OVPN Server не закрывает сессии

[sciensys]

Доброе.

RouterOS 7.14.2
OVPN Server
настроены OVPN Server binding для клиентов.
соответственно клиенты разбиты по группам в списке интерфесов
соответственно для каждой группы свои правила в файерволе.
пула IP нет, жесткая раздача по имени в сертификате.

Если клиент отключается, то сессия висит как активная до истечения параметра таймаута.
Также происходит и при реконекте клиента.

В итоге, если клиент пытается соединиться до истечение таймаута сессии, то операционка при ещё открытой предыдущей сессии создаёт новую - эмммм... это как так?
если установить лимит для сессий "Only one - yes" - то пока не выйдет тамаут кленту выдаёт, что неверный пароль! - эмм... как так то ?

При отключении или реконекте клиента, статус на сервере либо активен, либо idle timeout.

Собственно вопрос, почему сервер не закрывает сессии при disconnect и restart клиентов???


Проблему с disconnect решил путём добавления опции в конфигурацию клиента - уведомлять при отключении.
Однако остаётся проблема при реконекте клиента.

Как вариант, уменьшить время таймаута до 3 секунд, но это уж совсем не комильфо, если канал связи WiFi или интернет слабый.

в итоге, binding не происходит, клиент не попадает в группу правил, соответственно маршрутизация отсутствует.
а если клиентов сотни ?


Короч, OVPN server binding - не работает корректно в связи с выше изложенным. Хотя красивая задумка, хотел её реализовать...

Решил проблему без binding, просто по спискам IP клиентов. Да, если проблемы со связью, то в какой-то момент в системе подвисает множество незакрытых сессий на время таймаута. Но зато маршрутизация работает.

[joni_m]

Та же проблема , опишите как обошли ? желательно пошагово , только у меня такая проблема появляеться не у всех клиентов а только у одного , хотя версия клиента и конфиги однаковы

[sciensys]

почти год прошёл, уже и не помню.

бегло, возможно помогло добавление в конфиг пользователей:
explicit-exit-notify

это единственное, чем отличаются конфиги для Unux сервера и Mikrotik сервера.

p.s. Скажу так, использовать OVPN до сих по на RouterOS - не имеет смысла для производственных нужд. Походу так и никогда и не допилят сервис. За udp конечно спасибо.
Только если в ознакомительных или для временного доступа. Да и вообще, считаю, что роутер не должен обрабатывать клиентский удаленный доступ (кроме административного)
Тем более весь удаленный доступ на RouterOS это просто смех, за исключением Wireguard, вот только он и реализован в соответствии с задумкой разработчика.

[sciensys]

Решил проблему без binding, просто по спискам IP клиентов. Да, если проблемы со связью, то в какой-то момент в системе подвисает множество незакрытых сессий на время таймаута. Но зато маршрутизация работает.

А, так вот же писал что делать.
IP адреса для клиентов задаёшь статические - обязательно, начало адресации желательно задавать через десятку другую, т.е начинать не с 1 (единицы), чисто на всякий.
Создать списки юзеров по IP в соответствие кому куда можно
Прописать правило для каждого списка.
всё.

таким образом, зависшие сессии - пофиг на них, сами закроются через некоторое время,
а при реконнекте пользователя, система выдаст ему снова его статику, которая прописана в листе, который обрабатывается файером.
профит.