Kufiri i sesioneve të një llogarie VPN të përbashkët: pse bie një pajisje

Ju shtoni një laptop të dytë në llogarinë që tashmë punon në telefonin tuaj, dhe tuneli i telefonit bie brenda një minute. Ose pajisja e re nuk e përfundon kurrë lidhjen, dhe klienti përfundon në një mesazh politike në vend të një afati kohor. Rrjeti është në rregull në të dyja rastet; vendimi është marrë mbi të. Një hyrje e përbashkët është një identitet i vetëm, dhe shumica e shërbimeve VPN numërojnë atë identitet dhe jo numrin e pajisjeve që zotëroni. Unë punoj nga ekrani i klientit nga jashtë, sepse zakonisht tregon cili shtresë ju refuzoi.

Lexoni mesazhin e klientit përpara se të prekni rrjetin

Tre dështime duken njësoj dhe nuk janë. Afati kohor do të thotë që paketat tuaja nuk arritën askund. Një gabim TLS ose certifikate do të thotë që pika fundore u përgjigj, por shtrëngimi i duarve dështoi. Një refuzim autentikimi ose politike do të thotë që porta lexoi kredencialet tuaja dhe pastaj i refuzoi. Vetëm i treti i përket një historie për kufirin e sesioneve, ndaj përcaktojeni atë së pari.

Klientët e OpenVPN i mbajnë rreshtat interesantë në panelin e regjistrit. Rrëshqitni deri te përpjekja e fundit e lidhjes dhe jo te cikli i ripërpjekjeve që vjen pas saj, dhe kërkoni AUTH_FAILED ose një varg arsyeje të dërguar. Klienti shpesh raporton një refuzim të përgjithshëm pa shpjegim, ndaj hapi tjetër është serveri, jo cilësimet e klientit. Aplikacionet e ofruesve janë më keq: një mesazh për kufirin e pajisjeve është i dobishëm, por një lidhje që shembet pas dy sekondash është vendim politike, jo fjalëkalim i gabuar. Në çdo rast shkruani emrin e pajisjes dhe kohën e saktë; një operator mund ta përputhë atë çift me një regjistër aksesi në sekonda.

Numëroni sesionet aty ku i numëron serveri

Numëruesi që ka rëndësi jeton në portë. OpenVPN shkruan një skedar statusi kur serveri niset me --status, duke listuar çdo klient të lidhur me emrin e tij të përbashkët, adresën reale dhe numëruesit e trafikut.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Dy rreshta me të njëjtin emër të përbashkët janë dy sesione të gjalla nën një certifikatë. Si parazgjedhje OpenVPN nuk i mban të dy: pa --duplicate-cn, lidhja e dytë me të njëjtën certifikatë zëvendëson të parën, dhe pajisja më e vjetër humbet tunelin e saj. Ai zëvendësim është firma e një kufiri identiteti. Humbja e rastësishme e paketave nuk e shkëput me mirësjellje saktësisht një pajisje në momentin kur shfaqet një tjetër.

WireGuard nuk ka tabelë sesionesh për të inspektuar. wg show wg0 printon partnerët dhe shtrëngimin e tyre të fundit të duarve, dhe çdo pajisje e regjistruar është një partner me çelësin e vet. Një llogari e përbashkët atje është një skedar konfigurimi i kopjuar në disa makina, dhe kufiri vjen nga ajo që i shpërndan ato konfigurime: një portal ofruesi, një numër vendesh ose një rregull i lidhur me adresën tuaj publike. Manuali i OpenVPN 2.6 dokumenton opsionet në anën e serverit nëse drejtoni vetë portën tuaj.

Ndani katër kufijtë që fshihen pas një mesazhi të vetëm

Shumica e tiketave të llogarisë së përbashkët janë një nga katër vendimet e pranimit. Klienti nuk mund t'i dallojë ato, por modeli i asaj se cila pajisje dështon mundet.

I njëjti identitet, lidhja e dytë. Pajisja e re punon dhe ajo e vjetra vdes në të njëjtin moment. Ky është një rregull njëkohshmërie për identitet që zbatohet nga porta ose sistemi i llogarive. Asgjë nuk është prishur; shërbimi bën atë që thotë politika e tij.

