VPN-innskráningartilkynningar: hvaða atburður ætti í raun að kalla þær fram?
Árangursrík auðkenning, uppsett göng og RADIUS accounting Start eru þrjár mismunandi fullyrðingar. Veldu þá sem viðtakandinn þinn getur brugðist við, og tengdu þær svo saman.
Árangursrík auðkenning, uppsett göng og RADIUS accounting Start eru þrjár mismunandi fullyrðingar, og innskráningarpóstur þýðir ekkert fyrr en þú velur eina þeirra. Flestar hönnun VPN-tilkynninga blandar öllum þremur og framleiðir pósthólf sem enginn treystir. Ákvörðunin veltur á því hver les tilkynninguna og hvað hann getur gert á næstu fimm mínútum. Ef þetta fer úrskeiðis verður tilkynningin hávaði sem felur hinn eina atburð sem þú þurftir á að halda.
Þrjár spurningar ráða kveikjunni
Spurðu hver fær hana, hvað hann mun gera og hversu hratt aðgerðin verður að eiga sér stað. Öryggisteymi sem fylgist með misnotkun skilríkja vill mynstur mistekst og svo tekst frá einum reikningi innan nokkurra mínútna. Rekstrarteymi sem fylgist með afkastagetu vill lengd lotu og ástæður aftengingar, ekki innskráningar. Þjónustuborð vill auðkenni lotunnar svo það geti parað hana við miða.
Þessi svör benda á mismunandi atburði, og engin ein regla fullnægir öllum þremur. Ef aðgerð viðtakandans er „hringdu í notandann“ er auðkenning nóg. Ef aðgerðin er „fríaðu leyfi“ eða „staðfestu að göngin báru umferð“ dugar aðeins uppsetning eða accounting Start. Ef aðgerðin er „reikningsfærðu tímann“ þarftu Stop-færslur í stað innskráningar.
Skrifaðu svarið sem eina setningu áður en þú stillir eitthvað. „Þessi póstur segir vakthafandi verkfræðingi að reikningur X hafi opnað göng frá neti Y á tíma Z, svo hann geti athugað hvort viðhaldsglugginn var notaður.“ Ef þú getur ekki fyllt hvert hólf er kveikjan ekki valin ennþá.
Paraðu atburðinn við fullyrðinguna sem þú setur fram
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Taflan felur fylgni: hver röð er aðeins áreiðanleg ef gáttin sendir hana áreiðanlega og söfnunin þín varðveitir reitið sem þú þarft. Lestu skilgreiningu atburðarins fyrir nákvæmlega þá útgáfu sem þú keyrir, því nafnið „lota uppsett“ breytist milli útgáfa og merkingin breytist oftar en nafnið. Þegar skilgreining er óljós skaltu biðja um lotuupptöku í stað þess að giska út frá merkinu.
Að líta á Access-Accept sem lok alls sem á eftir kemur er algengasta mistökið. Það er dómur um skilríki, ekki lota. Spegilmyndarmistökið er að lesa reglulega samsvörun sem sönnun heimildar, þegar regla getur samsvarað og næsta skref getur samt mistekist.
Ein lota, ein tilkynning
Einn reikningur, nokkur tæki, endursendingar og endurtengingar: póstur fyrir hvern atburð verður rangur í báðar áttir, tvöfaldar eina lotu á meðan hann klýfur aðra. Lyklaðu tilkynninguna á gáttina auk auðkennis lotu, og meðhöndlaðu nafn reikningsins sem eigindi en ekki lykil. Notandi með fartölvu og síma getur haft tvö göng í einu, og bæði eiga skilið sína eigin línu.
Endursendar bókhaldsfærslur eru eðlilegar, svo fjarlægðu tvítekningar á auðkenni lotu og tímastimpli áður en skilaboðin eru birt. Samfelldar lotur frá sama tæki ættu að haldast aðskildar, og endurtenging í viðhaldsglugga ætti að vera sýnileg í stað þess að falla inn í þá fyrri. Ef söfnunin þín endurskrifar tímastimpla við inntöku skaltu fjarlægja tvítekningar út frá reitum upprunalegu færslunnar, ekki þeim geymdu.
Vantar Stop-færslu er óvissa, ekki varanleg lota. Endurræsingar gáttarinnar, bilanir í söfnun og UDP-tap skilja öll eftir sig eyður, svo tilkynningin þarf sáttaleið sem spyr lifandi lotutöfluna áður en einhver ályktar að göngin séu enn uppi.
Haltu endurskoðun og tilkynningu aðskildum
Endurskoðunarstraumurinn og tilkynningastraumurinn hafa mismunandi hlutverk. Varðveittu hráu færslurnar, þar á meðal reikning, gátt, auðkenni lotu, tímastimpla og ástæðu lokunar, jafnvel þegar venjubundnir póstar eru flokkaðir, bældir eða sendir á lítinn vakta lista. Alvarleikamörk eru afhendingarsía, ekki val á lífsferilsatburðinum sem þú ætlaðir að tilkynna.
Sendu lágmarkssamhengið sem viðtakandinn þarf til að finna verndaðu færsluna. Reikningsnöfn, innri heimilisföng og smáatriði lotu eru viðkvæm, og póstur sem sendist vel áfram er póstur sem lekur vel.
Sannaðu það svo frá upphafi til enda. Keyrðu venjulega inn- og útskráningu, endurtengingu, tvær samtímis lotur og þvingaða afhendingarbilun, og rekjaðu einn atburð frá gáttinni í gegnum söfnunina til afhentu skilaboðanna. Ef pósturinn berst án auðkennis lotu er samningurinn ófullkominn. Ef tveir póstar lýsa einni lotu er fylgnin brotin. Hvorugt vandamálið kemur í ljós þegar það eina sem þú prófar er að póstafhending virki.