Umumiy VPN hisobidagi sessiya chegarasi: nega aynan bitta qurilma uzilib qoladi

Telefonda allaqachon ishlab turgan hisobga ikkinchi noutbukni qo'shasiz va bir daqiqa ichida telefonning tunneli uziladi. Yoki yangi qurilma ulanishni umuman tugatmaydi, mijoz esa kutish muddati o'rniga siyosat xabari bilan yakunlanadi. Ikkala holatda ham tarmoq joyida; qaror uning ustida qabul qilingan. Umumiy login bitta identifikatsiya, va ko'p VPN xizmatlari qo'lingizdagi qurilmalar sonini emas, aynan shu identifikatsiyani sanaydi. Men mijoz ekranidan tashqariga qarab ishlayman, chunki odatda qaysi qatlam sizni rad etganini o'sha ko'rsatadi.

Tarmoqqa tegishdan oldin mijoz xabarini o'qing

Uch xil nosozlik bir-biriga o'xshaydi, lekin bir xil emas. Kutish muddati paketlaringiz hech qayerga yetmaganini bildiradi. TLS yoki sertifikat xatosi oxirgi nuqta javob berganini, ammo qo'l berib ko'rishish o'tmaganini bildiradi. Autentifikatsiya yoki siyosat rad etishi shlyuz ma'lumotlaringizni o'qib, keyin rad etganini bildiradi. Sessiya chegarasi hikoyasiga faqat uchinchisi tegishli, shuning uchun avval o'shani aniqlang.

OpenVPN mijozlari qiziqarli satrlarni jurnal panelida saqlaydi. Keyin keladigan qayta urinish aylanasiga emas, oxirgi ulanish urinishiga o'ting va AUTH_FAILED yoki yuborilgan sabab matnini qidiring. Mijoz ko'pincha tushuntirishsiz umumiy rad javobini beradi, shuning uchun keyingi qadam server, mijoz sozlamalari emas. Provayder ilovalari undan yomonroq: qurilma chegarasi haqidagi xabar foydali, lekin ikki soniyadan keyin qulab tushadigan ulanish siyosat qarori, yomon parol emas. Har holda qurilma nomi va aniq vaqtni yozib qo'ying; operator bu juftlikni bir necha soniyada kirish yozuvi bilan solishtira oladi.

Sessiyalarni server sanaydigan joyda sanang

Muhim hisoblagich shlyuzda yashaydi. Server --status bilan ishga tushganda OpenVPN holat faylini yozadi va har bir ulangan mijozni umumiy nomi, haqiqiy manzili va trafik hisoblagichlari bilan sanab chiqadi.

cat /var/log/openvpn-status.log
# or query the management socket directly
echo "status 2" | socat - UNIX-CONNECT:/run/openvpn/server.sock

Bir xil umumiy nomga ega ikki satr bitta sertifikat ostidagi ikki tirik sessiya. Odatiy holatda OpenVPN ikkalasini ham ushlab turmaydi: --duplicate-cn bo'lmasa, o'sha sertifikatdan foydalanadigan ikkinchi ulanish birinchisini almashtiradi va eski qurilma tunnelidan ayriladi. O'sha almashinuv identifikatsiya chegarasining imzosidir. Tasodifiy paket yo'qolishi boshqasi paydo bo'lgan lahzada aynan bitta qurilmani xushmuomalalik bilan uzmaydi.

WireGuard da ko'zdan kechiriladigan sessiya jadvali yo'q. wg show wg0 hamkorlarni va ularning oxirgi qo'l berib ko'rishishini chiqaradi, ro'yxatdan o'tgan har bir qurilma esa o'z kaliti bilan hamkor. U yerdagi umumiy hisob bir necha mashinaga ko'chirilgan konfiguratsiya fayli, chegara esa o'sha konfiguratsiyalarni tarqatuvchi narsadan keladi: provayder portali, o'rinlar soni yoki umumiy manzilingizga bog'langan qoida. Agar shlyuzni o'zingiz boshqarsangiz, OpenVPN 2.6 qo'llanmasi server tomonidagi variantlarni hujjatlashtiradi.

Bitta xabar ortiga yashiringan to'rt chegarani ajrating

Umumiy hisob bo'yicha murojaatlarning ko'pchiligi kirish haqidagi to'rt qarordan biri. Mijoz ularni ajrata olmaydi, lekin qaysi qurilma muvaffaqiyatsiz bo'lishi naqshi buni qila oladi.

Bir xil identifikatsiya, ikkinchi ulanish. Yangi qurilma ishlaydi, eskisi ayni shu lahzada o'ladi. Bu shlyuz yoki hisob tizimi qo'llaydigan identifikatsiya bo'yicha bir vaqtlilik qoidasi. Hech narsa buzilmagan; xizmat o'z siyosati aytganini qilmoqda.

