Déi éischt Sitzung gewënnt: OpenVPN-Loginen virun der Verdrängung aschränken
Eng spéider Umeldung ofzeweisen ass net datt selwecht wéi déi al ze ersetzen. D'Entscheedung muss virun der Verdrängung vum selwen Numm falen, an d'Slotkontroll muss atomar sinn.
Eng Politik, déi eng Sitzung pro Kont erlaabt, gesäit gekläert aus, bis déi zweet Umeldung ukënnt. Zwee Resultater si méiglech: den Neikommenden ersetzt déi lafend Sitzung, oder déi lafend Sitzung behält de Slot an den Neikommende gëtt ofgewisen. Nëmmen dat zweet ass eng Politik, bei där déi éischt Sitzung gewënnt. D'Clientoptioun, op déi déi meescht Leit gräifen, aktivéiert d'Gläichzäitegkeet an produzéiert se dowéinst net.
Zwee Kontrakter verstoppen sech hannert enger Astellung
Mat ausgeschaltener Gläichzäitegkeet kann eng zweet Verbindung mam selwen Zertifikatsnumm déi lafend Sitzung verdrängen. Gläichzäitegkeet anzeschalten erlaabt méi Sitzungen zur selwechter Zäit, wat d'Géigendeel vun enger Grenz ass. Keen vun deenen zwee Zoustand ass eng Ofweisungspolitik, dofir muss d'Entscheedung ganz aneschtwou falen.
Schreift de Kontrakt op, ier dir eppes implementéiert: wien ofgewisen gëtt, wéi en Nowäis déi lafend Sitzung identifizéiert a wat geschitt, wann eng Sitzung ouni propper Trennung stierft. Eng Politik, déi keen esou formuléiert huet, kann ee spéider net testen.
D'Verdrängung geschitt virun Ärem Connect-Hook
Am Serverkodewee vun 2.6 entfernt déi fréi Virbereedung vun engem neie Client déi existéierend Instanzen mam selwen Numm, wann d'Gläichzäitegkeet ausgeschalt ass. Déi Entfernung geschitt, ier d'Kette vun de Connect-Handler leeft. En Skript, deen den Duplikat bemierkt an e Feeler zréckgëtt, weist den Neikommenden dowéinst of, nodeems déi lafend Sitzung schonn erausgehäit gouf - genee dat Resultat, dat d'Politik sollt verhënneren. D'Reiefolleg vun de Callbacken an der Upstream-Implementéierung ass déi eenzeg zouverlässeg Äntwert fir Äre Build.
| Stage | Who can still refuse | Effect on the incumbent |
|---|---|---|
| Certificate check | Server trust configuration | None |
| Authentication decision | The authentication controller | None, because establishment has not run |
| Connect handler | A profile script | Already evicted in the same-name case |
| Post-establishment | Status tooling, monitoring | Both sessions already exist or one is gone |
D'Statusdatei ofzefroen ass och keen Dier. Zwee Versich, déi gläichzäiteg ukënnen, kënnen allebéid en leeren Slot gesinn, ier ee vun hinne se festhält, an allebéid fuere weider.
Verlagert d'Entscheedung an d'Authentifikatioun
D'Verwaltungsinterface kann d'Authentifikatiounsentscheedung nom Zertifikatscheck iwwerhuelen. An där Andeelung ass de Controller keen Observateur: en empfängt all verbindlech Clientinstanz an äntwert, ob déi Instanz däerf weiderfueren. Well d'Äntwert virum Opbau kënnt, léisst eng Ofweisung déi lafend Sitzung onberéiert. Dee selwechte Kanal mellt Trenungen, an esou léiert de Controller, datt e Slot legal fräiginn gouf.
All nei Instanz muss dës Dier passéieren, och Reconnectiounen an all Wee, deen ouni Ufro nei authentifizéiert. Eng Dier, déi verschidden Instanzen ni erreechen, schützt näischt, an d'Versäumnis bleift onsichtbar, bis een de Bypass probéiert.
Token kënnen un der Dier laanschtgoen
Soubal en Token ausgestallt ass, kann de Server en intern validéieren an d'extern Authentifikatioun fir déi Verbindung iwwersprangen. Den Verwaltungsopruff geschitt ni, dofir gesäit eng Slotkontroll, déi nëmmen do implementéiert ass, déi nei Instanz ni. Dëst Verhalen ass e Komfort fir Benotzer an e Lach an enger Gläichzäitegkeetspolitik. Loosst token-authentifizéiert Verbindungen eng gläichwäerteg verbindlech Kontroll passéieren, oder deaktivéiert den Tokenwee, wann d'Politik eng Entscheedung bei all Verbindung verlaangt.
Kompenséiert dat net, andeem Dir all Token ouni Konditioun akzeptéiert. En ofgelafenen oder ongültegen Token muss nach ëmmer feelen, an en muss iwwer dee selwechte Entscheedungspunkt feelen wéi alles anescht.
Bind d'Reservatioun un eng Instanz, net un eng Adress
Eng Adress ass eng schwaach Identitéit: eng Reconnectioun vum selwen Laptop kann vun enger anerer Adress kommen, an eng kopéiert Umeldungsinformatioun kann vun der selwechter kommen. Bind d'Reservatioun un déi Clientinstanz, déi de Server vergëtt, sou datt eng Reauthentifikatioun vun der schonn zougeloossener Instanz als Besëtzer erkannt gëtt. Eng nei Instanzkennung muss hire eigenen Slot iwwer d'Éischten-gewënnt-Entscheedung kréien, och wann se dee selwen Token virleet.
Gitt nëmmen d'Reservatioun fräi, déi zum feelgeschloenen Versuch gehéiert. En verspéiten Trennungsereignis vun engem méi ale Versuch däerf de Slot vun engem méi neie Besëtzer net läschen, dofir nennt d'Fraisetzung d'Instanz an net de Kont. No engem Neistart vum Controller musst Dir déi lieweg Sitzungen ofgläichen, ier Dir een zouloosst, an déiselwecht Regel op all Gateway uwenden, déi de Kont bedéngt.
Entscheet separat, wéi en wierklech veralterte Slot erëmgewonne gëtt. En Administrateur brauch en dokumentéierte Wee, en ze läschen, an dee Wee soll net fir e Benotzer erreechbar sinn, dee just op Reconnect klickt.
Test d'Paar, déi zielen: zwou bal gläichzäiteg Umeldungen, eng Reconnectioun no enger propper Ofschaltung, eng Reauthentifikatioun vun der lafender Sitzung, en ofgewisenen Neikommenden an en Neistart vum Controller. An all Fall muss déi lafend Sitzung benotzbar bleiwen an den Neikommende muss ofgewise ginn, ouni Schued fir aner Konten.