Sådan slår du nødadgang til
Sæt nødadgang (OLCRTC) op til dine brugere: Pro-abonnement, en nødrute og runtime per server — trin for trin, i den rigtige rækkefølge.
Denne side er til dig som tjenesteejer. Den handler om, hvordan du slår nødadgang til, så dine brugere kan regne med den. Til brugerne selv findes der separate sider: Nødadgang — hvordan det virker, og hvad man gør under en blokering — og Installation af nødklienten — hvor man henter appen, og hvordan man installerer den.
Nødadgang (OLCRTC) er en reservekanal til netværk med hvidlister, hvor den almindelige forbindelse slet ikke slipper igennem. Trafikken løber stadig over dine egne servere, men den er kamufleret som et videoopkald i en tilladt tjeneste. Det er hverken en protokol nummer to eller en erstatning for hovedforbindelsen: den er langsommere, tænkt til korte sessioner, startes manuelt af brugeren og kun til de tilfælde, hvor alt andet er holdt op med at virke.
Funktionen rulles ud i etaper. Selv med alle kontakter slået til er nød-runtime måske endnu ikke installeret på dine servere, og start af sessioner er måske ikke aktiveret: adgangen åbnes gradvist. Bliver en server ved med ikke at være "sund" længe efter, at du har slået den til, er udrulningen sandsynligvis bare ikke nået frem til dig endnu.
Den virker heller ikke på alle netværk eller i alle lande, og den afhænger af, at en ekstern videotjeneste kan nås (og for vejen med e-mail også af, at mailen kommer igennem). Lov den ikke som en garanteret funktion — præsentér den som en forsikring mod hårde blokeringer.
Hvad du skal bruge
- et Pro-abonnement (eller Max, som indeholder alt fra Pro);
- mindst én rute markeret som nødrute;
- mindst én server på en nødrute med runtime slået til;
- brugere med en bekræftet e-mail og en aktiv konto (se afsnittet om begrænsninger nedenfor).
Rækkefølgen
Der er to kontakter, to forskellige steder:
| Hvad du slår til | Hvor den bor | Hvad den hedder |
|---|---|---|
| Rute | ruteindstillingerne (ved redigering) | "Nødrute (OLCRTC)" |
| Server | serverpanelet, knappen "Rediger" | "Kør OLCRTC på denne server" |
Klyngen har ingen egen kontakt: klyngens nødadgang er slået til, så længe mindst én af dens ruter er markeret.
Med dit første Pro-abonnement markerer systemet selv den rute med flest fungerende inbounds som nødrute for dig, og klyngens nødadgang slås til med det samme. Serverne er med som standard, og runtime ruller ud af sig selv. Derfor er trinnene nedenfor som regel en kontrol og ikke en obligatorisk rækkefølge: gennemgå dem, hvis du vil vælge andre ruter, sætte en kapacitet eller holde en bestemt server udenfor.
Tegn Pro. Gå til Betaling → abonnementsblokken. Uden et aktivt Pro vises nødkontakterne slet ikke: klyngesiden viser i stedet et kort med "Nødadgang (OLCRTC)" og en knap "Opgrader".
Markér en rute som nødrute — i rutens egne indstillinger. Åbn ruten til redigering, og slå "Nødrute (OLCRTC)" til.
Kontakten dukker kun op, når du redigerer en eksisterende rute. Formularen til en ny rute har den ikke: opret ruten først, åbn derefter dens indstillinger, og markér den som nødrute.
Serverne på den rute kommer med i nødpuljen. Du kan markere flere ruter — puljen samler dem alle, og har en rute ingen egnet server, går forbindelsen til en server fra en anden. Markerede ruter får badget nød (OLCRTC) i rutelisten.
Så snart den første rute er markeret, slås klyngens nødadgang til af sig selv: der er ikke andet at slå til.
Tillad sessioner på serverne. Klik på en server for at åbne dens panel, find blokken Nød-Runtime (OLCRTC), tryk på "Rediger", slå "Kør OLCRTC på denne server" til, og tryk på "Gem".
Runtime installerer og opdaterer sig selv i baggrunden — du behøver ikke logge ind på serveren. Indtil den er installeret og rapporterer, står tilstanden som "ikke sund"; det er normalt, vent på "sund · N/M aktive".
Blokken vises kun i den almindelige grænsefladetilstand — den forenklede tilstand "Én server" har den ikke.
Sæt kapaciteten. I den samme blok — Maks. samtidige sessioner. Du må gerne lade feltet stå tomt, men det er bedre at lade være: se næste afsnit.
Fortæl dine brugere om det. Nødadgang er ubrugelig, hvis folk først hører om den, når de allerede er blokeret: klienten skal installeres på forhånd. Henvis dem til Nødadgang og Installation af klienten, og bed dem gennemgå det hele én gang, mens internettet stadig virker normalt.
Hvor mange sessioner en server kan klare
En nødsession er ikke "endnu en VPN-bruger" — den er væsentligt dyrere: serveren pakker trafikken ind i en videostrøm, og det koster CPU-tid.
