Sunday, June 19, 2016

РАДИУС (АЛСЫН ЗАЙНААС ХЭРЭГЛЭГЧИЙН НЭВТРЭХ ЭРХИЙГ ШАЛГАХ ҮЙЛЧИЛГЭЭ) - RADIUS (REMOTE AUTHENTICATION DIAL IN USER SERVICE)

ТҮҮХ 

1991 онд ашгийн бус интернэтийн үйлчилгээ үзүүлдэг Мерит сүлжээ (Merit Network) гэх байгууллагад тэдний сүлжээгээр дамжиж буй төрөл бүрийн Points-Of-Presence (POPs)1-ууд руу холбогдож (dial in) байгаа төхөөрөмжүүдийг маш үр дүнтэйгээр удирдан зохион байгуулах хэрэгцээ шаардлага тулгарчээ. Энэ шаардлагыг хангахын тулд Ливингстон гэх байгууллага РАДИУС-г хөгжүүлж бий болгосон байна. РАДИУС-ын хөгжлийн эхний шатуудад өргөн тархсан сүлжээ рүү хандахад түүний хандалтыг тэд  бие даасан өөр өөр байгууллагуудаар удирдан зохион байгуулдаг байжээ. Эдгээр өргөн цар хүрээтэй тархсан сүлжээний төвийг хариуцсан админууд сүлжээгээ өргөтгөн зохин багйуулах мөн аюулгүй байдалтай холбоотой асуудлуудаас сэргийлэхийг хүссэн бөгөөд хэрэглэгчийн нэр, нууц үгийг тараахгүйгээр төв сервер (Central server) лүү алсын зайн хандалтын сервер (Remote Access Server) -  нь баталгаажуулалтын асуудлаар холбогдох бөгөөд үүнийх нь хариуд Төв сервер (Central server) нь "Амжилттай (Success)" эсвэл "Амжилтгүй (Failure)" гэсэн мессежүүдээс харгалзахыг нь илгээх юм. Улмаар Алсын зайн хандалтыг хариуцах машин (Remote access server) нь тухайн ирсэн хариуны дагуу төгсгөлийн хэрэглэгчдэд тохирох хариуг нь өгдөг шийдэл бий болжээ.
Ер нь товчхондоо, РАДИУС-н зориго нь өөр өөр байрлалд байгаа олон хэрэглэгчдийн сүлжээнд нэвтрэх хүсэлтийг нэгдсэн нэг цэгээс баталгаажуулах, удирдах удирдлагыг бий болгох байсан юм. РАДИУС системийг хэрэглэхэд хялбархан, үр ашигтай, ашиглахад таатай байдаг учраас энэхүү системийг сүлжээний төхөөрөмж үйлдвэрлэдэг компаниуд өөрсдийн төхөөрөмжтэйгээ зохицуулан хэрэглэх боломжийг хангасан бөгөөд өнөөгийн хэмжээнд хүртлээ маш өргөн цар хүрээнд тархжээ.  РАДИУС нь  Internet Engineering Task Force IETF стандарт болон хөгжөөд байна.   

РАДИУС гэж чухам юу вэ? Үүнийг ашиглан юу хийх боломжтой вэ? 


Remote Authentication Dial-In User Service  (RADIUS) буюу алсын зайнаас нэвтрэх үйлдлийг баталгаажуулах хэрэглэгчийн үйлчилгээ гэдэг нь сүлжээний протокол юм. Энэхүү протокол нь аливаа сүлжээ рүү нэвтэрч тухайн сүлжээг хэрэглэх гэж буй хэрэглэгчдэд зориулсан НЭГДСЭН УДИРДЛАГА буюу Хандах хүсэлтийг баталгаажуулах (authentication), Тухайн хэрэглэгчдэд зохих эрхийг нь олгох, итгэмжлэх (Authorization) мөн тухайн хэрэглэгчийг бүртгэх (Accounting) (үүнийг ААА эсвэл triple A гэж товчилж бичдэг)үйлдлийг нэгдсэн байдлаар бүх хэрэглэгчдэд хангаж байдаг. Маш өргөн хүрээнд дэмжигддэг учраас мөн РАДИУС протокол нь хаана ч хэрэглэгдэх боломжтой учраас үүнийг маш олон ISP  компаниуд мөн байгууллагууд өөрсдийн интернэтийн сүлжээ, дотоод сүлжээ, утасгүй сүлжээ гэх мэт сүлжээ рүү хандах хандалтыг нь удирдан зохион байгуулахдаа ашиглаж байна. Эдгээр сүлжээнүүдэд Модем, DSL, Аксесс пойнт - Access points, VPN, веб серверүүд гээд олон төхөөрөмжүүдийг хамарсан байж болдог. РАДИУС нь сүлжээний аппликэшн түвшинд ажилладаг клиент/сервер бүтэцтэй протокол бөгөөд сүлжээний дамжуулалт хийхдээ ТСР эсвэл UDP аль ч протоколыг ашиглан ажиллах боломжтой юм. Сүлжээний хандалтын сервер (Network access server) буюу сүлжээ рүү хандах хандалтыг удирдаж буй гарц (gateway) нь РАДИУС клиентийн бүрэлдэхүүн хэсгүүдийг өөртөө агуулдаг. Харин энэхүү клиентийн бүрэлдэхүүн хэсгүүд нь РАДИУС сервертэй харилцдаг. РАДИУС-г 802.1Х сүлжээний баталгаажуулалтыг хийхэд сервер талын (back-end) шийдлээр мөн ашигладаг. РАДИУС сервер нь ЮНИКС (UNIX) эсвэл Майкрософт Виндовс Сервер (Microsoft Windows Server) дээр үндсэн процесс байдлаар ажилладаг процесс юм.  

