Nødadgang: når netværket blokerer alt

Alt indtil nu byggede på én antagelse: at netværket stadig lader dine servere passere. En rute vælger en server, en inbound får forbindelsen til at ligne et helt almindeligt HTTPS-besøg, multihop strækker vejen over flere lande — men det hele kræver, at trafikken overhovedet forlader enheden.

Det gør den ikke altid. Et netværk skifter til en hvidliste: en kort liste af tilladte tjenester virker, og alt andet — din VPN inklusive — kommer simpelthen ikke igennem. Nødadgang (OLCRTC) er bygget præcis til de timer.

Hvad det er — og hvad det ikke er

Nødadgang er en reservekanal, ikke en protokol nummer to. Den normale forbindelse er stadig, hvad den altid har været: VLESS + Reality på dine egne servere. Nødadgang genbruger de samme servere, men pakker trafikken ind i et videoopkald på en tjeneste, det begrænsede netværk stadig tillader — udefra ligner det en ganske almindelig videokonference.

Tre ting følger af det, og alle tre er værd at kende, før du lover noget:

• Brugeren starter den i hånden, kun når intet andet virker. Der er ingen automatisk omskiftning: den normale forbindelse "hopper" ikke selv over.
• Den er langsom. Cirka 14 Mbit/s ned, under en megabit op, 175–235 ms latenstid. Behageligt til at læse og se video, ubrugeligt til upload, videoopkald og spil.
• Den er midlertidig. En session lever op til 12 timer og stopper så af sig selv; brugeren har én ad gangen; for at fortsætte starter man en ny.

Sådan ser det ud fra brugerens side

1. Brugeren opretter et friskt videoopkald i en understøttet tjeneste — Yandex Telemost, WB Stream eller Jitsi Meet.
2. Han giver linket videre: indsætter det i blokken Nødadgang i sin konto eller sender det på mail til en personlig anmodningsadresse. Begge veje gør det samme — og mailvejen bliver ved med at virke, når din butiksside allerede er blokeret.
3. En af dine servere går ind i opkaldet som gæst. Cirka et minut efter får brugeren et forbindelseslink, der begynder med olcrtc://, plus en QR-kode.
4. Han importerer det i olcbox, nødklienten, og forbinder.

Hvad der skal til fra din side

• Et Pro-abonnement — €0,99 om måneden. Det er niveauet, nødadgang følger med; Max har den også, sammen med alt det andet (lektion 13).
• En nødrute. Serverne på ruter, der er markeret som nød, udgør den pulje, sessionerne lander i. Ved dit første abonnement markerer systemet selv en for dig — ruten med flest fungerende inbounds — og slår samtidig klyngeknappen til.
• Serverne. De er med som standard, og runtime installerer og opdaterer sig selv i baggrunden: intet skal sættes op over SSH.

I det almindelige tilfælde er der altså intet at konfigurere: du tegner abonnementet, og nødadgangen virker. De manuelle knapper står der, når du får brug for dem: hvilke ruter puljen består af, hvor mange sessioner en server holder til, og om en enkelt skal holdes udenfor.

Hvad der adskiller den fra en normal rute

• Brugeren vælger ikke land. Han ser slet ikke puljen — den geografiske hensigt udtrykker du ved at markere bestemte ruter som nød. Du kan markere flere: puljen slår dem sammen, og findes der ingen egnet server i den ene, ryger sessionen til en anden.
• Multihop-ruter er ikke med. Til nødsessioner bruges kun direkte ruter.
• En session koster rigtig CPU. At pakke trafik ind i en videostrøm tog ved målingen omkring 15 % af én kerne og 31 MB hukommelse (videosession på ~5 Mbit/s) — langt mere end en ekstra VPN-bruger. Tommelfingerregel: 3 sessioner pr. kerne, altså 3 på en enkeltkernet server, 6–7 ved to kerner, 12–14 ved fire.

Hvilke af dine brugere der reelt kan bruge den

Kravene er strengere, end de ser ud — og det er derfra supportspørgsmålene kommer:

• Bekræftet e-mail. Brugere, du har oprettet i hånden uden adresse, kan slet ikke anmode.
• Aktiv konto. Konti på pause, udløbne, med opbrugt trafikgrænse og med første betaling til gode (alle, der har meldt sig til selv og endnu ikke betalt) bliver afvist.

Klagen, du kommer til at høre, lyder "jeg bad om det, og der skete ingenting". Start med kontoens status og det opkaldslink, brugeren brugte; for mailvejen skal du også tjekke, at beskeden kom fra kontoens adresse og kun indeholdt linket.

Husk

• Nødadgang er en redningskrans til netværk med hvidlister, ikke en protokol nummer to og ikke en erstatning for den normale forbindelse.
• Trafikken går over dine egne servere, forklædt som et videoopkald, brugeren selv opretter.
• Langsom, op til 12 timer, én session pr. bruger, manuel start.
• Med Pro tænder den sig selv: en rute bliver markeret som nød, klyngeknappen går til, serverne er med som standard.
• Én session ≈ 15 % af en CPU-kerne — sæt kapaciteten udtrykkeligt på svage servere.
• Brugeren skal have bekræftet e-mail, en aktiv konto og klienten installeret på forhånd.

Videre

Nødadgang handler om, hvad man gør, når netværket går ned. Næste lektion handler om den anden halvdel: hvordan systemet opdager, at dine servere er gået ned.