Paylaşılan VPN hesabında oturum sınırı: bir cihaz neden düşüyor

Paylaşılan oturum açma eşzamanlı oturum sınırına takılır ve bir cihaz düşer. İstemcinin mesajını okuyun, oturumları sunucu tarafında sayın ve sonra kimlik modelini düzeltin.

Telefonunuzda zaten çalışan hesaba ikinci bir dizüstü bilgisayar ekliyorsunuz ve telefonun tüneli bir dakika içinde düşüyor. Ya da yeni cihaz bağlantıyı hiç tamamlamıyor ve istemci zaman aşımı yerine ilke mesajıyla bitiyor. Ağ her iki durumda da sağlam; karar onun üstünde verilmiş. Paylaşılan oturum açma tek bir kimliktir ve çoğu VPN hizmeti sahip olduğunuz cihaz sayısını değil bu kimliği sayar. İstemcinin ekranından dışarı doğru çalışıyorum, çünkü genellikle hangi katmanın sizi reddettiğini orada gösterir.

Ağa dokunmadan önce istemcinin mesajını okuyun

Üç hata birbirine benzer ve aynı değildir. Zaman aşımı, paketlerinizin hiçbir yere ulaşmadığı anlamına gelir. TLS veya sertifika hatası, uç noktanın yanıt verdiği ama el sıkışmanın başarısız olduğu anlamına gelir. Kimlik doğrulama veya ilke reddi, ağ geçidinin bilgilerinizi okuyup reddettiği anlamına gelir. Oturum sınırı öyküsüne yalnızca üçüncüsü aittir, bu yüzden önce onu saptayın.

OpenVPN istemcileri ilginç satırları günlük panelinde tutar. Ardından gelen yeniden deneme döngüsüne değil, son bağlantı denemesine kaydırın ve AUTH_FAILED ya da gönderilen neden metnini arayın. İstemci çoğu zaman açıklama olmadan genel bir ret bildirir, bu yüzden sonraki adım sunucudur, istemci ayarları değil. Sağlayıcı uygulamaları daha kötüdür: cihaz sınırı mesajı yararlıdır ama iki saniye sonra çöken bir bağlantı ilke kararıdır, kötü parola değil. Her durumda cihazın adını ve tam saati yazın; operatör bu ikiliyi saniyeler içinde erişim kaydıyla eşleştirebilir.

Oturumları sunucunun saydığı yerde sayın

Önemli olan sayaç ağ geçidinde yaşar. Sunucu --status ile başlatıldığında OpenVPN bir durum dosyası yazar ve bağlı her istemciyi ortak adı, gerçek adresi ve trafik sayaçlarıyla listeler.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Aynı ortak ada sahip iki satır, tek bir sertifika altında iki canlı oturumdur. OpenVPN varsayılan olarak ikisini de tutmaz: --duplicate-cn olmadan aynı sertifikayı kullanan ikinci bağlantı birincinin yerini alır ve eski cihaz tünelini kaybeder. O yer değiştirme, kimlik sınırının imzasıdır. Rastgele paket kaybı, bir cihaz ortaya çıktığı anda tam olarak yalnızca bir cihazı kibarca kesmez.

WireGuard'ın incelenecek bir oturum tablosu yoktur. wg show wg0 eşleri ve son el sıkışmalarını yazdırır, kayıtlı her cihaz kendi anahtarına sahip bir eştir. Oradaki paylaşılan hesap, birden çok makineye kopyalanmış bir yapılandırma dosyasıdır ve sınır, o yapılandırmaları dağıtan şeyden gelir: sağlayıcı portalı, koltuk sayısı veya genel adresinize bağlı bir kural. Kendi ağ geçidinizi işletiyorsanız OpenVPN 2.6 kılavuzu sunucu tarafı seçeneklerini belgeler.

Tek bir mesajın arkasına saklanan dört sınırı ayırın

Paylaşılan hesap biletlerinin çoğu dört erişim kararından biridir. İstemci bunları ayırt edemez ama hangi cihazın başarısız olduğu örüntüsü edebilir.

Aynı kimlik, ikinci bağlantı. Yeni cihaz çalışır ve eskisi aynı anda ölür. Bu, ağ geçidinin ya da hesap sisteminin uyguladığı kimlik başına eşzamanlılık kuralıdır. Hiçbir şey bozulmamıştır; hizmet ilkesinin söylediğini yapar.