Målt på en levende session (Full HD-video, omkring 5 Mbit/s) fylder én session cirka 15 % af én kerne og 31 MB hukommelse. Hukommelsen betyder næsten ingenting; CPU'en er den reelle grænse.
| Kerner på serveren | Fornuftig kapacitet |
|---|---|
| 1 | 3 |
| 2 | 6–7 |
| 4 | 12–14 |
Gå ikke over disse tal, heller ikke på en dedikeret server: fire sessioner på én kerne er allerede cirka 60 % af den plus baggrundsbelastningen. Og bemærk, at målingen blev taget under visning af video (~5 Mbit/s); mætter en bruger tunnelen, kan én session koste mærkbart mere.
Et tomt kapacitetsfelt betyder "ingen grænse". Så er den eneste beskyttelse tilbage den automatik, der holder op med at placere nye sessioner på en voldsomt overbelastet server. Den reagerer dog med forsinkelse, og på en svag server vil dine almindelige brugere allerede lide på det tidspunkt. På servere med én kerne skal du sætte kapaciteten eksplicit.
Balanceringen hjælper til en vis grad: bruger ruten algoritmen "Mindst belastet efter trafik" (standarden), rapporterer en server med høj CPU-belastning mindre ledig båndbredde, og nye almindelige brugere sendes til mindre belastede servere. Men det er en korrektion ud fra den samlede CPU-belastning, ikke en optælling af nødsessioner, og den halter flere minutter bagefter — den erstatter ikke en eksplicit kapacitet.
Hvad grænsefladen viser
I hver servers blok Nød-Runtime (OLCRTC):
- Funktion — om der må køre sessioner på denne server;
- Kapacitet — din grænse for samtidige sessioner ("ikke angivet" = ingen grænse);
- Runtime — tilstand: "sund · N/M aktive", "ikke sund" eller "rapporterer endnu ikke".
Lige efter du har slået den til, skal du forvente "ikke sund" — det er normalt, serveren er stadig ved at installere runtime og har ikke rapporteret endnu. Bliver den ved med det længe, så kontrollér, om serveren overhovedet er på nettet. "Rapporterer endnu ikke" blinker kun forbi, mens siden indlæses.
Begrænsninger, der er værd at kende på forhånd
En session lever op til 12 timer, derefter stopper den af sig selv. Den kan ikke forlænges — brugeren opretter et nyt opkald og anmoder om forbindelsen igen.
Én session per bruger. En anmodning nummer to opretter ikke en ny session: i den personlige konto vises "Sessionen kører allerede", og en e-mail nummer to får intet svar — det er værd at forklare brugerne på forhånd, så det ikke ligner en fejl.
Internethastigheden er lavere end ved en forbindelse via Xray.
Videotjenesten skal kunne nås fra serverens land. Det er din server, der deltager i opkaldet, så det afgørende er, hvor serveren står, ikke hvor brugeren er. I Letland er Yandex og Wildberries for eksempel blokeret — via en lettisk server kommer Telemost og WB Stream ikke op. Husk det, når du vælger, hvilke servere der skal have nødadgang.
Kravene til brugerne er strengere, end de ser ud. En bekræftet e-mail er påkrævet — brugere, du har oprettet manuelt uden en, kan ikke anmode om adgang. Kontoen skal desuden være aktiv: konti, der er sat på pause, udløbet, har brugt deres grænse op eller afventer første betaling (on_hold — alle, der har tilmeldt sig selv og endnu ikke har betalt), afvises. E-mailen skal bestå afsenderautentificeringen og må kun indeholde opkaldslinket.
I den personlige konto vises hver afvisning med sin årsag; på en e-mail kommer der svar, når vi kan genkende afsenderen som din bruger (en uautentificeret eller ukendt afsender får intet svar). Klager nogen over, at "jeg bad om det, og der skete ingenting", så start med kontoens status og det opkaldslink, der blev brugt; for vejen med e-mail skal du også tjekke, at mailen blev sendt fra kontoens adresse og kun indeholdt linket.
Multihop-ruter deltager ikke. Kun direkte ruter bruges til nødsessioner.
Nødklienten er Ghostlane, også til iPhone. Den findes i App Store og Google Play og har versioner til Windows, macOS og Linux. Brugere, der har installeret det gamle olcbox, skal skifte til Ghostlane: olcbox bliver ikke længere opdateret og kender hverken SaluteJazz eller VK Calls, og de ældre versioner mangler den nye kryptering. Se installationsguiden.
Sådan slår du det fra
Slå "Nødrute (OLCRTC)" fra på alle klyngens nødruter, eller slet disse ruter — så slås klyngens nødadgang fra, og nye sessioner holder op med at blive startet. Sessioner, der allerede kører, gør deres tid færdig.
Er dit Pro-abonnement udløbet, kan du stadig slå tingene fra, men at slå dem til igen kræver, at du fornyer det.