Kiểm thử RADIUS accounting: completeness, duplicate và failover

RFC 2866 mô tả Accounting-Request/Response và các loại record như Start, Stop, Interim-Update. Một hệ thống đúng cần ghi đúng vòng đời phiên, chống duplicate theo thiết kế, không mất record khi server/path lỗi và giữ đủ thuộc tính để đối soát. Access-Accept không chứng minh pipeline accounting hoạt động.

Mục tiêu phải gắn với use case: billing, audit, capacity, security investigation hay session control. Mỗi use case có freshness và completeness budget khác nhau; không nên dùng một SLA chung.

Topology gồm endpoint/session generator, NAS hoặc BNG/VPN gateway/WLC, hai RADIUS server, load balancer nếu có, message queue/collector, database và hệ thống downstream. Thu packet trong lab ở phía NAS và server; ghi log ứng dụng và row/event ID ở storage.

Mỗi phiên cần Acct-Session-Id ổn định, NAS identifier, user/device giả lập, start time và test run ID. Đừng dùng dữ liệu định danh production. Đồng bộ clock và ghi timezone; nếu clock lệch, Stop có thể trông như đến trước Start dù transport đúng.

Alt: “Chuỗi RADIUS accounting và các điểm đối soát session record.”

Khóa NAS firmware, RADIUS implementation/version, UDP/TCP/TLS transport nếu có, timeout, retry count, server selection, interim interval, buffer behavior, queue retention, database constraint và dedup key. Ghi rõ shared-secret/key management nhưng không đưa secret vào log hoặc bản nháp.

Traffic profile gồm session ngắn, dài, concurrent start burst, mass disconnect, roaming/reconnect và session không có Stop do mất nguồn. Tách lỗi NAS không phát record khỏi server nhận nhưng không lưu bằng capture và correlation ID.

KPI gồm start completeness, stop completeness, interim coverage, end-to-end delay p95/p99, duplicate rate, orphan Start/Stop, out-of-order rate, retry volume, queue backlog, database ingest rate và recovery time. Báo mẫu số rõ: số phiên phát sinh, số request phát, số server nhận và số record hợp lệ cuối pipeline.

KPI · Cách đo · Bằng chứng · Pass/fail Start/Stop completeness · Session lifecycle join · NAS log + DB query · Theo budget đã chốt Duplicate · Event key/sequence · PCAP + storage · Không tạo double count Freshness · Event time → persisted time · Timestamp chain · p95/p99 trong SLA Failover loss · Sequence gap qua lỗi · Capture hai server · Không mất ngoài policy Backlog recovery · Queue depth theo thời gian · Queue metrics · Hết backlog trong ngưỡng Data integrity · Attribute comparison · Raw record + normalized row · Không sửa sai trường trọng yếu

Kịch bản · Sự kiện · Kỳ vọng · Rủi ro Bình thường · Start–Interim–Stop · Lifecycle đầy đủ · Missing record Retry · Mất response · Request được gửi lại · Duplicate billing Primary down · Failover server · Record tới secondary · Gap khi chuyển DB chậm · Backpressure · Queue/buffer có giới hạn · Drop hoặc OOM NAS reboot · Mất state · Hành vi theo thiết kế · Orphan session Mass disconnect · Stop burst · Ingest giữ được · Backlog, timeout Clock skew · Time lệch · Phát hiện/đánh dấu · Thứ tự giả

Pha 1 chạy một session, xác minh attribute và lifecycle từ wire tới database. Pha 2 tăng session rate/concurrency theo bậc; giữ interim interval cố định và đo queue/CPU/storage. Pha 3 tạo burst Start, burst Stop và session duration mix.

Pha 4 bỏ Accounting-Response có kiểm soát để kích retry, xác minh duplicate handling. Pha 5 ngắt primary RADIUS, network path, queue consumer rồi database từng thành phần một. Đo loss window, backlog và replay. Pha 6 restart NAS/server theo runbook; đối soát orphan. Pha 7 soak vượt nhiều interim cycle và retention checkpoint.

Alt: “Timeline RADIUS accounting qua retry và server failover.”

• [ ] Có session/run ID xuyên NAS–RADIUS–storage.
• [ ] Ghi timeout, retry, interim interval và server order.
• [ ] Tách request received khỏi record persisted.
• [ ] Dùng idempotent/dedup key theo thiết kế đã kiểm chứng.
• [ ] Theo dõi orphan Start/Stop và session quá hạn.
• [ ] Cảnh báo queue backlog, ingest lag và drop.
• [ ] Thử primary/secondary failover và failback.
• [ ] Có quy trình replay không double count.
• [ ] Bảo vệ PII, shared secret và packet capture.
• [ ] Lưu reconciliation report sau mỗi test run.

RADIUS chạy qua UDP trong RFC 2866 nên retry/duplicate là phần của thiết kế; implementation và extension có thể khác. Kết quả trên một NAS không đại diện BNG, WLAN, VPN hoặc 5G AAA khác. RadSec/TLS thay đổi transport và security boundary, cần test riêng.

Completeness kỹ thuật không tự chứng minh đúng nghiệp vụ billing. Mapping tariff, timezone, rollover counter và policy downstream phải được kiểm tra bởi chủ hệ thống. Không lưu packet chứa thông tin thật nếu không có phê duyệt và retention phù hợp.

• Accounting-Start/Stop: Record bắt đầu/kết thúc phiên.
• Interim-Update: Cập nhật định kỳ khi phiên còn hoạt động.
• Acct-Session-Id: Định danh dùng liên kết record của một phiên.
• Duplicate: Cùng sự kiện được gửi/ghi nhiều lần.
• Orphan session: Lifecycle thiếu Start hoặc Stop tương ứng.
• Reconciliation: Đối soát giữa nguồn phiên và dữ liệu cuối pipeline.