RADIUS hisobi va muvaffaqiyatli kirish: har biri nimani isbotlaydi

Har bir VPN billing muhokamasida ikki savol aralashib ketadi: bu foydalanuvchiga ulanishga ruxsat berilganmi va u aslida nima qildi. Birinchisiga autentifikatsiya javob beradi. Ikkinchisiga boshlanadigan, yangilanadigan va tugaydigan hisob yozuvlari kerak. Muvaffaqiyatli kirish birinchisini isbotlaydi va ikkinchisi haqida hech narsa demaydi, shuning uchun ishlayotgan RADIUS autentifikatsiya sozlamasi ham bo’sh foydalanish hisobotini chiqarishi mumkin.

Ikki xil savol

Autentifikatsiya ulanish boshlanishi mumkinligini hal qiladi va manzillar havzasi yoki guruh kabi atributlar bilan birga hukm qaytaradi. Hisob esa keyin kelgan xizmatni bitta sessiyaga bog’langan hodisalar ketma-ketligi sifatida qayd etadi.

Ular bir protokoldan va odatda bir serverga boradi, shuning uchun odamlar biri ikkinchisini anglatadi deb o’ylaydi.

Kirish so’rovida sessiya davomiyligi yo’q va Stop yozuvida foydalanuvchini qabul qilish kerakmidi degan qayta qaror yo’q. Ularni alohida shartnomalar sifatida ko’rish integratsiya ishini ko’rinadigan qiladi: bir yo’l qaror talab qiladi, ikkinchisi boshi, o’rtasi va oxiri bor hayot tsiklini talab qiladi.

Uch yozuv turi nima beradi

Start yozuvi sessiyani ochadi, Interim-Update u ochiq bo’lganda faoliyat haqida xabar beradi, Stop esa uni yopadi. Uchalasi ham sessiya identifikatorini olib yuradi, shunda qabul qiluvchi ularni bitta xizmat hodisasiga bog’lay oladi.

Bu identifikator ular orasidagi yagona ishonchli bog’lanish, chunki bir xil foydalanuvchi nomi ketma-ket yoki parallel bir nechta sessiyaga ega bo’lishi mumkin. Saqlashni hisob nomi atrofida emas, shu identifikator atrofida loyihalang.

Yozuvni tasdiqlash uni yaxshi saqlashdan boshqa masala. Hisob spetsifikatsiyasi yozuvni yozib bo’lmaganda tasdiqlashni taqiqlaydi, shuning uchun javob qabul qiluvchi javobgarlikni olganini haqiqatan aytadi. Lekin keyingi hisobot ishi, boshqaruv paneli yoki billing eksporti uni to’g’ri ishlatganini aytmaydi.

Nima uchun foydalanuvchi nomi sessiya emas

Bir kishi ertalab noutbukdan, tushdan keyin telefondan ulanadi va ikkala sessiya bir xil hisob nomini olib yuradi. Tegishli Stop bo’lmagan Startni ismni qidirib, eng eski ochiq qatorni tanlash bilan yopib bo’lmaydi.

Ana shu qisqa yo’l foydalanish hisobotlariga imkonsiz davomiyliklar olib keladi.

Tarmoqqa kirish serverining identifikatorini sessiya identifikatori yonida saqlang, chunki ikki server turli kontekstlarda bir xil qiymatni berishi mumkin va faqat identifikator bo’yicha birlashtirish aloqasiz sessiyalarni qo’shib yuborishi mumkin. Sessiya tartibsiz tugaganda, yarashtirish siyosati uni qanday yopishni hal qilishi kerak va bu qaror dizaynga tegishli, oyiga bir marta qilinadigan qo’lda ma’lumotlar bazasini tahrirlashga emas.

PAM qayerda mos keladi va qayerda yo’q

OpenVPN autentifikatsiya plagini PAM ning autentifikatsiya va hisob boshqaruvi bosqichlarini chaqiradi. Hisob bosqichi muvofiqligini tekshiradi; uning nomi foydalanish hisobini anglatmaydi va plagin PAM ning sessiya ochish va yopish ilgaklarini boshqarmaydi.

Ba’zi PAM RADIUS modullari hisob yozuvlarini o’sha sessiya ilgaklari orqali yubora oladi va bu faqat dastur ularni haqiqatan chaqirganda ishlaydi.

Shuning uchun bunday modulni autentifikatsiya stekiga qo’shish uzilish hodisalarini yaratmaydi. Agar sizga to’liq hayot tsikli kerak bo’lsa, unga ega integratsiyani tanlang: ulanish holati o’zgarganda Start, Interim-Update va Stop chiqaradigan plagin yoki qo’llab-quvvatlanadigan qurilma. Uning xizmat ko’rsatish holatini va qabul qiluvchi mavjud bo’lmaganda hujjatlashtirilgan xatti-harakatini tekshiring, chunki yozuvlarni indamay tashlab yuboradigan plagin ularni hech qachon yubormagan plagindek ko’rinadi. Hisob spetsifikatsiyasi integratsiya rioya qilishi kerak bo’lgan yozuv semantikasini belgilaydi.

Shartnomani isbotlaydigan qabul sinovi

Oddiy ulanish va uzilishni, so’ngra xuddi shu hisob ostida qayta ulanishni, so’ngra uzilmasdan yo’qolib qoladigan mijozi sinab ko’ring.

Bitta sessiya identifikatorini yaratilishdan tasdiqlash orqali saqlashgacha kuzatib boring va hisoblagichlarning yo’nalishi, birliklari va interfeysini tekshiring. Yorliqsiz bayt sonini keyinchalik audit qilib bo’lmaydi.

Nihoyat, server vaqt tugashi sababli yopishga majbur bo’lgan sessiya hisobot tushunadigan shaklda ko’rsatilganini tasdiqlang. Faqat tartibli uzilishlarni qamrab olgan shartnoma eng zarur kunlarda muvaffaqiyatsizlikka uchraydigan shartnomadir.