RADIUS-arvestus vs edukas sisselogimine: mida kumbki tõestab

Igas VPN-i arveldusarutelus aetakse segi kaks küsimust: kas sellel kasutajal lubati ühenduda ja mida ta tegelikult tegi. Esimesele vastab autentimine. Teine nõuab arvestuskirjeid, mis algavad, uuenevad ja lõpevad. Edukas sisselogimine tõestab esimest ega ütle teise kohta midagi, mistõttu töötav RADIUS-autentimise seadistus võib ikkagi anda tühja kasutusaruande.

Kaks erinevat küsimust

Autentimine otsustab, kas ühendus võib alata, ja tagastab otsuse koos atribuutidega, nagu aadressipool või grupp. Arvestus registreerib teenuse, mis järgnes, ühe seansiga seotud sündmuste jadana.

Need liiguvad sama protokolli kaudu ja tavaliselt samasse serverisse, ja just seetõttu eeldavad inimesed, et üks tähendab teist.

Miski juurdepääsutaotluses ei kanna seansi kestust, ja miski kirjes Stop ei otsusta uuesti, kas kasutaja oleks pidanud lubatud saama. Nende käsitlemine eraldi lepingutena teeb integreerimistöö nähtavaks: üks tee vajab otsust, teine vajab elutsüklit alguse, keskpaiga ja lõpuga.

Mida kolm kirjetüüpi teile annavad

Kirje Start avab seansi, Interim-Update teatab tegevusest, kuni see on avatud, ja Stop sulgeb selle. Kõik kolm kannavad seansi identifikaatorit, et vastuvõtja saaks need siduda ühe teenusesündmusega.

See identifikaator on nende vahel ainus usaldusväärne side, sest sama kasutajanimi võib hoida mitut seanssi järjest või paralleelselt. Projekteerige salvestus selle ümber, mitte konto nime ümber.

Kirje kinnitamine on eri asi kui selle hea salvestamine. Arvestuse spetsifikatsioon keelab kinnitamise, kui kirjet ei saanud kirjutada, seega vastus ütleb teile, et vastuvõtja võttis vastutuse. See ei ütle, et hilisem aruandetöö, armatuurlaud või arvelduse eksport kasutas seda õigesti.

Miks kasutajanimi ei ole seanss

Üks inimene ühendub hommikul sülearvutist ja pärastlõunal telefonist ning mõlemad seansid kannavad sama konto nime. Kirjet Start, mis saabub ilma vastava Stopita, ei saa sulgeda nime otsimise ja vanima avatud rea valimisega.

See otsetee on viis, kuidas kasutusaruanded saavad võimatuid kestusi.

Hoidke võrgu juurdepääsuserva identiteeti seansi identifikaatori kõrval, sest kaks serverit võivad erinevates kontekstides määrata sama väärtuse ja üksnes identifikaatori järgi liitmine võib kokku panna omavahel seostamata seansid. Kui seanss lõpeb korrapäratult, peab lepitamispoliitika otsustama, kuidas see sulgeda, ja see otsus kuulub disaini, mitte kord kuus tehtavasse käsitsi andmebaasimuudatusse.

Kuhu PAM sobib ja kuhu mitte

OpenVPN-i autentimisplugin kutsub PAM-i autentimis- ja kontohaldusetappe. Kontoetapp kontrollib õigustatust; selle nimi ei tähenda kasutusarvestust ja plugin ei juhi PAM-i seansi avamise ja sulgemise konksusid.

Mõned PAM RADIUS-moodulid saavad saata arvestuskirjeid nende seansikonksude kaudu, ja see töötab ainult siis, kui rakendus neid tõesti kutsub.

Sellise mooduli lisamine autentimispinule ei loo seega katkestussündmusi. Kui vajate täielikku elutsüklit, valige integratsioon, mis seda omab: plugin või toetatud ehitis, mis saadab Start, Interim-Update ja Stop, kui ühenduse olek muutub. Kontrollige selle hooldusstaatust ja dokumenteeritud käitumist, kui vastuvõtja pole saadaval, sest plugin, mis kirjeid vaikselt kaotab, näeb välja täpselt nagu see, mis ei saatnud neid kunagi. Arvestuse spetsifikatsioon määratleb kirjete semantika, mida integratsioon peab järgima.

Vastuvõtukäik, mis tõestab lepingut

Testige tavalist ühendumist ja katkestamist, seejärel taasühendumist sama kontoga, seejärel klienti, mis kaob ilma katkestamata.

Jälgige üht seansi identifikaatorit loomisest kinnituse kaudu salvestamiseni ja kontrollige loendurite suunda, ühikuid ja liidest. Märgistamata baidiarvu ei ole hiljem võimalik auditeerida.

Lõpuks kinnitage, et seanss, mille server pidi aegumise tõttu lõpetama, on esitatud nii, nagu aruanne aru saab. Leping, mis katab ainult korrapäraseid katkestusi, on leping, mis ebaõnnestub päevadel, mil te seda kõige rohkem vajate.