+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Аутентификация PPPoE-сессий при недоступности Radius или SQL.

Аутентификация PPPoE-сессий при недоступности Radius или SQL., RouterOS

SBastardi

Guest

10.08.2012 15:41:00

Доступность сети очень важна для любого бизнеса. Для провайдера – это принципиальный вопрос! Мы добились отличных результатов с сетью, построенной на 100% Mikrotik. Но есть одна проблема, которую нужно решить: как аутентифицировать PPPoE-клиентов, если недоступен Radius или база данных пользователей. Мы гордимся тем, что больше не используем оборудование Cisco, но с Cisco IOS для этого была команда: aaa authentication ppp default local radius none. Она позволяла сначала аутентификацию через локальную базу, потом через Radius, а если что-то шло не так – вообще без аутентификации. Отказ от Radius не позволял заблокированным клиентам выходить в сеть. Очень важно найти способ аутентификации PPPoE-пользователей в случае проблем с Radius или базой данных. По-моему, это достойная внимания функция. Эта проблема обсуждалась в других группах для WISPs, и все сходятся во мнении, что нужно эффективное решение. Стив.

rodolfo Guest	#2 0 10.08.2012 19:23:00 Используй два радиуса.

SBastardi Guest	#3 0 10.08.2012 19:42:00 Реализовано уже 2 Radius Services. Причин, по которым Radius или база данных могут быть недоступны, может быть много. Лучшее решение – оставить пользователей онлайн на сервере доступа без аутентификации. Стив.

greencomputing

Guest

10.08.2012 22:47:00

Привет, сэр. Мы реализовали обходной путь, чтобы сымитировать это требование, на клиентской сети, где использовался один экземпляр сервиса RADIUS + MongoDB, работающий на платформе freeradius, основанной на Linux. Решение подходит для нескольких сотен подписчиков (была гарантия максимального числа в 400). Чтобы справляться с “редкими и спорадическими случаями” ( ), когда RADIUS недоступен по любой причине, мы использовали скрипт, отслеживающий доступность RADIUS (просто проверяя на таймауты) через /system скрипт на Mikrotik RB1100 Routerboard. Когда проверка скрипта завершается неудачно, RADIUS объявляется недоступным, и IP-адрес RADIUS меняется динамически, просто активируя запись конфигурации RADIUS: /radius add service=ppp address=127.0.0.1 secret=greencomputing, конечно. На Rb1100 работает сервис usermanager; необходим пакетный скрипт синхронизации, который клонирует имя пользователя/пароль, предоставленные на базе данных RADIUS-сервера freeradius. Надеемся, это поможет вам найти элегантное решение для вашей конкретной задачи. Хорошего дня.

rodolfo

Guest

11.08.2012 09:25:00

Тебе нужно два сервера, каждый с одним сервисом RADIUS и одним сервером базы данных. Серверы должны располагаться на твоих двух шлюзах или в двух разных стратегических позициях. Клиенты RADIUS запрашивают оба сервиса, и если один сервис RADIUS или сервер базы данных зависает, он запрашивает другой. Это очень, очень безопасно для сети и является каноничным способом. Тебе нужно как минимум два сервера, и каждый сервер доступа должен достигать обоих серверов по двум разным маршрутам (я уверен, что это твой случай, потому что сеть с 100% доступностью должна иметь много колец). @greencomputing если у тебя секреты в списке, тебе не нужен пользовательский менеджер для авторизации PPPoE.

greencomputing

Guest

11.08.2012 22:30:00

Мы знаем, что идеальный системный администратор имеет 2 веб-сервера, 2 freeradius, 2 роутера, 2 коммутатора, и что 2 лучше, чем 1, во многих ситуациях из нашей повседневной жизни. Но эта тема – о способе имитировать поведение оборудования Cisco в случае сбоя, как описал SBastardi изначально.

EMOziko Guest	#7 0 12.09.2012 14:21:00 Отлично! Поддерживаю.

savage

Guest

13.09.2012 06:24:00

Затем добавь учётные записи пользователей в /ppp secrets, найди способ синхронизировать эту информацию и используй её. Возможность есть, если RADIUS не работает, MT по умолчанию откатывается к локальной базе данных пользователей. Удачи в синхронизации всего этого, правда. Ты ведёшь бизнес или детский сад? Если ты ведёшь бизнес, важно инвестировать в подходящее оборудование. Рад, что не пользуюсь твоими услугами…

riggerman Guest	#9 0 09.10.2012 18:40:00 Предложение Savage вполне правдоподобно. Здесь на помощь приходит API Mikrotik. Помните, что ppp secrets — это всего лишь запасной вариант, так что вполне практично очистить и добавить их заново, если потребуется, то есть для односторонней синхронизации. Если у вас тысячи сессий, завершающихся на одном TIK, это станет настоящей головной болью. Наше типичное решение — это RADIUS-прокси, который отслеживает вышестоящие RADIUS-серверы и по сути включает режим «любая аутентификация» с небольшим временем сессии. Таким образом, если выйдет из строя RADIUS/customer db, клиенты все равно смогут аутентифицироваться с относительно коротким временем сессии. Это позволит вам грациозно восстанавливать RADIUS/customerdb по мере необходимости.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры