RADIUS књиговодство наспрам успешне пријаве: шта свако доказује

У свакој расправи о наплати VPN мешају се два питања: да ли је овом кориснику било дозвољено да се повеже и шта је заиста учинио. На прво одговара аутентикација. Друго захтева књиговодствене записе који почињу, ажурирају се и завршавају. Успешна пријава доказује прво и не каже ништа о другом, зато радна подешавања аутентикације са RADIUS-ом могу ипак дати празан извештај о коришћењу.

Два различита питања

Аутентикација одлучује да ли веза сме да почне, и враћа пресуду заједно са атрибутима као што су базен адреса или група. Књиговодство бележи услугу која је уследила, као низ догађаја везаних за једну сесију.

Они путују истим протоколом и обично до истог сервера, и управо зато људи претпостављају да једно подразумева друго.

Ништа у захтеву за приступ не носи дужину сесије, и ништа у запису Stop не одлучује поново да ли је корисник требало да буде примљен. Третирање као одвојених уговора чини рад на интеграцији видљивим: једна путања захтева одлуку, друга животни циклус са почетком, средином и крајем.

Шта дају три типа записа

Запис Start отвара сесију, Interim-Update извештава о активности док је отворена, а Stop је затвара. Сва три носе идентификатор сесије да би прималац могао да их повеже са једним догађајем услуге.

Тај идентификатор је једина поуздана веза међу њима, јер исто корисничко име може имати више сесија узастопно или паралелно. Пројектујте складиштење око њега, а не око имена налога.

Потврђивање записа је одвојена ствар од његовог доброг чувања. Спецификација књиговодства забрањује потврду када запис није могао да се упише, па одговор заиста каже да је прималац преузео одговорност. Али не каже да су каснији задатак извештавања, табла или извоз за наплату искористили га исправно.

Зашто корисничко име није сесија

Једна особа се повезује са преносног рачунара ујутру и са телефона поподне, и обе сесије носе исто име налога. Запис Start који стигне без одговарајућег Stop не може се затворити тражењем имена и избором најстаријег отвореног реда.

Тај пречи пут је начин на који извештаји о коришћењу добијају немогућа трајања.

Држите идентитет сервера за мрежни приступ поред идентификатора сесије, јер два сервера могу доделити исту вредност у различитим контекстима и спајање само по идентификатору може повезати неповезане сесије. Када се сесија заврши неуредно, политика усклађивања мора да одлучи како да је затвори, и та одлука припада дизајну, а не ручном уређивању базе које се ради једном месечно.

Где PAM одговара, а где не

Прикључак за аутентикацију OpenVPN-а позива фазе аутентификације и управљања налозима PAM-а. Фаза налога проверава подобност; њено име не значи књиговодство коришћења, и прикључак не управља кукама за отварање и затварање сесије PAM-а.

Неки PAM RADIUS модули могу да шаљу књиговодствене записе кроз те куке сесије, и то ради само када апликација заиста позове те куке.

Зато додавање таквог модула у стек за аутентикацију не ствара догађаје прекида. Ако вам је потребан пун животни циклус, изаберите интеграцију која га поседује: прикључак или подржану израду која емитује Start, Interim-Update и Stop како веза мења стање. Проверите њен статус одржавања и документовано понашање када прималац није доступан, јер прикључак који тихо одбацује записе изгледа исто као онај који их никада није послао. Спецификација књиговодства дефинише семантику записа коју интеграција мора да поштује.

Пријемно извршавање које доказује уговор

Тестирајте нормално повезивање и прекид, затим поновно повезивање под истим налогом, затим клијента који нестане без прекида.

Пратите један идентификатор сесије од стварања преко потврде до складиштења, и проверите смер, јединице и интерфејс бројача. Неозначен број бајтова је немогуће ревидирати касније.

Најзад, потврдите да је сесија коју је сервер морао да затвори због истека времена представљена на начин који извештај разуме. Уговор који покрива само уредне прекиде је уговор који отказује у данима када вам је најпотребнији.