VPN-i sisselogimisteated: milline sündmus peaks need tegelikult käivitama?
Autentimise õnnestumine, loodud tunnel ja RADIUS accounting Start on kolm erinevat väidet. Valige see, mille peale teie adressaat saab tegutseda, ja seejärel korreleerige need.
Autentimise õnnestumine, loodud tunnel ja RADIUS accounting Start on kolm erinevat väidet ning sisselogimise e-kiri tähendab midagi alles siis, kui valite ühe neist. Enamik VPN-teadete kujundusi segab kõiki kolme ja loob postkasti, mida keegi ei usalda. Otsus sõltub sellest, kes teadet loeb ja mida ta järgmise viie minuti jooksul teha saab. Kui selle valesti teete, muutub teade müraks, mis varjab ainsa sündmuse, mida vajasite.
Kolm küsimust otsustavad vallandaja
Küsige, kes selle saab, mida ta teeb ja kui kiiresti peab tegevus toimuma. Mandaatide väärkasutust jälgiv turbemeeskond tahab ühest kontost mõne minuti jooksul mustrit ebaõnnestumine ja seejärel õnnestumine. Võimsust jälgiv operatsioonimeeskond tahab sessiooni kestust ja katkestamise põhjuseid, mitte sisselogimisi. Kasutajetugi tahab sessiooni identiteeti, et seda piletiga siduda.
Need vastused osutavad erinevatele sündmustele ja ükski reegel ei rahulda kõiki kolme. Kui adressaadi tegevus on „helista kasutajale“, piisab autentimisest. Kui tegevus on „vabasta litsents“ või „kontrolli, kas tunnel kandis liiklust“, sobib ainult loomine või accounting Start. Kui tegevus on „arvesta aeg“, vajate sisselogimise asemel Stop-kirjeid.
Kirjutage vastus ühe lausena, enne kui midagi seadistate. „See e-kiri ütleb valvesolevale insenerile, et konto X avas tunnelist võrgust Y ajal Z, et ta saaks kontrollida, kas hooldusakent kasutati.“ Kui te ei suuda iga kohta täita, ei ole vallandaja veel valitud.
Sobitage sündmus väitega, mille esitate
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Tabel varjab sõltuvust: iga rida on usaldusväärne ainult siis, kui lüüs edastab selle usaldusväärselt ja teie koguja hoiab vajalikku välja. Lugege sündmuse määratlust täpselt selle väljalaske jaoks, mida kasutate, sest nimi „sessioon loodud“ muutub versioonide vahel ja tähendus muutub sagedamini kui nimi. Kui määratlus on ebamäärane, paluge sessiooni salvestust, mitte ärge oletage sildi põhjal.
Access-Accept'i käsitlemine kõige selle lõpetamisena, mis järgneb, on kõige levinum viga. See on otsus mandaatide kohta, mitte sessioon. Peegelviga on lugeda poliitika vastet autoriseerimise tõendiks, kui reegel võib sobida ja järgmine samm võib siiski ebaõnnestuda.
Üks sessioon, üks teavitus
Üks konto, mitu seadet, kordused ja taasthendused: e-kiri iga sündmuse kohta on vale mõlemas suunas, dubleerides ühte sessiooni ja lõhestades teist. Võtke teavitus lüüsi pluss sessiooni identifikaatori alusel ning käsitlege konto nime atribuudina, mitte võtmena. Sülearvuti ja telefoniga kasutaja võib hoida korraga kahte tunnelit ja mõlemad väärivad oma rida.
Korduvalt edastatud raamatupidamiskirjed on tavalised, seega eemaldage duplikaadid sessiooni id ja ajatempli järgi enne sõnumi kuvamist. Sama seadme järjestikused sessioonid peaksid jääma eraldi ja hooldusakna ajal toimuv taasthendus peaks jääma nähtavaks, mitte sulanduma eelmisesse. Kui teie koguja kirjutab vastuvõtul ajatempleid ümber, eemaldage duplikaadid algse kirje väljade, mitte salvestatud väljade järgi.
Puuduv Stop-kirje on ebakindlus, mitte püsiv sessioon. Lüüsi taaskäivitused, koguja katkestused ja UDP kadu jätavad lünki, seega vajab teade vastavusseviimise teed, mis pärib aktiivsete sessioonide tabelit enne, kui keegi järeldab, et tunnel on endiselt püsti.
Hoidke audit ja teavitamine lahus
Auditi voog ja teadete voog on erinevad tööd. Säilitage toorkirjed, sealhulgas konto, lüüs, sessiooni id, ajatemplid ja lõpetamise põhjus, isegi kui rutiinsed e-kirjad grupeeritakse, surutakse maha või saadetakse väikesele valvesolevale nimekirjale. Tõsiduse lävi on kohaletoimetamise filter, mitte teie teatatava elutsükli sündmuse valik.
Saatke minimaalne kontekst, mida adressaat vajab kaitstud kirje leidmiseks. Kontode nimed, sisemised aadressid ja sessiooni üksikasjad on tundlikud ning hästi edasisaadetav e-kiri on hästi lekkiv e-kiri.
Seejärel tõestage seda otsast lõpuni. Käivitage tavaline sisselogimine ja väljalogimine, taasthendus, kaks samaaegset sessiooni ja sunnitud kohaletoimetamise tõrge ning jälgige üht sündmust lüüsist koguja kaudu kohaletoimetatud sõnumini. Kui e-kiri saabub ilma sessiooni id-ta, on leping puudulik. Kui kaks e-kirja kirjeldavad üht sessiooni, on korrelatsioon katki. Kumbki probleem ei ilmne, kui ainus, mida testite, on see, et posti kohaletoimetamine töötab.