Бірінші сессия жеңеді: OpenVPN кірулерін қуып шығаруға дейін шектеу
Кейінгі кіруді қабылдамау ескісін ауыстырумен бірдей емес. Шешім аттас қуып шығаруға дейін қабылдануы керек, ал слотты тексеру атомды болуы тиіс.
Бір тіркелгіге бір сессия рұқсат ететін саясат екінші кіру келгенге дейін шешілген болып көрінеді. Екі нәтиже мүмкін: жаңадан келген ағымдағы сессияны ауыстырады немесе ағымдағы сессия слотты сақтайды да, жаңадан келген қабылданбайды. Тек екіншісі ғана бірінші сессия жеңеді саясаты. Көпшілік жүгінетін клиент параметрі қатарластықты қосады, сондықтан бұл нәтижені бермейді.
Бір параметрдің артында екі шарт жасырын
Қатарластық өшірулі кезде бірдей сертификат атауымен келетін екінші қосылым жұмыс істеп тұрған сессияны ығыстыруы мүмкін. Қатарластықты қосу бірнеше сессияға бір уақытта рұқсат береді, бұл шектеудің керісі. Екі күй де қабылдамау саясаты емес, сондықтан шешімді мүлде басқа жерде қабылдау керек.
Бірдеңені енгізбес бұрын шартты жазып алыңыз: кім қабылданбайды, қандай дәлел ағымдағы сессияны анықтайды және таза ажыратусыз сессия өлсе не болады. Ешкім осылай тұжырымдамаған саясатты кейін тексеру мүмкін емес.
Қуып шығару қосылу ілмегінен бұрын болады
2.6 сервер кодының жолында қатарластық өшірулі кезде жаңа клиенттің ерте дайындығы сол аттас бар даналарды жояды. Бұл жою қосылу өңдеушілерінің тізбегі іске қосылмай тұрып орын алады. Сондықтан қайталауды байқап, қате қайтаратын скрипт жаңадан келгенді ағымдағы сессия әлдеқашан лақтырылған соң қабылдамайды - дәл саясаттың алдын алғысы келген нәтиже. Upstream іске асыруындағы кері шақырулар реті сіздің құрылымыңыз үшін жалғыз сенімді жауап.
| Stage | Who can still refuse | Effect on the incumbent |
|---|---|---|
| Certificate check | Server trust configuration | None |
| Authentication decision | The authentication controller | None, because establishment has not run |
| Connect handler | A profile script | Already evicted in the same-name case |
| Post-establishment | Status tooling, monitoring | Both sessions already exist or one is gone |
Күй файлын сұрау да қақпа емес. Бірге келген екі әрекет екеуі де бос слотты көре алады, біреуі бекітпей тұрып, және екеуі де жалғастырады.
Шешімді аутентификацияға көшіріңіз
Басқару интерфейсі сертификат тексерілгеннен кейін аутентификация шешімін өз мойнына ала алады. Бұл құрылымда контроллер бақылаушы емес: ол қосылып жатқан әрбір клиент данасын қабылдап, сол данаға жалғастыруға бола ма деп жауап береді. Жауап орнатуға дейін келетіндіктен, бас тарту ағымдағы сессияны тимей қалдырады. Сол арна ажыраулар туралы хабарлайды, осылайша контроллер слоттың заңды түрде босатылғанын біледі.
Әрбір жаңа дана осы қақпадан өтуі керек, оның ішінде қайта қосылулар және сұраусыз қайта аутентификацияланатын кез келген жол. Кейбір даналар ешқашан жетпейтін қақпа ешнәрсені қорғамайды, және бұл олқылық біреу айналып өтуді байқағанша көрінбейді.
Токендер қақпаның жанынан өте алады
Токен берілгеннен кейін сервер оны іштей валидациялап, сол қосылым үшін сыртқы аутентификацияны өткізіп жібере алады. Басқару шақыруы ешқашан болмайды, сондықтан тек сонда енгізілген слот тексерісі жаңа дананы ешқашан көрмейді. Бұл мінез-құлық пайдаланушылар үшін қолайлылық, ал қатарластық саясаты үшін тесік. Токенмен аутентификацияланған қосылымдарды баламалы өкілетті тексеруден өткізіңіз немесе саясат әрбір қосылым бойынша шешім талап етсе, токен жолын өшіріңіз.
Мұны әрбір токенді сөзсіз қабылдаумен өтемеңіз. Мерзімі өткен немесе жарамсыз токен бәрібір сәтсіз болуы керек, және ол қалғанның бәрі сияқты сол шешім нүктесі арқылы сәтсіз болуы керек.
Бронды данаға байлаңыз, мекенжайға емес
Мекенжай әлсіз сәйкестік: сол ноутбуктен қайта қосылу басқа мекенжайдан келуі мүмкін, ал көшірілген тіркелгі деректері сол мекенжайдан келуі мүмкін. Бронды сервер беретін клиент данасына байланыңыз, сонда әлдеқашан қабылданған дананың қайта аутентификациясы иесі ретінде танылады. Жаңа дана идентификаторы сол токенді ұсынса да, бірінші жеңеді шешімі арқылы өз слотын алуы керек.
Тек сәтсіз әрекетке тиесілі бронды босатыңыз. Ескі әрекеттен кешіккен ажырау оқиғасы жаңарақ иесінің слотын тазаламауы керек, сондықтан босату тіркелгіні емес, дананы атайды. Контроллер қайта іске қосылғаннан кейін біреуді қабылдамас бұрын тірі сессияларды үйлестіріңіз және тіркелгіге қызмет ететін әрбір шлюзде сол ережені қолданыңыз.
Шынымен ескірген слоттың қалай қалпына келетінін бөлек шешіңіз. Әкімшіге оны тазалаудың құжатталған жолы керек, және бұл жол тек қайта қосылуды басатын пайдаланушыға қолжетімді болмауы керек.
Маңызды жұптарды сынаңыз: бір мезгілде дерлік екі кіру, таза ажыратудан кейінгі қайта қосылу, ағымдағы сессияның қайта аутентификациясы, қабылданбаған жаңадан келген және контроллердің қайта іске қосылуы. Әр жағдайда ағымдағы сессия пайдалануға жарамды болып қалуы керек, ал жаңадан келген басқа тіркелгілерге зиян келтірмей қабылданбауы керек.