Amaran Log Masuk VPN: Peristiwa Mana yang Sebenarnya Patut Mencetusnya?
Kejayaan pengesahan, terowong yang terbentuk dan RADIUS accounting Start ialah tiga dakwaan berbeza. Pilih yang penerima anda boleh bertindak, kemudian korelasikannya.
Kejayaan pengesahan, terowong yang terbentuk dan RADIUS accounting Start ialah tiga dakwaan berbeza, dan e-mel log masuk hanya bermakna apabila anda memilih salah satunya. Kebanyakan reka bentuk amaran VPN mencampurkan ketiga-tiganya dan menghasilkan peti masuk yang tiada siapa percaya. Keputusan bergantung pada siapa yang membaca amaran itu dan apa yang boleh dilakukannya dalam lima minit berikutnya. Jika tersilap, amaran menjadi bunyi bising yang menyembunyikan satu peristiwa yang anda perlukan.
Tiga soalan menentukan pencetusnya
Tanya siapa yang menerimanya, apa yang akan dilakukannya dan betapa cepat tindakan itu perlu berlaku. Pasukan keselamatan yang memantau penyalahgunaan kelayakan mahu corak gagal kemudian berjaya daripada satu akaun dalam beberapa minit. Pasukan operasi yang memantau kapasiti mahu tempoh sesi dan sebab pemutusan, bukan log masuk. Meja bantuan mahu identiti sesi supaya ia boleh memadankannya dengan tiket.
Jawapan itu menunjuk kepada peristiwa berbeza, dan tiada satu peraturan pun memenuhi ketiga-tiganya. Jika tindakan penerima ialah «telefon pengguna», pengesahan sudah memadai. Jika tindakannya «bebaskan lesen» atau «sahkan terowong membawa trafik», hanya pembentukan atau accounting Start akan berkesan. Jika tindakannya «bil masanya», anda memerlukan rekod Stop, bukan log masuk.
Tulis jawapannya sebagai satu ayat sebelum mengkonfigurasi apa-apa. «E-mel ini memberitahu jurutera jaga bahawa akaun X membuka terowong dari rangkaian Y pada masa Z, supaya dia boleh memeriksa sama ada tetingkap penyelenggaraan digunakan.» Jika anda tidak dapat mengisi setiap ruang, pencetusnya belum dipilih.
Padankan peristiwa dengan dakwaan yang anda buat
| Record | What it proves | What it leaves open |
|---|---|---|
| Rejected credentials | The attempt failed at the credential step | Whether it was a stale client or a real person |
| Access-Accept | Credentials passed for this attempt | Anything about tunnel state or policy |
| Policy match record | A rule matched the request | Whether later steps completed |
| Tunnel established | The gateway accepted a session | Whether traffic flowed or the user got an address |
| Accounting Start | User service began at the accounting layer | Whether the application behind it worked |
| Accounting Stop | That session was closed, with a reason field | Whether the reason is meaningful on your release |
Jadual itu menyembunyikan kebergantungan: setiap baris hanya boleh dipercayai jika gateway mengeluarkannya secara boleh dipercayai dan pengumpul anda menyimpan medan yang anda perlukan. Baca definisi peristiwa untuk versi tepat yang anda jalankan, kerana nama «sesi terbentuk» berubah antara versi dan maknanya berubah lebih kerap daripada namanya. Apabila definisi kabur, minta tangkapan sesi daripada meneka daripada label.
Menganggap Access-Accept sebagai penyempurnaan semua yang selepasnya ialah kesilapan paling biasa. Ia penghakiman tentang kelayakan, bukan sesi. Kesilapan cermin ialah membaca padanan dasar sebagai bukti kebenaran, sedangkan peraturan boleh padan dan langkah seterusnya masih boleh gagal.
Satu sesi, satu pemberitahuan
Satu akaun, beberapa peranti, penghantaran semula dan penyambungan semula: satu e-mel bagi setiap peristiwa akan salah dalam kedua-dua arah, menduplikasi satu sesi sambil memecahkan yang lain. Kuncikan pemberitahuan pada gateway ditambah pengecam sesi, dan anggap nama akaun sebagai atribut, bukan kunci. Pengguna dengan komputer riba dan telefon boleh memegang dua terowong serentak, dan kedua-duanya berhak mendapat barisnya sendiri.
Rekod perakaunan yang dihantar semula adalah normal, jadi buang pendua berdasarkan id sesi dan cap masa sebelum memaparkan mesej. Sesi berturut-turut daripada peranti yang sama harus kekal berasingan, dan penyambungan semula semasa tetingkap penyelenggaraan harus kekal kelihatan dan bukannya bergabung dengan yang sebelumnya. Jika pengumpul anda menulis semula cap masa semasa pengingesan, buang pendua berdasarkan medan rekod asal, bukan yang disimpan.
Rekod Stop yang hilang ialah ketidakpastian, bukan sesi kekal. Mula semula gateway, gangguan pengumpul dan kehilangan UDP semuanya meninggalkan jurang, jadi amaran memerlukan laluan perdamaian yang menanyakan jadual sesi hidup sebelum sesiapa menyimpulkan terowong masih aktif.
Asingkan audit dan pemberitahuan
Aliran audit dan aliran amaran mempunyai tugas berbeza. Simpan rekod mentah, termasuk akaun, gateway, id sesi, cap masa dan sebab penamatan, walaupun e-mel rutin dikumpulkan, ditindas atau dihantar ke senarai jaga yang kecil. Ambang keterukan ialah penapis penghantaran, bukan pemilihan peristiwa kitaran hayat yang anda mahu umumkan.
Hantar konteks minimum yang diperlukan penerima untuk menemui rekod terlindung. Nama akaun, alamat dalaman dan butiran sesi adalah sensitif, dan e-mel yang mudah dimajukan ialah e-mel yang mudah bocor.
Kemudian buktikan dari awal hingga akhir. Jalankan log masuk dan log keluar biasa, penyambungan semula, dua sesi serentak dan kegagalan penghantaran yang dipaksa, dan jejaki satu peristiwa dari gateway melalui pengumpul hingga mesej yang dihantar. Jika e-mel tiba tanpa id sesi, kontraknya tidak lengkap. Jika dua e-mel menerangkan satu sesi, korelasinya rosak. Kedua-dua masalah itu tidak muncul apabila satu-satunya yang anda uji ialah penghantaran mel berfungsi.