Протоколын бүрэлдэхүүн хэсгүүд


РАДИУС нь ААА протокол бөгөөд энэ нь сүлжээ рүү хандах хандалтыг "AAA transaction" гэгдэх 2 алхамтай процессыг ашиглан удирдан зохион байгуулдаг. "ААА" гэдэг нь authentication, authorization and accounting буюу баталгаажуулалт, итгэмжлэх-эрх олгох, бүртгэх гэсэн 3 үгний товчлол юм. Баталгаажуулалт (authentication) болон итгэмжилж эрх олгох (authorization) үйлдлүүд нь хэрхэн хийгддэг нь RFC 2865 стандартад тодорхойлогдсон байдаг. Харин Бүртгэл (accounting) хэсэг нь RFC 2866 -д тодорхойлогдсон байдаг. 

Баталгаажуулалт болон итгэмжлэх, эрх олгох (Authentication and authorization)


Тодорхой нэг сүлжээ рүү хандахын тулд тухайн сүлжээнд хандахыг хүсч буй хэрэглэгч эсвэл түүний машин нь Сүлжээний Хандалтын Сервер (Network Access Server - NAS) лүү өөрийн хандалтын мэдээллийг (credentials -  нэр, нууц үг гэх мэт) зүйлсээ ашиглан хүсэлтийг илгээдэг. Эдгээр хандалтын мэдээллүүд (credentials) нь NAS руу Линк түвшний протоколоор дамжигддаг. Жишээлбэл Point-to-Point Protocol (PPP) нь ихэнх dialup эсвэл DSL холболтод ашиглагдах ба HTTPs secure вебийн форм ашиглагддаг.
Үүний дараа NAS РАДИУС протоколыг ашиглан РАДИУС хандах хүсэлт (Access Request) гэсэн мессежийг РАДИУС сервер лүү илгээдэг. Энэ хүсэлт нь хэрэглэгчид хандах эрхийг олгох баталгаажуулах хүсэж буй хүсэлт юм. Энэхүү хүсэлт нь хандалт зөвшөөрөх эсэхийг шалгахад хэрэглэгдэх хэрэглэгчийн мэдээллүүд болох хэрэглэгчийн нэр, нууц үг эсвэл аюулгүй байдлын сертификат зэргийг нь өөртөө агуулсан байдаг. Түүнээс гадна, энэхүү хүсэлт нь хэрэглэгчийн талаарх NAS-ын мэдэж буй нэмэлт мэдээллүүд болох түүний сүлжээний хаяг эсвэл утасны дугаар, NAS руу холбогдож байгаа хэрэглэгчийн физикалд холболтын цэг гэх мэт зүйлсийг өөртөө агуулсан байж болдог.
РАДИУС сервер нь тухайн хүсэлтээр ирсэн мэдээллийг зөв эсэхийг нь баталгаажуулалтын РАР, CHAP эсвэл ЕАР гэх мэт схесүүдийг ашиглан шалгадаг. Тухайн хэрэглэгчийн өгсөн мэдээлэл үнэн зөв байгаад баталгаажсан бол үүнийг дагаад хүсэлттэй хамааралтай бусад мэдээллүүд болох хэрэглэгчийн сүлжээний хаяг, утасны дугаар, бүртгэлийн хаягийн статус, сүлжээг хэрэглэх тусгай эрхүүд (privilege or permission) зэргийг баталгаажуулдаг. Өмнө нь РАДИУС сервер нь хэрэглэгчийн мэдээллийг зөвхөн өөрийн локал систем дээр ганцхан хүснэгт бүхий мэдээллийн сангаас шалгадаг байсан. Харин орчин үеийн РАДИУС серверүүд нь энэ үйлдлийг хийж чадахаас гадна гадаад эх сурвалж болох SQL, Kerberos, LDAP, Active Directory Server  зэргээс хэрэглэгчийн нэвтрэх эрхийн мэдээллийг шалгах боломжтой болсон. 

RADIUS Баталгаажуулалт болон итгэмжлэх, эрх олгох хүсэлтийн урсгал
Үүний дараа РАДИУС сервер нь дараах 3 хариунаас аль нэгийг нь NAS руу илгээдэг. 

