Omejitev sej deljenega računa VPN: zakaj ena naprava odpade

Računu, ki že deluje na telefonu, dodate še en prenosnik, in tunel telefona odpade v manj kot minuti. Ali pa se nova naprava nikoli ne poveže do konca in odjemalec konča s sporočilom o pravilniku namesto s časovno omejitvijo. Omrežje je v obeh primerih v redu; odločitev je bila sprejeta nad njim. Deljena prijava je ena identiteta in večina storitev VPN šteje to identiteto, ne števila naprav, ki jih imate. Delam od zaslona odjemalca navzven, ker običajno pokaže, katera plast vas je zavrnila.

Preberite sporočilo odjemalca, preden se dotaknete omrežja

Tri okvare so si podobne in niso enake. Časovna omejitev pomeni, da vaši paketi niso prispeli nikamor. Napaka TLS ali potrdila pomeni, da je končna točka odgovorila, a se je rokovanje spodletelo. Zavrnitev preverjanja pristnosti ali pravilnika pomeni, da je prehod prebral vaše poverilnice in jih nato zavrnil. Samo tretja sodi v zgodbo o omejitvi sej, zato jo najprej ugotovite.

Odjemalci OpenVPN hranijo zanimive vrstice v svojem dnevniškem oknu. Pomaknite se do zadnjega poskusa povezave in ne do zanke ponovnih poskusov, ki ji sledi, ter poiščite AUTH_FAILED ali poslano besedilo razloga. Odjemalec pogosto poroča o splošni zavrnitvi brez razlage, zato je naslednji korak strežnik, ne nastavitve odjemalca. Aplikacije ponudnikov so slabše: sporočilo o omejitvi naprav je koristno, a povezava, ki se sesuje po dveh sekundah, je odločitev pravilnika, ne slabo geslo. V vsakem primeru zapišite ime naprave in točen čas; operater lahko ta par v sekundah primerja z zapisom o dostopu.

Štejte seje tam, kjer jih šteje strežnik

Števec, ki je pomemben, živi na prehodu. OpenVPN zapiše datoteko stanja, ko se strežnik zažene z --status, in navede vsakega povezanega odjemalca z njegovim skupnim imenom, dejanskim naslovom in števci prometa.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Dve vrstici z enakim skupnim imenom sta dve živi seji pod enim potrdilom. OpenVPN privzeto ne obdrži obeh: brez --duplicate-cn druga povezava z istim potrdilom nadomesti prvo in starejša naprava izgubi svoj tunel. Ta zamenjava je podpis omejitve identitete. Naključna izguba paketov vljudno ne odklopi točno ene naprave v trenutku, ko se pojavi druga.

WireGuard nima tabele sej za pregled. wg show wg0 izpiše partnerje in njihovo zadnje rokovanje, vsaka vpisana naprava pa je partner z lastnim ključem. Deljeni račun je tam konfiguracijska datoteka, kopirana na več strojev, in omejitev prihaja od tega, kar te konfiguracije razdeljuje: portal ponudnika, število mest ali pravilo, vezano na vaš javni naslov. Priročnik OpenVPN 2.6 dokumentira možnosti na strani strežnika, če upravljate svoj prehod.

Ločite štiri omejitve, ki se skrivajo za enim sporočilom

Večina zahtevkov za deljeni račun je ena od štirih odločitev o dovoljenju. Odjemalec jih ne more razlikovati, vzorec tega, katera naprava odpove, pa jih lahko.

Ista identiteta, druga povezava. Nova naprava deluje in stara umre v istem trenutku. To je pravilo sočasnosti na identiteto, ki ga uveljavlja prehod ali sistem računov. Nič ni pokvarjeno; storitev dela tisto, kar pravi njen pravilnik.

Število mest ali naprav v paketu. Prve naprave ostanejo povezane, naslednja pa je zavrnjena, medtem ko druge še delujejo. Preden spremenite odjemalca, preverite seznam naprav ponudnika, ker omejitve licence ni mogoče popraviti s strani odjemalca.

Zgornja meja, vezana na vaš javni naslov. Dva prenosnika za enim domačim usmerjevalnikom odpovesta, medtem ko ista prijava deluje s telefonske dostopne točke. Za preizkus premaknite drugo napravo v drugo omrežje. Če se tam poveže, gledate pravilo na naslov ali pravilo NAT, ne števila računa.

Največja vrednost za celoten strežnik. Vsi na prehodu odpovejo v isti prometni uri, tudi računi, ki so bili včeraj v redu. --max-clients v OpenVPN se obnaša tako in nima nič skupnega z vašimi vpisanimi napravami.

Počistite zastarele seje, preden kupite več mest

Seja, ki se je slabo končala, lahko še vedno drži mesto. Računovodstvo RADIUS zapiše zapis, ko se seja začne, in ga zapre, ko se seja ustavi; ko odjemalec izgine, ustavitev nikoli ne prispe in strežnik zadrži sejo, dokler ne poteče vmesna posodobitev ali časovna omejitev. Na prehodu FreeRADIUS lahko vidite odprte zapise:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Odprt zapis s starim začetnim časom in brez prometa pripada napravi, ki je že odšla. Zaprite ga prek operaterjeve konzole ali z zahtevo za prekinitev, preden domnevate, da je bila omejitev resnična. Telefoni se znova povežejo, ko Wi-Fi preda mobilnemu omrežju, prenosnik pa lahko poganja en tunel v operacijskem sistemu in še enega v aplikaciji ponudnika, kar se šteje kot dve seji z enega stroja.

Nehajte deliti eno identiteto med napravami, ki delujejo skupaj

Trajna poprava je strukturna. Vsaki napravi dajte lastno potrdilo z edinstvenim skupnim imenom ali lasten račun in zabeležite, katera oseba in kateri stroj ga ima. Pri OpenVPN to pomeni eno odjemalčevo potrdilo na napravo, pri čemer --duplicate-cn ostane izklopljen, razen če želite vedenje prevzema; pri WireGuardu en par ključev na napravo, ustvarjen tam in nikoli kopiran.

Kloniranje profila za obhod omejitve naprav zlomi preklic: preklic ene kopije odreže vsako napravo, ki jo deli, in dnevnik ne more več povedati, kateri stroj je kaj naredil. Če je omejitev komercialna, je poštena rešitev dodano mesto; če gre za notranji pravilnik, prosite za drugo identiteto z enakimi pravicami dostopa.

Preverjajte v stalnem vrstnem redu

Popravo preizkusite vsakič enako, da ima rezultat pomen.

• Odjavite se na vsaki napravi in potrdite, da je seznam aktivnih sej strežnika prazen; vnos, ki se ne počisti, je zastarela seja, ne napaka odjemalca.
• Naprave povezujte eno za drugo in med povezavami opazujte seznam.
• Če morata dve delovati skupaj, potrdite, da imata obe vrstici različni identiteti in da obe ohranjata rokovanje sveže.
• Ponovite po prehodu z Wi-Fi na mobilno omrežje, saj lahko ponovna povezava ustvari drugi zapis.

Če stara naprava še vedno odpade, ko se poveže nova, prehod uveljavlja pravilo na identiteto, za katero niste dobili izjeme. Operaterju prinesite imena naprav, časovne oznake in seznam aktivnih sej; to spremeni nejasno pritožbo v vprašanje pravilnika, na katero lahko odgovori.