Esimene sessioon võidab: OpenVPN-i sisselogimiste piiramine enne väljatõrjumist
Hilisema sisselogimise tagasilükkamine ei ole sama mis vana asendamine. Otsus peab langema enne samanimelist väljatõrjumist ja pesa kontroll peab olema aatomiline.
Ühte sessiooni konto kohta lubav poliitika tundub selge, kuni saabub teine sisselogimine. Võimalikud on kaks tulemust: uustulnuk asendab olemasoleva sessiooni või olemasolev sessioon hoiab pesa ja uustulnuk lükatakse tagasi. Ainult teine on esimene sessioon võidab poliitika. Klientvalik, mille poole enamik pöördub, lubab samaaegsust ja seega ei anna seda.
Ühe seade taga peidab end kaks lepet
Samaaegsuse väljalülitamisel võib teine ühendus sama sertifikaadi nimega tõrjuda juba töötava sessiooni välja. Samaaegsuse sisselülitamine lubab mitut sessiooni korraga, mis on piirangu vastand. Kumbki olek ei ole tagasilükkamise poliitika, seega tuleb otsus langetada hoopis mujal.
Kirjutage lepe üles enne, kui midagi rakendate: keda lükatakse tagasi, milline tõend tuvastab olemasoleva sessiooni ja mis juhtub, kui sessioon sureb ilma puhta katkestuseta. Poliitikat, mida keegi nii sõnastanud ei ole, ei saa hiljem testida.
Väljatõrjumine toimub enne teie ühenduse konksu
Serveri 2.6 kooditeel eemaldab uue kliendi varajane seadistamine olemasolevad sama nimega eksemplarid, kui samaaegsus on välja lülitatud. See eemaldamine toimub enne ühenduse käitlejate ahela käivitumist. Seega skript, mis märkab duplikaati ja tagastab vea, lükkab uustulnuka tagasi pärast seda, kui olemasolev sessioon on juba välja visatud - täpselt see tulemus, mida poliitika pidi takistama. Upstream-teostuse tagasikutsete järjekord on teie ehituse jaoks ainus usaldusväärne vastus.
| Stage | Who can still refuse | Effect on the incumbent |
|---|---|---|
| Certificate check | Server trust configuration | None |
| Authentication decision | The authentication controller | None, because establishment has not run |
| Connect handler | A profile script | Already evicted in the same-name case |
| Post-establishment | Status tooling, monitoring | Both sessions already exist or one is gone |
Ka olekufaili küsitlemine ei ole värav. Kaks korraga saabuvat katset võivad mõlemad näha tühja pesa enne, kui kumbki selle kinnistab, ja mõlemad jätkavad.
Viige otsus autentimisse
Haldusliides saab autentimisotsuse üle võtta pärast sertifikaadi kontrollimist. Selles korralduses ei ole kontroller vaatleja: ta võtab vastu iga ühenduva kliendieksemplari ja vastab, kas see eksemplar tohib jätkata. Kuna vastus saabub enne loomist, jätab tagasilükkamine olemasoleva sessiooni puutumata. Sama kanal teatab katkestustest ja nii saab kontroller teada, et pesa vabastati seaduslikult.
Iga uus eksemplar peab sellest väravast läbi minema, sealhulgas taasühendused ja iga tee, mis autentib uuesti ilma küsimuseta. Värav, kuhu mõned eksemplarid kunagi ei jõua, ei kaitse midagi, ja see puudujääk jääb nähtamatuks, kuni keegi möödapääsu proovib.
Märgid võivad väravast mööda kõndida
Kui märk on välja antud, saab server seda sisemiselt valideerida ja selle ühenduse jaoks välise autentimise vahele jätta. Halduskutset ei toimu kunagi, seega ainult seal rakendatud pesa kontroll ei näe kunagi uut eksemplari. See käitumine on kasutajatele mugavus ja samaaegsuspoliitikale auk. Pange märgiga autenditud ühendused läbima samaväärse volitatud kontrolli või lülitage märgitee välja, kui poliitika nõuab otsust iga ühenduse kohta.
Ärge kompenseerige seda iga märgi tingimusteta vastuvõtmisega. Aegunud või kehtetu märk peab ikkagi ebaõnnestuma ja see peab ebaõnnestuma sama otsustuspunkti kaudu nagu kõik muu.
Siduge broneering eksemplariga, mitte aadressiga
Aadress on nõrk identiteet: taasühendus samast sülearvutist võib tulla teiselt aadressilt ja kopeeritud mandaat võib tulla samalt. Siduge broneering serveri määratud kliendieksemplariga, et juba lubatud eksemplari uus autentimine tuntaks omanikuna ära. Uus eksemplari identifikaator peab saama oma pesa esimene võidab otsusega ka siis, kui see esitab sama märgi.
Vabastage ainult ebaõnnestunud katse broneering. Vanema katse hilinenud katkestussündmus ei tohi uuema omaniku pesa kustutada, seetõttu nimetab vabastamine eksemplari, mitte kontot. Pärast kontrolleri taaskäivitust leppige aktiivsed sessioonid kokku enne, kui kedagi lubate, ja rakendage sama reeglit igal lüüsil, mis kontot teenindab.
Otsustage eraldi, kuidas tõeliselt vananenud pesa taastatakse. Administraator vajab dokumenteeritud viisi selle puhastamiseks ja see tee ei tohiks olla kättesaadav kasutajale, kes lihtsalt klõpsab uuesti ühenda.
Testige paare, mis loevad: kaks peaaegu samaaegset sisselogimist, taasühendus pärast puhast katkestust, olemasoleva sessiooni uus autentimine, tagasilükatud uustulnuk ja kontrolleri taaskäivitamine. Igal juhul peab olemasolev sessioon jääma kasutatavaks ja uustulnuk tuleb tagasi lükata ilma kõrvalkahjudeta teistele kontodele.