RADIUS apskaita prieš sėkmingą prisijungimą: ką įrodo kiekvienas

Kiekvienoje VPN atsiskaitymo diskusijoje supainiojami du klausimai: ar šiam vartotojui buvo leista prisijungti, ir ką jis iš tikrųjų veikė. Į pirmąjį atsako autentifikacija. Antrasis reikalauja apskaitos įrašų, kurie prasideda, atnaujinami ir baigiasi. Sėkmingas prisijungimas įrodo pirmąjį ir nieko nesako apie antrąjį, todėl veikianti RADIUS autentifikacijos sąranka vis tiek gali sukurti tuščią naudojimo ataskaitą.

Du skirtingi klausimai

Autentifikacija nusprendžia, ar ryšys gali prasidėti, ir grąžina nuosprendį su atributais, pavyzdžiui, adresų telkiniu ar grupe. Apskaita užfiksuoja po to buvusią paslaugą kaip įvykių, susietų su viena sesija, seką.

Jie keliauja tuo pačiu protokolu ir paprastai į tą patį serverį, ir būtent todėl žmonės mano, kad vienas reiškia kitą.

Niekas prieigos užklausoje neturi sesijos trukmės, ir niekas Stop įraše iš naujo nenusprendžia, ar vartotojas turėjo būti priimtas. Traktuojant juos kaip atskiras sutartis, integravimo darbas tampa matomas: vienam keliui reikia sprendimo, kitam reikia gyvavimo ciklo su pradžia, viduriu ir pabaiga.

Ką duoda trys įrašų tipai

Start įrašas atidaro sesiją, Interim-Update praneša apie veiklą, kol ji atidaryta, o Stop ją uždaro. Visi trys turi sesijos identifikatorių, kad gavėjas galėtų juos susieti su vienu paslaugos įvykiu.

Tas identifikatorius yra vienintelis patikimas ryšys tarp jų, nes tas pats vartotojo vardas gali turėti keletą sesijų iš eilės arba lygiagrečiai. Projektuokite saugyklą aplink jį, o ne aplink paskyros pavadinimą.

Įrašo patvirtinimas yra atskiras dalykas nuo gero jo saugojimo. Apskaitos specifikacija draudžia patvirtinimą, kai įrašo nepavyko įrašyti, todėl atsakymas tikrai pasako, kad gavėjas prisiėmė atsakomybę. Jis nepasako, kad vėlesnė ataskaitų užduotis, prietaisų skydelis ar atsiskaitymų eksportas jį panaudojo teisingai.

Kodėl vartotojo vardas nėra sesija

Vienas žmogus ryte jungiasi iš nešiojamojo kompiuterio, o po pietų iš telefono, ir abi sesijos turi tą patį paskyros pavadinimą. Start, atėjęs be atitinkamo Stop, negali būti uždarytas ieškant pavadinimo ir pasirenkant seniausią atvirą eilutę.

Šis trumpinys yra būdas, kuriuo naudojimo ataskaitos įgyja neįmanomą trukmę.

Laikykite tinklo prieigos serverio tapatybę šalia sesijos identifikatoriaus, nes du serveriai gali priskirti tą pačią reikšmę skirtinguose kontekstuose, o sujungimas vien pagal identifikatorių gali sujungti nesusijusias sesijas. Kai sesija baigiasi netvarkingai, suderinimo politika turi nuspręsti, kaip ją uždaryti, ir tas sprendimas priklauso dizainui, o ne rankiniam duomenų bazės taisymui kartą per mėnesį.

Kur PAM tinka, o kur ne

OpenVPN autentifikacijos papildinys kviečia PAM autentifikacijos ir paskyrų valdymo etapus. Paskyros etapas tikrina tinkamumą; jo pavadinimas nereiškia naudojimo apskaitos, ir papildinys nevaldo PAM sesijos atidarymo ir uždarymo kabliukų.

Kai kurie PAM RADIUS moduliai gali siųsti apskaitos įrašus per tuos sesijos kabliukus, ir tai veikia tik tada, kai programa iš tikrųjų juos iškvietė.

Todėl tokio modulio pridėjimas prie autentifikacijos kamino nesukuria atsijungimo įvykių. Jei jums reikia viso gyvavimo ciklo, rinkitės integraciją, kuri jį turi: papildinį arba palaikomą rinkinį, kuris siunčia Start, Interim-Update ir Stop, kai ryšio būsena keičiasi. Patikrinkite jo priežiūros būseną ir dokumentuotą elgseną, kai gavėjas nepasiekiamas, nes papildinys, kuris tyliai meta įrašus, atrodo lygiai taip pat kaip tas, kuris jų niekada nesiuntė. Apskaitos specifikacija apibrėžia įrašų semantiką, kurios integracija turi laikytis.

Priėmimo bandymas, kuris įrodo sutartį

Išbandykite įprastą prisijungimą ir atsijungimą, tada pakartotinį prisijungimą su ta pačia paskyra, tada klientą, kuris dingsta neatsijungęs.

Sekite vieną sesijos identifikatorių nuo sukūrimo per patvirtinimą iki saugojimo ir patikrinkite skaitiklių kryptį, vienetus ir sąsają. Nepaženklinto baitų skaičiaus vėliau neįmanoma audituoti.

Galiausiai patvirtinkite, kad sesija, kurią serveriui teko uždaryti dėl skirtojo laiko, pateikiama taip, kaip ataskaita supranta. Sutartis, kuri apima tik tvarkingus atsijungimus, yra sutartis, kuri žlunga tomis dienomis, kai jos labiausiai reikia.