RADIUS-elszámolás kontra sikeres bejelentkezés: mit bizonyít mindegyik

Minden VPN-számlázási vitában két kérdés keveredik: kapott-e engedélyt ez a felhasználó a csatlakozásra, és mit tett valójában. Az elsőre a hitelesítés válaszol. A másodikhoz olyan elszámolási rekordok kellenek, amelyek elkezdődnek, frissülnek és véget érnek. A sikeres bejelentkezés az elsőt bizonyítja, és semmit sem mond a másodikról, ezért egy működő RADIUS-hitelesítés is üres használati jelentést eredményezhet.

Két különböző kérdés

A hitelesítés eldönti, elkezdődhet-e egy kapcsolat, és ítéletet ad vissza attribútumokkal, például egy címkészlettel vagy egy csoporttal. Az elszámolás rögzíti az ezután következő szolgáltatást, egy munkamenethez kötött eseménysorozatként.

Ugyanazon a protokollon és általában ugyanahhoz a kiszolgálóhoz jutnak el, és éppen ezért feltételezik az emberek, hogy az egyik a másikat jelenti.

Egy hozzáférési kérésben semmi sem hordozza a munkamenet időtartamát, és egy Stop-rekordban semmi sem dönti el újra, hogy a felhasználót fel kellett volna-e venni. Ha külön szerződésként kezeljük őket, láthatóvá válik az integrációs munka: az egyik útnak döntés kell, a másiknak életciklus kezdettel, középpel és véggel.

Mit ad a három rekordtípus

A Start-rekord megnyit egy munkamenetet, az Interim-Update tevékenységet jelent, amíg nyitva van, a Stop pedig bezárja. Mindhárom munkamenet-azonosítót hordoz, hogy a fogadó egyetlen szolgáltatáseseményhez kapcsolhassa őket.

Ez az azonosító az egyetlen megbízható kapocs köztük, mert ugyanaz a felhasználónév több munkamenetet tarthat egymás után vagy párhuzamosan. A tárolást köré tervezze, ne a fióknév köré.

Egy rekord nyugtázása más, mint jól tárolni azt. Az elszámolási specifikáció tiltja a nyugtázást, ha a rekordot nem sikerült megírni, tehát a válasz igenis elmondja, hogy a fogadó felelősséget vállalt. Azt viszont nem mondja meg, hogy a későbbi jelentéskészítő feladat, a műszerfal vagy a számlázási export megfelelően felhasználta-e.

Miért nem a felhasználónév a munkamenet

Egy személy reggel laptopról, délután telefonról csatlakozik, és mindkét munkamenet ugyanazt a fióknevet hordozza. Egy Stop párja nélkül érkező Start nem zárható le úgy, hogy megkeressük a nevet, és a legrégebbi nyitott sort választjuk.

Ez a rövidítés az, ahogyan a használati jelentések lehetetlen időtartamokra tesznek szert.

Tartsa a hálózati hozzáférési kiszolgáló identitását a munkamenet-azonosító mellett, mert két kiszolgáló ugyanazt az értéket különböző kontextusokban adhatja, és a kizárólag az azonosítóra épülő összefésülés össze nem tartozó munkameneteket kapcsolhat össze. Amikor egy munkamenet szabálytalanul ér véget, az egyeztetési szabályzatnak el kell döntenie, hogyan zárják le, és ez a döntés a tervezésbe tartozik, nem a havonta egyszer végzett kézi adatbázis-szerkesztésbe.

Hol illik bele a PAM és hol nem

Az OpenVPN hitelesítési beépülője meghívja a PAM hitelesítési és fiókkezelési szakaszait. A fiókszakasz a jogosultságot ellenőrzi; a neve nem használati elszámolást jelent, és a beépülő nem vezérli a PAM munkamenet-nyitó és -záró horgait.

Egyes PAM RADIUS-modulok elszámolási rekordokat tudnak küldeni ezeken a munkamenet-horgokon keresztül, és ez csak akkor működik, ha az alkalmazás valóban meghívja őket.

Egy ilyen modul hitelesítési veremhez adása tehát nem hoz létre bontási eseményeket. Ha a teljes életciklusra van szüksége, válasszon olyan integrációt, amely birtokolja: egy beépülőt vagy támogatott builde-et, amely Start-, Interim-Update- és Stop-rekordokat bocsát ki, ahogy a kapcsolat állapotot vált. Ellenőrizze a karbantartási állapotát és a dokumentált viselkedését, amikor a fogadó nem érhető el, mert egy rekordokat csendben eldobó beépülő pontosan úgy néz ki, mint amelyik soha nem küldte el őket. A elszámolási specifikáció határozza meg a rekordok szemantikáját, amelyet az integrációnak tiszteletben kell tartania.

Egy átvételi futás, amely bizonyítja a szerződést

Tesztelje a normál csatlakozást és bontást, majd az újracsatlakozást ugyanazon fiók alatt, majd egy bontás nélkül eltűnő klienst.

Kövessen végig egy munkamenet-azonosítót a létrehozástól a nyugtázáson át a tárolásig, és ellenőrizze a számlálók irányát, mértékegységét és interfészét. A címkézetlen bájtszámot később lehetetlen auditálni.

Végül erősítse meg, hogy az a munkamenet, amelyet a kiszolgálónak időtúllépés miatt be kellett zárnia, olyan formában jelenik meg, ahogyan a jelentés érti. Az a szerződés, amely csak a szabályos bontásokat fedi le, azokon a napokon vall kudarcot, amikor a legnagyobb szükség van rá.