RADIUS uzskaite pret veiksmīgu pieteikšanos: ko katra pierāda

Katrā VPN norēķinu diskusijā tiek sajaukti divi jautājumi: vai šim lietotājam bija atļauts pievienoties un ko viņš faktiski darīja. Uz pirmo atbild autentifikācija. Otrajam nepieciešami uzskaites ieraksti, kas sākas, atjaunojas un beidzas. Veiksmīga pieteikšanās pierāda pirmo un neko nesaka par otro, tāpēc strādājoša RADIUS autentifikācijas konfigurācija joprojām var radīt tukšu lietojuma atskaiti.

Divi dažādi jautājumi

Autentifikācija izlemj, vai savienojums drīkst sākties, un tā atgriež spriedumu kopā ar atribūtiem, piemēram, adrešu kopu vai grupu. Uzskaite reģistrē sekojošo pakalpojumu kā ar vienu sesiju saistītu notikumu secību.

Tie ceļo pa vienu un to pašu protokolu un parasti uz vienu un to pašu serveri, un tieši tāpēc cilvēki pieņem, ka viens nozīmē otru.

Nekas piekļuves pieprasījumā nenes sesijas ilgumu, un nekas Stop ierakstā no jauna neizlemj, vai lietotājs būtu bijis jāuzņem. Uzlūkojot tos kā atsevišķus līgumus, integrācijas darbs kļūst redzams: vienam ceļam vajadzīgs lēmums, otram dzīves cikls ar sākumu, vidu un beigām.

Ko dod trīs ierakstu veidi

Start ieraksts atver sesiju, Interim-Update ziņo par aktivitāti, kamēr tā ir atvērta, un Stop to aizver. Visi trīs nes sesijas identifikatoru, lai saņēmējs varētu tos saistīt ar vienu pakalpojuma notikumu.

Šis identifikators ir vienīgā uzticamā saite starp tiem, jo viens un tas pats lietotājvārds var turēt vairākas sesijas pēc kārtas vai paralēli. Projektējiet glabāšanu ap to, nevis ap konta nosaukumu.

Ieraksta apstiprināšana ir kas cits nekā laba tā glabāšana. Uzskaites specifikācija aizliedz apstiprinājumu, ja ierakstu nevarēja ierakstīt, tāpēc atbilde tiešām pasaka, ka saņēmējs uzņēmās atbildību. Tā nepasaka, ka vēlākais atskaišu darbs, panelis vai norēķinu eksports to izmantoja pareizi.

Kāpēc lietotājvārds nav sesija

Viens cilvēks no rīta pieslēdzas no klēpjdatora un pēcpusdienā no tālruņa, un abas sesijas nes to pašu konta nosaukumu. Start, kas ierodas bez atbilstošā Stop, nevar aizvērt, meklējot nosaukumu un izvēloties vecāko atvērto rindu.

Šis saīsinājums ir veids, kā lietojuma atskaites iegūst neiespējamu ilgumu.

Turiet tīkla piekļuves servera identitāti līdzās sesijas identifikatoram, jo divi serveri var piešķirt vienu un to pašu vērtību dažādos kontekstos, un apvienošana tikai pēc identifikatora var savienot nesaistītas sesijas. Kad sesija beidzas nekārtīgi, saskaņošanas politikai jāizlemj, kā to aizvērt, un šis lēmums pieder dizainam, nevis manuālai datubāzes labošanai reizi mēnesī.

Kur PAM iederas un kur ne

OpenVPN autentifikācijas spraudnis izsauc PAM autentifikācijas un kontu pārvaldības posmus. Konta posms pārbauda atbilstību; tā nosaukums nenozīmē lietojuma uzskaiti, un spraudnis nevada PAM sesijas atvēršanas un aizvēršanas āķus.

Daži PAM RADIUS moduļi var sūtīt uzskaites ierakstus pa šiem sesijas āķiem, un tas darbojas tikai tad, kad lietojumprogramma tos patiešām izsauc.

Tāpēc šāda moduļa pievienošana autentifikācijas steķim nerada atvienošanas notikumus. Ja jums vajadzīgs pilns dzīves cikls, izvēlieties integrāciju, kurai tas pieder: spraudni vai atbalstītu būvējumu, kas izdod Start, Interim-Update un Stop, kad savienojuma stāvoklis mainās. Pārbaudiet tā uzturēšanas statusu un dokumentēto uzvedību, kad saņēmējs nav pieejams, jo spraudnis, kas klusi nomet ierakstus, izskatās tieši tāpat kā tāds, kas tos nekad nav nosūtījis. Uzskaites specifikācija definē ierakstu semantiku, kas integrācijai jāievēro.

Pieņemšanas tests, kas pierāda līgumu

Pārbaudiet parastu pievienošanos un atvienošanos, pēc tam atkārtotu pievienošanos ar to pašu kontu, pēc tam klientu, kas pazūd, neatvienojoties.

Izsekojiet vienu sesijas identifikatoru no izveides caur apstiprinājumu līdz glabāšanai un pārbaudiet skaitītāju virzienu, mērvienības un saskarni. Neapzīmētu baitu skaitu vēlāk nav iespējams auditēt.

Visbeidzot, pārliecinieties, ka sesija, kuru serverim nācās aizvērt taimauta dēļ, ir attēlota tā, kā atskaite to saprot. Līgums, kas aptver tikai kārtīgas atvienošanās, ir līgums, kas sabrūk tajās dienās, kad tas visvairāk vajadzīgs.