RADIUS účtovanie verzus úspešné prihlásenie: čo ktoré preukazuje

V každej debate o fakturácii VPN sa miešajú dve otázky: smel sa tento používateľ pripojiť a čo vlastne urobil. Na prvú odpovedá autentizácia. Druhá vyžaduje účtovné záznamy, ktoré začínajú, aktualizujú sa a končia. Úspešné prihlásenie preukazuje prvú a o druhej nehovorí nič, a preto funkčné nastavenie autentizácie RADIUS môže stále vytvoriť prázdny prehľad o využití.

Dve rôzne otázky

Autentizácia rozhoduje, či sa spojenie smie začať, a vracia verdikt spolu s atribútmi, ako je fond adries alebo skupina. Účtovníctvo zaznamenáva službu, ktorá nasledovala, ako postupnosť udalostí viazaných na jednu reláciu.

Cestujú rovnakým protokolom a zvyčajne na ten istý server, a práve preto ľudia predpokladajú, že jedno znamená druhé.

Nič v prístupovej požiadavke nenesie trvanie relácie a nič v zázname Stop znova nerozhoduje, či mal byť používateľ vpustený. Keď sa s nimi zaobchádza ako s oddelenými zmluvami, práca na integrácii je viditeľná: jedna cesta potrebuje rozhodnutie, druhá životný cyklus so začiatkom, stredom a koncom.

Čo prinášajú tri typy záznamov

Záznam Start otvára reláciu, Interim-Update hlási aktivitu, kým je otvorená, a Stop ju zatvára. Všetky tri nesú identifikátor relácie, aby ich príjemca mohol priradiť k jednej udalosti služby.

Tento identifikátor je jediné spoľahlivé spojenie medzi nimi, pretože rovnaké používateľské meno môže mať niekoľko relácií za sebou alebo paralelne. Navrhnite úložisko okolo neho, nie okolo názvu účtu.

Potvrdenie záznamu je iná vec než jeho dobré uloženie. Špecifikácia účtovníctva zakazuje potvrdenie, keď záznam nebolo možné zapísať, takže odpoveď skutočne hovorí, že príjemca prevzal zodpovednosť. Nehovorí však, že neskoršia úloha výkazov, panel alebo export fakturácie ho spotrebovali správne.

Prečo používateľské meno nie je relácia

Jeden človek sa ráno pripojí z notebooku a popoludní z telefónu a obe relácie nesú rovnaký názov účtu. Záznam Start, ktorý príde bez zodpovedajúceho Stop, nemožno uzavrieť vyhľadaním mena a výberom najstaršieho otvoreného riadku.

Touto skratkou získavajú prehľady o využití nemožné trvania.

Uchovávajte identitu servera sieťového prístupu vedľa identifikátora relácie, pretože dva servery môžu v rôznych kontextoch priradiť rovnakú hodnotu a zlúčenie len podľa identifikátora môže spojiť nesúvisiace relácie. Keď relácia skončí nešetrne, politika zosúladenia musí rozhodnúť, ako ju uzavrieť, a toto rozhodnutie patrí do návrhu, nie do ručnej úpravy databázy raz za mesiac.

Kde PAM sedí a kde nie

Autentizačný plugin OpenVPN volá fázy autentizácie a správy účtov v PAM. Fáza účtu kontroluje oprávnenosť; jej názov neznamená účtovanie využitia a plugin neriadi háky otvorenia a zatvorenia relácie v PAM.

Niektoré moduly PAM RADIUS môžu posielať účtovné záznamy cez tieto háky relácie, a to funguje len vtedy, keď ich aplikácia skutočne vyvolá.

Pridanie takéhoto modulu do autentizačného zásobníka teda nevytvára udalosti odpojenia. Ak potrebujete celý životný cyklus, vyberte integráciu, ktorá ho vlastní: plugin alebo podporovaný build, ktorý vysiela Start, Interim-Update a Stop, keď spojenie mení stav. Skontrolujte jeho stav údržby a zdokumentované správanie, keď je príjemca nedostupný, pretože plugin, ktorý záznamy ticho zahadzuje, vyzerá rovnako ako ten, ktorý ich nikdy neposlal. Špecifikácia účtovníctva definuje sémantiku záznamov, ktorú musí integrácia dodržiavať.

Akceptačný beh, ktorý preukazuje zmluvu

Otestujte bežné pripojenie a odpojenie, potom opätovné pripojenie pod rovnakým účtom, potom klienta, ktorý zmizne bez odpojenia.

Sledujte jeden identifikátor relácie od vytvorenia cez potvrdenie až po uloženie a skontrolujte smer, jednotky a rozhranie čítačov. Neoznačený počet bajtov nemožno neskôr auditovať.

Nakoniec overte, že relácia, ktorú server musel ukončiť pre vypršanie času, je reprezentovaná spôsobom, ktorému výkaz rozumie. Zmluva, ktorá pokrýva len riadne odpojenia, je zmluva, ktorá zlyhá v dňoch, keď ju najviac potrebujete.