamená, že brána prečítala vaše prihlasovacie údaje a potom ich odmietla. Len tretie patrí k príbehu o limite relácií, takže ho najprv zistite.

Klienti OpenVPN držia zaujímavé riadky v paneli protokolu. Posuňte sa k poslednému pokusu o pripojenie, nie k nasledujúcej slučke opakovaní, a hľadajte AUTH_FAILED alebo odoslaný reťazec s dôvodom. Klient často hlási všeobecné odmietnutie bez vysvetlenia, takže ďalším krokom je server, nie nastavenia klienta. Aplikácie poskytovateľov sú horšie: správa o limite zariadení je užitočná, ale spojenie, ktoré sa po dvoch sekundách zrúti, je rozhodnutie zásad, nie zlé heslo. V každom prípade si zapíšte názov zariadenia a presný čas; operátor môže tento pár porovnať so záznamom prístupu v priebehu sekúnd.

Počítajte relácie tam, kde ich počíta server

Počítadlo, na ktorom záleží, žije na bráne. OpenVPN zapíše stavový súbor, keď sa server spustí s --status, a uvedie každého pripojeného klienta s jeho spoločným menom, skutočnou adresou a počítadlami prevádzky.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Dva riadky s rovnakým spoločným menom sú dve živé relácie pod jedným certifikátom. OpenVPN štandardne nedrží obe: bez --duplicate-cn druhé spojenie s tým istým certifikátom nahradí prvé a staršie zariadenie stratí tunel. Toto nahradenie je podpisom limitu identity. Náhodná strata paketov zdvorilo neodpojí práve jedno zariadenie v momente, keď sa objaví iné.

WireGuard nemá tabuľku relácií na nahliadnutie. wg show wg0 vypíše partnerov a ich posledné podanie ruky a každé evidované zariadenie je partner s vlastným kľúčom. Zdieľaný účet je tam konfiguračný súbor skopírovaný na niekoľko strojov a limit prichádza od toho, čo tieto konfigurácie vydáva: portál poskytovateľa, počet miest alebo pravidlo naviazané na vašu verejnú adresu. Príručka OpenVPN 2.6 dokumentuje možnosti na strane servera, ak si bránu prevádzkujete sami.

Oddeľte štyri limity, ktoré sa skrývajú za jednou správou

Väčšina tiketov k zdieľanému účtu je jedno zo štyroch rozhodnutí o prijatí. Klient ich nedokáže rozlíšiť, ale vzor toho, ktoré zariadenie zlyhá, áno.

Rovnaká identita, druhé pripojenie. Nové zariadenie funguje a staré zomiera v tom istom okamihu. To je pravidlo súbežnosti na identitu, ktoré vynucuje brána alebo systém účtov. Nič nie je pokazené; služba robí to, čo hovorí jej politika.

Počet miest alebo zariadení v pláne. Prvé zariadenia zostávajú pripojené a ďalšie je odmietnuté, zatiaľ čo ostatné bežia ďalej. Skontrolujte zoznam zariadení poskytovateľa, skôr než zmeníte klienta, pretože licenčný limit sa nedá opraviť zo strany klienta.

Strop naviazaný na vašu verejnú adresu. Dva notebooky za jedným domácim routerom zlyhávajú, zatiaľ čo to isté prihlásenie funguje z hotspotu telefónu. Presuňte druhé zariadenie do inej siete, aby ste to otestovali. Ak sa tam pripojí, pozeráte sa na pravidlo na adresu alebo pravidlo NAT, nie na počet účtu.

Maximum pre celý server. Všetci na bráne zlyhávajú v tej istej špičkovej hodine, vrátane účtov, ktoré boli včera v poriadku. --max-clients v OpenVPN sa správa takto a nemá nič spoločné s vašimi evidovanými zariadeniami.

Vyčistite staré relácie, skôr než kúpite viac miest

Relácia, ktorá skončila zle, môže stále držať miesto. Účtovníctvo RADIUS zapíše záznam pri začiatku relácie a uzavrie ho pri zastavení; keď klient zmizne, zastavenie nikdy nepríde a server drží reláciu, kým nevyprší priebežná aktualizácia alebo časový limit. Na bráne FreeRADIUS vidíte otvorené záznamy:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Otvorený záznam so starým časom začiatku a bez prevádzky patrí zariadeniu, ktoré už odišlo. Zatvorte ho cez konzolu operátora alebo požiadavkou na odpojenie, skôr než budete predpokladať, že limit bol skutočný. Telefóny sa znovu pripoja, keď Wi-Fi odovzdá spojenie mobilnej sieti, a notebook môže mať jeden tunel v operačnom systéme a ďalší v aplikácii poskytovateľa, čo sa počíta ako dve relácie z jedného stroja.

Prestaňte zdieľať jednu identitu medzi zariadeniami, ktoré bežia spolu

Trvalá oprava je štrukturálna. Dajte každému zariadeniu vlastný certifikát s jedinečným spoločným menom alebo vlastný účet a zaznamenajte, ktorá osoba a ktorý stroj ho drží. V OpenVPN to znamená jeden klientsky certifikát na zariadenie, s --duplicate-cn vypnutým, ak nechcete správanie prevzatia; vo WireGuarde jeden pár kľúčov na zariadenie, vygenerovaný tam a nikdy nekopírovaný.

Klonovanie profilu na obídenie limitu zariadení láme odvolanie: odvolanie jednej kópie odreže každé zariadenie, ktoré ju zdieľa, a protokol už nemôže povedať, ktorý stroj čo urobil. Ak je limit komerčný, poctivým riešením je pridané miesto; ak ide o internú politiku, požiadajte o druhú identitu s rovnakými prístupovými právami.

Overujte v pevnom poradí

Testujte opravu zakaždým rovnako, aby výsledok niečo znamenal.

• Odháste sa na každom zariadení a potvrďte, že aktívny zoznam servera je prázdny; položka, ktorá sa nevyčistí, je stará relácia, nie chyba klienta.
• Pripájajte zariadenia jedno po druhom a medzi pripojeniami sledujte zoznam.
• Ak musia dve bežať spolu, potvrďte, že oba riadky nesú rôzne identity a oba držia podanie ruky čerstvé.
• Zopakujte po prechode z Wi-Fi na mobilnú sieť, pretože opätovné pripojenie môže vytvoriť druhý záznam.

Ak staré zariadenie stále vypadáva, keď sa pripojí nové, brána vynucuje pravidlo na identitu, na ktoré ste nedostali výnimku. Prineste operátorovi názvy zariadení, časové značky a zoznam aktívnych relácií; to premení neurčitú sťažnosť na otázku zásad, na ktorú môže odpovedať.