오픈VPN 아이피 서버구축 문제에대해 질문드립니다.

Question

안녕하세요 여기서 질문을 해도 되는지는 모르겠지만.. 그래도 너무 궁금하여 연락드립니다..저희쪽 개발자와 소통을해 오픈 VPN 을 구축중에있습니다 기존 구축한 오픈VPN 과 같은 방식이 아닌 새로운 방식은 1:2 구축을 합니다 기존 오픈에 연결방식은 , 중복접속은 허용이 안되나 기존오픈사용자가 있으면 새로운사용자가 로그인을하면 기존사용자는 자동으 끊히게 되며 새로운사용자는 밀고 들어가서 연결하는방식입니다. 기존 이방식을 썼을때는 큰문제가 없었으나새로운 기능을 추가하게 되면서 문제가 생깁니다자 여기서 저희는 1개의 오픈파일이있으면 최대 5명까지 인원수를 늘리며 동시접속이 가능하게 구성하게되었습니다그러면서 신규오픈에 기존 사용자가 있으면 밀어내기 방식이아닌 연결을 시도하는사용자가 차단 되는 방식으로 바뀌었다고합니다.이게 동시접속을 적용하려면 그러한 방식이 필요한건데. 지금 문제는 저희쪽 개발팀과 소통을 하고있지만 이부분이 이상합니다제가 느끼기엔 기존 오픈사용자 동시접속을 2명으로했을때 1번컴퓨터에서 연결을 시도하고 2번컴퓨터에서 시도를 할때2번컴퓨터에 이전 사용했던 오픈의 기록이 있으면 연결이 안됩니다. 이부분은 자동삭제기능을 추가해 사용안된사용기록들을 삭제하려고 하고있습니다 그부분을 떠나서 2명접속으로했을때 분명 한명만 접속이 되어있는데 2명 접속이 안됩니다 되는경우도 있는데 연결을 끊었다가 다시연결을하면 , 기존 끊어지는 순간 . 다른쪽에서 접속을 하면 되는데 이 완전이 끊어지기까지 서버와 통신이 원활하지않은거 같습니다 그래서 2분정도면 끊어진다고하는데 너무 텀이 길어요 .. 그리고 와이어가드에대해서 잘 아시는 개발자분들이있을까요 도와주세요 기존 오픈처럼 밀어내기 방식으로 설정을 해도 동시접속을 설정이 가능한건지 아니면 현실적으로 불가능한 기능인지 궁금합니다.1. 현재 동시접속자 1로 의도한것을 2로 변경 ( 2개일 경우 3또는 4)- 이렇게 하면 정상사용자가 접속을 끊은 후 단시간에 재접속 시도할 경우 아직 정리되지 않은 세션으로 인해 접속 불가 현상 해결- 다만 악용할 경우 1의 동시접속만 해야하는데 2개를 접속하여 사용 가능- 한번에 자동화되어 처리되는 사용자일 경우 2개를 허용하려면 4로 하는게 안정적 (하지만 이렇게 설정을하게되면 이방법을 알고있는사용자는 최대 2~4개까지 오픈을 사용할수있고 여러명에서 한번에 접속을 시도하면 서버도 과부화 걸릴 수 있습니다)현실적으로 대응하는데에는 불가능 이라고 판단 됩니다.2. 접속이 끊겼는데 유령세션으로 남아있는 세션 정리 ( 내부에서 사용하는 폰보드 서버? 는 접속을 끊은것 같은데 실제로 서버상에 유령세션들이 존재하여 이후에 접속 시도할 때 접속이 안되는 현상 발생 )- 유령사용자의 판단기준 10분, 20분 등 지정된 시간동안 데이터 사용이 없는경우 / 원하는 시간 지정가능 )- 얼마만에 한번씩 돌릴것인지 지정 ( 1분 5분 10분 등 초단위 선택 가능 )이기능도 말이안되는데 유령세션을 정리하는데 기존 연결되어있는 오픈을 아무것도 사용않고 바탕화면에 가만이 나두면 인터넷이 사용을 안하고있다고 서버에서 판단을 하면 이것도 같이 삭제될수 있다고 합니다. 이부분때문에 망설여지고 고민입니다.혹시 오픈vpn이나 서버를 구축해보시거나 해당관련해서 잘 알고계시는분이 있으면 어떻게하면 좋은지 방향성을 조금 여쭙고싶습니다 참고로 저희는 아이피회사이며.. 가정용아이피 수천대이상 개통을 해 그것을 미니피시구축해서 아이피서비스를 하는 업체입니다.오픈이나 와이어가드프록시 삭스 화이트리스트

zepinos · Answer

동시접속을 막고 싶어서 설정하고 있단 걸까요?원래 무료버전의 OpenVPN이나 Wireguard는 동시접속에 대한 기능이 없고 접속 시, 종료 시 서버에서 지정된 스크립트를 실행하도록 설정하는 방식을 주로 쓰는 걸로 압니다. 즉, 스크립트 개발자의 능력에 따라 어떤 식으로 체크하고 기존 접속을 정리하는지 구현이 달라진단 얘기죠.다른 얘기지만, 굳이 제약을 거는 이유가 있을까요? 사실 2개까지 허용..보단 그냥 1개만 되게 해놓고 계정 2개 주는게 나아보여서요.아...마지막에 이걸로 유료서비스 개발하시나 보네요. 저는 그 정도 레벨까진 고민해보질 않아서.