1. Хандалтыг татгалзах (Access Reject), 2. Хандалтаас нэмэлт шаардлага тавих (Access Challenge), 3. Хандалтыг зөвшөөрөх (Access Accept)
  • Хандалт татгалзах - Access Reject - Тухайн хэрэглэгчийг ямар нэгэн нөхцөлгүйгээр сүлжээний нөөц рүү хандуулахгүй. Шалтгаан нь хэрэглэгчийн хандалтаа хийхдээ өгсөн (хэрэглэгчийн нэр, нууц үг ) мэдээлэл тохироогүй, эсвэл идэвхигүй болсон хэрэглэгчийн хаяг байх гэх мэт шалтгаанууд байж болно.
  • Хандалтаас нэмэлт шаардлага тавих -Access Challenge - Хэрэглэгчээс 2 дахь нууц үг, ПИН код, токен эсвэл карт гэх мэт нэмэлт мэдээллийг дахиж хүсдэг. Access Challenge нь нууцлал бүхий туннел (РАДИУС сервер болон эцсийн хэрэглэгч 2-ын хооронд) үүсэж байгаа илүү нарийн баталгаажуулалтын үед мөн хэрэглэгддэг. Ийм аргыг ашиглан хэрэглэгчийн нэр нууц үг гэх мэт эмзэг мэдээллийг NAS серверээс нуудаг. 
  • Хандалтыг зөвшөөрөх - Access Accept - Хэрэглэгч нь хандах эрх олгогдсон гэсэн үг. Хэрэглэгч баталгаажиж холболт зөвшөөрөгдсөний дараа РАДИУС сервер тухайн хэрэглэгч яг өөрт тохирсон хэрэглэгчийн эрхийн дагуу сүлжээг ашиглаж байгаа эсэхийг шалгаж байдаг. Жишээлбэл тухайн хандалт  нь баталгаажсан хэрэглэгч байгууллагын утасгүй сүлжээнд холбогдох эрхтэй хэдий ч байгууллагын VPN сервис рүү хандах эрхгүй байх боломжтой юм. Энэхүү хэрэглэгчийн эрхийн талаарх мэдээлэл нь Локал хэлбэрээр тухайн РАДИУС сервер дээр хадгалагдах боломжтой мөн түүнчлэн эдгээр мэдээллээ LDAP  эсвэл Active Directory гэх мэт гадаад серверээс авах боломжтой байдаг.  
Эдгээр 3 хариу мессеж нь Хариу-Мессежийн аттрибут (Reply-Message attribute)-г өөртөө агуулсан байж болно. Энэхүү Хариу-Мессежийн аттрибут нь хандах хүсэлтийг татгалзсан шалтгаан, дараагийн нэмэлт шаардлагын мэдээлэл эсвэл зөвшөөрсөн тохиолдолд тавтай морилну уу гэсэн хуудсыг өөртөө агуулах боломжтой байдаг. Энэхүү аттрибут нь хэрэглэгч рүү хандалтын веб хуудсын хариу болон дамжуулагдах боломжтой. Эрх олгох эсвэл итгэмжлэлийн аттрибутууд нь NAS руу хандах эрхийг нь нөхцөлдүүлэхээр дамжуулагддаг. Жишээлбэл, Хандалтыг зөвшөөрөх (Access-Accept) хариу нь дараах эрх олгох аттрибутуудтай байж болно. 

  • Хэрэглэгчид олгогдох IP хаяг 
  • Хэрэглэгчийн IP хаягийг сонгож өгөх IP хаягийн пүүл (IP address pool)
  • Хэрэглэгчийг холбоотой байлгах максимум хугацаа
  • Хандалтын жагсаалт (access list), Давуу эрхтэйгээр хандах цуваа эсвэл хэрэглэгчийн хандалтад хийгдэх бусад хязгаарлалтууд
  • L2TP параметрүүд
  • VLAN параметрүүд 
  • Сервисийн чанарын Quality of Service (QoS) параметрүүд 

Клиент тал РАДИУС-г хэрэглэх тохиргоотой байгаа үед,  ямар ч клиент байсан хамаагүй клиентэд нэвтрэх эрхийг баталгаажуулах мэдээллийг харуулдаг. Энэ нь тохируулах боломжтой логин хуудас байж болох бөгөөд энэ хэсэгт клиент нь өөрсдийн хэрэглэгчийн нэр, нууц үгийг оруулна. Түүнээс гадна хэрэглэгч PPP буюу Point-to-Point гэх мэт фрэйминг протозолыг ашиглаж болдог бөгөөд эдгээр фрэйминг протоколуудад ийм төрлийн мэдээллийг дамжуулдаг нэвтрэх эрхийн баталгаажуулалтын пакет (authentication packets) байдаг. 
Нэгэнт л ийм төрлийн мэдээллийг хүлээн авсан л бол хэрэглэгч өөрөө РАДИУС-г ашиглан нэвтрэх эрхээ баталгаажуулах уу эсвэл болих уу гэдэг ээ өөрөө шийдэж болно. Хэрэв хэрэглэхээр болвол клиент нь хандалтын хүсэлт буюу "Access-Request"-г үүсгэх ба энэ хүсэлт нь хэрэглэгчийн нэр, нууц үг, ID мөн хэрэглэгчийн портын ID зэргийг агуулсан аттрибуттай байж болдог. Нууц үг дамжуулагдаж байгаа бол тухайн нууц үгийг RSA Message Digest Algorithm MD5 ашиглан нууцалдаг байна. 

Бүртгэл (Accounting)



