Λογιστική RADIUS έναντι επιτυχημένης σύνδεσης: τι αποδεικνύει καθεμία

Δύο ερωτήματα συγχέονται σε κάθε συζήτηση χρέωσης VPN: αν επιτράπηκε σε αυτόν τον χρήστη να συνδεθεί και τι έκανε στην πραγματικότητα. Το πρώτο το απαντά η πιστοποίηση. Το δεύτερο απαιτεί εγγραφές λογιστικής που ξεκινούν, ενημερώνονται και τελειώνουν. Μια επιτυχημένη σύνδεση αποδεικνύει το πρώτο και δεν λέει τίποτα για το δεύτερο, γι’ αυτό μια λειτουργική ρύθμιση πιστοποίησης RADIUS μπορεί να παράγει κενή αναφορά χρήσης.

Δύο διαφορετικά ερωτήματα

Η πιστοποίηση αποφασίζει αν μια σύνδεση μπορεί να ξεκινήσει, και επιστρέφει μια ετυμηγορία μαζί με χαρακτηριστικά όπως μια δεξαμενή διευθύνσεων ή μια ομάδα. Η λογιστική καταγράφει την υπηρεσία που ακολούθησε, ως ακολουθία γεγονότων δεμένων με μία συνεδρία.

Ταξιδεύουν στο ίδιο πρωτόκολλο και συνήθως στον ίδιο διακομιστή, γι’ αυτό ακριβώς οι άνθρωποι υποθέτουν ότι το ένα συνεπάγεται το άλλο.

Τίποτα σε ένα αίτημα πρόσβασης δεν φέρει τη διάρκεια της συνεδρίας, και τίποτα σε μια εγγραφή Stop δεν αποφασίζει ξανά αν ο χρήστης θα έπρεπε να έχει γίνει δεκτός. Αν τα αντιμετωπίζετε ως ξεχωριστά συμβόλαια, η δουλειά της ενσωμάτωσης γίνεται ορατή: το ένα μονοπάτι χρειάζεται απόφαση, το άλλο έναν κύκλο ζωής με αρχή, μέση και τέλος.

Τι σας δίνουν οι τρεις τύποι εγγραφών

Μια εγγραφή Start ανοίγει μια συνεδρία, μια Interim-Update αναφέρει δραστηριότητα όσο είναι ανοιχτή, και μια Stop την κλείνει. Και οι τρεις φέρουν αναγνωριστικό συνεδρίας ώστε ο παραλήπτης να μπορεί να τις συνδέσει με ένα γεγονός υπηρεσίας.

Αυτό το αναγνωριστικό είναι ο μόνος αξιόπιστος σύνδεσμος μεταξύ τους, γιατί το ίδιο όνομα χρήστη μπορεί να κρατά πολλές συνεδρίες διαδοχικά ή παράλληλα. Σχεδιάστε την αποθήκευση γύρω από αυτό και όχι γύρω από το όνομα λογαριασμού.

Το να βεβαιώσετε μια εγγραφή είναι διαφορετικό ζήτημα από το να την αποθηκεύσετε καλά. Η προδιαγραφή λογιστικής απαγορεύει τη βεβαίωση όταν η εγγραφή δεν μπόρεσε να γραφτεί, οπότε μια απάντηση σας λέει πράγματι ότι ο παραλήπτης ανέλαβε την ευθύνη. Δεν σας λέει ότι η μεταγενέστερη εργασία αναφορών, ο πίνακας ελέγχου ή η εξαγωγή χρέωσης την κατανάλωσαν σωστά.

Γιατί το όνομα χρήστη δεν είναι η συνεδρία

Ένα άτομο συνδέεται από φορητό υπολογιστή το πρωί και από τηλέφωνο το απόγευμα, και οι δύο συνεδρίες φέρουν το ίδιο όνομα λογαριασμού. Μια Start που φτάνει χωρίς το αντίστοιχο Stop δεν μπορεί να κλείσει αναζητώντας το όνομα και διαλέγοντας την παλαιότερη ανοιχτή γραμμή.

