RADIUS-regnskab kontra vellykket login: hvad hver af dem beviser

To spørgsmål bliver blandet sammen i enhver VPN-faktureringsdiskussion: havde denne bruger lov til at forbinde, og hvad gjorde de faktisk. Det første besvares af godkendelse. Det andet kræver regnskabsregistreringer, der begynder, opdateres og slutter. Et vellykket login beviser det første og siger intet om det andet, og derfor kan en fungerende RADIUS-godkendelse stadig give en tom forbrugsrapport.

To forskellige spørgsmål

Godkendelse afgør, om en forbindelse må begynde, og returnerer en afgørelse plus attributter som en adressepulje eller en gruppe. Regnskab registrerer den tjeneste, der fulgte, som en række hændelser knyttet til én session.

De rejser over samme protokol og normalt til samme server, og det er netop derfor, folk antager, at det ene indebærer det andet.

Intet i en adgangsanmodning bærer sessionens varighed, og intet i en Stop-post afgør igen, om brugeren burde have været lukket ind. Når man behandler dem som separate kontrakter, bliver integrationsarbejdet synligt: den ene vej kræver en beslutning, den anden kræver en livscyklus med en begyndelse, en midte og en slutning.

Hvad de tre posttyper giver dig

En Start-post åbner en session, en Interim-Update rapporterer aktivitet, mens den er åben, og en Stop lukker den. Alle tre bærer en sessionsidentifikator, så modtageren kan knytte dem til én tjenestehændelse.

Den identifikator er det eneste pålidelige bindeled mellem dem, fordi det samme brugernavn kan have flere sessioner i rækkefølge eller parallelt. Design din lagring omkring den i stedet for omkring kontonavnet.

At kvittere for en post er en anden sag end at gemme den godt. Regnskabsspecifikationen forbyder kvitteringen, når posten ikke kunne skrives, så et svar fortæller dig faktisk, at modtageren påtog sig ansvaret. Det fortæller dig ikke, at det senere rapporteringsjob, dashboardet eller faktureringseksporten har brugt den korrekt.

Hvorfor brugernavnet ikke er sessionen

Én person forbinder fra en bærbar om morgenen og en telefon om eftermiddagen, og begge sessioner bærer samme kontonavn. En Start, der ankommer uden sin matchende Stop, kan ikke lukkes ved at slå navnet op og vælge den ældste åbne række.

Den genvej er, hvordan forbrugsrapporter får umulige varigheder.

Hold netværksadgangsserverens identitet ved siden af sessionsidentifikatoren, fordi to servere kan tildele den samme værdi i forskellige sammenhænge, og en sammenfletning alene på identifikatoren kan samle uvedkommende sessioner. Når en session slutter ublidt, skal afstemningspolitikken beslutte, hvordan den lukkes, og den beslutning hører i designet og ikke i en manuel databaserettelse, der foretages én gang om måneden.

Hvor PAM passer ind, og hvor det ikke gør

OpenVPNs godkendelsesplugin kalder PAMs godkendelses- og kontostyringsfaser. Konto-fasen kontrollerer berettigelse; navnet betyder ikke forbrugsregnskab, og pluginnet styrer ikke PAMs session-åbnings- og lukkehooks.

Nogle PAM RADIUS-moduler kan sende regnskabsposter gennem disse session-hooks, og det virker kun, når applikationen faktisk kalder dem.

At tilføje et sådant modul til en godkendelsesstak skaber derfor ikke afbrydelseshændelser. Hvis du har brug for den fulde livscyklus, skal du vælge en integration, der ejer den: et plugin eller et understøttet build, som udsender Start, Interim-Update og Stop, når forbindelsen skifter tilstand. Tjek dens vedligeholdelsesstatus og dens dokumenterede adfærd, når modtageren er utilgængelig, fordi et plugin, der tavst dropper poster, ser identisk ud med et, der aldrig sendte dem. Regnskabsspecifikationen definerer de post-semantikker, som integrationen skal overholde.

En acceptkørsel, der beviser kontrakten

Test en normal forbindelse og afbrydelse, derefter en genforbindelse under samme konto, derefter en klient, der forsvinder uden at afbryde.

Følg én sessionsidentifikator fra generering gennem kvittering til lagring, og kontroller tællernes retning, enheder og grænseflade. Et umærket byteantal er umuligt at revidere senere.

Bekræft endelig, at en session, som serveren måtte time out, er repræsenteret på en måde, som rapporten forstår. En kontrakt, der kun dækker pæne afbrydelser, er en kontrakt, der svigter på de dage, hvor du har mest brug for den.