Zapnutí nouzového přístupu
Nastavte svým uživatelům nouzový přístup (OLCRTC): předplatné Pro, nouzová trasa, přepínač clusteru a runtime na jednotlivých serverech — krok za krokem a ve správném pořadí.
Tato stránka je pro vás, majitele služby. Popisuje, jak zapnout nouzový přístup, aby se na něj vaši uživatelé mohli spolehnout. Pro uživatele samotné jsou tu samostatné stránky: Nouzový přístup — jak to funguje a co dělat během blokování — a Instalace nouzového klienta — kde stáhnout aplikaci a jak ji nainstalovat.
Nouzový přístup (OLCRTC) je záložní kanál pro sítě se seznamy povolených služeb, kde běžné připojení neprojde vůbec. Provoz stále běží přes vaše vlastní servery, jen je maskovaný jako videohovor v povolené službě. Není to druhý protokol ani náhrada toho hlavního: je pomalejší, určený pro krátké relace, spouští si ho uživatel ručně a jen tehdy, když všechno ostatní přestalo fungovat.
Funkce je experimentální a zavádí se postupně. I když máte zapnuté všechny přepínače, nouzový runtime nemusí být na vašich serverech ještě nainstalovaný a spouštění relací nemusí být aktivní: přístup se otevírá postupně. Pokud se stav serveru po zapnutí dlouho nedostane do "v pořádku", nejspíš na vás jen ještě nedošla řada.
Nefunguje také v každé síti ani v každé zemi a závisí na dostupnosti externí videoslužby a e-mailu. Neslibujte ji jako zaručenou možnost — podávejte ji jako pojistku proti tvrdým blokacím.
Co budete potřebovat
- předplatné Pro (nebo Max, který obsahuje všechno z Pro);
- alespoň jednu trasu označenou jako nouzová;
- zapnutý přepínač OLCRTC u clusteru;
- alespoň jeden server v tomto clusteru se zapnutým runtime;
- uživatele s ověřeným e-mailem a aktivním účtem (viz část o omezeních níže).
Pořadí kroků
Přepínače jsou tři, na třech různých místech, a snadno se pletou — dva z nich se jmenují téměř stejně:
| Co zapínáte | Kde se nachází | Jak se jmenuje |
|---|---|---|
| Trasa | nastavení trasy (při úpravách) | "Nouzová trasa (OLCRTC)" |
| Cluster | stránka clusteru, nad seznamem tras | "Zapnout OLCRTC pro tento cluster" |
| Server | panel serveru, tlačítko "Upravit" | "Spouštět OLCRTC na tomto serveru" |
Na pořadí záleží: cluster vám nedovolí zapnout OLCRTC, dokud neexistuje žádná nouzová trasa. Nejdřív trasa, potom cluster.
Objednejte si Pro. Přejděte na Fakturace → blok předplatného. Bez aktivního Pro se nouzové přepínače vůbec nezobrazují: stránka clusteru místo nich ukazuje kartu "Nouzový přístup (OLCRTC)" s tlačítkem "Objednat".
Označte trasu jako nouzovou — v nastavení samotné trasy. Otevřete trasu k úpravám a v bloku "Nouzový přístup (OLCRTC)" zapněte "Nouzová trasa (OLCRTC)".
Přepínač se objeví jen při úpravách existující trasy. Formulář pro novou trasu ho nemá: nejdřív trasu vytvořte, pak otevřete její nastavení a označte ji jako nouzovou.
Servery na této trase se zapojí do nouzového poolu. Označit můžete několik tras — pool je všechny sloučí, a pokud na jedné trase není vhodný server, připojení půjde na server z jiné. Označené trasy dostanou v seznamu tras štítek nouzová.
Zapněte OLCRTC pro celý cluster. Tohle je druhý, samostatný přepínač — ne ten v trase. Najdete ho na stránce clusteru, v bloku "Nouzový přístup" označeném OLCRTC, hned nad seznamem tras, a jmenuje se "Zapnout OLCRTC pro tento cluster".
Je to hlavní vypínač: dokud je vypnutý, uživatelé clusteru si nemohou nic vyžádat, ať už jste jako nouzových označili tras kolik chcete. Pod přepínačem vidíte, kolik nouzových tras už v poolu je.
Povolte relace na serverech. Kliknutím na server otevřete jeho panel, najděte blok Nouzový runtime (OLCRTC), stiskněte "Upravit", zapněte "Spouštět OLCRTC na tomto serveru" a stiskněte "Uložit".
Runtime se instaluje a aktualizuje sám na pozadí — na server se přihlašovat nemusíte. Dokud není nainstalovaný a nehlásí se, stav ukazuje "není v pořádku"; to je normální, počkejte na "v pořádku · N/M aktivních".
Blok se objevuje jen v běžném režimu rozhraní — zjednodušený režim "Jeden server" ho nemá.
Nastavte kapacitu. Ve stejném bloku — Max. souběžných relací. Můžete pole nechat prázdné, ale lepší je to neudělat: viz další část.
