Accesso di emergenza: quando la rete blocca tutto

Tutto quello visto finora dava per scontata una cosa: che la rete lasci ancora passare i tuoi server. Una route sceglie un server, un inbound fa sembrare la connessione una normale visita HTTPS, il multihop allunga il percorso su più paesi — ma tutto questo richiede che il traffico esca dal dispositivo.

E non sempre esce. La rete passa a una lista bianca: funziona un breve elenco di servizi consentiti e tutto il resto — la tua VPN compresa — semplicemente non passa. L'accesso di emergenza (OLCRTC) è pensato esattamente per quelle ore.

Che cos'è — e che cosa non è

L'accesso di emergenza è un canale di riserva, non un secondo protocollo. La connessione normale resta quella di sempre: VLESS + Reality sui tuoi server. L'accesso di emergenza riusa gli stessi server, ma impacchetta il traffico dentro una videochiamata su un servizio che la rete limitata lascia ancora passare — da fuori sembra una comune videoconferenza.

Da qui derivano tre conseguenze, e vale la pena conoscerle tutte prima di promettere qualcosa:

• È l'utente ad avviarlo a mano, solo quando nient'altro funziona. Non c'è alcun passaggio automatico: la connessione normale non «salta» da sola su quella di emergenza.
• La velocità di internet è inferiore rispetto a una connessione tramite Xray.
• È temporaneo. Una sessione vive fino a 12 ore e poi si ferma da sola; un utente può averne una alla volta; per continuare ne avvia una nuova.

Come appare dal lato dell'utente

1. Crea una videochiamata nuova in un servizio supportato: SaluteJazz, VK Calls, Yandex Telemost, WB Stream o Jitsi Meet.
2. Ne consegna il link: lo incolla nel blocco Accesso di emergenza nella sua area personale, oppure lo invia per e-mail a un indirizzo di richiesta personale. Le due strade fanno la stessa cosa — e quella dell'e-mail continua a funzionare quando la tua vetrina è già bloccata.
3. Uno dei tuoi server entra in quella chiamata come ospite. Dopo circa un minuto l'utente riceve un link di connessione che inizia con olcrtc:// e un codice QR.
4. Lo importa in Ghostlane, il client di emergenza per iPhone, Android, Windows, macOS e Linux, e si connette.

Cosa serve dalla tua parte

• Un abbonamento Pro — €0,99 al mese. È il livello con cui arriva l'accesso di emergenza; anche Max lo include, insieme a tutto il resto (lezione 13).
• Una route di emergenza. I server delle route contrassegnate come di emergenza formano il pool su cui atterrano le sessioni. Al primo abbonamento il sistema ne contrassegna una per te — quella con più inbound funzionanti. L'accesso di emergenza del cluster è attivo finché almeno una route è contrassegnata come di emergenza.
• I server. Partecipano per impostazione predefinita, e il runtime si installa e si aggiorna in background: non serve entrare via SSH.

Nel caso comune, quindi, non c'è nulla da configurare: sottoscrivi l'abbonamento e l'accesso di emergenza funziona. I comandi manuali restano lì per quando ti servono: quali route compongono il pool, quante sessioni regge un singolo server e se lasciarne fuori qualcuno.

In cosa differisce da una route normale

• L'utente non sceglie il paese. Il pool non lo vede nemmeno — l'intenzione geografica la esprimi tu contrassegnando certe route come di emergenza. Puoi contrassegnarne più di una: il pool le unisce, e se in una non c'è un server adatto la sessione va su un'altra.
• Le route multihop non partecipano. Per le sessioni di emergenza si usano solo route dirette.
• Una sessione costa CPU vera. Impacchettare il traffico in un flusso video ha richiesto, alla misurazione, circa il 15% di un core e 31 MB di memoria (sessione video a ~5 Mbit/s) — molto più di un utente VPN in più. Come riferimento: 3 sessioni per core, quindi 3 su un server a un core, 6–7 su due core, 12–14 su quattro.

Quali dei tuoi utenti potranno usarlo

I requisiti sono più severi di quanto sembri — ed è da lì che arrivano le domande all'assistenza:

• E-mail verificata. Gli utenti che hai creato a mano senza indirizzo non potranno richiedere nulla.
• Account attivo. Gli account sospesi, scaduti, con il limite di traffico esaurito e in attesa del primo pagamento (tutti quelli che si sono registrati da soli e non hanno ancora pagato) ricevono un rifiuto.

Il reclamo che sentirai suona così: «ho fatto richiesta e non è successo niente». Parti dallo stato dell'account e dal link della chiamata; per la via e-mail controlla che sia partita dall'indirizzo dell'account e contenesse solo il link.

Da ricordare

• L'accesso di emergenza è un salvagente per le reti con liste bianche, non un secondo protocollo né un sostituto della connessione normale.
• Il traffico passa per i tuoi server, travestito da videochiamata creata dall'utente stesso.
• Lento, fino a 12 ore, una sessione per utente, avvio manuale.
• Con Pro si accende da solo: una route viene contrassegnata come di emergenza, i server partecipano per impostazione predefinita.
• Una sessione ≈ 15% di un core — sui server deboli imposta la capacità in modo esplicito.
• All'utente servono e-mail verificata, account attivo e client installato in anticipo.

Avanti

L'accesso di emergenza riguarda cosa fare quando si rompe la rete. La lezione successiva riguarda l'altra metà: come il sistema si accorge che si sono rotti i tuoi server.