Numri i vendeve ose pajisjeve në plan. Pajisjet e para mbeten të lidhura dhe e tjetra refuzohet ndërsa të tjerat vazhdojnë. Kontrolloni listën e pajisjeve të ofruesit përpara se të ndryshoni një klient, sepse një kufi licence nuk rregullohet nga ana e klientit.

Një kufi i lidhur me adresën tuaj publike. Dy laptopë pas një routeri shtëpiak dështojnë ndërsa e njëjta hyrje punon nga një hotspot telefoni. Zhvendosni pajisjen e dytë në një rrjet tjetër për ta provuar. Nëse lidhet atje, po shikoni një rregull për adresë ose një rregull NAT, jo numrin e llogarisë.

Një maksimum për të gjithë serverin. Të gjithë në portë dështojnë në të njëjtën orë të zënë, përfshirë llogari që dje ishin në rregull. --max-clients i OpenVPN sillet kështu, dhe nuk ka asnjë lidhje me pajisjet tuaja të regjistruara.

Pastro sesionet e vjetruara përpara se të blini më shumë vende

Një sesion që mbaroi keq mund të mbajë ende një vend. Kontabiliteti RADIUS shkruan një regjistrim kur fillon një sesion dhe e mbyll kur sesioni ndalon; kur një klient zhduket, ndalesa nuk vjen kurrë dhe serveri e mban sesionin derisa të skadojë një përditësim i ndërmjetëm ose një afat kohor. Në një portë FreeRADIUS mund të shihni regjistrimet e hapura:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Një regjistrim i hapur me kohë fillimi të vjetër dhe pa trafik i përket një pajisjeje që tashmë ka ikur. Mbylleni përmes konsolës së operatorit ose me një kërkesë shkëputjeje, përpara se të supozoni se kufiri ishte i vërtetë. Telefonat rilidhen kur Wi-Fi ia kalon rrjetit celular, dhe një laptop mund të drejtojë një tunel në sistemin operativ plus një tjetër brenda një aplikacioni të ofruesit, që numërohet si dy sesione nga një makinë.

Ndaleni ndarjen e një identiteti midis pajisjeve që punojnë bashkë

Rregullimi i qëndrueshëm është strukturor. Jepini secilës pajisje certifikatën e vet me një emër të përbashkët unik, ose llogarinë e vet, dhe regjistroni cila person dhe cila makinë e mban. Në OpenVPN kjo do të thotë një certifikatë klienti për pajisje, me --duplicate-cn të lënë jashtë, përveç nëse dëshironi sjellje marrjeje. Në WireGuard, një palë çelësash për pajisje, e krijuar atje dhe kurrë e kopjuar.

Klonoja e një profili për të anashkaluar një kufi pajisjesh prish revokimin: revokimi i një kopjeje pret çdo pajisje që e ndan atë, dhe regjistri nuk mund të thotë më se cila makinë bëri çfarë. Nëse kufiri është tregtar, rregullimi i ndershëm është një vend shtesë; nëse është politikë e brendshme, kërkoni një identitet të dytë me të njëjtat të drejta aksesi.

Verifikoni në një rend fiks

Provoni rregullimin në të njëjtën mënyrë çdo herë, që rezultati të ketë kuptim.

• Dilni në çdo pajisje dhe konfirmoni që lista aktive e serverit është bosh; një zë që nuk pastrohet është një sesion i vjetruar, jo një defekt i klientit.
• Lidhni pajisjet një nga një dhe vëzhgoni listën midis lidhjeve.
• Nëse dy duhet të punojnë bashkë, konfirmoni që të dy rreshtat mbajnë identitete të ndryshme dhe që të dy e mbajnë shtrëngimin e duarve të freskët.
• Përsëriteni pas një kalimi nga Wi-Fi në celular, sepse rilidhja mund të krijojë një regjistrim të dytë.

Nëse pajisja e vjetër vazhdon të bjerë kur lidhet e reja, porta po zbaton një rregull për identitet për të cilin nuk ju është dhënë përjashtim. Çoni te operatori emrat e pajisjeve, vulat kohore dhe listën e sesioneve aktive; kjo e kthen një ankesë të paqartë në një pyetje politike të cilës ai mund t'i përgjigjet.