Limity pripojení VPN: živý stav alebo uchovaná história
Limit troch pripojení potrebuje živý stav slotov, nie históriu prehliadania: čo musí mechanizmus ukladať, čo môže zahodiť a kam tento stav ďalej ide.
Tri súčasné pripojenia sú rozhodnutie o prijatí a na jeho zodpovedanie treba vedieť, ktoré sloty sú práve teraz obsadené, nie to, čo sa stalo minulý mesiac. Služba môže odmietnuť štvrtú reláciu na základe malej tabuľky aktívnych záznamov a nikdy nevytvoriť časovú os. Je to tvrdenie o mechanizme, nie o operátorovi, a rozdiel je dôležitý, keď čítate zásady ochrany osobných údajov. Model nižšie ukazuje, čo rozhodnutie potrebuje a čo môže zahodiť.
Mechanizmus: tabuľka slotov, nie denník
Najjednoduchšia implementácia spája predplatné s najviac tromi aktívnymi záznamami relácie. Každá prijatá relácia zaberie jeden slot a slot sa uvoľní, keď sa služba rozhodne, že tá relácia sa skončila. Záznam potrebuje dostatočne konkrétnu identitu, aby uvoľnenie jedného pripojenia neuvoľnilo slot iného pripojenia; preto je identifikátor relácie dôležitejší než názov účtu.
Obsadenosť a história sú rôzne dátové štruktúry. Obsadenosť odpovedá na otázku áno alebo nie o prítomnosti a možno ju zahodiť v okamihu, keď sa relácia skončí. História je prúd udalostí iba na pridávanie a prežíva preto, že sa ju niekto rozhodol uchovať. Služba môže mať jedno, oboje alebo nič.
Rozdiel je zvonku neviditeľný. Viditeľný limit pripojení je zlučiteľný s maličkým počítadlom v pamäti, spoločnou tabuľkou databázy a úplným archívom udalostí s panelom. Nič na limite nehovorí, ktorý z nich beží.
| What is stored | Why it exists |
|---|---|
| Active session slots | To admit or refuse the next connection |
| Session event log | To investigate or bill later |
| Monitoring series | To watch capacity and error rates |
| Backup copies | To restore any of the above |
Prečo živý model napriek tomu potrebuje koordináciu
Stratené pripojenie nemusí byť okamžite rozpoznané ako skončené. Brána čaká na časový limit, zlyhanie keepalive alebo zastavenie účtovania, a kým jedno z toho nepríde, slot zostáva obsadený. Používateľ, ktorý sa v tom okne znova pripojí, vidí odmietnutie, ktoré nemá nič spoločné so štvrtým zariadením.
Reštartovaný server musí zosúladiť svoj stav a viaceré brány obsluhujúce ten istý účet potrebujú spoločné rozhodnutie. Inak môže účet prekročiť svoju kvótu pripojením k rôznym lokalitám. Zdieľaný alebo obnoviteľný stav to rieši a zdieľaný stav je požiadavka dizajnu, nie dôkaz sledovania.
Nič z tejto koordinácie nevyžaduje históriu prehliadania. Brána, ktorá preposiela pakety, nemusí vedieť, ktoré stránky relácia navštívila, aby počítala relácie, a tieto dva dátové toky zvyčajne spracúvajú úplne odlišné komponenty.
Uchovávanie počítadla v pamäti tiež nerobí súvisiace fakty anonymnými. Kým služba beží, záznam spojený s predplatným prezrádza, že účet má aktívne pripojenia, a tak prístup k tomuto stavu, ako aj jeho životnosť si zaslúžia otázku.
Kam tento stav ďalej ide
Otázka súkromia nie je, či server dokáže počítať. Spýtajte sa, čo sa stane so skončenou reláciou: záznam sa odstráni, alebo sa stane udalosťou v sérii monitorovania? Potom sa spýtajte, ktoré ďalšie komponenty videli tú istú udalosť, pretože autentifikačné záznamy, účtovné záznamy a zálohy môžu každý uchovať kópiu, ktorú cesta presadzovania zahodila.
Účtovníctvo RADIUS je najjasnejší príklad. Dvojica Start a Stop existuje na podporu fakturácie a kontroly relácií a vytvára záznam o pripojení bez ohľadu na to, či ho niekto niekedy vyžiada ako históriu. Služba, ktorá presadzuje limity cez účtovníctvo, preto zo svojej konštrukcie uchováva viac než tabuľku slotov.
Mazanie má tiež tvar. Záznam odstránený zo živej tabuľky môže pretrvať v zálohe vytvorenej o hodinu skôr a doba uchovávania tejto zálohy je vlastné vyhlásenie o politike. Čítanie iba primárneho úložiska dáva neúplnú odpoveď.
Položte otázku v pojmoch polí
Usmernenie RFC 6973 o minimalizácii údajov spája zhromažďované a uložené údaje so slúženým účelom. Pri aplikácii tu je užitočnou otázkou, ktoré polia úloha súčasného prijatia skutočne potrebuje a ktorý účel odôvodňuje uchovanie každého z nich po skončení tejto úlohy.
Presné vyhlásenie služby oddeľuje živý stav pripojenia používaný na presadzovanie kvóty od akýchkoľvek záznamov uchovaných po ukončení a vymenúva ostatné systémy v rozsahu sľubu. Veta, ktorá hovorí len to, že sa presadzujú tri pripojenia, neustanovuje ani že archív existuje, ani že neexistuje.
Keď je životný cyklus nejasný, zaznamenajte to ako nezodpovedanú otázku uchovávania, nie ako verdikt. Prítomnosť limitu nie je dôkazom skrytej histórie a pravdepodobné vysvetlenie živého stavu nie je auditom poskytovateľa.