VPN-ში შესვლის შეტყობინებები: რომელმა მოვლენამ უნდა გამოიწვიოს ისინი რეალურად?
ავთენტიფიკაციის წარმატება, დადგენილი გვირაბი და RADIUS accounting Start სამი განსხვავებული მტკიცებაა. აირჩიეთ ის, რაზეც თქვენს მიმღებს შეუძლია იმოქმედოს, შემდეგ კი დააკავშირეთ ისინი.
ავთენტიფიკაციის წარმატება, დადგენილი გვირაბი და RADIUS accounting Start სამი განსხვავებული მტკიცებაა, და შესვლის წერილი მნიშვნელობას მხოლოდ მაშინ იძენს, როცა ერთ-ერთს აირჩევთ. VPN-ის შეტყობინებების უმეტესი დიზაინი სამივეს ურევს და ქმნის ფოსტის ყუთს, რომელსაც არავინ ენდობა. გადაწყვეტილება დამოკიდებულია იმაზე, ვინ კითხულობს შეტყობინებას და რისი გაკეთება შეუძლია მომდევნო ხუთ წუთში. თუ ეს შეცდომით გააკეთეთ, შეტყობინება ხმაურად იქცევა, რომელიც მალავს ერთადერთ მოვლენას, რაც გჭირდებოდათ.
სამი კითხვა განსაზღვრავს გამომწვევს
იკითხეთ, ვინ მიიღებს მას, რას გააკეთებს და რამდენად სწრაფად უნდა მოხდეს მოქმედება. უსაფრთხოების გუნდი, რომელიც სერთიფიკატების ბოროტად გამოყენებას აკვირდება, ერთი ანგარიშიდან წუთებში წარუმატებლობის და შემდეგ წარმატების ნიმუშს ეძებს. ოპერაციების გუნდი, რომელიც ტევადობას აკვირდება, სესიის ხანგრძლივობას და გათიშვის მიზეზებს ეძებს, არა შესვლებს. დახმარების მაგიდას სესიის იდენტობა სჭირდება, რომ ის ბილეთს შეადაროს.
ეს პასუხები სხვადასხვა მოვლენაზე მიუთითებს და არც ერთი წესი არ აკმაყოფილებს სამივეს. თუ მიმღების მოქმედებაა «დაურეკე მომხმარებელს», ავთენტიფიკაცია საკმარისია. თუ მოქმედებაა «გაათავისუფლე ლიცენზია» ან «შეამოწმე, გადაიტანა თუ არა გვირაბმა ტრაფიკი», მხოლოდ დადგენა ან accounting Start გამოდგება. თუ მოქმედებაა «დაარიცხე დრო», შესვლის ნაცვლად Stop ჩანაწერები გჭირდებათ.
დაწერეთ პასუხი ერთ წინადადებად, სანამ რამეს დააკონფიგურირებთ. «ეს წერილი მორიგე ინჟინერს ატყობინებს, რომ ანგარიშმა X გახსნა გვირაბი Y ქსელიდან Z დროს, რათა მან შეამოწმოს, გამოიყენეს თუ არა ტექნიკური მომსახურების ფანჯარა.» თუ ყველა უჯრას ვერ ავსებთ, გამომწვევი ჯერ არ არის არჩეული.
შეუსაბამეთ მოვლენა იმ მტკიცებას, რომელსაც აკეთებთ
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
ცხრილი მალავს დამოკიდებულებას: ყოველი სტრიქონი სანდოა მხოლოდ მაშინ, თუ კარიბჭე მას საიმედოდ გამოსცემს და თქვენი შემგროვებელი ინახავს თქვენთვის საჭირო ველს. წაიკითხეთ მოვლენის განმარტება ზუსტად იმ ვერსიისთვის, რომელსაც ამუშავებთ, რადგან სახელი «სესია დადგენილია» ვერსიებს შორის იცვლება და მნიშვნელობა სახელზე უფრო ხშირად იცვლება. როცა განმარტება ბუნდოვანია, მოითხოვეთ სესიის ჩაწერა და ნუ გამოიცნობთ ეტიკეტიდან.