RADIUS Бүртгэлийн мэдээллийн урсгал
Бүртгэлийн хэсэг нь RFC 2866 стандартад тодорхойлогдсон байдаг.
NAS нь  сүлжээнд хандах хандалтыг нь зөвшөөрсөн тохиолдолд, Accounting start буюу бүртгэлийг эхлүүлэх (РАДИУС-ын бүртгэлийн хүсэлтийн пакет бөгөөд энэ пакет нь өөртөө "start" гэсэн утгыг агуулсан Acct-Status-Type аттрибуттай байдаг) хүсэлтийн пакетыг NAS сервер РАДИУС сервер лүү илгээдэг. Үүний зорилго нь хэрэглэгч сүлжээг ашиглаж эхэлсэн гэдэг сигналыг РАДИУС серверт өгөх юм. "Start" бичилт (records) ихэвлэн хэрэглэгчийг таних хэрэглэгчийн ID, сүлжээний хаяг, холбогдсон цэг хандалтыг тодорхойлогч буюу unique session ID зэрэг мэдээллүүд агуулагдсан байдаг. 
Үүнээс хойш NAS сервер нь үе үе РАДИУС сервер лүү завсрын мэдээллийг шинэчлэх бичилт (Interim Update record) -(Энэ РАДИУС бүртгэлийн пакет нь Acct-Status-Type аттрибут дээрээ "interim-update" утгыг агуулдаг)-г РАДИУС сервер лүү илгээж болдог бөгөөд энэхүү бичилтийн гол зорилго нь идэвхитэй байгаа хандалтууд (active sessions)-ын статусыг нь шинэчилж байх зорилготой юм. "Interim" буюу завсрын эдгээр бичилтүүд нь ихэвчлэн одоо идэвхитэй байгаа хандалтын хэр удаан холбоотой байгаа хугацаа, одоогийн байдлаар ямар өгөгдөл ашиглаад байгаа талаарх мэдээлэл зэргийг дамжуулж байдаг. 
Эцэст нь хэрэглэгч сүлжээг хэрэглэхээ болих үед нь NAS нь Accounting stop record (Acct-Status-Type аттрибут нь "stop" утгыг агуулж байдаг) буюу бүртгэлийг зогсоох бичилтийг РАДИУС сервер лүү илгээж эцсийн байдлаар тухайн хэрэглэгч хэр удаан хугацаанд сүлжээнд хандсан, дамжуулагдсан пакетууд, дамжуулагдсан өгөгдөл, холболтоо салгасан шалтгаан гэх мэт хэрэглэгчийн хандаллтай холбоотой мэдээллүүдийг  агуулсан байдаг. 
Энгийн тохиргоотой үед клиент тал нь нөгөө талаасаа АСК буюу хүлээн авсанаа баталгаажуулсан өгөгдөл дамжуултал өөрийн Accounting-Request буюу бүртгэлийн хүсэлтийн мэдээллээ тодорхой хугацааны дамтамжтай илгээсээр л байдаг. 
Эдгээр мэдээллийг цуглуулж байгаа гол шалтгаан нь хэрэв хэрэглэгч нь тухайн сүлжээнд хандсанаараа мөнгө төлөх ёстой бол энэ шийдлийг ашигладаг, гэхдээ үүнээс гадна энэхүү мэдээлэл нь ихэвчлэн статистикийн мэдээлэл гаргах зорилгоор мөн сүлжээний хяналтыг хэрэгжүүлэх зорилгоор ашиглагддаг. 

Рүүминг (Roaming)


Рүүминг нь прокси РАДИУС ААА сервер ашиглаж буй байдал.
РАДИУС серверийг ISP-нуудын дунд рүүминг хийх зорилгоор ашиглаж болдог. Жишээлбэл:
  • Хэрэв компанаас олгогдсон эрхийг ашиглан олон нийтийн газруудын сүлжээг ашиглах эрхтэй болж байгаа хэрэглэгчүүдтэй мөн хэрэглэгчийн хандалтыг хадгалах ганцхан төвтэй байхыг илүүд үзэж байгаа тохиолдолд
  • Бие даасан тусдаа үйл ажиллагаа явуулдаг байгууллагуудын хувьд, тэд хамтарч ажиллаж эхлэх үед байгууллага бүр өөрсдийн хэрэглэгчддэд өөрсдийн компаниас олгогдох ёстой хэрэглэгчийн нэвтрэх эрхийн иэдээллийг тарааж өгөх бөгөөд энэхүү өөрийнхөө байгууллагаас хүлээн авсан хэрэглэгчинй хандалтын эрхээрээ өөр сүлжээнд хандаж орох боломж нээгддэг. Жишээлбэл eduroam гэх мэт
Энэхүү үйлдлийг хялбарчлахын тулд РАДИУС realm буюу цар хүрээг заасан ойлголтыг хэрэглэдаг бөгөөд энэ realm нь РАДИУС сервер хэзээ AAA хүсэлтийг цааш нь өөр серверээр боловсруулуулах гэж форвард хийж дамжуулах вэ гэдгийг нь тодорхойлж өгдөг. 
Цар хүрээ (realm)Realm буюу цар хүрээний мэдээлэл нь ихэвчлэн хэрэглэгчийн нэрний ард залгагддаг бөгөө ингэхдээ '@' тэмдэгтээр тусгаарлагддаг. Ингэснээр цар хүрээ буюу realm нь имэйлийн домэйн хаягтай төстэй болдог. Үүнийг цар хүрээ буюу realm-н ард нь залгагддаг тэмдэглэгээ (postfix notation) гэж нэрлэгддэг. Үүнээс гадна цар хүрээ (realm)-н урд нь залгагддаг өмнө нь залгагддаг тэмдэглэгээ (prefix notation) гэж бас байдаг бөгөөд энэ тэмдэглээг хийж байгаа бол хэрэглэгчийн цар хүрээ (realm) нь хэрэглэгчийн нэрний өмнө "\" тэмдэгтээр тусгаарлагдан бичигддэг. Гэхдээ сүүийн үеийн РАДИУС-ууд тусгаарлах тэмдэг (@ эсвэл \)-аас тэс өөр тэмдэгт оруулж ирээд хэрэглэж болох тохиргоо нөхцөлөөр бүрдүүлж өгчээ. Цар хүрээ (realm)-г тэмдэглэхдээ хэрэглэгчийн нэрний өмнө тусгаарлагдах тэмдэгтээр ялган байрлуулах аргыг хэрэглэгчийн нэрний дараа бичих аргуудыг нэгдсэн байдлаар хэрэглэх боломжтой байдаг. Жишээлбэл: somedomain.com\username@anotherdomain.com нь 2 цар хүрээ (realm) бүхий ямар нэгэн алдаагүй бичигдсэн хүчин төгөлдөр хэрэглэгчийнн нэр юм.Хэдийгээр цар хүрээ (realm) нь домэйний нэртэй төстэй боловч Цар хүрээ (realm)  цар хүрээ Realm гэдэг нь энгийн текст бөгөөд  ямар нэгэн бодит домэйн агуулах ямар ч шаардлагагүй юм. Цар хүрээ буюу Realm-н бүтэц нь RFC 4282 стандартаар стандарчлагдсан. Энэхүү стандартад Сүлжээний Хандалтын Ялгаж өгдөг тодорхойлогч (Network Access Identifier - NAI)-г 'username@realm' гэсэн бүтэцтэйгээр тодорхойлсон байдаг. 

