Limitasyon ng session ng pinagsasaluhang VPN account: bakit natatanggal ang isang device

Magdadagdag ka ng pangalawang laptop sa account na tumatakbo na sa telepono mo, at bumagsak ang tunnel ng telepono sa loob ng isang minuto. O kaya ay hindi natatapos kailanman ang koneksyon ng bagong device, at nauuwi ang client sa mensahe tungkol sa patakaran sa halip na timeout. Maayos ang network sa dalawang pagkakataon; ang desisyon ay ginawa sa itaas nito. Isang pagkakakilanlan ang pinagsasaluhang login, at binibilang ng karamihan sa serbisyong VPN ang pagkakakilanlang iyon, hindi ang bilang ng device na pag-aari mo. Nagsisimula ako sa screen ng client at palabas, dahil karaniwang ipinapakita nito kung aling patong ang tumanggi sa iyo.

Basahin ang mensahe ng client bago hawakan ang network

Tatlong pagkabigo ang magkamukha at hindi magkamukha. Ang timeout ay nangangahulugang walang napuntahan ang iyong mga packet. Ang error sa TLS o sertipiko ay nangangahulugang sumagot ang endpoint pero nabigo ang handshake. Ang pagtanggi sa authentication o patakaran ay nangangahulugang binasa ng gateway ang iyong mga detalye at pagkatapos ay tinanggihan ang mga ito. Ang pangatlo lang ang kabilang sa kuwento ng limitasyon ng session, kaya alamin muna ito.

Ang mga client ng OpenVPN ay nagtatabi ng mga kawili-wiling linya sa panel ng log. Mag-scroll sa huling pagtatangkang kumonekta at hindi sa paulit-ulit na loop na kasunod, at hanapin ang AUTH_FAILED o ang ipinadalang dahilan. Madalas mag-ulat ang client ng pangkalahatang pagtanggi nang walang paliwanag, kaya ang susunod na hakbang ay ang server, hindi ang mga setting ng client. Mas malala ang mga app ng provider: kapaki-pakinabang ang mensahe tungkol sa limitasyon ng device, pero ang koneksyong bumagsak pagkalipas ng dalawang segundo ay desisyon sa patakaran, hindi masamang password. Sa anumang kaso, isulat ang pangalan ng device at ang eksaktong oras; kayang itugma ng operator ang pares na iyon sa talaan ng pag-access sa loob ng ilang segundo.

Bilangin ang mga session kung saan binibilang ng server

Nasa gateway ang counter na mahalaga. Nagsusulat ang OpenVPN ng status file kapag sinimulan ang server gamit ang --status, at inililista ang bawat konektadong client kasama ang common name, totoong address, at mga counter ng trapiko.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Ang dalawang linya na may parehong common name ay dalawang buhay na session sa ilalim ng isang sertipiko. Bilang default, hindi pinapanatili ng OpenVPN ang dalawa: kung walang --duplicate-cn, pinapalitan ng pangalawang koneksyon na gumagamit ng parehong sertipiko ang una, at nawawala ng lumang device ang tunnel nito. Ang pagpapalit na iyon ang lagda ng limitasyon sa pagkakakilanlan. Ang random na pagkawala ng packet ay hindi magalang na pumuputol ng eksaktong isang device sa mismong sandaling lumitaw ang isa pa.

Walang talahanayan ng session na susuriin ang WireGuard. Naglilimbag ang wg show wg0 ng mga peer at ng kanilang pinakabagong handshake, at ang bawat rehistradong device ay isang peer na may sariling key. Ang pinagsasaluhang account doon ay isang configuration file na kinopya sa maraming makina, at ang limitasyon ay nagmumula sa nagbabahagi ng mga configuration na iyon: portal ng provider, bilang ng upuan, o patakarang nakatali sa iyong pampublikong address. Idinodokumento ng manual ng OpenVPN 2.6 ang mga opsyon sa panig ng server kung ikaw mismo ang nagpapatakbo ng iyong gateway.

Paghiwalayin ang apat na limitasyong nagtatago sa likod ng isang mensahe

Karamihan sa mga ticket tungkol sa pinagsasaluhang account ay isa sa apat na desisyon sa pagpasok. Hindi kayang ipagkaiba ng client ang mga ito, pero kaya ng pattern kung aling device ang nabibigo.

Parehong pagkakakilanlan, pangalawang koneksyon. Gumagana ang bagong device at namamatay ang luma sa parehong sandali. Ito ay patakaran ng sabay-sabay na paggamit bawat pagkakakilanlan na ipinatutupad ng gateway o ng sistema ng account. Walang sira; ginagawa ng serbisyo ang sinasabi ng patakaran nito.

