RADIUS-regnskap kontra vellykket innlogging: hva hver av dem beviser

To spørsmål blandes sammen i enhver VPN-faktureringsdiskusjon: fikk denne brukeren lov til å koble til, og hva gjorde hen egentlig. Det første besvares av autentisering. Det andre krever regnskapsposter som begynner, oppdateres og slutter. En vellykket innlogging beviser det første og sier ingenting om det andre, derfor kan et fungerende RADIUS-autentiseringsoppsett likevel gi en tom bruksrapport.

To forskjellige spørsmål

Autentisering avgjør om en tilkobling kan begynne, og den returnerer en dom samt attributter som en adressepool eller en gruppe. Regnskapet registrerer tjenesten som fulgte, som en rekke hendelser knyttet til én økt.

De reiser over samme protokoll og vanligvis til samme server, og nettopp derfor antar folk at det ene innebærer det andre.

Ingenting i en tilgangsforespørsel bærer øktens varighet, og ingenting i en Stop-post avgjør på nytt om brukeren burde ha blitt sluppet inn. Å behandle dem som separate kontrakter gjør integrasjonsarbeidet synlig: den ene veien trenger en beslutning, den andre en livssyklus med begynnelse, midte og slutt.

Hva de tre posttypene gir deg

En Start-post åpner en økt, en Interim-Update rapporterer aktivitet mens den er åpen, og en Stop lukker den. Alle tre bærer en øktidentifikator slik at mottakeren kan knytte dem til én tjenestehendelse.

Den identifikatoren er den eneste pålitelige lenken mellom dem, fordi samme brukernavn kan ha flere økter etter hverandre eller parallelt. Design lagringen rundt den og ikke rundt kontonavnet.

Å bekrefte en post er noe annet enn å lagre den godt. Regnskapsspesifikasjonen forbyr bekreftelsen når posten ikke kunne skrives, så et svar forteller deg faktisk at mottakeren tok ansvar. Det forteller deg ikke at den senere rapporteringsoppgaven, dashbordet eller faktureringseksporten brukte den riktig.

Hvorfor brukernavnet ikke er økten

Én person kobler til fra en bærbar PC om morgenen og fra en telefon om ettermiddagen, og begge øktene bærer samme kontonavn. En Start som kommer uten sin samsvarende Stop, kan ikke lukkes ved å slå opp navnet og velge den eldste åpne raden.

Den snarveien er hvordan bruksrapporter får umulige varigheter.

Hold identiteten til nettverkstilgangsserveren ved siden av øktidentifikatoren, fordi to servere kan tildele samme verdi i ulike sammenhenger, og en sammenslåing bare på identifikatoren kan knytte sammen økter som ikke hører sammen. Når en økt slutter uheldig, må avstemmingspolitikken avgjøre hvordan den skal lukkes, og den beslutningen hører hjemme i designet og ikke i en manuell databaseendring som gjøres én gang i måneden.

Hvor PAM passer og hvor det ikke passer

Autentiseringsprogramtillegget til OpenVPN kaller autentiserings- og kontostyringstrinnene i PAM. Kontotrinnet kontrollerer kvalifikasjon; navnet betyr ikke bruksregnskap, og programtillegget styrer ikke PAMs øktåpnings- og lukkekroker.

Noen PAM RADIUS-moduler kan sende regnskapsposter gjennom disse øktkrokene, og det virker bare når applikasjonen faktisk kaller dem.

Å legge et slikt modul til en autentiseringsstakk skaper derfor ikke frakoblingshendelser. Hvis du trenger hele livssyklusen, velg en integrasjon som eier den: et programtillegg eller et støttet bygg som sender Start, Interim-Update og Stop når tilkoblingen skifter tilstand. Sjekk vedlikeholdsstatusen og den dokumenterte oppførselen når mottakeren ikke er tilgjengelig, fordi et programtillegg som mister poster i stillhet ser identisk ut med et som aldri sendte dem. Regnskapsspesifikasjonen definerer semantikken til postene som integrasjonen må respektere.

En godtakelseskjøring som beviser kontrakten

Test en vanlig tilkobling og frakobling, deretter en ny tilkobling under samme konto, deretter en klient som forsvinner uten å koble fra.

Følg én øktidentifikator fra oppretting gjennom bekreftelse til lagring, og kontroller retningen, enhetene og grensesnittet til tellerne. Et umerket byttall er umulig å revidere senere.

Til slutt, bekreft at en økt som serveren måtte avslutte på grunn av tidsavbrudd er representert på en måte rapporten forstår. En kontrakt som bare dekker ryddige frakoblinger, er en kontrakt som svikter de dagene du trenger den mest.