RADIUS računovodstvo nasuprot uspješnoj prijavi: što svako dokazuje

U svakoj raspravi o naplati VPN-a miješaju se dva pitanja: je li ovom korisniku bilo dopušteno spojiti se i što je zapravo učinio. Na prvo odgovara autentifikacija. Drugo zahtijeva računovodstvene zapise koji počinju, ažuriraju se i završavaju. Uspješna prijava dokazuje prvo i ne kaže ništa o drugom, zato radna konfiguracija autentifikacije s RADIUS-om ipak može dati prazno izvješće o korištenju.

Dva različita pitanja

Autentifikacija odlučuje smije li veza početi, i vraća presudu zajedno s atributima poput skupa adresa ili grupe. Računovodstvo bilježi uslugu koja je uslijedila, kao niz događaja vezanih uz jednu sesiju.

Putuju istim protokolom i obično do istog poslužitelja, i upravo zato ljudi pretpostavljaju da jedno podrazumijeva drugo.

Ništa u zahtjevu za pristup ne nosi trajanje sesije, i ništa u zapisu Stop ne odlučuje ponovno je li korisnik trebao biti primljen. Tretiranje kao odvojenih ugovora čini rad na integraciji vidljivim: jedan put treba odluku, drugi životni ciklus s početkom, sredinom i krajem.

Što daju tri vrste zapisa

Zapis Start otvara sesiju, Interim-Update izvješćuje o aktivnosti dok je otvorena, a Stop je zatvara. Sva tri nose identifikator sesije kako bi ga primatelj mogao povezati s jednim događajem usluge.

Taj je identifikator jedina pouzdana veza među njima, jer isto korisničko ime može imati više sesija uzastopno ili paralelno. Projektirajte pohranu oko njega, a ne oko imena računa.

Potvrđivanje zapisa odvojena je stvar od njegova dobrog čuvanja. Specifikacija računovodstva zabranjuje potvrdu kada zapis nije bilo moguće zapisati, pa odgovor doista kaže da je primatelj preuzeo odgovornost. Ali ne kaže da su kasniji zadatak izvješćivanja, nadzorna ploča ili izvoz za naplatu iskoristili ga ispravno.

Zašto korisničko ime nije sesija

Jedna osoba spaja se s prijenosnog računala ujutro i s telefona poslijepodne, i obje sesije nose isto ime računa. Zapis Start koji stigne bez odgovarajućeg Stop ne može se zatvoriti traženjem imena i odabirom najstarijeg otvorenog retka.

Taj prečac je način na koji izvješća o korištenju dobivaju nemoguća trajanja.

Držite identitet poslužitelja mrežnog pristupa uz identifikator sesije, jer dva poslužitelja mogu dodijeliti istu vrijednost u različitim kontekstima i spajanje samo po identifikatoru može povezati nepovezane sesije. Kada sesija završi neuredno, politika usklađivanja mora odlučiti kako je zatvoriti, i ta odluka pripada dizajnu, a ne ručnom uređivanju baze jednom mjesečno.

Gdje PAM pristaje, a gdje ne

Dodatak za autentifikaciju OpenVPN-a poziva faze autentifikacije i upravljanja računima u PAM-u. Faza računa provjerava podobnost; njezino ime ne znači računovodstvo korištenja, i dodatak ne upravlja kukama za otvaranje i zatvaranje sesije u PAM-u.

Neki moduli PAM RADIUS mogu slati računovodstvene zapise kroz te kuke sesije, i to radi samo kada ih aplikacija doista pozove.

Stoga dodavanje takvog modula u stog za autentifikaciju ne stvara događaje prekida. Ako vam treba puni životni ciklus, odaberite integraciju koja ga posjeduje: dodatak ili podržanu gradnju koja emitira Start, Interim-Update i Stop kako veza mijenja stanje. Provjerite njezin status održavanja i dokumentirano ponašanje kada primatelj nije dostupan, jer dodatak koji tiho odbacuje zapise izgleda jednako kao onaj koji ih nikada nije poslao. Specifikacija računovodstva definira semantiku zapisa koju integracija mora poštovati.

Prihvatno izvršavanje koje dokazuje ugovor

Testirajte normalno spajanje i prekid, zatim ponovno spajanje pod istim računom, zatim klijenta koji nestane bez prekida.

Pratite jedan identifikator sesije od stvaranja preko potvrde do pohrane, i provjerite smjer, jedinice i sučelje brojača. Neoznačen broj bajtova nemoguće je revidirati kasnije.

Naposljetku, potvrdite da je sesija koju je poslužitelj morao zatvoriti zbog isteka vremena predstavljena na način koji izvješće razumije. Ugovor koji pokriva samo uredne prekide je ugovor koji zataji onih dana kada vam je najpotrebniji.