Y sesiwn gyntaf sy'n ennill: cyfyngu mewngofnodiadau OpenVPN cyn diarddel
Nid yw gwrthod mewngofnodiad hwyrach yr un peth ag ailosod yr hen un. Rhaid i'r penderfyniad ddod cyn diarddel yr un enw, ac mae'n rhaid i'r gwiriad slot fod yn atomig.
Mae polisi sy'n caniatáu un sesiwn fesul cyfrif yn edrych yn bendant nes i'r ail fewngofnodiad gyrraedd. Mae dau ganlyniad yn bosibl: mae'r newydd-ddyfodiad yn disodli'r sesiwn sy'n rhedeg, neu mae'r sesiwn sy'n rhedeg yn cadw'r slot ac mae'r newydd-ddyfodiad yn cael ei wrthod. Dim ond yr ail yw polisi'r sesiwn gyntaf. Mae'r opsiwn cleient y mae'r rhan fwyaf o bobl yn ei gyrraedd yn galluogi cydrededd ac felly nid yw'n ei gynhyrchu.
Mae dau gontract yn cuddio y tu ôl i un gosodiad
Gyda chydrededd wedi'i analluogi, gall ail gysylltiad sy'n cyflwyno'r un enw tystysgrif ddisodli'r sesiwn sy'n rhedeg yn barod. Mae troi cydrededd ymlaen yn caniatáu sawl sesiwn ar unwaith, sef y gwrthwyneb i gyfyngiad. Nid yw'r un o'r ddau gyflwr yn bolisi gwrthod, felly rhaid gwneud y penderfyniad yn hollol rywie arall.
Ysgrifennwch y contract cyn gweithredu unrhyw beth: pwy sy'n cael ei wrthod, pa dystiolaeth sy'n adnabod y sesiwn sy'n rhedeg, a beth sy'n digwydd pan fydd sesiwn yn marw heb ddatgysylltiad glân. Ni ellir profi polisi nad oes neb wedi'i ddatgan felly yn ddiweddarach.
Mae diarddel yn digwydd cyn eich bachyn cysylltu
Yng nghwrs cod y gweinydd 2.6, mae sefydlu cynnar ar gyfer cleient newydd yn tynnu achosion sy'n bodoli eisoes gyda'r un enw pan fo cydrededd wedi'i analluogi. Mae'r tynnu hwnnw'n digwydd cyn i gadwyn y triniwr cysylltu redeg. Felly mae sgript sy'n sylwi ar y dyblygiad ac yn dychwelyd methiant yn gwrthod y newydd-ddyfodiad ar ôl i'r sesiwn sy'n rhedeg gael ei hymchwythu'n barod, sef yn union y canlyniad yr oedd y polisi i fod i'w atal. Trefn y galwadau yn yr upstream yw'r unig ateb dibynadwy ar gyfer eich adeiladwaith.
| Stage | Who can still refuse | Effect on the incumbent |
|---|---|---|
| Certificate check | Server trust configuration | None |
| Authentication decision | The authentication controller | None, because establishment has not run |
| Connect handler | A profile script | Already evicted in the same-name case |
| Post-establishment | Status tooling, monitoring | Both sessions already exist or one is gone |
Nid yw arolygu'r ffeil statws yn glwyd ychwaith. Gall dau gynnig sy'n cyrraedd gyda'i gilydd weld slot gwag cyn i'r naill na'r llall ymrwymo, ac mae'r ddau yn mynd ymlaen.
Symudwch y penderfyniad i'r dilysiad
Gall y rhyngwyneb rheoli gymryd y penderfyniad dilysu drosodd ar ôl gwirio'r dystysgrif. Yn y drefn honno nid yw'r rheolydd yn fonitr: mae'n derbyn pob achos cleient sy'n cysylltu ac yn ateb a all yr achos hwnnw fynd ymlaen. Gan fod yr ateb yn cyrraedd cyn y sefydlu, mae gwrthodiad yn gadael y sesiwn sy'n rhedeg heb ei chyffwrdd. Mae'r un sianel yn adrodd datgysylltiadau, a dyna sut mae'r rheolydd yn dysgu bod slot wedi'i ryddhau'n gyfreithlon.