Plandaki koltuk veya cihaz sayısı. İlk cihazlar bağlı kalır ve sıradaki, diğerleri devam ederken reddedilir. İstemciyi değiştirmeden önce sağlayıcının cihaz listesine bakın, çünkü lisans sınırı istemci tarafından düzeltilemez.

Genel adresinize bağlı bir sınır. Tek bir ev yönlendiricisinin arkasındaki iki dizüstü bilgisayar başarısız olurken aynı oturum açma telefon erişim noktasından çalışır. Test etmek için ikinci cihazı başka bir ağa taşıyın. Orada bağlanırsa adres başına kurala ya da NAT kuralına bakıyorsunuz, hesap sayısına değil.

Tüm sunucu için üst sınır. Ağ geçidindeki herkes aynı yoğun saatte başarısız olur, dün sorunsuz olan hesaplar dahil. OpenVPN'in --max-clients seçeneği böyle davranır ve kayıtlı cihazlarınızla hiçbir ilgisi yoktur.

Daha fazla koltuk almadan önce eski oturumları temizleyin

Kötü biten bir oturum hâlâ bir koltuk tutuyor olabilir. RADIUS muhasebesi oturum başladığında bir kayıt yazar ve oturum durduğunda onu kapatır; istemci kaybolduğunda durdurma hiç gelmez ve sunucu, ara güncelleme ya da zaman aşımı dolana kadar oturumu tutar. FreeRADIUS ağ geçidinde açık kayıtları görebilirsiniz:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Eski başlangıç saati olan ve trafiği olmayan açık bir kayıt, çoktan gitmiş bir cihaza aittir. Sınırın gerçek olduğunu varsaymadan önce onu operatör konsolundan ya da bir bağlantı kesme isteğiyle kapatın. Wi-Fi mobil ağa devrettiğinde telefonlar yeniden bağlanır ve bir dizüstü bilgisayar işletim sisteminde bir tünel artı sağlayıcı uygulamasında bir tane daha çalıştırabilir, bu da tek makineden iki oturum olarak sayılır.

Birlikte çalışan cihazlar arasında tek kimliği paylaşmayı bırakın

Kalıcı düzeltme yapısaldır. Her cihaza benzersiz ortak adla kendi sertifikasını ya da kendi hesabını verin ve onu hangi kişinin, hangi makinenin tuttuğunu kaydedin. OpenVPN'de bu, cihaz başına bir istemci sertifikası demektir ve devralma davranışını istemiyorsanız --duplicate-cn kapalı kalır; WireGuard'da cihaz başına bir anahtar çifti, orada üretilir ve asla kopyalanmaz.

Cihaz sınırını aşmak için profil kopyalamak iptali bozar: bir kopyanın iptali onu paylaşan her cihazı keser ve günlük artık hangi makinenin ne yaptığını söyleyemez. Sınır ticariyse dürüst çözüm ek koltuktur; kurum içi ilke ise aynı erişim haklarına sahip ikinci bir kimlik isteyin.

Sabit bir sırayla doğrulayın

Düzeltmeyi her seferinde aynı şekilde test edin ki sonuç bir şey ifade etsin.

  • Her cihazda oturumu kapatın ve sunucunun etkin listesinin boş olduğunu doğrulayın; temizlenmeyen bir kayıt eski bir oturumdur, istemci arızası değil.
  • Cihazları tek tek bağlayın ve bağlantılar arasında listeyi izleyin.
  • İkisinin birlikte çalışması gerekiyorsa iki satırın farklı kimlikler taşıdığını ve ikisinin de el sıkışmasını taze tuttuğunu doğrulayın.
  • Wi-Fi'den mobil ağa geçişten sonra tekrarlayın, çünkü yeniden bağlanma ikinci bir kayıt oluşturabilir.

Yeni cihaz bağlanınca eski cihaz hâlâ düşüyorsa ağ geçidi, muafiyet almadığınız kimlik başına bir kural uyguluyordur. Cihaz adlarını, zaman damgalarını ve etkin oturum listesini operatöre götürün; bu, belirsiz bir şikâyeti yanıtlayabilecekleri bir ilke sorusuna dönüştürür.

İlgili makaleler