RADIUS-rekneskap kontra vellukka pålogging: kva kvar av dei provar

I kvar VPN-faktureringsdiskusjon blir to spørsmål blanda saman: hadde denne brukaren løyve til å kopie til, og kva gjorde hen eigentleg. Det første blir svara på av autentisering. Det andre krev rekneskapspostar som byrjar, oppdaterer og sluttar. Ei vellukka pålogging provar det første og seier ingenting om det andre, difor kan eit fungerande RADIUS-autentiseringsoppsett likevel gje ein tom bruksrapport.

To ulike spørsmål

Autentiseringa avgjer om ei tilkopling kan byrje, og ho returnerer ein dom med attributtar som ein adressepool eller ei gruppe. Rekneskapen registrerer tenesta som følgde, som ei rekkje hendingar bunde til éi økt.

Dei fer over same protokoll og vanlegvis til same tenar, og nettopp difor går folk ut frå at det eine inneber det andre.

Ingenting i ein tilgangsførespurnad ber med seg lengda på økta, og ingenting i ein Stop-post avgjer på nytt om brukaren burde ha vore sleppt inn. Når ein handsamar dei som separate kontraktar, blir integrasjonsarbeidet synleg: den eine vegen treng eit vedtak, den andre ein livssyklus med byrjing, midte og slutt.

Kva dei tre posttypane gjev deg

Ein Start-post opnar ei økt, ein Interim-Update rapporterer aktivitet medan ho er open, og ein Stop stengjer ho. Alle tre ber ein øktidentifikator slik at mottakaren kan knyte dei til éi tenestehending.

Den identifikatoren er den einaste pålitelege lenkja mellom dei, fordi same brukarnamn kan ha fleire økter etter kvarandre eller parallelt. Teikn lagringa rundt han og ikkje rundt kontonamnet.

Å stadfeste ein post er noko anna enn å lagre han godt. Rekneskapsspesifikasjonen forbyr stadfestinga når posten ikkje kunne skrivast, så eit svar fortel deg faktisk at mottakaren tok på seg ansvaret. Det fortel deg ikkje at den seinare rapporteringsoppgåva, dashbordet eller faktureringseksporten brukte han rett.

Kvifor brukarnamnet ikkje er økta

Éin person koplar til frå ein berbar PC om morgonen og frå ein telefon om ettermiddagen, og begge øktene ber same kontonamn. Ein Start som kjem utan sin samsvarande Stop, kan ikkje stengjast ved å slå opp namnet og velje den eldste opne rada.

Den snarvegen er korleis bruksrapportar får umoglege lengder.

Hald identiteten til nettverkstilgangstenaren ved sida av øktidentifikatoren, fordi to tenarar kan tildela same verdi i ulike samanhengar, og ei samanslåing berre på identifikatoren kan knyte saman økter som ikkje høyrer saman. Når ei økt sluttar ukorrekt, må avstemmingspolitikken avgjere korleis ho skal stengjast, og det vedtaket høyrer heime i designet og ikkje i ei manuell databaseendring som blir gjord ein gong i månaden.

Kvar PAM passar og kvar det ikkje gjer det

Autentiseringsprogramtillegget til OpenVPN kallar autentiserings- og kontostyringsstega i PAM. Kontosteget kontrollerer kvalifikasjon; namnet betyr ikkje bruksrekneskap, og programtillegget styrer ikkje økt-opne- og lukke-krokane i PAM.

Nokre PAM RADIUS-modular kan senda rekneskapspostar gjennom desse øktkrokane, og det verkar berre når programmet faktisk kallar på dei.

Å leggje ein slik modul til ein autentiseringsstakk skaper difor ikkje fråkoplinghendingar. Viss du treng heile livssyklusen, vel ein integrasjon som eig han: eit programtillegg eller eit støtta bygg som sender Start, Interim-Update og Stop når tilkoplinga skiftar tilstand. Sjekk vedlikehaldsstatusen og den dokumenterte åtferda når mottakaren ikkje er tilgjengeleg, fordi eit programtillegg som mistar postar i det stille ser identisk ut med eit som aldri sende dei. Rekneskapsspesifikasjonen definerer semantikken til postane som integrasjonen må respektere.

Ein godtakingskøyring som provar kontrakten

Test ei normal tilkopling og fråkopling, deretter ei ny tilkopling under same konto, deretter ein klient som forsvinn utan å kople frå.

Fylg éin øktidentifikator frå oppretting gjennom stadfesting til lagring, og kontroller retninga, einingane og grensesnittet til teljarane. Eit umerkt byttetal er umogleg å revidere seinare.

Til slutt, stadfest at ei økt som tenaren måtte avslutte på grunn av tidsavbrot er representert på ein måte som rapporten forstår. Ein kontrakt som berre dekkjer ryddige fråkoplingar, er ein kontrakt som sviktar på dei dagane du treng han mest.