Nødtilgang: når nettverket blokkerer alt

Alt til nå har hvilt på én antakelse: at nettverket fortsatt slipper serverne dine gjennom. En rute velger en server, en inbound får forbindelsen til å ligne et helt vanlig HTTPS-besøk, multihop strekker veien over flere land — men alt dette krever at trafikken i det hele tatt forlater enheten.

Det gjør den ikke alltid. Nettverket går over til en hviteliste: en kort liste med tillatte tjenester virker, og alt annet — VPN-en din inkludert — slipper rett og slett ikke gjennom. Nødtilgang (OLCRTC) er laget nettopp for de timene.

Hva det er — og hva det ikke er

Nødtilgang er en reservekanal, ikke en protokoll nummer to. Den vanlige forbindelsen er fortsatt det den alltid har vært: VLESS + Reality på dine egne servere. Nødtilgang bruker de samme serverne, men pakker trafikken inn i en videosamtale hos en tjeneste det begrensede nettverket fortsatt tillater — utenfra ser det ut som en helt vanlig videokonferanse.

Tre ting følger av det, og alle tre er verdt å kjenne før du lover noe:

• Brukeren starter den for hånd, bare når ingenting annet virker. Det finnes ingen automatisk omkobling: den vanlige forbindelsen «hopper» ikke over av seg selv.
• Den er treg. Rundt 14 Mbit/s ned, under én megabit opp, 175–235 ms forsinkelse. Behagelig til lesing og video, ubrukelig til opplasting, videosamtaler og spill.
• Den er midlertidig. En økt lever inntil 12 timer og stopper så av seg selv; brukeren har én om gangen; for å fortsette starter han en ny.

Slik ser det ut fra brukerens side

1. Han lager en fersk videosamtale i en støttet tjeneste — Yandex Telemost, WB Stream eller Jitsi Meet.
2. Han gir fra seg lenken: limer den inn i blokken Nødtilgang i kontoen sin, eller sender den på e-post til en personlig forespørselsadresse. Begge veier gjør det samme — og e-postveien fortsetter å virke når butikksiden din allerede er blokkert.
3. En av serverne dine går inn i samtalen som gjest. Omtrent ett minutt senere får brukeren en tilkoblingslenke som begynner med olcrtc://, pluss en QR-kode.
4. Han importerer den i olcbox, nødklienten, og kobler til.

Hva som kreves fra din side

• Et Pro-abonnement — €0,99 per måned. Det er nivået nødtilgang følger med; Max har den også, sammen med alt det andre (leksjon 13).
• En nødrute. Serverne på ruter merket som nød utgjør puljen øktene lander i. Ved det første abonnementet merker systemet én for deg — ruten med flest fungerende inbounds — og slår samtidig på klyngebryteren.
• Serverne. De er med som standard, og runtime installerer og oppdaterer seg selv i bakgrunnen: ingenting skal settes opp over SSH.

I det vanlige tilfellet er det altså ingenting å konfigurere: du tegner abonnementet, og nødtilgangen virker. De manuelle bryterne står der til når du vil ha dem: hvilke ruter puljen består av, hvor mange økter en server tåler, og om en av dem bør holdes utenfor.

Hva som skiller den fra en vanlig rute

• Brukeren velger ikke land. Han ser ikke puljen i det hele tatt — den geografiske intensjonen uttrykker du ved hvilke ruter du merker som nød. Du kan merke flere: puljen slår dem sammen, og finnes det ingen egnet server i den ene, går økten til en annen.
• Multihop-ruter er ikke med. Til nødøkter brukes bare direkte ruter.
• En økt koster ekte CPU. Å pakke trafikk inn i en videostrøm tok i målingen rundt 15 % av én kjerne og 31 MB minne (videoøkt på ~5 Mbit/s) — langt mer enn én ekstra VPN-bruker. Tommelfingerregel: 3 økter per kjerne, altså 3 på en enkjernet server, 6–7 på to kjerner, 12–14 på fire.

Hvilke av brukerne dine som faktisk kan bruke den

Kravene er strengere enn de ser ut — og det er derfra supportspørsmålene kommer:

• Bekreftet e-post. Brukere du har opprettet for hånd uten adresse, kan ikke be om noe som helst.
• Aktiv konto. Kontoer som er satt på pause, utløpt, har brukt opp trafikkgrensen eller venter på første betaling (alle som meldte seg på selv og ennå ikke har betalt) blir avvist.

Klagen du kommer til å høre, lyder «jeg ba om det, og ingenting skjedde». Start med kontostatusen og samtalelenken brukeren brukte; for e-postveien sjekker du i tillegg at meldingen kom fra kontoadressen og bare inneholdt lenken.

Husk

• Nødtilgang er en redningsbøye for nettverk med hvitelister, ikke en protokoll nummer to og ingen erstatning for den vanlige forbindelsen.
• Trafikken går over dine egne servere, forkledd som en videosamtale brukeren lager selv.
• Treg, inntil 12 timer, én økt per bruker, manuell start.
• Med Pro slår den seg på selv: en rute blir merket som nød, klyngebryteren går på, serverne er med som standard.
• Én økt ≈ 15 % av en CPU-kjerne — sett kapasiteten uttrykkelig på svake servere.
• Brukeren trenger bekreftet e-post, en aktiv konto og klienten installert på forhånd.

Videre

Nødtilgang handler om hva du gjør når nettverket ryker. Neste leksjon handler om den andre halvdelen: hvordan systemet merker at serverne dine har ryket.