RADIUS есебі мен сәтті кіру: қайсысы нені дәлелдейді

VPN төлемі туралы әр әңгімеде екі сұрақ шатастырылады: бұл пайдаланушыға қосылуға рұқсат етілді ме және ол шын мәнінде не істеді. Біріншісіне аутентификация жауап береді. Екіншісіне басталатын, жаңаратын және аяқталатын есеп жазбалары қажет. Сәтті кіру біріншісін дәлелдейді және екіншісі туралы ештеңе айтпайды, сондықтан жұмыс істеп тұрған RADIUS аутентификациясы бос пайдалану есебін шығара алады.

Екі түрлі сұрақ

Аутентификация қосылыстың басталуына болатынын шешеді және мекенжай пулы немесе топ сияқты атрибуттармен бірге үкім қайтарады. Есепке алу кейін болған қызметті бір сессияға байланған оқиғалар тізбегі ретінде жазады.

Олар бір протокол арқылы және әдетте бір серверге барады, сол себепті адамдар бірі екіншісін білдіреді деп ойлайды.

Қатынау сұранысында сессияның ұзақтығы жоқ, ал Stop жазбасында пайдаланушыны қабылдау керек пе деген қайта шешім жоқ. Оларды бөлек шарт ретінде қарастыру интеграция жұмысын көрнекі етеді: бір жолға шешім керек, екіншісіне басы, ортасы және соңы бар өмірлік цикл керек.

Үш жазба түрі не береді

Start жазбасы сессияны ашады, Interim-Update ол ашық тұрғанда белсенділік туралы хабарлайды, ал Stop оны жабады. Үшеуі де сессия идентификаторын алып жүреді, сондықтан қабылдаушы оларды бір қызмет оқиғасына байланыстыра алады.

Бұл идентификатор олардың арасындағы жалғыз сенімді байланыс, өйткені бір пайдаланушы аты қатарынан немесе қатарлас бірнеше сессияға ие болуы мүмкін. Сақтауды шот атының айналасында емес, сол идентификатордың айналасында жобалаңыз.

Жазбаны растау оны жақсы сақтаудан бөлек мәселе. Есепке алу спецификациясы жазбаны жазу мүмкін болмағанда растауға тыйым салады, сондықтан жауап қабылдаушының жауапкершілікті алғанын шынымен айтады. Бірақ кейінгі есеп беру жұмысы, бақылау тақтасы немесе төлем экспорты оны дұрыс пайдаланғанын айтпайды.

Неге пайдаланушы аты сессия емес

Бір адам таңертең ноутбуктен, түстен кейін телефоннан қосылады, ал екі сессия да бір шот атын алып жүреді. Сәйкес Stop жоқ Start-ты атауды іздеп, ең ескі ашық жолды таңдау арқылы жабу мүмкін емес.

Сол қысқа жол пайдалану есептеріне мүмкін емес ұзақтықтың келу жолы.

Желіге қатынау серверінің идентитігін сессия идентификаторының қасында ұстаңыз, өйткені екі сервер бірдей мәнді түрлі контексте бере алады және тек идентификатор бойынша біріктіру байланыссыз сессияларды қосуы мүмкін. Сессия ретсіз аяқталғанда, келістіру саясаты оны қалай жабу керектігін шешуі керек, және бұл шешім дизайнға тиесілі, айына бір рет жасалатын қолмен дерекқорды өңдеуге емес.

PAM қайда сәйкес келеді және қайда жоқ

OpenVPN аутентификация плагині PAM-ның аутентификация және шотты басқару кезеңдерін шақырады. Шот кезеңі жарамдылықты тексереді; оның аты пайдалану есебін білдірмейді, және плагин PAM-ның сессия ашу және жабу ілмектерін басқармайды.

Кейбір PAM RADIUS модульдері есеп жазбаларын сол сессия ілмектері арқылы жібере алады, және бұл қолданба оларды шынымен шақырғанда ғана жұмыс істейді.

Сондықтан мұндай модульді аутентификация стекіне қосу ажырату оқиғаларын тудырмайды. Егер толық өмірлік цикл керек болса, оны иемденетін интеграция таңдаңыз: қосылым күйі өзгергенде Start, Interim-Update және Stop шығаратын плагин немесе қолдау көрсетілген құрастырма. Оның қызмет көрсету мәртебесін және қабылдаушы қолжетімсіз болғандағы құжатталған мінез-құлқын тексеріңіз, өйткені жазбаларды үнсіз тастайтын плагин оларды ешқашан жібермеген плагинге дәл ұқсайды. Есепке алу спецификациясы интеграция ұстануға тиіс жазба семантикасын анықтайды.

Шартты дәлелдейтін қабылдау жүрісі

Қалыпты қосылу мен ажыратуды, содан кейін сол шот аясында қайта қосылуды, содан кейін ажыратпай жоғалып кететін клиентті сынап көріңіз.

Бір сессия идентификаторын жасалудан растау арқылы сақтауға дейін қадағалаңыз және санауыштардың бағытын, бірліктерін және интерфейсін тексеріңіз. Белгісіз байт санын кейін аудиттеу мүмкін емес.

Соңында, сервер уақыт біткендіктен жабуға мәжбүр болған сессияның есеп түсінетін түрде ұсынылғанын растаңыз. Тек ретті ажыратуларды қамтитын шарт — ең қажет күндері сәтсіздікке ұшырайтын шарт.