RADIUS účtování versus úspěšné přihlášení: co které prokazuje

V každé debatě o fakturaci VPN se mísí dvě otázky: směl se tento uživatel připojit a co skutečně dělal. Na první odpovídá autentizace. Druhá vyžaduje účetní záznamy, které začínají, aktualizují se a končí. Úspěšné přihlášení prokazuje první a o druhé neříká nic, a proto funkční nastavení autentizace RADIUS může stále vytvořit prázdný přehled o využití.

Dvě různé otázky

Autentizace rozhoduje, zda se spojení smí začít, a vrací verdikt plus atributy, jako je fond adres nebo skupina. Účtování zaznamenává službu, která následovala, jako posloupnost událostí vázaných na jedno sezení.

Cestují stejným protokolem a obvykle na stejný server, a právě proto lidé předpokládají, že jedno znamená druhé.

Nic v přístupovém požadavku nenese trvání sezení a nic v záznamu Stop znovu nerozhoduje, zda měl být uživatel vpuštěn. Když s nimi zacházíte jako s oddělenými smlouvami, je práce na integraci vidět: jedna cesta potřebuje rozhodnutí, druhá potřebuje životní cyklus se začátkem, středem a koncem.

Co vám tři typy záznamů dávají

Záznam Start otevírá sezení, Interim-Update hlásí aktivitu, dokud je otevřené, a Stop je uzavírá. Všechny tři nesou identifikátor sezení, aby je příjemce mohl přiřadit k jedné události služby.

Tento identifikátor je jediné spolehlivé spojení mezi nimi, protože stejné uživatelské jméno může mít několik sezení za sebou nebo paralelně. Navrhněte úložiště kolem něj, ne kolem názvu účtu.

Potvrzení záznamu je jiná věc než jeho dobré uložení. Specifikace účtování zakazuje potvrzení, pokud záznam nebylo možné zapsat, takže odpověď skutečně říká, že příjemce převzal odpovědnost. Neříká však, že jej následná úloha výkazů, panel nebo export fakturace spotřebovaly správně.

Proč uživatelské jméno není sezení

Jeden člověk se ráno připojí z notebooku a odpoledne z telefonu a obě sezení nesou stejný název účtu. Záznam Start, který dorazí bez odpovídajícího Stop, nelze uzavřít vyhledáním jména a výběrem nejstaršího otevřeného řádku.

Touto zkratkou získávají přehledy o využití nemožná trvání.

Uchovávejte identitu serveru síťového přístupu vedle identifikátoru sezení, protože dva servery mohou v různých kontextech přiřadit stejnou hodnotu a sloučení pouze podle identifikátoru může spojit nesouvisející sezení. Když sezení skončí nešetrně, politika usmíření musí rozhodnout, jak je uzavřít, a toto rozhodnutí patří do návrhu, ne do ruční úpravy databáze jednou za měsíc.

Kam PAM patří a kam ne

Autentizační plugin OpenVPN volá fáze autentizace a správy účtů v PAM. Fáze účtu kontroluje oprávněnost; její název neznamená účtování využití a plugin neřídí háky otevření a zavření sezení v PAM.

Některé moduly PAM RADIUS mohou posílat účetní záznamy přes tyto háky sezení, a to funguje jen tehdy, když je aplikace skutečně vyvolá.

Přidání takového modulu do autentizačního zásobníku tedy nevytváří události odpojení. Pokud potřebujete celý životní cyklus, zvolte integraci, která ho vlastní: plugin nebo podporovaný build, který vysílá Start, Interim-Update a Stop, jak se spojení mění stav. Zkontrolujte jeho stav údržby a zdokumentované chování, když je příjemce nedostupný, protože plugin, který záznamy tiše zahazuje, vypadá stejně jako ten, který je nikdy neposlal. Specifikace účtování definuje sémantiku záznamů, kterou musí integrace dodržovat.

Přejímací běh, který prokazuje smlouvu

Otestujte normální připojení a odpojení, pak opětovné připojení pod stejným účtem, pak klienta, který zmizí bez odpojení.

Sledujte jeden identifikátor relace od vytvoření přes potvrzení až po uložení a zkontrolujte směr, jednotky a rozhraní čítačů. Neoznačený počet bajtů nelze později auditovat.

Nakonec ověřte, že relace, kterou server musel ukončit po vypršení času, je reprezentována způsobem, kterému výkaz rozumí. Smlouva, která pokrývá jen řádná odpojení, je smlouva, která selže ve dnech, kdy ji potřebujete nejvíc.