Núdzový prístup: keď sieť blokuje všetko

Núdzový prístup (OLCRTC) v CreateYourVPN: záložný kanál prezlečený za videohovor pre siete s bielymi zoznamami — čo stojí vaše servery, čo sa zapne samo spolu s Pro a čo používateľom povedať vopred.

Všetko doteraz stálo na jednom predpoklade: že sieť vaše servery ešte prepúšťa. Trasa vyberie server, inbound urobí zo spojenia obyčajnú návštevu cez HTTPS, multihop natiahne cestu cez viacero krajín — ale to všetko potrebuje, aby prevádzka vôbec odišla zo zariadenia.

A neodíde vždy. Sieť prejde na biely zoznam: funguje krátky zoznam povolených služieb a všetko ostatné — vrátane vašej VPN — jednoducho neprejde. Núdzový prístup (OLCRTC) je urobený presne na také hodiny.

Čo to je — a čo to nie je

Núdzový prístup je záložný kanál, nie druhý protokol. Bežné pripojenie zostáva tým, čím bolo: VLESS + Reality na vašich vlastných serveroch. Núdzový prístup používa tie isté servery, ale balí prevádzku dovnútra videohovoru v službe, ktorú obmedzená sieť ešte prepúšťa — zvonku to vyzerá ako obyčajná videokonferencia.

Vyplývajú z toho tri veci a všetky tri sa oplatí poznať skôr, než niečo sľúbite:

Spúšťa ho používateľ ručne, len keď už nič iné nefunguje. Automatické prepnutie neexistuje: bežné pripojenie samo na núdzové „nepreskočí“.
Je pomalý. Približne 14 Mbit/s na sťahovanie, pod jeden megabit na odosielanie, latencia 175–235 ms. Pohodlné na čítanie a video, nanič na posielanie súborov, videohovory a hranie.
Je dočasný. Relácia žije až 12 hodín a potom sa sama zastaví; používateľ má jednu naraz; ak chce pokračovať, spustí novú.

Funkcia je experimentálna. Závisí od toho, či je z obmedzenej siete dostupná externá videoslužba, takže nefunguje v každej krajine ani v každej sieti. Ponúkajte ju používateľom ako poistku proti tvrdým blokovaniam, nie ako zaručenú možnosť.

Ako to vyzerá zo strany používateľa

Vytvorí čerstvý videohovor v podporovanej službe — Yandex Telemost, WB Stream alebo Jitsi Meet.
Odovzdá jeho odkaz: vloží ho do bloku Núdzový prístup vo svojom účte alebo ho pošle e-mailom na osobnú adresu pre žiadosti. Obe cesty robia to isté — a tá e-mailová funguje aj vtedy, keď je váš portál už zablokovaný.
Jeden z vašich serverov vstúpi do toho hovoru ako hosť. Asi o minútu neskôr používateľ dostane odkaz na pripojenie začínajúci sa olcrtc:// a QR kód.
Naimportuje ho do olcboxu, núdzového klienta, a pripojí sa.

Obe veci, ktoré používateľ potrebuje — aplikáciu aj adresu pre žiadosti — musí mať pred blokovaním. Pod bielym zoznamom bývajú obchody s aplikáciami a stránky na stiahnutie nedostupné a účet, kde je adresa vidno, sa už tiež nemusí otvoriť. Kto sa o núdzovom prístupe dozvie až počas blokovania, dozvie sa to neskoro.

Núdzový prístup

Stránka pre vašich používateľov: ako to funguje, ktoré služby sú podporované, čo robiť počas blokovania.

Inštalácia núdzového klienta

Odkiaľ stiahnuť olcbox pre Android, iPhone, Windows, macOS a Linux — a prečo to urobiť vopred.

Čo je potrebné z vašej strany

Predplatné Pro — €0,99 mesačne. Núdzový prístup prichádza práve s touto úrovňou; má ho aj Max, spolu so všetkým ostatným (lekcia 13).
Núdzová trasa. Servery trás označených ako núdzové tvoria fond, na ktorý relácie pristávajú. Pri prvom predplatnom systém jednu označí za vás — tú s najviac fungujúcimi inboundmi — a rovno zdvihne aj prepínač klastra.
Servery. Zúčastňujú sa predvolene a runtime sa inštaluje a aktualizuje na pozadí: nič netreba nastavovať cez SSH.

V bežnom prípade teda nie je čo nastavovať: predplatíte si Pro a núdzový prístup funguje. Ručné prepínače tu zostávajú na chvíľu, keď ich budete chcieť: ktoré trasy tvoria fond, koľko relácií unesie konkrétny server a či niektorý nevynechať.

Zapnutie núdzového prístupu

Kompletný návod: všetky tri prepínače a kde ležia, kapacita na server a všetky obmedzenia bod po bode.

Čím sa líši od bežnej trasy

Používateľ nevyberá krajinu. Fond vôbec nevidí — geografický zámer vyjadrujete vy tým, ktoré trasy označíte ako núdzové. Označiť ich môžete viac: fond ich zlúči, a ak sa v jednej nenájde vhodný server, relácia odíde na inú.
Multihop trasy sa nezúčastňujú. Pre núdzové relácie sa berú len priame trasy.
Relácia stojí skutočný procesor. Balenie prevádzky do videostreamu si pri meraní vzalo približne 15 % jedného jadra a 31 MB pamäte (videorelácia na ~5 Mbit/s) — teda oveľa viac než ďalší používateľ VPN. Orientačne 3 relácie na jadro: 3 na jednojadrovom serveri, 6–7 pri dvoch jadrách, 12–14 pri štyroch.

Prázdne pole „Max. súbežných relácií“ znamená bez limitu. Na slabom serveri je to pasca: núdzové relácie zjedia procesor, za ktorý vám platia bežní klienti. Na jednojadrových strojoch číslo vypíšte výslovne.

Ktorí z vašich používateľov ho naozaj využijú

Požiadavky sú prísnejšie, než vyzerajú — a práve odtiaľ pochádzajú otázky na podporu:

Overený e-mail. Používatelia, ktorých ste založili ručne bez adresy, nemôžu o prístup vôbec požiadať.
Aktívny účet. Pozastavené, expirované, s vyčerpaným limitom prevádzky a čakajúce na prvú platbu (všetci, ktorí sa zaregistrovali sami a ešte nezaplatili) dostanú odmietnutie.

Sťažnosť, ktorú budete počuť, znie „požiadal som a nič sa nestalo“. Začnite stavom účtu a odkazom na hovor; pri e-mailovej ceste overte, že správa odišla z adresy účtu a obsahovala len odkaz.

Zapamätať

Núdzový prístup je záchranné koleso pre siete s bielymi zoznamami, nie druhý protokol ani náhrada bežného pripojenia.
Prevádzka ide cez vaše vlastné servery, prezlečená za videohovor, ktorý si vytvorí sám používateľ.
Pomaly, až 12 hodín, jedna relácia na používateľa, ručné spustenie.
Spolu s Pro sa zapne sám: trasa sa označí ako núdzová, prepínač klastra sa zdvihne, servery sa zúčastňujú predvolene.
Jedna relácia ≈ 15 % jadra procesora — na slabých serveroch nastavte kapacitu výslovne.
Používateľ potrebuje overený e-mail, aktívny účet a vopred nainštalovaného klienta.

Ďalej

Núdzový prístup je o tom, čo robiť, keď sa pokazí sieť. Ďalšia lekcia je o druhej polovici: ako systém spozná, že sa pokazili vaše servery.

Lekcia 7. Monitoring a mesh sieť →

Ako systém sleduje vaše servery a vyraďuje problémové z rotácie.