Прокси үйл ажиллагаа  (Форвард хийх)

РАДИУС сервер лүү өөрийн цар хүрээ (realm)-г агуулсан хэрэглэгчийн хүсэлт (ААА хүсэлт) орж ирмэгч сервер нь өөр дээрээ тохируулаглсан байгаа цар хүрээ (realm)-уудынхаа хүснэгт рүү ханддаг. Хэрвээ тухайн цар хүрээ олдож байвал РАДИУС сервер хүсэлтийг тухайн домэйний зохих сервер лүү нь илгээдэг. 
Прокси хийж байгаа үед цар хүрээний буюу realm -ийн хэсгийг хүсэлтээс салгахдаа пакетыг задлах эсэх нь серверийнхээ тохиргооноос хамаардаг. Мөн түүнчлэн Прокси хийгдэж байгаа үед прокси сервер нь ААА хүсэлтийг нэмэх, ААА хүсэлтийг хасах, эсвэл ААА хүсэлтийг дахин засварлаж бичих гэх мэт тохиргоотой байж болдог.
РАДИУС сервер нь үйл ажиллагаандаа Прокси чэйнинг (Proxy chaining) ашиглах боломжтой бөгөөд ингэсэн тохиолдолд NAS төхөөрөмж болон алсын зайд байгаа сервер 2-ын хооронд дамжигдаж буй ААА пакетууд дамжихдаа олон проксигоор дамжиж (замчлагдаж) шилжүүлэгддэг. Прокси ашиглах нь РАДИУС-д сүлжээний хэмжээг өөрчлөх(scalability improvement), зохицуулалтын бодлогоо хэрэгжүүлэх (policy implementation), тохиргоо хийх боломж (capability adjustment) гэх мэт боломжоор хангадаг давуу талтай. Рүүминг (roaming) хийгдэж байгаа үед NAS, Proxy, Home Server зэрэг нь өөр өөр газрын хяналтанд тохируулагдсан байдаг (өөр өөр админтэй, удирдлагатай). Тиймээс энэ тохиолдолд дундын проксинуудад итгэх итгэлийн асуудал маш чухал байдаг. Яагаад гэвэл РАДИУС серверт end-to-end буюу 2 төгсгөлийн цэгийн мэдээллийг хамгаалах хамгаалалт байдаггүй нь дундын проксид итгэхэд хүндрэл үүсгэдэг. Прокси чэйнинг (proxy chaining) нь RFC 2607 стандартаар стандарчилагдсан. 

Аюулгүй байдал

Рүүминг (roaming) хийж байгаа РАДИУС-ын хувьд түүний хэрэглэгчид нь төрөл бүрийн аюулгүй байдлын асуудлуудтай тулгардаг. Ер нь бол зарим хамтрагчид нь РАДИУС серверүүдийнхээ дунд туннел үүсгэж хэрэглэгчдийнхээ нууц мэдээллийг прокси хийгдэж байх үед нь таслан зогсоолгохгүй байх, хэрэглэгчдийнхээ мэдээллийг алдахгүй байх асуудлаа шийдэх гэж оролддог. Энэ бүх асуудал нь РАДИУС - н хэрэглэдэг MD5 хаш нь өөрөө тийм ч найдвартай аюулгүй байдлын шийдэл биш учраас үүсдэг байна. 

 РАДИУС протокол нь нууц үг дамжуулахдаа shared secret (ижил нууц үг ашиглах) болон MD5 хаш алгоритм ашигладаг. Энэ нь өөрөө тийм ч хангалттай хамгаалалт биш учраас нэмэлтээр IPsec туннел гэх мэт хамгаалалтын аргыг РАДИУС серверийн хэрэгжүүлэлтэнд хэрэглэдэг. 
Түүнээс гадна РАДИУС нь зөвхөн хэрэглэгчийн нууц үг, нэрийг л нууцлах механизмтай бөгөөд эдгээрээс гадна эмзэг мэдээлэлд ангилагдаж болох хэрэглэгчийн ашиглаж буй туннелийн ID эсвэл VLAN-н тухай мэдээлэл нууцлагддаггүй байна. Эдгээр асуудлыг шийдвэрлэхийн тулд RadSec гэсэн протоколыг ашиглах тохиолдол байдаг. 

