RADIUS obračunavanje proti uspešni prijavi: kaj dokazuje vsako

V vsaki razpravi o obračunavanju VPN se zamešata dve vprašanji: ali je smel ta uporabnik vzpostaviti povezavo in kaj je dejansko počel. Na prvo odgovori overjanje. Drugo zahteva obračunske zapise, ki se začnejo, posodabljajo in končajo. Uspešna prijava dokaže prvo in ne pove ničesar o drugem, zato lahko delujoča nastavitev overjanja RADIUS še vedno ustvari prazno poročilo o uporabi.

Dve različni vprašanji

Overjanje odloči, ali se povezava sme začeti, in vrne razsodbo skupaj z atributi, kot sta nabor naslovov ali skupina. Obračunavanje zabeleži storitev, ki je sledila, kot zaporedje dogodkov, vezanih na eno sejo.

Potujeta po istem protokolu in običajno na isti strežnik, in prav zato ljudje domnevajo, da eno pomeni drugo.

Nič v zahtevi za dostop ne nosi trajanja seje in nič v zapisu Stop znova ne odloči, ali bi moral biti uporabnik sprejet. Če ju obravnavamo kot ločeni pogodbi, postane delo integracije vidno: ena pot potrebuje odločitev, druga življenjski cikel z začetkom, sredino in koncem.

Kaj dajo tri vrste zapisov

Zapis Start odpre sejo, Interim-Update poroča o dejavnosti, dokler je odprta, in Stop jo zapre. Vsi trije nosijo identifikator seje, da jih prejemnik lahko poveže z enim dogodkom storitve.

Ta identifikator je edina zanesljiva povezava med njimi, ker ima lahko isto uporabniško ime več sej zaporedoma ali vzporedno. Zasnujte shrambo okoli njega in ne okoli imena računa.

Potrditev zapisa je nekaj drugega kot dobro shranjevanje. Specifikacija obračunavanja prepoveduje potrditev, ko zapisa ni bilo mogoče zapisati, zato odgovor res pove, da je prejemnik prevzel odgovornost. Ne pove pa, da so ga poznejša naloga poročanja, nadzorna plošča ali izvoz za obračun uporabili pravilno.

Zakaj uporabniško ime ni seja

Ena oseba se zjutraj poveže s prenosnikom, popoldne s telefonom, in obe seji nosita isto ime računa. Zapisa Start, ki prispe brez ustreznega Stop, ni mogoče zapreti z iskanjem imena in izbiro najstarejše odprte vrstice.

Ta bližnjica je način, kako poročila o uporabi dobijo nemogoče trajanje.

Identiteto strežnika za omrežni dostop hranite ob identifikatorju seje, ker lahko dva strežnika v različnih kontekstih dodelita isto vrednost in združitev samo po identifikatorju lahko poveže nepovezane seje. Ko se seja konča neurejeno, mora politika usklajevanja odločiti, kako jo zapreti, in ta odločitev sodi v zasnovo, ne v ročno urejanje podatkovne baze enkrat na mesec.

Kje PAM ustreza in kje ne

Vtičnik za overjanje OpenVPN kliče stopnji overjanja in upravljanja računov v PAM. Stopnja računa preveri upravičenost; njeno ime ne pomeni obračunavanja uporabe, in vtičnik ne upravlja kljuk za odpiranje in zapiranje seje v PAM.

Nekateri moduli PAM RADIUS lahko pošiljajo obračunske zapise prek teh kljuk seje, in to deluje le, ko jih aplikacija resnično pokliče.

Dodajanje takega modula v sklad overjanja torej ne ustvari dogodkov prekinitve. Če potrebujete celoten življenjski cikel, izberite integracijo, ki ga ima: vtičnik ali podprto gradnjo, ki oddaja Start, Interim-Update in Stop, ko povezava spreminja stanje. Preverite njen status vzdrževanja in dokumentirano vedenje, ko prejemnik ni dosegljiv, ker vtičnik, ki zapise tiho spusti, izgleda enako kot tisti, ki jih ni nikoli poslal. Specifikacija obračunavanja določa semantiko zapisov, ki jo mora integracija spoštovati.

Preizkus sprejema, ki dokaže pogodbo

Preizkusite običajno povezavo in prekinitev, nato ponovno povezavo pod istim računom, nato odjemalca, ki izgine brez prekinitve.

Sledite enemu identifikatorju seje od nastanka prek potrditve do shrambe in preverite smer, enote in vmesnik števcev. Neoznačenega števila bajtov pozneje ni mogoče revidirati.

Nazadnje potrdite, da je seja, ki jo je strežnik moral zapreti zaradi časovne omejitve, predstavljena tako, kot poročilo razume. Pogodba, ki pokriva le urejene prekinitve, je pogodba, ki odpove na dneh, ko jo najbolj potrebujete.