캐티 · Answer

오! 불법트래픽 업체이나요. 일반적으로 아이피 업종이라고 적어도 대빈담. 전에도 알려드렸지만 .. 개인이 사용하고 있는 아이피를 함부로 사용하였다가 개인정보 보호법 이슈로 터지는 여지가 있어요. 정확한 정보에 범위로 동의를 받았다 하더라도 다른 법률에서 또 문제가 나겠쩌.tcp 통신은 연결이 끊어졌음을 알려면 keep-alive 이거나 일정한 데이터 통신을 하거나 하트 비트 시그널을 보내야 해요. 연결할 때에만 3방향 확인, 끊을때만 4방향 확인하는데 연결을 끊지 않았고 타임 아웃이 나면 이거는 프로그래머에 실수인거 같은데요. 커넥션타임아웃, 데이터수신타임아웃 이렇게 있어서 이거를 무제한으로 건드린거 아님 연결은 끊어지도록 설계되어 있쩌.오픈vpn은 무거운데 기능이 많아요. 지금에 추세는 와이어가드 이겠쩌. 이러나 아이피를 다시 할당 받음 연결이 끊어져서 재연결 과정이 이루어질 거여요. 이거는 본래 네트워크 구성을 다르게 하여 운영하는데 안되겠나요.꺼먼거 손털었쩌. 잘좀해바바요.

정규분포 · Answer

답변이 너무 길어질 것 같네요. 간략하게 힌트만 드리겠습니다. 내가 그 회사 일하는 것도 아니고 해서.- 한번에 자동화되어 처리되는 사용자일 경우 2개를 허용하려면 4로 하는게 안정적 (하지만 이렇게 설정을하게되면 이방법을 알고있는사용자는 최대 2~4개까지 오픈을 사용할수있고 여러명에서 한번에 접속을 시도하면 서버도 과부화 걸릴 수 있습니다)현실적으로 대응하는데에는 불가능 이라고 판단 됩니다.회사 입장에서도 지금 피어링 대역폭 비용도 생각하는 듯 합니다. 한국은 인터넷 낙후 지역이라 대역폭이 상당히 비싸요. 대역폭 RIPE이나 ARIN 지역처럼 후하게 주는 클라우드 서비스가 아시아에 전무한 이유이기도 하고요. 서버 부하 문제는 커널공간 구현체인 OpenVPN DCO나 Wireguard로 충분히 해결 가능합니다. 최적화가 필요한 부분은 CPU bound가 아니라 network bound에요.지금 만드시려는게 각종 다른 VPN 서비스의 dedicated IP 기능과 다를게 없습니다. 이런 서비스들 모델링한 것 보면, 그렇게 동접을 제한적으로 시행하는 서비스는 사실상 없습니다. 적어봐야 5 기기 정도(NordVPN).2. 접속이 끊겼는데 유령세션으로 남아있는 세션 정리 ( 내부에서 사용하는 폰보드 서버? 는 접속을 끊은것 같은데 실제로 서버상에 유령세션들이 존재하여 이후에 접속 시도할 때 접속이 안되는 현상 발생 )- 유령사용자의 판단기준 10분, 20분 등 지정된 시간동안 데이터 사용이 없는경우 / 원하는 시간 지정가능 )- 얼마만에 한번씩 돌릴것인지 지정 ( 1분 5분 10분 등 초단위 선택 가능 )VPN 구현체를 말하는 건지, 내부 서버를 말하는 건지 몰라서 확답 못드림. OpenVPN의 경우 keepalive 옵션이 있음. Wireguard는 그런 옵션 없고, 외부적으로 따로 conntrack을 해서 클라이언트 IP 당 UDP 연결 개수를 제한하고, timeout 시간을 짧게 주는 방법 밖엔 없음. Wireguard는 상당히 간단하게 구현된 프로토콜이라, 상당 부분이 이렇게 stateless 해서 속도가 빠른 겁니다. 자체적으론 못하고, control plane 소프트웨어를 만들어야 함. 그런건 오픈소스로 나와있지 않고, 각 VPN 회사들의 영업비밀이죠.TCP로 짠 앱 서버를 말하는 경우라면, SO_KEEPALIVE와 SO_LINGER 옵션을 짧게 줘서 TCP_RST를 유도할 수 있음. 프로그램 코드 수정하지 말고, /proc sysfs 사용해서 커널 글로벌 설정 변경해서 바로 테스트 가능.돈주면 해드리지만, 힌트는 여기까지만 드리겠음.Godspeed

오픈VPN 아이피 서버구축 문제에대해 질문드립니다.

3개의 답변

Q&A 목록