RADIUS-rekeningkunde teenoor suksesvolle aanmelding: wat elkeen bewys

Twee vrae word in elke VPN-faktureringsgesprek vermeng: is hierdie gebruiker toegelaat om te koppel, en wat het hy werklik gedoen. Die eerste word deur verifiëring beantwoord. Die tweede vereis rekeningkundige rekords wat begin, opdateer en eindig. ’n Aanmelding wat slaag, bewys die eerste en sê niks oor die tweede nie, en daarom kan ’n werkende RADIUS-verifiëringopset steeds ’n leë gebruiksverslag lewer.

Twee verskillende vrae

Verifiëring besluit of ’n verbinding mag begin, en dit gee ’n uitspraak plus eienskappe soos ’n adrespoel of ’n groep. Rekeningkunde teken die diens op wat gevolg het, as ’n reeks gebeurtenisse wat aan een sessie gekoppel is.

Hulle reis oor dieselfde protokol en gewoonlik na dieselfde bediener, en juis daarom neem mense aan die een impliseer die ander.

Niks in ’n toegangsversoek dra die sessie se duur nie, en niks in ’n Stop-rekord besluit weer of die gebruiker toegelaat moes gewees het nie. Om hulle as aparte kontrakte te behandel, maak die integrasiewerk sigbaar: een pad het ’n besluit nodig, die ander ’n lewensiklus met ’n begin, ’n middel en ’n einde.

Wat die drie rekordtipes jou gee

’n Start-rekord open ’n sessie, ’n Interim-Update rapporteer aktiwiteit terwyl dit oop is, en ’n Stop sluit dit. Al drie dra ’n sessie-identifiseerder sodat die ontvanger hulle aan een diensgebeurtenis kan koppel.

Daardie identifiseerder is die enigste betroubare skakel tussen hulle, want dieselfde gebruikersnaam kan verskeie sessies in volgorde of parallel hou. Ontwerp jou berging daarom, nie om die rekeningnaam nie.

Om ’n rekord te bevestig is ’n aparte saak van om dit goed te berg. Die rekeningkundige spesifikasie verbied die bevestiging wanneer die rekord nie geskryf kon word nie, dus sê ’n antwoord wel dat die ontvanger verantwoordelikheid aanvaar het. Dit sê nie dat die latere verslagtaak, die paneelbord of die faktureringuitvoer dit korrek verbruik het nie.

Waarom die gebruikersnaam nie die sessie is nie

Een persoon koppel soggens van ’n skootrekenaar en smiddags van ’n selfoon, en albei sessies dra dieselfde rekeningnaam. ’n Start wat sonder sy ooreenstemmende Stop aankom, kan nie gesluit word deur die naam na te slaan en die oudste oop ry te kies nie.

Daardie kortpad is hoe gebruiksverslae onmoontlike duurtes kry.

Hou die netwerktoegangbediener se identiteit langs die sessie-identifiseerder, want twee bedieners kan dieselfde waarde in verskillende kontekste toeken, en ’n samesmelting op net die identifiseerder kan onverwante sessies verbind. Wanneer ’n sessie ongracelik eindig, moet die versoeningbeleid besluit hoe om dit te sluit, en daardie besluit hoort in die ontwerp, nie in ’n handmatige databaseredigering wat een keer per maand gedoen word nie.

Waar PAM inpas en waar nie

OpenVPN se verifiëring-inprop roep PAM se verifiëring- en rekeningbestuur-fases. Die rekeningfase kontroleer geskiktheid; sy naam beteken nie verbruiksrekeningkunde nie, en die inprop dryf nie PAM se sessie-open- en sluit-hake nie.

Sommige PAM RADIUS-modules kan rekeningkundige rekords deur daardie sessiehake stuur, en dit werk net wanneer die toepassing hulle werklik aanroep.

Om so ’n module by ’n verifiëringstapel te voeg, skep dus nie ontkoppel-gebeurtenisse nie. As jy die volle lewensiklus nodig het, kies ’n integrasie wat dit besit: ’n inprop of ’n ondersteunde bou wat Start, Interim-Update en Stop uitstuur soos die verbinding van toestand verander. Kontroleer sy onderhoudstatus en sy gedokumenteerde gedrag wanneer die ontvanger onbeskikbaar is, want ’n inprop wat rekords stilweg laat val, lyk identies aan een wat hulle nooit gestuur het nie. Die rekeningkundige spesifikasie definieer die rekordbetekenis wat die integrasie moet eerbiedig.

’n Aanvaardingstoets wat die kontrak bewys

Toets ’n normale koppeling en ontkoppeling, dan ’n herkoppeling onder dieselfde rekening, dan ’n kliënt wat verdwyn sonder om te ontkoppel.

Volg een sessie-identifiseerder van generering deur bevestiging tot berging, en kontroleer die tellers se rigting, eenhede en koppelvlak. ’n Ongemerkte greptelling is later onmoontlik om te oudit.

Bevestig laastens dat ’n sessie wat die bediener moes uitskel, voorgestel word op ’n manier wat die verslag verstaan. ’n Kontrak wat net ordentlike ontkoppelings dek, is ’n kontrak wat misluk op die dae wanneer jy dit die nodigste het.