Пакетын бүтэц


Пакетын бүтцийг дээр харууллаа. 
Талбарууд нь зүүнээсээ баруун тийш чиглэлтэй байх ба код (code), ялгах нэр (identifier), хэмжээ (length), баталгаажуулагч (authenticator) мөн аттрибут гэсэн хэсгүүдтэй
РАДИУС-н кодууд (code) нь дараах утгуудтай (decimal):
CodeAssignment
1Access-Request
2Access-Accept
3Access-Reject
4Accounting-Request
5Accounting-Response
11Access-Challenge
12Status-Server (experimental)
13Status-Client (experimental)
255Reserved
identifier хэсэг нь хүсэлт болон түүний хариу тохирч байгаа эсэхийг шалгахад хэрэглэгддэг. 
Хэмжээ (length) хэсэг нь РАДИУС пакетын нийт хэмжээг нь (code, identifier,Length, authenticator, Нэмэлт Attribute хэсгүүдийг бүгдийнх нь уртыг хамруулаад) заадаг.  
Баталгаажуулагч (authenticator) нь РАДИУС серверийн өгсөн мессежийн хариуд нэвтрэх эрхээ баталгаажуулахад хэрэглэгддэг. Нууц үгийг шифрлэхэд хэрэглэгддэг гэсэн үг. Үүний урт нь 16 бит. 

Аттрибутын утгууд (Attribute value pairs - AVP)

                                                                                 

RADIUS AVP бүтэц
РАДИУС Аттрибутын утга буюу  Attribute Value Pairs (AVP) нь ААА хүсэлт болон түүний хариуд ирж байгаа пакетад аль алинд нь агуулагддаг. Энэ хэсгийн хэмжээ (length) нь AVP хэсгийн төгсгөл хаана дуусч байгааг илэрхийлэхэд хэрэглэгддэг.  

Вендор тодорхойлсон аттрибутууд (Vendor-specific attributes)

РАДИУС -г өргөтгөх боломжтой. Техник хангамжаар болон програм хангамжаар дамжуулан РАДИУС-н шийдлийг хэрэглэгчдэд санал болгодог ихэнх вендорууд өөрсдийн VSA (Vendor-Specific Attributes)-г хэрэгжүүлдэг. Майкрософт л гэхэд өөрсдийн гэсэн VSA-үүдийг гаргасан. VSA нь зарим компаны хувьд хувтйн өмч байх бол зарим нээлттэй эхийн РАДИУС-ууд болох FreeRADIUS эсвэл OpenRADIUS  зэргийн хувьд эх кодыг нь татаж аваад л хэрэгжүүлсэн VSA-г нь харах боломжтой юм.

Үнэгүй эсвэл арай хямдхан РАДИУС серверийн шийдэл хайж байгаа бол дараах холбоос руу зочилно уу.
http://www.serverwatch.com/server-reviews/the-9-best-low-cost-radius-servers.html 

1POPs - гэдэг нь харилцаа холбооны нэгжүүд төхөөрөмжүүдийн дунд нь байрлах хилийг зааглах зориулалт бүхий төхөөрөмж юм. Интернэтийн орчинд энэ нь Интернэтэд холбогдох аксесс пойнт (Access Point) юм. Энд дурдсан Аксесс пойнт гэдэгт Сервер, Рүүтэр, АТМ свичүүд болон дижитал/аналог дуулдагын (call) нэгтгэлүүд гэх мэт төхөөрөмжүүд багтдаг.


posted by Nasantogtokh @ 8:38 PM   0 Comments

Wednesday, June 15, 2016

Мэдлэг (Knowledge), чадвар(skill), авьяас чадвар(ability) тэдгээрийн ялгаа

Мэдлэг (Knowledge), чадвар(skill), авьяас чадвар(ability) энэ гурван нэр томъёог хооронд нь хольж ойлгох эсвэл ялгаатай гэдгийг нь мэддэг хэрнээ яг ямар ялгаатай гэдгийг нь нарийн яг таг мэддэг хүн тийм ч олон биш бололтой. Яг үнэндээ энэхүү постыг бичих хүртлээ би өөрөө ч энэ 3 үгний утгыг тойм байдлаар л мэдэж байснаас яг нарийн мэдэхгүй байсан байна.

Мэдээж үгний утгын ялгааг гаргаж ирэх гэж байгаа учраас үгийн язгуур эсвэл толь бичгээс үгийн утгыг нь хайх нь зүйтэй болов уу?

Мэдлэг: Энэ үгийг толь бичгүүдэд дараах байдлаар тайлбарлажээ.

 Монгол хэлний их тайлбар толь 

  • Танин мэдэх үйл ажиллагааны үр дүнд тодорхой мэргэжлээр сурч боловсрол эзэмшсэн түвшин, мэдэц
Харин Англи хэлэнд Knowledge хэмээх үгийг дараах байдлаар тайлбарласан байна. 