Αυτή η σύντομη διαδρομή είναι το πώς οι αναφορές χρήσης αποκτούν αδύνατες διάρκειες.

Κρατήστε την ταυτότητα του διακομιστή πρόσβασης δικτύου δίπλα στο αναγνωριστικό συνεδρίας, γιατί δύο διακομιστές μπορούν να εκχωρήσουν την ίδια τιμή σε διαφορετικά περιβάλλοντα και μια συγχώνευση μόνο με το αναγνωριστικό μπορεί να ενώσει άσχετες συνεδρίες. Όταν μια συνεδρία τελειώνει άκομψα, η πολιτική συμφιλίωσης πρέπει να αποφασίσει πώς θα κλείσει, και αυτή η απόφαση ανήκει στον σχεδιασμό και όχι σε μια χειροκίνητη επεξεργασία βάσης δεδομένων μία φορά τον μήνα.

Πού ταιριάζει το PAM και πού όχι

Το πρόσθετο πιστοποίησης του OpenVPN καλεί τα στάδια πιστοποίησης και διαχείρισης λογαριασμών του PAM. Το στάδιο λογαριασμού ελέγχει την καταλληλότητα. Το όνομά του δεν σημαίνει λογιστική χρήσης, και το πρόσθετο δεν οδηγεί τα άγκιστρα ανοίγματος και κλεισίματος συνεδρίας του PAM.

Ορισμένες μονάδες PAM RADIUS μπορούν να στέλνουν εγγραφές λογιστικής μέσω αυτών των αγκίστρων συνεδρίας, και αυτό λειτουργεί μόνο όταν η εφαρμογή τα καλεί πραγματικά.

Η προσθήκη μιας τέτοιας μονάδας σε μια στοίβα πιστοποίησης επομένως δεν δημιουργεί γεγονότα αποσύνδεσης. Αν χρειάζεστε τον πλήρη κύκλο ζωής, διαλέξτε μια ενσωμάτωση που τον κατέχει: ένα πρόσθετο ή μια υποστηριζόμενη έκδοση που εκπέμπει Start, Interim-Update και Stop καθώς αλλάζει κατάσταση η σύνδεση. Ελέγξτε την κατάσταση συντήρησής του και τη τεκμηριωμένη συμπεριφορά του όταν ο παραλήπτης δεν είναι διαθέσιμος, γιατί ένα πρόσθετο που ρίχνει εγγραφές σιωπηλά μοιάζει ίδιο με ένα που δεν τις έστειλε ποτέ. Η προδιαγραφή λογιστικής ορίζει τη σημασιολογία των εγγραφών που πρέπει να τηρεί η ενσωμάτωση.

Μια δοκιμή αποδοχής που αποδεικνύει το συμβόλαιο

Δοκιμάστε μια κανονική σύνδεση και αποσύνδεση, μετά μια επανασύνδεση με τον ίδιο λογαριασμό, μετά έναν πελάτη που εξαφανίζεται χωρίς να αποσυνδεθεί.

Ακολουθήστε ένα αναγνωριστικό συνεδρίας από τη δημιουργία μέσω της βεβαίωσης έως την αποθήκευση, και ελέγξτε την κατεύθυνση, τις μονάδες και τη διεπαφή των μετρητών. Ένα πλήθος byte χωρίς ετικέτα είναι αδύνατο να ελεγχθεί αργότερα.

Τέλος, επιβεβαιώστε ότι μια συνεδρία που ο διακομιστής έπρεπε να τερματίσει λόγω χρονικού ορίου αναπαρίσταται με τρόπο που η αναφορά καταλαβαίνει. Ένα συμβόλαιο που καλύπτει μόνο τις τακτικές αποσυνδέσεις είναι ένα συμβόλαιο που αποτυγχάνει τις ημέρες που το χρειάζεστε περισσότερο.