Access-Accept-ის აღქმა როგორც ყველაფრის დასრულება, რაც მის შემდეგ მოდის, ყველაზე გავრცელებული შეცდომაა. ეს სერთიფიკატებზე გადაწყვეტილებაა, არა სესია. სარკული შეცდომაა პოლიტიკის დამთხვევის ავტორიზაციის მტკიცებულებად წაკითხვა, როცა წესი შეიძლება დაემთხვეს და შემდეგი ნაბიჯი მაინც ვერ შესრულდეს.
ერთი სესია, ერთი შეტყობინება
ერთი ანგარიში, რამდენიმე მოწყობილობა, ხელახალი გაგზავნები და ხელახალი დაკავშირებები: თითო შეტყობინება თითო მოვლენაზე ორივე მიმართულებით მცდარი იქნება, ერთ სესიას გააორმაგებს და მეორეს გაყოფს. შეტყობინების გასაღები გახადეთ კარიბჭე პლუს სესიის იდენტიფიკატორი, და ანგარიშის სახელს მოექეცით როგორც ატრიბუტს და არა გასაღებს. მომხმარებელს, რომელსაც ლეპტოპი და ტელეფონი აქვს, შეიძლება ერთდროულად ორი გვირაბი ჰქონდეს, და ორივე თავის სტრიქონს იმსახურებს.
ხელახლა გაგზავნილი აღრიცხვის ჩანაწერები ნორმალურია, ამიტომ შეტყობინების ჩვენებამდე წაშალეთ დუბლიკატები სესიის id-ისა და დროის ნიშნის მიხედვით. ერთი და იმავე მოწყობილობიდან თანმიმდევრული სესიები ცალკე უნდა დარჩეს, და ტექნიკური მომსახურების ფანჯრის დროს ხელახალი დაკავშირება ხილვადი უნდა დარჩეს, ნაცვლად წინაში ჩაშლისა. თუ თქვენი შემგროვებელი მიღებისას გადაწერს დროის ნიშნებს, წაშალეთ დუბლიკატები ორიგინალი ჩანაწერის ველებით და არა შენახულით.
დაკარგული Stop ჩანაწერი გაურკვევლობაა და არა მუდმივი სესია. კარიბჭის გადატვირთვები, შემგროვებლის შეფერხებები და UDP-ის დაკარგვა ყველა ხარვეზებს ტოვებს, ამიტომ შეტყობინებას სჭირდება შეჯერების გზა, რომელიც ცოცხალი სესიების ცხრილს ეკითხება, სანამ ვინმე დაასკვნის, რომ გვირაბი ჯერ კიდევ მუშაობს.
გამოყავით აუდიტი და შეტყობინება
აუდიტის ნაკადსა და შეტყობინებების ნაკადს სხვადასხვა ამოცანა აქვს. შეინახეთ ნედლი ჩანაწერები, მათ შორის ანგარიში, კარიბჭე, სესიის id, დროის ნიშნები და შეწყვეტის მიზეზი, მაშინაც კი, როცა რუტინული წერილები ჯგუფდება, ითრგუნება ან იგზავნება პატარა მორიგე სიაში. სიმძიმის ზღვარი მიწოდების ფილტრია და არა იმ სასიცოცხლო ციკლის მოვლენის შერჩევა, რომლის გამოცხადებაც გინდოდათ.
გაგზავნეთ მინიმალური კონტექსტი, რომელიც მიმღებს დაცული ჩანაწერის საპოვნელად სჭირდება. ანგარიშის სახელები, შიდა მისამართები და სესიის დეტალები მგრძნობიარეა, და კარგად გადასაგზავნი წერილი კარგად გაჟონვადი წერილია.
შემდეგ დაამტკიცეთ ეს თავიდან ბოლომდე. გაუშვით ჩვეულებრივი შესვლა და გასვლა, ხელახალი დაკავშირება, ორი ერთდროული სესია და იძულებითი მიწოდების ჩავარდნა, და თვალყური ადევნეთ ერთ მოვლენას კარიბჭიდან შემგროვებლის გავლით მიწოდებულ შეტყობინებამდე. თუ წერილი სესიის id-ის გარეშე მოვა, ხელშეკრულება არასრულია. თუ ორი წერილი ერთ სესიას აღწერს, კორელაცია გატეხილია. არც ერთი პრობლემა არ ვლინდება, როცა ერთადერთი, რასაც ამოწმებთ, ფოსტის მიწოდების მუშაობაა.