VPN-aanmeldwaarskuwings: watter gebeurtenis moet dit eintlik aktiveer?
Suksesvolle verifikasie, ’n gevestigde tonnel en ’n RADIUS-boekhouding-Start is drie verskillende bewerings. Kies die een waarop jou ontvanger kan reageer, en korreleer dan.
Suksesvolle verifikasie, ’n gevestigde tonnel en ’n RADIUS-boekhouding-Start is drie verskillende bewerings, en ’n aanmeld-e-pos beteken eers iets sodra jy een daarvan kies. Die meeste VPN-waarskuwingontwerpe meng al drie en lewer ’n posbus op wat niemand vertrou nie. Die besluit kom neer op wie die waarskuwing lees en wat hulle in die volgende vyf minute kan doen. Kry dit verkeerd en die waarskuwing word geraas wat die een gebeurtenis wegsteek wat jy nodig gehad het.
Drie vrae bepaal die sneller
Vra wie dit ontvang, wat hulle gaan doen, en hoe vinnig die aksie moet gebeur. ’n Sekuriteitspan wat vir misbruik van aanmeldingdata kyk, wil binne minute ’n patroon van mislukking-dan-sukses uit een rekening hê. ’n Bedryfspan wat kapasiteit dophou, wil sessieduur en redes vir ontkoppeling hê, nie aanmeldings nie. ’n Diensdesk wil die sessie-identiteit hê sodat dit ’n kaartjie kan pas.
Daardie antwoorde wys na verskillende gebeurtenisse, en geen enkele reël bevredig al drie nie. As die ontvanger se aksie “bel die gebruiker” is, is verifikasie genoeg. As die aksie “gee ’n lisensie vry” of “kontroleer of die tonnel verkeer gedra het” is, sal net vestiging of boekhouding-Start werk. As die aksie “faktureer die tyd” is, het jy Stop-rekords nodig eerder as ’n aanmelding.
Skryf die antwoord as een sin voordat jy enigiets opstel. “Hierdie e-pos sê vir die diensingenieur dat rekening X ’n tonnel vanaf netwerk Y op tyd Z geopen het, sodat hy kan nagaan of die onderhoudsvenster gebruik is.” As jy nie elke gleuf kan vul nie, is die sneller nog nie gekies nie.
Pas die gebeurtenis by die bewering wat jy maak
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Die tabel verberg ’n afhanklikheid: elke ry is net betroubaar as die poort dit op ’n betroubare manier uitstuur en jou versamelaar die veld hou wat jy nodig het. Lees die gebeurtenisdefinisie vir die presiese weergawe wat jy bedryf, want die naam van “sessie gevestig” verander tussen weergawes en die betekenis verander meer dikwels as die naam. Wanneer ’n definisie vaag is, vra vir ’n sessie-opname eerder as om uit die etiket te raai.
Om ’n Access-Accept as die voltooiing van alles daarna te beskou, is die mees algemene fout. Dit is ’n uitspraak oor aanmeldingdata, nie ’n sessie nie. Die spieëlbeeldfout is om ’n beleids passing as bewys van magtiging te lees, terwyl ’n reël kan pas en die volgende stap steeds kan misluk.
Een sessie, een kennisgewing
Een rekening, verskeie toestelle, herversendings en herverbindings: ’n e-pos per gebeurtenis sal in beide rigtings verkeerd wees en een sessie dupliseer terwyl ’n ander verdeel word. Sleutel die kennisgewing op die poort plus ’n sessie-identifiseerder, en behandel die rekeningnaam as ’n eienskap eerder as die sleutel. ’n Gebruiker met ’n skootrekenaar en ’n selfoon kan twee tonnels gelyktydig hou, en albei verdien hul eie reël.
Herverstuurde boekhoudingrekords is normaal, dus ontdubbel op die sessie-id en tydstempel voordat jy die boodskap lewer. Opeenvolgende sessies van dieselfde toestel moet apart bly, en ’n herverbinding tydens ’n onderhoudsvenster moet sigbaar bly eerder as om in die vorige een in te vou. As jou versamelaar tydstempels tydens inname herskryf, ontdubbel op die oorspronklike rekordvelde, nie die gestoorde nie.
’n Ontbrekende Stop-rekord is onsekerheid, nie ’n permanente sessie nie. Poortherlaaie, versamelaar-onderbrekings en UDP-verlies laat almal gapings, so die waarskuwing het ’n versoeningpad nodig wat die lewende sessietabel navraag doen voordat iemand aflei dat ’n tonnel nog op is.
Hou oudit en kennisgewing apart
Die ouditstroom en die waarskuwingstroom het verskillende take. Hou die rou rekords, insluitend rekening, poort, sessie-id, tydstempels en beëindigingsrede, selfs wanneer roetine-e-posse gegroepeer, onderdruk of na ’n klein oproepls gestuur word. ’n Ernstegraad is ’n afleweringsfilter, nie ’n keuse van die lewensiklus-gebeurtenis wat jy wou aankondig nie.
Stuur die minimum konteks wat die ontvanger nodig het om die beskermde rekord te vind. Rekeningname, interne adresse en sessiedetails is sensitief, en ’n e-pos wat goed aanstuur, is ’n e-pos wat goed lek.
Bewys dit dan van punt tot punt. Voer ’n normale aanmelding en afmelding, ’n herverbinding, twee gelyktydige sessies en ’n geforseerde afleweringsfout uit, en volg een gebeurtenis van die poort deur die versamelaar tot by die afgelewerde boodskap. As die e-pos aankom sonder ’n sessie-id, is die kontrak onvolledig. As twee e-posse een sessie beskryf, is korrelasie gebreek. Nie een van die probleme wys op wanneer die enigste ding wat jy toets, is dat e-posaflewering werk nie.