Ειδοποιήσεις σύνδεσης VPN: ποιο γεγονός πρέπει πραγματικά να τις ενεργοποιεί;
Η επιτυχής πιστοποίηση, μια εγκατεστημένη σήραγγα και ένα RADIUS accounting Start είναι τρεις διαφορετικοί ισχυρισμοί. Επιλέξτε αυτόν με τον οποίο μπορεί να ενεργήσει ο παραλήπτης σας και μετά συσχετίστε τα.
Η επιτυχής πιστοποίηση, μια εγκατεστημένη σήραγγα και ένα RADIUS accounting Start είναι τρεις διαφορετικοί ισχυρισμοί, και ένα email σύνδεσης αποκτά νόημα μόνο όταν επιλέξετε έναν από αυτούς. Τα περισσότερα σχέδια ειδοποιήσεων VPN αναμειγνύουν και τους τρεις και παράγουν ένα γραμματοκιβώτιο που κανείς δεν εμπιστεύεται. Η απόφαση εξαρτάται από το ποιος διαβάζει την ειδοποίηση και τι μπορεί να κάνει στα επόμενα πέντε λεπτά. Αν το κάνετε λάθος, η ειδοποίηση γίνεται θόρυβος που κρύβει το μοναδικό γεγονός που χρειαζόσασταν.
Τρεις ερωτήσεις καθορίζουν το έναυσμα
Ρωτήστε ποιος θα το λάβει, τι θα κάνει και πόσο γρήγορα πρέπει να συμβεί η ενέργεια. Μια ομάδα ασφαλείας που παρακολουθεί κατάχρηση διαπιστευτηρίων θέλει ένα μοτίβο αποτυχίας και μετά επιτυχίας από έναν λογαριασμό μέσα σε λίγα λεπτά. Μια επιχειρησιακή ομάδα που παρακολουθεί χωρητικότητα θέλει διάρκεια συνεδρίας και λόγους αποσύνδεσης, όχι συνδέσεις. Ένα γραφείο υποστήριξης θέλει την ταυτότητα της συνεδρίας για να την αντιστοιχίσει σε ένα δελτίο.
Αυτές οι απαντήσεις δείχνουν σε διαφορετικά γεγονότα, και κανένας μεμονωμένος κανόνας δεν ικανοποιεί και τους τρεις. Αν η ενέργεια του παραλήπτη είναι «κάλεσε τον χρήστη», η πιστοποίηση αρκεί. Αν η ενέργεια είναι «ελευθέρωσε μια άδεια» ή «επιβεβαίωσε ότι η σήραγγα μετέφερε κίνηση», μόνο η εγκατάσταση ή το accounting Start θα κάνει. Αν η ενέργεια είναι «χρέωσε τον χρόνο», χρειάζεστε εγγραφές Stop αντί για σύνδεση.
Γράψτε την απάντηση ως μία πρόταση πριν διαμορφώσετε οτιδήποτε. «Αυτό το email λέει στον εφημερεύοντα μηχανικό ότι ο λογαριασμός X άνοιξε σήραγγα από το δίκτυο Y στη χρονική στιγμή Z, ώστε να ελέγξει αν χρησιμοποιήθηκε το παράθυρο συντήρησης.» Αν δεν μπορείτε να συμπληρώσετε κάθε θέση, το έναυσμα δεν έχει επιλεγεί ακόμη.
Ταιριάξτε το γεγονός με τον ισχυρισμό που κάνετε
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Ο πίνακας κρύβει μια εξάρτηση: κάθε γραμμή είναι αξιόπιστη μόνο αν η πύλη την εκπέμπει αξιόπιστα και ο συλλέκτης σας κρατά το πεδίο που χρειάζεστε. Διαβάστε τον ορισμό του γεγονότος για την ακριβή έκδοση που εκτελείτε, γιατί το όνομα «συνεδρία εγκαταστάθηκε» αλλάζει μεταξύ εκδόσεων και η σημασία αλλάζει συχνότερα από το όνομα. Όταν ένας ορισμός είναι ασαφής, ζητήστε μια καταγραφή συνεδρίας αντί να μαντέψετε από την ετικέτα.
Το να θεωρείτε ένα Access-Accept ως ολοκλήρωση όλων όσων ακολουθούν είναι το πιο συνηθισμένο λάθος. Είναι ετυμηγορία για διαπιστευτήρια, όχι συνεδρία. Το κατοπτρικό λάθος είναι να διαβάζετε μια αντιστοίχιση πολιτικής ως απόδειξη εξουσιοδότησης, ενώ ένας κανόνας μπορεί να ταιριάξει και το επόμενο βήμα μπορεί να αποτύχει.