Tarifdagi o'rinlar yoki qurilmalar soni. Birinchi qurilmalar ulangan holda qoladi, keyingisi rad etiladi, qolganlari davom etadi. Mijozni o'zgartirishdan oldin provayderning qurilmalar ro'yxatini ko'ring, chunki litsenziya chegarasini mijoz tomondan tuzatib bo'lmaydi.

Umumiy manzilingizga bog'langan chegara. Bitta uy routeri ortidagi ikki noutbuk muvaffaqiyatsiz bo'ladi, o'sha login esa telefon hotspotidan ishlaydi. Sinash uchun ikkinchi qurilmani boshqa tarmoqqa ko'chiring. Agar u yerda ulansa, siz manzil bo'yicha qoidani yoki NAT qoidasini ko'ryapsiz, hisoblar sonini emas.

Butun server uchun yuqori chegara. Shlyuzdagi hamma bir xil gavjum soatda muvaffaqiyatsiz bo'ladi, kechqurun joyida bo'lgan hisoblar ham. OpenVPN ning --max-clients varianti shunday ishlaydi va sizning ro'yxatdan o'tgan qurilmalaringizga hech qanday aloqasi yo'q.

Ko'proq o'rin sotib olishdan oldin eski sessiyalarni tozalang

Yomon tugagan sessiya hali ham o'rinni ushlab turishi mumkin. RADIUS hisobi sessiya boshlanganda yozuv yozadi va sessiya to'xtaganda uni yopadi; mijoz g'oyib bo'lsa, to'xtash hech qachon kelmaydi va server oraliq yangilanish yoki kutish muddati tugaguncha sessiyani ushlab turadi. FreeRADIUS shlyuzida ochiq yozuvlarni ko'rishingiz mumkin:

SELECT username, acctsessionid, acctstarttime
FROM radacct WHERE acctstoptime IS NULL;

Eski boshlanish vaqti va trafiksiz ochiq yozuv allaqachon ketgan qurilmaga tegishli. Chegara haqiqiy bo'lgan deb o'ylashdan oldin uni operator konsolidan yoki uzish so'rovi bilan yoping. Wi-Fi mobil tarmoqqa topshirganda telefonlar qayta ulanadi, noutbuk esa operatsion tizimda bitta tunnel va sotuvchi ilovasi ichida yana bittasini yuritishi mumkin, bu bitta mashinadan ikki sessiya deb sanaladi.

Birga ishlaydigan qurilmalar orasida bitta identifikatsiyani bo'lishishni to'xtating

Uzoq muddatli tuzatish tizimli. Har bir qurilmaga noyob umumiy nomli o'z sertifikatini yoki o'z hisobini bering va uni qaysi shaxs va qaysi mashina ushlab turishini yozib qo'ying. OpenVPN da bu har qurilmaga bitta mijoz sertifikati degani, va agar egallash xatti-harakatini xohlamasangiz --duplicate-cn o'chirilgan qoladi; WireGuard da har qurilmaga bitta kalit juftligi, o'sha yerda yaratiladi va hech qachon ko'chirilmaydi.

Qurilma chegarasini chetlab o'tish uchun profil nusxasini yaratish bekor qilishni buzadi: bitta nusxani bekor qilish uni bo'lishadigan har bir qurilmani uzadi va jurnal endi qaysi mashina nima qilganini ayta olmaydi. Agar chegara tijoriy bo'lsa, halol yechim qo'shimcha o'rin; agar bu ichki siyosat bo'lsa, xuddi shunday kirish huquqlariga ega ikkinchi identifikatsiyani so'rang.

Belgilangan tartibda tekshiring

Tuzatishni har safar bir xil usulda sinang, natija mazmunga ega bo'lsin.

• Har bir qurilmada hisobdan chiqing va serverning faol ro'yxati bo'sh ekaniga ishonch hosil qiling; tozalanmaydigan yozuv eski sessiya, mijoz nuqsoni emas.
• Qurilmalarni birma-bir ulang va ulanishlar orasida ro'yxatni kuzating.
• Ikki qurilma birga ishlashi shart bo'lsa, ikkala satr turli identifikatsiyaga ega ekanini va ikkalasi qo'l berib ko'rishishini yangi tutayotganini tasdiqlang.
• Wi-Fi dan mobil tarmoqqa o'tgandan keyin takrorlang, chunki qayta ulanish ikkinchi yozuv yaratishi mumkin.

Agar yangisi ulanayotganda eskisi hali ham uzilsa, shlyuz sizga istisno berilmagan identifikatsiya bo'yicha qoidani qo'llayapti. Operatorga qurilmalar nomlari, vaqt belgilari va faol sessiyalar ro'yxatini olib boring; bu noaniq shikoyatni ular javob bera oladigan siyosat savoliga aylantiradi.