Kế toán RADIUS so với đăng nhập thành công: mỗi thứ chứng minh điều gì

Hai câu hỏi bị lẫn lộn trong mọi cuộc thảo luận về tính cước VPN: người dùng này có được phép kết nối không, và họ thực sự đã làm gì. Câu thứ nhất được xác thực trả lời. Câu thứ hai cần các bản ghi kế toán bắt đầu, cập nhật và kết thúc. Một lần đăng nhập thành công chứng minh câu thứ nhất và không nói gì về câu thứ hai, vì vậy một thiết lập xác thực RADIUS đang hoạt động vẫn có thể tạo ra báo cáo sử dụng trống.

Hai câu hỏi khác nhau

Xác thực quyết định một kết nối có được bắt đầu hay không, và nó trả về một phán quyết kèm các thuộc tính như nhóm địa chỉ hoặc một nhóm người dùng. Kế toán ghi lại dịch vụ diễn ra sau đó, như một chuỗi sự kiện gắn với một phiên.

Chúng đi qua cùng một giao thức và thường đến cùng một máy chủ, và chính vì thế mọi người cho rằng cái này bao hàm cái kia.

Không có gì trong yêu cầu truy cập mang theo thời lượng của phiên, và không có gì trong bản ghi Stop quyết định lại xem người dùng có nên được chấp nhận hay không. Coi chúng là những hợp đồng riêng biệt làm cho công việc tích hợp trở nên rõ ràng: một đường cần quyết định, đường kia cần vòng đời có bắt đầu, giữa và kết thúc.

Ba loại bản ghi mang lại gì

Bản ghi Start mở một phiên, Interim-Update báo cáo hoạt động khi phiên đang mở, và Stop đóng nó. Cả ba đều mang định danh phiên để bên nhận có thể gắn chúng với một sự kiện dịch vụ.

Định danh đó là liên kết đáng tin cậy duy nhất giữa chúng, vì cùng một tên người dùng có thể có nhiều phiên liên tiếp hoặc song song. Hãy thiết kế lưu trữ xoay quanh nó chứ không phải quanh tên tài khoản.

Xác nhận một bản ghi là việc khác với lưu trữ nó tốt. Đặc tả kế toán cấm việc xác nhận khi không thể ghi bản ghi, nên một phản hồi thực sự cho bạn biết bên nhận đã nhận trách nhiệm. Nó không cho bạn biết rằng công việc báo cáo sau đó, bảng điều khiển hay bản xuất tính cước đã dùng nó đúng cách.

Vì sao tên người dùng không phải là phiên

Một người kết nối từ máy tính xách tay vào buổi sáng và từ điện thoại vào buổi chiều, và cả hai phiên đều mang cùng tên tài khoản. Một bản ghi Start đến mà không có Stop tương ứng không thể đóng bằng cách tra tên và chọn hàng mở lâu nhất.

Chính lối tắt đó là cách các báo cáo sử dụng có được thời lượng bất khả thi.

Giữ danh tính máy chủ truy cập mạng bên cạnh định danh phiên, vì hai máy chủ có thể gán cùng một giá trị trong các ngữ cảnh khác nhau và việc hợp nhất chỉ dựa trên định danh có thể ghép những phiên không liên quan. Khi một phiên kết thúc không gọn, chính sách đối soát phải quyết định cách đóng nó, và quyết định đó thuộc về thiết kế chứ không phải việc sửa cơ sở dữ liệu thủ công mỗi tháng một lần.

PAM phù hợp ở đâu và không phù hợp ở đâu

Plugin xác thực của OpenVPN gọi các giai đoạn xác thực và quản lý tài khoản của PAM. Giai đoạn tài khoản kiểm tra tính đủ điều kiện; tên của nó không có nghĩa là kế toán sử dụng, và plugin không điều khiển các móc mở và đóng phiên của PAM.

Một số mô-đun PAM RADIUS có thể gửi bản ghi kế toán qua các móc phiên đó, và điều đó chỉ hoạt động khi ứng dụng thực sự gọi chúng.

Do đó việc thêm một mô-đun như vậy vào chồng xác thực không tạo ra sự kiện ngắt kết nối. Nếu bạn cần toàn bộ vòng đời, hãy chọn một tích hợp sở hữu nó: một plugin hoặc bản dựng được hỗ trợ phát ra Start, Interim-Update và Stop khi kết nối đổi trạng thái. Hãy kiểm tra tình trạng bảo trì và hành vi được ghi nhận khi bên nhận không sẵn sàng, vì một plugin âm thầm bỏ bản ghi trông giống hệt một plugin chưa bao giờ gửi chúng. Đặc tả kế toán định nghĩa ngữ nghĩa của các bản ghi mà tích hợp phải tuân thủ.

Một lần chạy nghiệm thu chứng minh hợp đồng

Thử kết nối và ngắt kết nối bình thường, sau đó kết nối lại dưới cùng tài khoản, sau đó một máy khách biến mất mà không ngắt kết nối.

Theo dõi một định danh phiên từ lúc tạo qua xác nhận đến lưu trữ, và kiểm tra hướng, đơn vị và giao diện của các bộ đếm. Số byte không có nhãn thì không thể kiểm toán về sau.

Cuối cùng, xác nhận rằng một phiên mà máy chủ phải kết thúc do hết thời gian được biểu diễn theo cách báo cáo hiểu được. Một hợp đồng chỉ bao gồm các lần ngắt kết nối gọn gàng là hợp đồng thất bại vào những ngày bạn cần nó nhất.