  • Боловсрол эсвэл туршлагаар олж авсан мэдээлэл, ойлголт эсвэл чадвар /information, understanding, or skill that you get from experience or education/
  • Аливаа зүйлийн талаарх ойлголт, өөрөөр хэлбэл тухайн зүйлийг мэддэг байх /awareness of something : the state of being aware of something/

  • Аливаа зүйлийн талаар олж авсан онолын, практикын ойлголт. Өөрөөр хэлбэл энэ нь туршлага эсвэл боловсролоор олж авсан факт, баримт, мэдээлэл юм. (Facts, information, and skills acquired through experience or education; the theoretical or practical understanding of a subject) 
Эдгээрээс харвал мэдлэг гэдэг нь хүний мэдрэхүй болох Унших, Үзэх, Сонсох, Хүрэх гэх мэт мэдрэхүй, хүртэхүйгээр дамжиж ирж буй эмхэлтж цэгцэнд оруулж ангилсан мэдээлэл юм. Өөрөөр хэлбэл мэдлэг гэдэг нь үнэн зөв мэдээлэлтэй байх, онолын ойлголттой байхыг хэлнэ. Мэдлэг нь нэг хүнээс нөгөөд хялбархан дамжуулагдаж болно эсвэл түүнийг өөрөө ажиглах, харах байдлаар сурсан ч болно. 

Чадвар: 
Монгол хэлний их тайлбар толь
  • Юм хийх ур дүй: ажлын чадвар (тухайн ажлыг хийх эв дүй), чадвар дадал [хоршоо] (аливаа юмыг хийж бүтээх авьяас эрдэм, дадлага туршлага)
  • Ямар нэгэн зүйлийг хийж чаддаг байх чадвар бөгөөд энэхүү чадвар нь сургалт, туршлага зэрэг эх сурвалжаас үүдэлтэй байдаг (the ability to do something that comes from training, experience, or practice)

  • Аливаа зүйлийг сайн хийж чаддаг байх чадвар (The ability to do something well; expertise) 


Чадвар нь харин өөрийн мэдлэгийг шаардлагатай нөхцөлд нь ашиглаж чаддаг байх талаар ойлголт юм. Чадвар нь хичээл зүтгэл, дахин дахин оролдсоны хүчин буюу өөрийн мэдрэхүй, хүртэхүйгээрээ мэдээллийг хүлээн авч түүнийхээ хариуд ямар нэгэн үйлдэл хийх замаар хуримтлагддаг. Жишээлбэл: Усанд сэлж сурахын тулд заавал ус руу орж өөрөө туршиж хийж үзэж байж л сурах боломжтой. Тухайн зүйлийг маш сайн хийж сурахын тулд олон дахин удаа давтаж хийж үзэх хэрэгтэй бөгөөд ингэхдээ алдаа гаргах нь байдаг л үзэгдэл юм. 

Авьяас чадвар:



  • төрөлхийн онцгой чадвар




  • Аливаа зүйлийг хийх биеийн хүчний, оюуны эсвэл хууль эрх зүйн чадавхи (the quality or state of being able <ability of soil to hold water>; especially :  physical, mental, or legal power to perform). Эсвэл байгалаас заяасан чадавхи (өөр өөр чадвартай оюутнууд) (natural aptitude or acquired proficiency <students with different abilities>)


  • Тодорхой салбар дахь авьяас, чадвар эсвэл чадавхи. (Talent, skill, or proficiency in a particular area)

Авьяас чадвар бол тухайн хүн аливаа шинэ зүйлийг хэр хурдан сурч байна вэ? хэр хурдан ойлгож байна вэ гэдэгтэй хамааралтай асуудал. Толь бичгүүдэд дурдахдаа энэ бол төрөлхийн авьяас билэгтэй холбоотой хэмээн бичсэн байна. 


    За тэгэхээр мэдлэг гэдэг бол аливаа талаарх системтэй, үнэн зөв мэдээлэл болж байна гэсэн үг. Мэдлэгтэй хүн аливаа зүйлийн хаана нь юу байдаг, юуг нь яаж хийдэг болохыг зөвхөн мэддэг гэсэн үг. Эдгээр зүйлсийг мэддэг байх нь жишээлбэл дугуйн эд ангийг бүгдийг нь мэддэг эсвэл усанд сэлэх арга зүйг мэддэг байлаа гээд энэ нь тухайн хүнийг дугуй унаж чаддаг эсвэл усанд сэлж чаддаг гэдгийг илтгэхгүй. Дугуй унаж сурахын тулд эсвэл усаэд сэлэхийн тулд заавал өөрөө хийж үзэж, алдаж онож, дахин дахин оролдож байж л сая нэг дугуй унах эсвэл усанд сэлэх чадвартай болно гэсэн үг. 
Мэдээж бодит чадвартай болохын тулд өмнө нь тухайн зүйлийн талаар системтэй, үнэн зөв мэдлэгтэй байвал тухайн зүйлийг хийж чадвартай болоход маш дөхөм болох бөгөөд түүнээс гадна тухайн зүйлийг хийж дадах чадвартай болоход гарах эрсдэлийг маш ихээр багасгадаг юм. Өөрөөр хэлбэл усанд сэлэх арга зүйг заалгаад ус руу сэлэх гээд орж байгаа хүн юу ч мэдэхгүй шууд ус руу орж байгаа хүнээс хамаагүй хурдан усанд сэлж сурна гэсэн үг. Мөн арга зүйг эсвэл живэх үед юу хийх ёстойг заалгаад ус руу орж байгаа хүн юу ч мэдэхгүй шууд орж байгаа хүнийг бодвол живж усанд эндэх магадлал багатай байх нь ойлгомжтой юм.

