Lehen saioa nagusi: OpenVPN saio-hasierak mugatzea kanporatzearen aurretik
Beranduago datorren saio-hasiera baztertzea ez da zaharrena ordeztearen berbera. Erabakia izen bereko kanporatzearen aurretik hartu behar da, eta zirrikituaren egiaztapenak atomikoa izan behar du.
Kontu bakoitzeko saio bat onartzen duen politika erabakita dirudi bigarren saio-hasiera iritsi arte. Bi emaitza dira posible: etorri berriak lehendik dagoen saioa ordezten du, edo lehendik dagoen saioak zirrikitua mantentzen du eta etorri berria baztertua da. Bigarrena soilik da lehen saioa nagusi politika. Jende gehienak jotzen duen bezero-aukerak konkurrentzia gaitzen du eta, beraz, ez du hori sortzen.
Bi kontratu ezkutatzen dira ezarpen baten atzean
Konkurrentzia desgaituta dagoenean, ziurtagiri-izen bera duen bigarren konexio batek jadanik martxan dagoen saioa lekuz alda dezake. Konkurrentzia gaitzeak hainbat saio aldi berean onartzen ditu, muga baten kontrakoa dena. Bi egoerak ez dira baztertze-politika bat, beraz erabakia erabat beste leku batean hartu behar da.
Idatzi kontratua ezer inplementatu aurretik: nork jasaten duen baztertzea, zein frogak identifikatzen duen lehendik dagoen saioa eta zer gertatzen den saio bat deskonexio garbirik gabe hiltzen denean. Inork horrela adierazi ez duen politika ezin da geroago probatu.
Kanporatzea zure konexio-kakoaren aurretik gertatzen da
2.6 zerbitzariaren kode-bidean, bezero berriaren hasierako prestaketak izen bera duten instantzia existitzen direnak kentzen ditu konkurrentzia desgaituta dagoenean. Kendu hori konexio-kudeatzaileen katea exekutatu aurretik gertatzen da. Beraz, bikoizketa antzeman eta hutsegitea itzultzen duen script batek etorri berria baztertzen du lehendik zegoen saioa jada botata dagoenean - politikak saihestu nahi zuen emaitza zehatza. Upstream inplementazioko dei-ordenak dira zure eraikuntzarako erantzun fidagarri bakarra.
| Stage | Who can still refuse | Effect on the incumbent |
|---|---|---|
| Certificate check | Server trust configuration | None |
| Authentication decision | The authentication controller | None, because establishment has not run |
| Connect handler | A profile script | Already evicted in the same-name case |
| Post-establishment | Status tooling, monitoring | Both sessions already exist or one is gone |
Egoera-fitxategia galdetzea ez da ate bat ere. Aldi berean iristen diren bi saiakerek zirrikitu hutsa ikus dezakete inork berretsi aurretik, eta biek jarraitzen dute.
Eraman erabakia autentifikaziora
Kudeaketa-interfazeak autentifikazio-erabakia har dezake ziurtagiria egiaztatu ondoren. Antolaketa horretan kontrolatzailea ez da monitorea: konektatzen den bezero-instantzia bakoitza jasotzen du eta instantzia horrek jarrai dezakeen erantzuten du. Erantzuna ezarpenaren aurretik iristen denez, baztertzeak lehendik dagoen saioa ukitu gabe uzten du. Kanal berak deskonexioen berri ematen du, eta horrela kontrolatzaileak jakiten du zirrikitu bat legez askatu dela.
Instantzia berri guztiek ate hori pasatu behar dute, birkonexioak eta galderarik gabe berrautentifikatzen duen edozein bide barne. Zenbait instantziak inoiz iristen ez diren ateak ez du ezer babesten, eta hutsunea ikusezina izaten da norbaitek saihesbidea probatu arte.
Tokenak atearen ondotik pasa daitezke
Token bat jaulki ondoren, zerbitzariak barrutik balida dezake eta konexio horretarako kanpoko autentifikazioa saihestu. Kudeaketa-deia ez da inoiz gertatzen, beraz soilik han inplementatutako zirrikitu-egiaztapenak ez du instantzia berria inoiz ikusten. Jokabide hori erosotasuna da erabiltzaileentzat eta zuloa konkurrentzia-politika batentzat. Egin token bidez autentifikatutako konexioek baliokidea den egiaztapen autorizatua pasa dezaten, edo desgaitu token bidea politikak konexio bakoitzean erabaki bat eskatzen duenean.
Ez konpentsatu token oro baldintzarik gabe onartuz. Iraungitako edo baliogabeko tokenak huts egin behar du oraindik, eta gainerako guztiak bezalako erabaki-puntu beretik huts egin behar du.
Lotu erreserba instantzia bati, ez helbide bati
Helbidea identitate eskas bat da: ordenagailu beretik egindako birkonexioa beste helbide batetik irits daiteke, eta kopiatutako kredentzialak helbide beretik irits daitezke. Lotu erreserba zerbitzariak esleitutako bezero-instantziari, jada onartutako instantziaren berrautentifikazioa jabe gisa ezagut dadin. Instantzia-identifikatzaile berri batek bere zirrikitua lehenak irabazten du erabakiaren bidez lortu behar du, token bera aurkezten duenean ere.
Askatu huts egin zuen saiakeraren erreserba soilik. Saiakera zaharrago baten deskonexio-gertaera atzeratuak ezin du jabe berriago baten zirrikitua garbitu, eta horregatik askapenak instantzia izendatzen du, ez kontua. Kontrolatzailea berrabiarazi ondoren, adostu bizi diren saiokoak inor onartu aurretik, eta aplikatu arau bera kontua zerbitzatzen duen ate bakoitzean.
Erabaki bereizita benetan zaharkituta dagoen zirrikitua nola berreskuratzen den. Administratzaileak garbitzeko modu dokumentatua behar du, eta bide hori ez litzateke irisgarria izan behar berriro konektatu botoia soilik klikatzen duen erabiltzaile batentzat.
Probatu garrantzitsuak diren bikoteak: ia aldi bereko bi saio-hasiera, deskonexio garbi baten ondorengo birkonexioa, lehendik dagoen saioaren berrautentifikazioa, baztertutako etorri berria eta kontrolatzailearen berrabiaraztea. Kasu guztietan lehendik dagoen saioak erabilgarri jarraitu behar du eta etorri berria baztertu egin behar da beste kontuei kalterik egin gabe.