VPN-tilkoplingsgrenser: sanntidstilstand kontra lagra historikk

Tre samtidige tilkoplingar er ei opptaksavgjerd, og for å svare på henne må ein vita kva slott som er opptekne akkurat no, ikkje kva som skjedde førre månad. Ein teneste kan avslå ei fjerde økt frå ein liten tabell med aktive postar og aldri byggja ei tidslinje. Det er ein påstand om mekanismen, ikkje om operatøren, og skilnaden betyr noko når du les ei personvernerklæring. Modellen nedanfor viser kva avgjerda treng og kva ho kan forkasta.

Mekanismen: ein slotttabell, ikkje ein logg

Den enklaste implementasjonen knyter eit abonnement til opptil tre aktive øktpostar. Kvar økt som slepp inn tek eitt slott, og slottet vert frigjort når tenesta avgjer at økta er avslutta. Posten treng ein identitet som er spesifikk nok til at frigjering av éi tilkopling ikkje frigjer slottet til ei anna tilkopling; difor er øktidentifikatoren viktigare enn kontonamnet.

Opptekenheit og historikk er ulike datastrukturar. Opptekenheit svarer på eit ja-eller-nei-spørsmål om notida, og kan forkastast i det augneblinken økta vert avslutta. Ein historikk er ein straum av hendingar som berre vert lagde til, og han overlever fordi nokon valde å halda på han. Ei teneste kan ha éin, båe eller ingen.

Skilnaden er usynleg utanfrå. Ei synleg tilkoplinggrense er samsvarande med ein bitte liten teljar i minnet, ein delt databasetabell og eit fullstendig hendingsarkiv med dashbord. Ingenting ved grensa fortel deg kven av dei som køyrer.

Kvifor den levande modellen framleis treng koordinering

Ei tapt tilkopling vert kanskje ikkje straks kjend att som avslutta. Gatewayen ventar på ein timeout, ein keepalive-feil eller ein rekneskapsstopp, og til ein av dei kjem, held slottet seg oppteke. Ein brukar som koplar til på nytt i det vindauga, ser ein avvising som ikkje har noko med ein fjerde eining å gjera.

Ein omstarta server må avstemma tilstanden sin, og fleire gatewayar som tener same konto treng ei felles avgjerd. Elles kan ein konto overskrida kvoten sin ved å kopla til ulike stader. Delt eller gjenopprettbar tilstand løyser det, og delt tilstand er eit designkrav, ikkje eit prov på overvaking.

Ingenting av den koordineringa krev nettlesarhistorikk. Ein gateway som videresender pakkar, treng ikkje vita kva nettstader ei økt vitja for å telja økter, og dei to dataflytane vert vanlegvis handsama av heilt ulike komponentar.

Å halda ein teljar i minnet gjer heller ikkje dei tilknytte fakta anonyme. Medan tenesta køyrer, avdekkjer ein abonnementsknytt post at ein konto har aktive tilkoplingar, og både tilgangen til den tilstanden og levetida hans er verd å spørja om.

Kvar tilstanden går vidare

Personvernspørsmålet er ikkje om serveren kan telja. Spør kva som skjer med ei avslutta økt: vert posten fjerna, eller vert han ei hending i ein overvakingsserie? Spør så kva andre komponentar som såg den same hendinga, fordi autentiseringsloggar, rekneskapspostar og tryggingskopiar kvar kan halda på ein kopi som handhevingvegen forkasta.

RADIUS-rekneskap er det tydelegaste dømet. Eit Start- og Stop-par finst for å støtta fakturering og øktkontroll, og det lagar ein post om tilkoplinga uavhengig av om nokon nokon gong spør etter han som historikk. Ei teneste som handhevar grenser gjennom rekneskap, held difor ved konstruksjon på meir enn ein slotttabell.

Sletting har også ei form. Ein post som vert fjerna frå den levande tabellen, kan bestå i ein tryggingskopi teken ein time tidlegare, og oppbevaringsperioden for den kopien er si eiga politikkfråsegn. Å lesa berre primærlageret gjev eit ufullstendig svar.

Still spørsmålet i form av felt

RFC 6973 si rettleiing om dataminimering knyter dataa som vert samla inn og lagra, til føremålet som vert tent. Brukt her er det nyttige spørsmålet kva felt oppgåva med samtidig opptak faktisk treng, og kva føremål som rettferdiggjer å halda på kvart eitt etter at oppgåva er avslutta.

Ei presis tenesteskildring skil den levande tilkoplingstilstanden som vert brukt til å handheva kvoten, frå alle postar som vert haldne på etter avslutning, og ho namngjev dei andre systema innanfor omfanget av løftet. Ei setning som berre seier at tre tilkoplingar vert handheva, fastslår korkje at eit arkiv finst eller at det ikkje gjer det.

Når livssyklusen er uklar, registrer det som eit ubesvart oppbevaringsspørsmål i staden for ein dom. Tilstadesveringa av ei grense er ikkje prov på ein skjult historikk, og ei truleg forklaring på levande tilstand er ikkje ein revisjon av tilbydaren.