Эндээс үүдээд авьяас чадвар буюу ability гэсэн ойлголт бий гарч ирж байгаа юм. Ер нь бол хүмүүс байгалаасаа өгөгдсөн авьяас нь өөр хоорондоо ялгаатай. ГЭХДЭЭ энэ нь яг ч зуун хувь байгалийн өгөгдөлөөс хамаардаг ойлголт бас биш юм. Яагаад гэж гайхаж байж магадгүй юм. Неврологи буюу neuroscience-ийн (энэ салбар шинжлэх ухаан нь хүний тархины мэдрэлийн эсүүд буюу нервийн системийг судалдаг) судалж гаргаснаар та бидний тархи аливаа шинэ мэдээллийг боловсруулахдаа хэрвээ тухайн мэдээлэл нь бидний өмнө мэддэг эсвэл сайн хийж чаддаг зүйлтэй төстэй байвал тухайн шинэ зүйлийг илүү хурдан ойлгож, илүү хурдан сурдаг болохыг тогтоосон байдаг. Жишээлбэл. Англи-Саксон гаралтай хэлүүдээс та аль нэгийг нь мэддэг байхад нөгөөг нь сурахад хялбар байх болно. Англи хэлээр төгс төгөлдөр гэдэг үгийг perfect гэж бичдэг бол Герман хэлээр Perfekt гэж бичээд бараг адилхан уншдаг байх жишээтэй. Энэ нь юу гэсэн үг вэ гэхээр хэрвээ таны суурь мэдлэг, өмнөх туршлага маш өргөн хүрээний эсвэл сайн мэдлэгтэй бол дараа нь дахиад шинээр мэдлэг олж авах чадвартай болоход улам хялбархан болдог гэсэн санаа юм.  Тийм ч учраас Японы нэгэн эрдэмтэн аливаа хүний амжилтанд хүрэх томьёог тодорхойлохдоо Хандлага*ХичээлЗүтгэл*Авьяас = Амжилт хэмээн тодорхойлсон байдаг. 

Ер нь дээр дурдсан санаагаа товчлоод хэлэхэд Мэдлэг гэдэг бол аливаа зүйлийн талаарх системтэй үнэн зөв мэдээлэл. Чадвар бол аливаа хийж чаддаг байх тухай асуудал. Харин Авьяас чадвар нь аливаа зүйлсийг хурдан сурах, мэдэх боломж бололцоо юм. Бидний эцсийн зорилго бол мэдээж сайн мэдлэгтэй бас чадвартай байх. Ер нь бол орчин үед хамгийн чухал нь хийж чаддаг байх. Яагаад гэвэл гудамжаар дүүрэн мэддэг хүмүүс байгаа учраас чаддаг нь илүү үнэлэгдэх болсон байна. Тэгэхээр Чадварлаг болохын тулд системтэй маш сайн мэдлэгтэй байхын зэрэгцээ давхар оролдож үзэж өөрийн гараар хийж байж л сурна. Бидэнд байгалаас өгсөн өгөгдөл өөр өөр учраас зарим нь би бусдаас авьяас чадварын хувьд дутуу тиймээс би хийж чадахгүй гэж боддог. Тэгвэл энэ ухагдахууны хувьд авьяас чадвар гэсэн ойлголт буюу аливаа зүйлийг хурдан сурах чадавхийн асуудал яригдана. Гэхдээ хэрвээ таны шинээр сурч байгаа зүйл өмнө нь сурч байсан зүйлтэй чинь төстэй бол заавал байгалаас өгөгдсөн чадвар гэлгүйгээр та тухайн зүйлийг сурахад хялбархан байх болно. Жишээлбэл хэрвээ та мэлхий сэлэлтээр сэлж чаддаг бол дельфин сэлэлтээр сэлж сурахад танд тийм ч их хугацаа орохгүй харин ерөөсөө сэлж чадахгүй хүн шууд дельфин сэлэлт сурах гэж оролдвол магадгүй мэлхий сэлэлтээр сэлдэг хүнээс 2 дахин илүү хүч чармайлт гаргаж байж сурах магадлалтай юм. Үүгээрээ юу хэлэх гээд байна вэ гэхээр аливаа шинэ зүйлийг шинээр хийж эхлэх үедээ та хийж чадахгүй юм шиг эсвэл бусад хүмүүс тухайн зүйлийг танаас илүү хийж чадаад байгаа юм шиг санагдаж байж магадгүй. 

Хэрвээ өөр хүн тухайн зүйлийг танаас илүү хийж чадаад байгаа бол энэ хүн танаас илүү авьяас чадвар буюу аливаа зүйлийг хурдан сурах чадавхитай байна гэсэн үг. Ийм байх боломж 2 л байх бөгөөд нэг  нь тухайн хүн индиго буюу байгалаас маш чадварлаг төрсөн (гэхдээ ийм байх магадлал тун бага нийт хүн амын 2-3 хувь нь л ийм байдаг) эсвэл тухайн хүн өмнө нь маш их зүйл уншиж судалсан, хийж туршиж үзсэн өөрөөр хэлбэл шинээр сурч буй зүйл нь өмнөх хийж байсан туршлагатай нь төстэй учраас танаас илүү хялбархан сурч байна гэж ойлгох хэрэгтэй. 

Тиймээс ер нь бол шантармаар санагдаад байвал Practice makes perfect гэдэг үгийг амандаа 21 удаа уншаад араас нь хийж байгаагаа үргэлжлүүлэх хэрэгтэй. Ялангуяа залуу хүмүүс тасралтгүй юм уншиж судалж, шинэ зүйлийг айхгүйгээр туршиж үзэж байхад буруудах зүйл байхгүй мэт санагддаг. 


posted by Nasantogtokh @ 11:58 AM   0 Comments