VPN giriş xəbərdarlıqları: onu hansı hadisə həqiqətən işə salmalıdır?
Autentifikasiya uğuru, qurulmuş tunel və RADIUS mühasibat Start üç fərqli iddiadır. Alıcının cavab verə biləcəyi iddianı seçin, sonra onları əlaqələndirin.
Autentifikasiya uğuru, qurulmuş tunel və RADIUS mühasibat Start üç fərqli iddiadır və giriş e-poçtu yalnız bunlardan birini seçdikdən sonra məna daşıyır. VPN xəbərdarlıq dizaynlarının çoxu üçünü qarışdırır və heç kimin etibar etmədiyi bir poçt qutusu yaradır. Qərar xəbərdarlığı kimin oxumasından və növbəti beş dəqiqədə nə edə bilməsindən asılıdır. Bunu səhv etsəniz, xəbərdarlıq sizə lazım olan yeganə hadisəni gizlədən səs-küyə çevrilir.
Tetikləyicini üç sual müəyyən edir
Kimin alacağını, nə edəcəyini və hərəkətin nə qədər tez baş verməli olduğunu soruşun. Etimad məlumatlarının sui-istifadəsini izləyən təhlükəsizlik komandası bir hesabdan dəqiqələr içində uğursuzluq-sonra-uğur nümunəsi istəyir. Tutumu izləyən əməliyyat komandası sessiya müddətini və bağlantının kəsilmə səbəblərini istəyir, girişləri yox. Dəstək masası sessiya kimliyini istəyir ki, onu bileti ilə uyğunlaşdıra bilsin.
Bu cavablar fərqli hadisələrə işarə edir və heç bir tək qayda üçünü də qane etmir. Alıcının hərəkəti «istifadəçiyə zəng et»dirsə, autentifikasiya kifayətdir. Hərəkət «lisenziyanı azad et» və ya «tunelin trafik daşıdığını yoxla»dırsa, yalnız qurulma və ya mühasibat Start işləyəcək. Hərəkət «vaxtı fakturalaşdır»dırsa, giriş yerinə Stop qeydlərinə ehtiyacınız var.
Heç nə konfiqurasiya etməzdən əvvəl cavabı bir cümlə kimi yazın. «Bu e-poçt növbətçi mühəndisə X hesabının Y şəbəkəsindən Z vaxtında tunel açdığını bildirir ki, texniki xidmət pəncərəsinin istifadə edilib-edilmədiyini yoxlaya bilsin.» Hər yeri doldura bilmirsinizsə, tetikleyici hələ seçilməyib.
Hadisəni irəli sürdüyünüz iddiaya uyğunlaşdırın
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Cədvəl bir asılılığı gizlədir: hər sətir yalnız şlüz onu etibarlı şəkildə göndərdikdə və kollektorunuz lazım olan sahəni saxladıqda etibarlıdır. İşlətdiyiniz dəqiq buraxılış üçün hadisə tərifini oxuyun, çünki «sessiya quruldu» adı versiyalar arasında dəyişir və mənalar addan daha tez-tez dəyişir. Tərif qeyri-müəyyən olduqda, etiketdən təxmin etmək əvəzinə sessiya tutması istəyin.
Access-Accept-i ondan sonrakı hər şeyin tamamlanması kimi qəbul etmək ən çox yayılmış səhvdir. Bu, sessiya deyil, etimad məlumatları barədə hökmdür. Əks səhv isə siyasət uyğunluğunu avtorizasiya sübutu kimi oxumaqdır, halbuki qayda uyğun gələ bilər və növbəti addım yenə də uğursuz ola bilər.
Bir sessiya, bir bildiriş
Bir hesab, bir neçə cihaz, təkrar göndərmələr və yenidən qoşulmalar: hər hadisə üçün bir e-poçt hər iki istiqamətdə səhv olacaq, bir sessiyanı təkrarlayarkən digərini parçalayacaq. Bildirişin açarını şlüz üstəgəl sessiya identifikatoru edin və hesab adını açar deyil, atribut kimi qəbul edin. Noutbuk və telefonu olan istifadəçi eyni anda iki tunel saxlaya bilər və hər ikisi öz sətrinə layiqdir.
Təkrar göndərilən mühasibat qeydləri normaldır, ona görə mesajı göstərməzdən əvvəl sessiya id-si və zaman damğası üzrə dublikatları silin. Eyni cihazdan ardıcıl sessiyalar ayrı qalmalıdır və texniki xidmət pəncərəsi zamanı yenidən qoşulma əvvəlkinə birləşmək əvəzinə görünən qalmalıdır. Kollektorunuz qəbul zamanı zaman damğalarını yenidən yazırsa, saxlanılan sahələr üzrə deyil, orijinal qeyd sahələri üzrə dublikatları silin.
Çatışmayan Stop qeydi qeyri-müəyyənlikdir, daimi sessiya deyil. Şlüzün yenidən başlaması, kollektorun kəsilməsi və UDP itkisi hamısı boşluqlar buraxır, ona görə xəbərdarlığa canlı sessiya cədvəlini sorğulayan bir uzlaşma yolu lazımdır, hansı ki kimsə tunelin hələ də işlədiyi qənaətinə gəlməzdən əvvəl işləsin.
Auditi bildirişdən ayrı saxlayın
Audit axını və xəbərdarlıq axınının vəzifələri fərqlidir. Hesab, şlüz, sessiya id-si, zaman damğaları və dayandırma səbəbi daxil olmaqla xam qeydləri saxlayın, hətta rutin e-poçtlar qruplaşdırıldıqda, susdurulduqda və ya kiçik növbətçi siyahısına göndərildikdə belə. Ciddilik həddi çatdırılma filtri, elan etmək istədiyiniz həyat dövrü hadisəsinin seçimi deyil.
Alıcının qorunan qeydi tapması üçün lazım olan minimum konteksti göndərin. Hesab adları, daxili ünvanlar və sessiya detalları həssasdır və asanlıqla yönləndirilən e-poçt asanlıqla sızan e-poçtdur.
Sonra bunu başdan-başa sübut edin. Normal giriş və çıxış, yenidən qoşulma, iki eyni vaxtlı sessiya və məcburi çatdırılma uğursuzluğu işə salın və bir hadisəni şlüzdən kollektor vasitəsilə çatdırılan mesaja qədər izləyin. E-poçt sessiya id-si olmadan gəlirsə, müqavilə natamamdır. İki e-poçt bir sessiyanı təsvir edirsə, əlaqələndirmə pozulub. Yalnız poçt çatdırılmasının işlədiyini yoxlayanda bu iki problemdən heç biri görünmür.