Rhaid i bob achos newydd basio'r glwyd honno, gan gynnwys ailgysylltiadau ac unrhyw lwybr sy'n ail-ddilysu heb ysgogiad. Nid yw glwyd nad yw rhai achosion byth yn ei chyrraedd yn amddiffyn unrhyw beth, ac mae'r esgeulustod yn aros yn anweledig nes i rywun ddefnyddio'r ffordd osgoi.
Gall tocynnau gerdded heibio'r glwyd
Unwaith y bydd tocyn wedi'i gyhoeddi, gall y gweinydd ei ddilysu'n fewnol ac anwybyddu dilysiad allanol ar gyfer y cysylltiad hwnnw. Nid yw'r alwad rheoli byth yn digwydd, felly nid yw gwiriad slot a weithredir yno'n unig byth yn gweld yr achos newydd. Mae'r ymddygiad hwnnw'n gyfleustra i ddefnyddwyr ac yn dwll i bolisi cydrededd. Gwnewch i gysylltiadau a ddilyswyd â thocyn basio gwiriad awdurdodol cyfatebol, neu analluogwch lwybr y tocyn pan fo'r polisi'n mynnu penderfyniad ar bob cysylltiad.
Peidiwch â gwneud iawn trwy dderbyn pob tocyn yn ddiamod. Mae'n rhaid i docyn wedi dod i ben neu'n annilys fethu o hyd, ac mae'n rhaid iddo fethu trwy'r un pwynt penderfynu â phopeth arall.
Rhwymwch y cadwraeth wrth achos, nid wrth gyfeiriad
Mae cyfeiriad yn hunaniaeth wael: gall ailgysylltiad o'r un gliniadur gyrraedd o gyfeiriad gwahanol, a gall manylion mewngofnodi copïedig gyrraedd o'r un cyfeiriad. Rhwymwch y cadwraeth wrth achos y cleient y mae'r gweinydd yn ei bennu, fel bod ail-ddilysiad yr achos a dderbyniwyd yn barod yn cael ei adnabod fel y perchennog. Rhaid i ddangosydd achos newydd gael ei slot ei hun trwy'r penderfyniad cyntaf-sy'n-ennill hyd yn oed pan fydd yn cyflwyno'r un tocyn.
Rhyddhewch yn unig y cadwraeth sy'n perthyn i'r cynnig a fethodd. Ni chaiff digwyddiad datgysylltu oediog o gynnig hŷn glirio slot perchennog mwy newydd, a dyma pam mae'r rhyddhau'n enwi'r achos yn hytrach na'r cyfrif. Ar ôl i'r rheolydd ailddechrau, cysylltwch y sesiynau byw cyn derbyn unrhyw un, a chymhwyswch yr un rheol ar bob porth sy'n gwasanaethu'r cyfrif.
Penderfynwch ar wahân sut mae slot gwirioneddol hen yn cael ei adfer. Mae angen ffordd ddogfenedig ar weinyddwr i'w glirio, ac ni ddylai'r llwybr hwnnw fod yn gyrraeddadwy i ddefnyddiwr sy'n clicio ailgysylltu yn unig.
Profwch y parau sy'n bwysig: dau fewngofnodiad bron ar yr un pryd, ailgysylltiad ar ôl dadfeiliad glân, ail-ddilysiad o'r sesiwn sy'n rhedeg, newydd-ddyfodiad wedi'i wrthod, ac ailddechrau'r rheolydd. Ym mhob achos rhaid i'r sesiwn sy'n rhedeg aros yn ddefnyddiadwy a rhaid gwrthod y newydd-ddyfodiad heb niwed i gyfrifon eraill.