Perakaunan RADIUS berbanding log masuk berjaya: apa yang dibuktikan setiap satu

Dua soalan bercampur dalam setiap perbincangan pengebilan VPN: adakah pengguna ini dibenarkan menyambung, dan apa yang sebenarnya dilakukannya. Soalan pertama dijawab oleh pengesahan. Yang kedua memerlukan rekod perakaunan yang bermula, dikemas kini dan berakhir. Log masuk yang berjaya membuktikan yang pertama dan tidak berkata apa-apa tentang yang kedua, sebab itu tetapan pengesahan RADIUS yang berfungsi masih boleh menghasilkan laporan penggunaan kosong.

Dua soalan berbeza

Pengesahan menentukan sama ada sambungan boleh bermula, dan ia mengembalikan keputusan berserta atribut seperti kumpulan alamat atau kumpulan. Perakaunan merekodkan perkhidmatan yang menyusul, sebagai urutan peristiwa yang terikat pada satu sesi.

Kedua-duanya melalui protokol yang sama dan biasanya ke pelayan yang sama, dan itulah sebabnya orang menganggap satu membayangkan yang lain.

Tiada apa-apa dalam permintaan akses membawa tempoh sesi, dan tiada apa-apa dalam rekod Stop menentukan semula sama ada pengguna sepatutnya diterima. Menganggapnya sebagai kontrak berasingan menjadikan kerja integrasi kelihatan: satu laluan memerlukan keputusan, yang lain memerlukan kitaran hayat dengan permulaan, pertengahan dan pengakhiran.

Apa yang diberikan tiga jenis rekod

Rekod Start membuka sesi, Interim-Update melaporkan aktiviti semasa ia terbuka, dan Stop menutupnya. Ketiga-tiganya membawa pengecam sesi supaya penerima dapat menghubungkannya dengan satu peristiwa perkhidmatan.

Pengecam itu ialah satu-satunya pautan yang boleh dipercayai antara mereka, kerana nama pengguna yang sama mungkin memegang beberapa sesi berturut-turut atau selari. Reka bentuk storan di sekelilingnya, bukan di sekeliling nama akaun.

Mengakui sesuatu rekod adalah perkara berbeza daripada menyimpannya dengan baik. Spesifikasi perakaunan melarang pengakuan apabila rekod tidak dapat ditulis, jadi respons memang memberitahu anda bahawa penerima menerima tanggungjawab. Ia tidak memberitahu anda bahawa tugas pelaporan kemudian, papan pemuka atau eksport pengebilan menggunakannya dengan betul.

Mengapa nama pengguna bukan sesi

Seorang menghubung dari komputer riba pada waktu pagi dan telefon pada waktu petang, dan kedua-dua sesi membawa nama akaun yang sama. Start yang tiba tanpa Stop yang sepadan tidak boleh ditutup dengan mencari nama dan memilih baris terbuka yang paling lama.

Jalan pintas itulah cara laporan penggunaan memperoleh tempoh yang mustahil.

Kekalkan identiti pelayan akses rangkaian di samping pengecam sesi, kerana dua pelayan boleh memberikan nilai yang sama dalam konteks berbeza dan penggabungan hanya pada pengecam boleh menyatukan sesi yang tidak berkaitan. Apabila sesi berakhir secara tidak teratur, dasar penyelarasan mesti memutuskan cara menutupnya, dan keputusan itu tergolong dalam reka bentuk, bukan dalam suntingan pangkalan data manual yang dibuat sebulan sekali.

Di mana PAM sesuai dan di mana tidak

Pemalam pengesahan OpenVPN memanggil peringkat pengesahan dan pengurusan akaun PAM. Peringkat akaun memeriksa kelayakan; namanya tidak bermaksud perakaunan penggunaan, dan pemalam itu tidak memacu cangkuk pembukaan dan penutupan sesi PAM.

Sesetengah modul PAM RADIUS boleh menghantar rekod perakaunan melalui cangkuk sesi itu, dan ia hanya berfungsi apabila aplikasi benar-benar memanggilnya.

Menambah modul sedemikian pada timbunan pengesahan oleh itu tidak mencipta peristiwa pemutusan. Jika anda memerlukan kitaran hayat penuh, pilih integrasi yang memilikinya: pemalam atau binaan yang disokong yang mengeluarkan Start, Interim-Update dan Stop apabila sambungan berubah keadaan. Periksa status penyelenggaraannya dan tingkah laku yang didokumenkan apabila penerima tidak tersedia, kerana pemalam yang menggugurkan rekod secara senyap kelihatan sama seperti yang tidak pernah menghantarnya. Spesifikasi perakaunan mentakrifkan semantik rekod yang mesti dipatuhi oleh integrasi.

Ujian penerimaan yang membuktikan kontrak

Uji sambungan dan pemutusan biasa, kemudian sambungan semula di bawah akaun yang sama, kemudian klien yang hilang tanpa memutuskan sambungan.

Ikut satu pengecam sesi daripada penjanaan melalui pengakuan hingga storan, dan periksa arah, unit dan antara muka pembilang. Kiraan bait tanpa label mustahil diaudit kemudian.

Akhir sekali, sahkan bahawa sesi yang terpaksa ditamatkan oleh pelayan kerana tamat masa diwakili dengan cara yang difahami laporan. Kontrak yang hanya meliputi pemutusan teratur ialah kontrak yang gagal pada hari anda paling memerlukannya.