RADIUS uçotu ilə uğurlu giriş: hər biri nəyi sübut edir

Hər VPN ödəniş müzakirəsində iki sual qarışdırılır: bu istifadəçiyə qoşulmağa icazə verilirdimi və o, faktiki olaraq nə etdi. Birincini autentifikasiya cavablandırır. İkincisi başlayan, yenilənən və bitən uçot qeydləri tələb edir. Uğurlu giriş birincini sübut edir və ikinci haqqında heç nə demir, buna görə işləyən RADIUS autentifikasiya qurulumu yenə də boş istifadə hesabatı yarada bilər.

İki fərqli sual

Autentifikasiya əlaqənin başlaya biləcəyini həll edir və ünvan hovuzu və ya qrup kimi atributlarla birlikdə hökm qaytarır. Uçot isə ardınca gələn xidməti bir sessiyaya bağlı hadisələr ardıcıllığı kimi qeyd edir.

Onlar eyni protokolla və adətən eyni serverə gedir, məhz buna görə insanlar birinin digərini şərtləndirdiyini düşünür.

Giriş sorğusunda sessiyanın müddəti yoxdur və Stop qeydində istifadəçinin qəbul edilməli olub-olmadığı yenidən həll edilmir. Onlara ayrı müqavilələr kimi baxmaq inteqrasiya işini görünən edir: bir yol qərar tələb edir, digəri başlanğıcı, ortası və sonu olan həyat dövrü tələb edir.

Üç qeyd növü sizə nə verir

Start qeydi sessiya açır, Interim-Update açıq olduğu müddətdə fəaliyyət bildirir, Stop isə onu bağlayır. Hər üçü sessiya identifikatoru daşıyır ki, qəbul edən onları bir xidmət hadisəsinə bağlaya bilsin.

Bu identifikator onlar arasında yeganə etibarlı əlaqədir, çünki eyni istifadəçi adı ardıcıl və ya paralel bir neçə sessiyaya sahib ola bilər. Yadda saxlamanı hesab adı ətrafında deyil, onun ətrafında qur.

Qeydi təsdiqləmək onu yaxşı saxlamaqdan ayrı məsələdir. Uçot spesifikasiyası qeyd yazıla bilmədikdə təsdiqi qadağan edir, yəni cavab qəbul edənin məsuliyyəti üzərinə götürdüyünü bildirir. Lakin sonrakı hesabat işinin, idarə panelinin və ya ödəniş ixracının onu düzgün istifadə etdiyini bildirmir.

Niyə istifadəçi adı sessiya deyil

Bir nəfər səhər noutbukdan, günorta telefondan qoşulur və hər iki sessiya eyni hesab adını daşıyır. Cütü olmayan Stop ilə gələn Start, adı axtarıb ən köhnə açıq sətri seçməklə bağlana bilməz.

Bu qısa yol istifadə hesabatlarının qeyri-mümkün müddətlər qazanmasının yoludur.

Şəbəkə giriş serverinin kimliyini sessiya identifikatoru ilə yanaşı saxla, çünki iki server eyni dəyəri fərqli kontekstlərdə təyin edə bilər və yalnız identifikator üzərində birləşdirmə əlaqəsiz sessiyaları birləşdirə bilər. Sessiya düzgün bitmədikdə, uzlaşdırma siyasəti onu necə bağlayacağına qərar verməlidir və bu qərar ayda bir dəfə edilən əl ilə verilənlər bazası düzəlişində deyil, dizaynda olmalıdır.

PAM harada uyğun gəlir, harada yox

OpenVPN autentifikasiya plaqini PAM-ın autentifikasiya və hesab idarəetmə mərhələlərini çağırır. Hesab mərhələsi uyğunluğu yoxlayır; adı istifadə uçotu demək deyil və plaqin PAM-ın sessiya açma və bağlama qarmaqlarını idarə etmir.

Bəzi PAM RADIUS modulları uçot qeydlərini həmin sessiya qarmaqları vasitəsilə göndərə bilər və bu yalnız tətbiq onları həqiqətən çağırdıqda işləyir.

Buna görə belə bir modulu autentifikasiya yığınına əlavə etmək kəsilmə hadisələri yaratmır. Tam həyat dövrü lazımdırsa, ona sahib olan inteqrasiya seçin: əlaqə vəziyyət dəyişdikcə Start, Interim-Update və Stop yayan plaqin və ya dəstəklənən buraxılış. Onun texniki xidmət statusunu və qəbul edən əlçatan olmadıqda sənədləşdirilmiş davranışını yoxlayın, çünki qeydləri səssizcə atan plaqin onları heç vaxt göndərməyən plaqinlə eyni görünür. Uçot spesifikasiyası inteqrasiyanın riayət etməli olduğu qeyd semantikasını müyəyyən edir.

Müqaviləni sübut edən qəbul sınağı

Normal qoşulma və ayrılmanı, sonra eyni hesab altında yenidən qoşulmanı, sonra ayrılmadan yoxa çıxan klienti sınaqdan keçirin.

Bir sessiya identifikatorunu yaradılmadan təsdiqdən keçməklə saxlanmaya qədər izləyin və sayğacların istiqamətini, vahidlərini və interfeysini yoxlayın. Etiketsiz bayt sayını sonradan audit etmək mümkün deyil.

Nəhayət, serverin vaxt aşımına məcbur etdiyi sessiyanın hesabatın başa düşdüyü şəkildə təmsil olunduğunu təsdiqləyin. Yalnız nəzakətli ayrılmaları əhatə edən müqavilə ən çox ehtiyac duyduğunuz günlərdə uğursuz olan müqavilədir.