Bilang ng upuan o device sa plano. Nananatiling konektado ang mga unang device at tinatanggihan ang susunod habang nagpapatuloy ang iba. Suriin ang listahan ng device ng provider bago baguhin ang client, dahil hindi maaayos ang limitasyon ng lisensya mula sa panig ng client.

Limitasyong nakatali sa iyong pampublikong address. Nabibigo ang dalawang laptop sa likod ng isang home router habang gumagana ang parehong login mula sa hotspot ng telepono. Ilipat ang pangalawang device sa ibang network para subukan. Kung kumonekta ito roon, patakaran bawat address o patakaran ng NAT ang tinitingnan mo, hindi ang bilang ng account.

Pinakamataas para sa buong server. Nabibigo ang lahat sa gateway sa parehong abalang oras, kasama ang mga account na maayos kahapon. Ganoon ang gawi ng --max-clients ng OpenVPN, at wala itong kinalaman sa iyong mga rehistradong device.

Linisin ang mga lumang session bago bumili ng mas maraming upuan

Ang session na masamang natapos ay maaaring humahawak pa ng upuan. Nagsusulat ang accounting ng RADIUS ng rekord kapag nagsimula ang session at isinasara ito kapag huminto ang session; kapag nawala ang client, hindi dumarating kailanman ang paghinto at pinapanatili ng server ang session hanggang matapos ang pansamantalang update o timeout. Sa gateway na FreeRADIUS, makikita mo ang mga bukas na rekord:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Ang bukas na rekord na may lumang oras ng simula at walang trapiko ay pag-aari ng device na umalis na. Isara ito sa console ng operator o sa pamamagitan ng kahilingan sa pagdiskonekta, bago ipagpalagay na totoo ang limitasyon. Muling kumokonekta ang mga telepono kapag ipinasa ng Wi-Fi sa mobile, at ang isang laptop ay maaaring may isang tunnel sa operating system at isa pa sa loob ng app ng vendor, na binibilang na dalawang session mula sa isang makina.

Itigil ang pagbabahagi ng isang pagkakakilanlan sa mga device na magkasamang tumatakbo

Ang pangmatagalang pagwawasto ay istruktural. Bigyan ang bawat device ng sarili nitong sertipiko na may natatanging common name, o sariling account, at itala kung sinong tao at aling makina ang may hawak nito. Sa OpenVPN, nangangahulugan iyon ng isang client certificate bawat device, at nananatiling patay ang --duplicate-cn maliban kung gusto mo ang gawi ng pag-agaw; sa WireGuard, isang pares ng key bawat device, nabuo roon at hindi kailanman kinopya.

Sinisira ng pag-clone ng profile para lampasan ang limitasyon ng device ang pagbawi: pumuputol ang pagbawi ng isang kopya sa bawat device na nagbabahagi nito, at hindi na masasabi ng log kung aling makina ang gumawa ng ano. Kung komersyal ang limitasyon, madalas na solusyon ang karagdagang upuan; kung panloob na patakaran ito, humingi ng pangalawang pagkakakilanlan na may parehong karapatan sa pag-access.

Beripikahin sa takdang pagkakasunod-sunod

Subukan ang pagwawasto sa parehong paraan sa bawat pagkakataon, para may kahulugan ang resulta.

• Mag-log out sa bawat device at tiyakin na walang laman ang aktibong listahan ng server; ang rekord na hindi nalilinis ay lumang session, hindi depekto ng client.
• Ikonekta ang mga device nang isa-isa at panoorin ang listahan sa pagitan ng mga koneksyon.
• Kung kailangang magkasamang tumakbo ng dalawa, tiyakin na magkaiba ang pagkakakilanlan sa dalawang linya at sariwa ang handshake ng pareho.
• Ulitin pagkatapos ng paglipat mula Wi-Fi patungong mobile, dahil ang muling pagkonekta ay maaaring gumawa ng pangalawang rekord.

Kung bumabagsak pa rin ang lumang device kapag kumonekta ang bago, ipinapatupad ng gateway ang patakarang bawat pagkakakilanlan na hindi mo pa nabibigyan ng eksepsiyon. Dalhin sa operator ang mga pangalan ng device, mga timestamp, at ang listahan ng aktibong session; ginagawa nitong malinaw na tanong sa patakaran ang malabong reklamo, at kayang sagutin iyon ng operator.