Earste sesje wint: OpenVPN-oanmeldingen beheine foar útsetting
In lettere oanmelding wegerje is net itselde as de âlde ferfange. De beslissing moat foar de útsetting fan deselde namme falle, en de slotkontrôle moat atomêr wêze.
In belied dat ien sesje per akkount tastiet, liket regele oant de twadde oanmelding komt. Twa útkomsten binne mooglik: de nijkommer ferfangt de sittende sesje, of de sittende sesje hâldt it slot en de nijkommer wurdt wegere. Allinnich de twadde is in belied wêrby't de earste sesje wint. De klantopsje dêr't de measte minsken nei gripe, ynskeakellet gearrin en leveret dat dus net.
Twa kontrakten fernimme har efter ien ynstelling
Mei gearrin útskeakele kin in twadde ferbining mei deselde sertifikaatnamme de sesje dy't al rint ferkringe. Gearrin oansette lit ferskate sesjes tagelyk ta, wat it tsjinstelde fan in limyt is. Gjin fan beide tastannen is in wegeringsbelied, dus moat de beslissing earne hiel oars nommen wurde.
Skriuw it kontrakt op foardat jo wat ymplementearje: wa't wegere wurdt, hokker bewiis de sittende sesje identifisearret en wat der bart as in sesje stjert sûnder skjinne ôfbrek. In belied dat nimmen sa formulearre hat, kin letter net teste wurde.
De útsetting bart foar jo ferbiningsheak
Yn it serverkoadepaad fan 2.6 ferwideret de iere tarieding foar in nije klant besteande eksimplaren mei deselde namme as gearrin útskeakele is. Dy ferwidering bart foardat de keatling fan ferbiningsôfhannelers rint. In skript dat de dûbeling opmerkt en in flater weromjout, wiist de nijkommer dus ôf neidat de sittende sesje al fuortsmitten is - krekt de útkomst dy't it belied foarkomme woe. De folchoarder fan callbacks yn 'e upstream-ymplemintaasje is it iennichste betroubere antwurd foar jo build.
| Stage | Who can still refuse | Effect on the incumbent |
|---|---|---|
| Certificate check | Server trust configuration | None |
| Authentication decision | The authentication controller | None, because establishment has not run |
| Connect handler | A profile script | Already evicted in the same-name case |
| Post-establishment | Status tooling, monitoring | Both sessions already exist or one is gone |
It statusbestân ôffreegje is ek gjin poarte. Twa besykjen dy't tagelyk komme, kinne beide in leech slot sjen foardat ien fan beide it fêstleit, en beide geane troch.
Ferpleats de beslissing nei de autentikaasje
De behearinterface kin de autentikaasjebeslissing oernimme nei't it sertifikaat ferifiearre is. Yn dy opstelling is de controller gjin monitor: hy ûntfangt elk ferbinend klanteksimplaar en antwurdet oft dat eksimplaar trochgean mei. Om't it antwurd foar de oprjochting komt, lit in wegering de sittende sesje ûnoantaat. Itselde kanaal rapportearret ôfbrekken, en sa leart de controller dat in slot rjochtfeardich frijlitten is.
Elk nij eksimplaar moat dy poarte passearje, ynklusyf werferbiningen en elk paad dat sûnder fraach opnij autentisearret. In poarte dy't guon eksimplaren nea berikke, beskermet neat, en de omseiling bliuwt ûnsichtber oant immen de omlieding besiket.
Tokens kinne by de poarte lâns rinne
Sadree't in token útjûn is, kin de server it yntern falidearje en de eksterne autentikaasje foar dy ferbining oerslaan. De behearoprop bart nea, dus in slotkontrôle dy't allinnich dêr ymplementearre is, sjocht it nije eksimplaar nea. Dat gedrach is in geriif foar brûkers en in gat foar in gearrinsbelied. Lit token-autentisearre ferbiningen in lykweardige gesachhawwende kontrôle passearje, of skeakel it tokenpaad út as it belied in beslissing oer elke ferbining easket.
Kompenearje dat net troch elk token sûnder betingst te akseptearjen. In ferrûn of ûnjildich token moat noch altyd mislearje, en it moat mislearje fia itselde beslissingspunt as al it oare.
Bin de reserve oan in eksimplaar, net oan in adres
In adres is in swakke identiteit: in werferbining fan deselde laptop kin fan in oar adres komme, en in kopiaarre oanmeldgegevens kin fan itselde adres komme. Bin de reserve oan it klanteksimplaar dat de server tawiist, sadat in werautentikaasje fan it al talitten eksimplaar as eigner werkend wurdt. In nij eksimplaar-identifikaasje moat syn eigen slot troch de earste-wint-beslissing krije, sels as it itselde token oanbiedt.
Meitsje allinnich de reserve frij dy't by it mislearre besykjen heart. In fertrage ôfbrek-barren fan in âlder besykjen mei it slot fan in nijer eigner net wiskje, dêrom neamt de frijlitting it eksimplaar en net it akkount. Nei it opnij starten fan de controller moatte de libbene sesjes ôfstimd wurde foardat jo immen talitte, en pas deselde regel ta op elke gateway dy't it akkount betsjinnet.
Beslis apart hoe't in echt ferâldere slot weromkrigen wurdt. In behearder hat in dokumintearre manier nedich om it te wiskjen, en dat paad moat net berikber wêze foar in brûker dy't gewoan op opnij ferbine klikt.
Test de pearen dy't der ta dogge: twa hast tagelyk oanmeldingen, in werferbining nei in skjinne ôfsluting, in werautentikaasje fan 'e sittende sesje, in wegere nijkommer en in restart fan 'e controller. Yn elk gefal moat de sittende sesje brûkber bliuwe en moat de nijkommer wegere wurde sûnder skea foar oare akkounts.