RADIUS книговодство наспроти успешна најава: што докажува секое

Во секоја дискусија за наплата на VPN се мешаат две прашања: дали на овој корисник му било дозволено да се поврзе и што навистина направил. На првото одговара автентикацијата. Второто бара книговодствени записи што започнуваат, се ажурираат и завршуваат. Успешната најава го докажува првото и не кажува ништо за второто, затоа работна поставка за автентикација со RADIUS сепак може да создаде празен извештај за користење.

Две различни прашања

Автентикацијата одлучува дали врската смее да започне, и враќа пресуда заедно со атрибути како базен на адреси или група. Книговодството ја запишува услугата што следела, како низа настани поврзани со една сесија.

Тие патуваат по истиот протокол и обично до истиот сервер, и токму затоа луѓето претпоставуваат дека едното го подразбира другото.

Ништо во барањето за пристап не ја носи должината на сесијата, и ништо во записот Stop не одлучува повторно дали корисникот требало да биде примен. Третирањето како одделни договори ја прави работата на интеграцијата видлива: едната патека бара одлука, другата бара животен циклус со почеток, средина и крај.

Што даваат трите типа записи

Записот Start отвора сесија, Interim-Update известува за активност додека е отворена, а Stop ја затвора. Сите три носат идентификатор на сесија за да може примачот да ги поврзе со еден настан на услугата.

Тој идентификатор е единствената сигурна врска меѓу нив, бидејќи истото корисничко име може да има повеќе сесии последователно или паралелно. Дизајнирајте го складирањето околу него, а не околу името на сметката.

Потврдувањето на запис е одделно прашање од неговото добро чување. Спецификацијата за книговодство ја забранува потврдата кога записот не можел да се запише, па одговорот навистина ви кажува дека примачот ја презел одговорноста. Не ви кажува дека подоцнежната задача за извештаи, таблата или извозот за наплата го искористиле правилно.

Зошто корисничкото име не е сесијата

Едно лице се поврзува од преносен сметач наутро и од телефон попладне, и двете сесии го носат истото име на сметка. Записот Start што пристигнува без соодветниот Stop не може да се затвори со пребарување на името и избирање на најстариот отворен ред.

Тој кратен пат е начинот на кој извештаите за користење добиваат невозможни времетраења.

Чувајте го идентитетот на серверот за мрежен пристап покрај идентификаторот на сесијата, бидејќи два сервера можат да доделат иста вредност во различни контексти и спојување само по идентификаторот може да поврзе неповрзани сесии. Кога сесијата завршува неуредно, политиката за усогласување мора да одлучи како да ја затвори, и таа одлука припаѓа на дизајнот, а не на рачно уредување на базата што се прави еднаш месечно.

Каде PAM се вклопува, а каде не

Приклучокот за автентикација на OpenVPN ги повикува фазите на автентикација и управување со сметки на PAM. Фазата на сметката ја проверува подобноста; нејзиното име не значи книговодство за користење, и приклучокот не ги управува куките за отворање и затворање на сесијата на PAM.

Некои модули PAM RADIUS можат да испраќаат книговодствени записи преку тие куки за сесија, и тоа работи само кога апликацијата навистина ги повикува.

Затоа додавањето на таков модул во стек за автентикација не создава настани за отстранување. Ако ви треба целиот животен циклус, изберете интеграција што го поседува: приклучок или поддржана изработка што испушта Start, Interim-Update и Stop како што врската менува состојба. Проверете го нејзиниот статус на одржување и документираното однесување кога примачот е недостапен, бидејќи приклучок што тивко исфрла записи изгледа исто како оној што никогаш не ги испратил. Спецификацијата за книговодство ја дефинира семантиката на записите што интеграцијата мора да ја почитува.

Приемно извршување што го докажува договорот

Тестирајте нормално поврзување и исклучување, потоа повторно поврзување под истата сметка, потоа клиент што исчезнува без исклучување.

Следете еден идентификатор на сесија од создавањето преку потврдата до складирањето, и проверете го правецот, единиците и интерфејсот на бројачите. Неозначен број на бајти е невозможно да се ревидира подоцна.

Најпосле, потврдете дека сесијата што серверот морал да ја затвори поради истекување на времето е претставена на начин што извештајот го разбира. Договор што покрива само уредни исклучувања е договор што откажува во деновите кога најмногу ви треба.