Řekněte o tom uživatelům. Nouzový přístup je k ničemu, pokud se o něm lidé dozvědí, až když už jsou zablokovaní: klienta je potřeba nainstalovat předem. Odkažte je na Nouzový přístup a Instalaci klienta a poproste je, ať si celý postup jednou projdou, dokud internet funguje normálně.
Kolik relací server unese
Nouzová relace není "ještě jeden uživatel VPN" — je podstatně dražší: server balí provoz do videostreamu, a to stojí procesorový čas.
Podle měření na živé relaci (video ve Full HD, asi 5 Mbit/s) zabere jedna relace zhruba 15 % jednoho jádra a 31 MB paměti. Na paměti skoro nezáleží; skutečným limitem je procesor.
| Jader na serveru | Rozumná kapacita |
|---|---|
| 1 | 3 |
| 2 | 6–7 |
| 4 | 12–14 |
Nad tato čísla nechoďte ani na vyhrazeném serveru: čtyři relace na jednom jádře už znamenají asi 60 % jádra plus zátěž na pozadí. A pamatujte, že měření proběhlo při sledování videa (~5 Mbit/s); pokud uživatel tunel vytíží naplno, jedna relace může stát znatelně víc.
Prázdné pole kapacity znamená "bez omezení". Jedinou zbývající ochranou pak je automatika, která přestane umisťovat nové relace na silně přetížený server. Reaguje ale se zpožděním a na slabém serveru už do té doby budou trpět vaši běžní uživatelé. Na jednojádrových serverech kapacitu nastavte výslovně.
Vyvažování do jisté míry pomáhá: pokud trasa používá algoritmus podle zátěže (výchozí), server s vysokým vytížením procesoru hlásí méně volné šířky pásma a noví běžní uživatelé jsou směrováni na méně zatížené servery. Je to ale korekce podle celkového vytížení procesoru, ne podle počtu nouzových relací, a má několikaminutové zpoždění — výslovnou kapacitu nenahrazuje.
Co ukazuje rozhraní
V bloku Nouzový runtime (OLCRTC) u každého serveru:
- Možnost — jestli na tomto serveru smějí běžet relace;
- Kapacita — váš limit souběžných relací ("nenastavena" = bez limitu);
- Runtime — stav: "v pořádku · N/M aktivních", "není v pořádku" nebo "zatím nehlásí".
Hned po zapnutí čekejte "není v pořádku" — to je normální, server ještě instaluje runtime a zatím se neohlásil. Pokud tento stav trvá dlouho, zkontrolujte, jestli je server vůbec dostupný. Nápis "zatím nehlásí" problikne jen ve chvíli načítání stránky.
Omezení, o kterých je dobré vědět předem
Relace žije až 12 hodin, pak se sama zastaví. Prodloužit ji nelze — uživatel vytvoří nový hovor a pošle nový e-mail.
Jedna relace na uživatele. Druhý e-mail nic nevytvoří a zůstane bez odpovědi — vyplatí se to uživatelům vysvětlit předem, aby to nevypadalo jako porucha.
Asi 14 Mbit/s pro stahování a méně než megabit pro odesílání, se zpožděním 175–235 ms. Sledovat video a pracovat s poštou je pohodlné; posílat velké soubory, videovolat a hrát hry ne. Je to strop současné konfigurace tunelu, ne hlavního připojení.
Požadavky na uživatele jsou přísnější, než vypadají. Vyžaduje se ověřený e-mail — uživatelé, které jste založili ručně bez něj, o přístup požádat nemohou. Účet musí být také aktivní: pozastavené, vypršelé, s vyčerpaným limitem a čekající na první platbu (on_hold — všichni, kdo se zaregistrovali sami a ještě nezaplatili) jsou odmítnuti. E-mail musí projít ověřením odesílatele a frekvence je omezená na pět žádostí za hodinu na uživatele a sto za celou službu.
Odmítnutí při těchto kontrolách probíhá tiše: uživatel nedostane žádnou odpověď. Pokud si někdo stěžuje, že "poslal jsem e-mail a nic nepřišlo", začněte stavem účtu a tím, jestli byl odeslán správný odkaz na hovor.
Multihop trasy se neúčastní. Pro nouzové relace se používají jen přímé trasy.
iPhone je složitější. Klienta pro iOS lze nainstalovat jen přes sideload — Apple ho nenabízí. Vaši uživatelé s iPhonem se musí připravit předem a pečlivěji; popisuje to průvodce instalací.
Jak to vypnout
Přepínač Zapnout OLCRTC pro tento cluster můžete kdykoli zrušit — nové relace se přestanou spouštět. Už běžící relace doběhnou svou dobu.
Poslední nouzovou trasu nelze při zapnutém OLCRTC odznačit ani smazat: nejdřív označte jinou trasu, nebo vypněte OLCRTC u clusteru.
Pokud vám předplatné Pro vypršelo, vypnout věci můžete stále, ale k jejich opětovnému zapnutí je potřeba ho obnovit.