Μία συνεδρία, μία ειδοποίηση
Ένας λογαριασμός, πολλές συσκευές, επαναμεταδόσεις και επανασυνδέσεις: ένα email ανά γεγονός θα είναι λάθος και προς τις δύο κατευθύνσεις, διπλασιάζοντας τη μία συνεδρία και χωρίζοντας την άλλη. Κλειδώστε την ειδοποίηση στην πύλη συν ένα αναγνωριστικό συνεδρίας, και αντιμετωπίστε το όνομα λογαριασμού ως χαρακτηριστικό και όχι ως κλειδί. Ένας χρήστης με φορητό υπολογιστή και τηλέφωνο μπορεί να κρατά δύο σήραγγες ταυτόχρονα, και οι δύο αξίζουν τη δική τους γραμμή.
Οι επαναμεταδιδόμενες εγγραφές λογιστικής είναι φυσιολογικές, οπότε αφαιρέστε τα διπλότυπα με βάση το αναγνωριστικό συνεδρίας και τη χρονοσφραγίδα πριν αποδώσετε το μήνυμα. Οι διαδοχικές συνεδρίες από την ίδια συσκευή πρέπει να παραμένουν χωριστές, και μια επανασύνδεση κατά τη διάρκεια ενός παραθύρου συντήρησης πρέπει να παραμένει ορατή αντί να συγχωνεύεται με την προηγούμενη. Αν ο συλλέκτης σας ξαναγράφει τις χρονοσφραγίδες κατά τη λήψη, αφαιρέστε τα διπλότυπα με βάση τα πεδία της αρχικής εγγραφής, όχι τα αποθηκευμένα.
Μια απούσα εγγραφή Stop είναι αβεβαιότητα, όχι μόνιμη συνεδρία. Οι επανεκκινήσεις της πύλης, οι διακοπές του συλλέκτη και η απώλεια UDP αφήνουν κενά, οπότε η ειδοποίηση χρειάζεται μια διαδρομή συμφωνίας που ρωτά τον πίνακα ενεργών συνεδριών πριν κάποιος συμπεράνει ότι μια σήραγγα είναι ακόμη ενεργή.
Κρατήστε τον έλεγχο και την ειδοποίηση χωριστά
Η ροή ελέγχου και η ροή ειδοποιήσεων έχουν διαφορετικές δουλειές. Κρατήστε τις ακατέργαστες εγγραφές, συμπεριλαμβανομένων λογαριασμού, πύλης, αναγνωριστικού συνεδρίας, χρονοσφραγίδων και λόγου τερματισμού, ακόμη και όταν τα συνήθη emails ομαδοποιούνται, καταστέλλονται ή αποστέλλονται σε μια μικρή λίστα εφημερίας. Ένα κατώφλι σοβαρότητας είναι φίλτρο παράδοσης, όχι επιλογή του γεγονότος κύκλου ζωής που θέλατε να ανακοινώσετε.
Στείλτε το ελάχιστο πλαίσιο που χρειάζεται ο παραλήπτης για να βρει την προστατευμένη εγγραφή. Τα ονόματα λογαριασμών, οι εσωτερικές διευθύνσεις και οι λεπτομέρειες συνεδρίας είναι ευαίσθητα, και ένα email που προωθείται καλά είναι ένα email που διαρρέει καλά.
Στη συνέχεια αποδείξτε το από άκρη σε άκρη. Εκτελέστε μια κανονική σύνδεση και αποσύνδεση, μια επανασύνδεση, δύο ταυτόχρονες συνεδρίες και μια εξαναγκασμένη αποτυχία παράδοσης, και ιχνηλατήστε ένα γεγονός από την πύλη μέσω του συλλέκτη έως το παραδοθέν μήνυμα. Αν το email φτάσει χωρίς αναγνωριστικό συνεδρίας, το συμβόλαιο είναι ελλιπές. Αν δύο emails περιγράφουν μία συνεδρία, η συσχέτιση είναι σπασμένη. Κανένα από τα δύο προβλήματα δεν εμφανίζεται όταν το μόνο που δοκιμάζετε είναι ότι η παράδοση αλληλογραφίας λειτουργεί.