Ограничење сесија дељеног VPN налога: зашто један уређај отпада

Додајете други лаптоп на налог који већ ради на вашем телефону, и тунел телефона отпада у року од једног минута. Или нови уређај никада не завршава повезивање, а клијент завршава са поруком о политици уместо са истеком времена. Мрежа је у оба случаја у реду; одлука је донета изнад ње. Дељена пријава је један идентитет, и већина VPN услуга броји тај идентитет, а не број уређаја које поседујете. Радим од екрана клијента ка споља, јер он обично показује који слој вас је одбио.

Прочитајте поруку клијента пре него што додирнете мрежу

Три грешке изгледају слично и нису. Истек времена значи да ваши пакети нису стигли нигде. Грешка у TLS-у или сертификату значи да је крајња тачка одговорила, али руковање није успело. Одбијање аутентикације или политике значи да је пролаз прочитао ваше податке и затим их одбио. Само трећа припада причи о ограничењу сесија, зато је прво утврдите.

Клијенти OpenVPN држе занимљиве линије у панелу дневника. Скролујте до последњег покушаја повезивања, а не до циклуса понављања који следи, и тражите AUTH_FAILED или послат текст разлога. Клијент често пријављује опште одбијање без објашњења, зато је следећи корак сервер, а не подешавања клијента. Апликације добављача су горе: порука о ограничењу уређаја је корисна, али веза која се сруши после две секунде је одлука политике, а не лоша лозинка. У сваком случају запишите име уређаја и тачно време; оператер може тај пар упоредити са записом о приступу у секундама.

Бројте сесије тамо где их сервер броји

Важан бројач живи на пролазу. OpenVPN пише датотеку стања када се сервер покрене са --status, и наводи сваког повезаног клијента са његовим заједничким именом, стварном адресом и бројачима саобраћаја.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Два реда са истим заједничким именом су две живе сесије под једним сертификатом. Подразумевано OpenVPN не држи обе: без --duplicate-cn друга веза са истим сертификатом замењује прву, и старији уређај губи свој тунел. Та замена је потпис ограничења идентитета. Случајан губитак пакета не откачи љубазно тачно један уређај у тренутку када се појави други.

WireGuard нема табелу сесија за преглед. wg show wg0 исписује партнере и њихово последње руковање, а сваки регистровани уређај је партнер са својим кључем. Дељени налог тамо је конфигурациона датотека копирана на више машина, а ограничење долази од онога што те конфигурације дели: портал добављача, број места или правило везано за вашу јавну адресу. Приручник за OpenVPN 2.6 документује опције на страни сервера ако сами водите свој пролаз.

Одвојите четири ограничења која се крију иза једне поруке

Већина тикета за дељени налог је једна од четири одлуке о пријему. Клијент не може да их разликује, али образац тога који уређај не успева може.

Исти идентитет, друга веза. Нови уређај ради, а стари умире у истом тренутку. То је правило истовремености по идентитету које спроводи пролаз или систем налога. Ништа није покварено; услуга ради оно што каже њена политика.

Број места или уређаја у плану. Први уређаји остају повезани, а следећи се одбија док остали настављају. Проверите листу уређаја добављача пре него што промените клијента, јер се ограничење лиценце не може поправити са стране клијента.

Граница везана за вашу јавну адресу. Два лаптопа иза једног кућног рутера не успевају, док иста пријава ради са хотспота телефона. Преместите други уређај на другу мрежу да то тестирате. Ако се тамо повеже, гледате правило по адреси или NAT правило, а не број налога.

Максимум за цео сервер. Сви на пролазу не успевају у истом вршном сату, укључујући налоге који су јуче били у реду. --max-clients у OpenVPN-у се тако понаша и нема никакве везе са вашим регистрованим уређајима.

Очистите застареле сесије пре него што купите више места

Сесија која се лоше завршила још може да држи место. RADIUS књиговодство пише запис када сесија почне и затвара га када сесија стане; када клијент нестане, заустављање никада не стиже и сервер држи сесију док не истекне привремено ажурирање или истек времена. На пролазу са FreeRADIUS-ом можете видети отворене записе:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Отворен запис са старим временом почетка и без саобраћаја припада уређају који је већ отишао. Затворите га преко конзоле оператера или захтевом за искључивање, пре него што претпоставите да је ограничење било стварно. Телефони се поново повезују када Wi-Fi преда мобилној мрежи, а лаптоп може да држи један тунел у оперативном систему плус још један у апликацији добављача, што се броји као две сесије са једне машине.

Престаните да делите један идентитет међу уређајима који раде заједно

Трајно решење је структурно. Дајте сваком уређају свој сертификат са јединственим заједничким именом, или свој налог, и запишите које лице и која машина га држи. На OpenVPN-у то значи један клијентски сертификат по уређају, а --duplicate-cn остаје искључен осим ако желите понашање преузимања; на WireGuard-у један пар кључева по уређају, генерисан тамо и никада копиран.

Клонирање профила да бисте заобишли ограничење уређаја крши опозив: опозив једне копије одсеца сваки уређај који је дели, а дневник више не може да каже која је машина шта урадила. Ако је ограничење комерцијално, често решење је додатно место; ако је унутрашња политика, затражите други идентитет са истим правима приступа.

Проверавајте по фиксном редоследу

Тестирајте поправку на исти начин сваки пут, да резултат нешто значи.

• Одјавите се на сваком уређају и потврдите да је активна листа сервера празна; запис који се не чисти је застарела сесија, а не дефект клијента.
• Повезујте уређаје један по један и посматрајте листу између веза.
• Ако два морају да раде заједно, потврдите да оба реда носе различите идентитете и да обоје држе руковање свежим.
• Поновите после прелаза са Wi-Fi-ја на мобилну мрежу, јер поновно повезивање може да створи други запис.

Ако стари уређај и даље отпада када се нови повеже, пролаз спроводи правило по идентитету за које нисте добили изузетак. Донесите оператеру имена уређаја, временске ознаке и листу активних сесија; то претвара нејасну жалбу у питање политике на које они могу да одговоре.