+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

DHCP по умолчанию, сетевые настройки.

DHCP по умолчанию, сетевые настройки., RouterOS

variable

Guest

01.09.2006 20:34:00

Я собираюсь использовать Radius для проверки атрибутов DHCP, и мне хотелось бы, чтобы клиенты попадали в пул IP-адресов "unauth", если их MAC-адрес не найден в базе данных Radius. Есть ли способ настроить пул IP-адресов по умолчанию, в который будут попадать клиенты, если им не назначен другой атрибут?

variable Guest	#2 0 04.09.2006 19:43:00 Как это делают другие? Я пытаюсь настроить так, чтобы неавторизованных пользователей сразу отправляли в пул unauth, а затем правило фаервола xxx перенаправляло весь их трафик на страницу yyy.

variable

Guest

05.09.2006 05:58:00

Всю ночь возился с точкой доступа, и кажется, Filter-Id может быть хорошим вариантом, но каждый раз, когда я это делаю, Mikrotik создаёт правильное mangle правило, но ничто под него не попадает, то есть даже при использовании трафика ничего не помечается. И, честно говоря, Hotspot кажется слишком сложным для того, что я делаю, потому что, по сути, это не такая уж и сложная задача. Действительно нет способа установить пул IP-адресов в poolA, если его нет в Radius сервере?

balimore Guest	#4 0 05.09.2006 06:06:00 Привет, да, это очень полезно и классно… @Balimore.com

variable Guest	#5 0 05.09.2006 06:28:00 Я заглянул в hotspot aaa и hotspot gateway и не нашел ни одного примера, даже упоминающего filter-id или что делать с пользователем после отказа. Или я что-то упустил?

balimore

Guest

05.09.2006 06:56:00

Ну вот… Просто, настройка из Winbox через меню «IP Hotspot», подменю и кнопка «Setup», дальше следуй инструкциям в следующем окне. После завершения можно добавить «Userman» как «Radius Server». У меня в памяти этот линк надолго: http://forum.mikrotik.com//viewtopic.php?t=10567. С уважением, @balimore.com

variable Guest	#7 0 06.09.2006 18:45:00 Эта ссылка мне не помогла разобраться, как активировать filter-id. Что еще нужно сделать, чтобы filter-id заработал?

chris-oct

Guest

08.09.2006 00:31:00

Да, я это делаю… Если я правильно вас понял. Использование DHCP Radius: Если они в Radius, берем из DHCP POOL 1. Если их нет в Radius, берем из DHCP POOL 2. Нужно настроить правило ACCEPT по умолчанию в Radius с framed-pool DHCP-POOL-2. А для тех, кто в Radius – framed-pool DHCP-POOL-1.

variable

Guest

08.09.2006 04:32:00

Ах да, вот это нужно задать в радиусе. Я как раз об этом думал. Единственная проблема в том, что я хотел использовать радиус для беспроводной аутентификации, но не могу добиться, чтобы радиус возвращал положительный ответ, как ни пробовал. Но потом я подумал, что можно запустить два разных радиус-сервера на разных портах и просто запустить DHCP на порте номер один, а беспроводную связь – на порте номер два. Я все еще пытаюсь понять, как использовать filter-id или mark-id для маркировки пакетов пользователей, пока что ничего не получается. chris-oct, я читал некоторые твои другие сообщения, и казалось, что ты пытаешься сделать что-то похожее на то, что делаю я? Ты используешь hotspot? И на твой взгляд, что лучше всего использовать для моих целей: просто DHCP или hotspot? Спасибо.

variable

Guest

#10

08.09.2006 05:23:00

У меня заработало mark-id с: 0 chain=prerouting action=jump jump-target=hotspot

1 D chain=hotspot src-address=10.1.60.75 action=mark-packet
new-packet-mark=test123 passthrough=yes

2 D chain=hotspot dst-address=10.1.60.75 action=mark-packet
new-packet-mark=test123 passthrough=yes

Единственная проблема теперь в том, что мои правила NAT будто бы не работают: 0 chain=dstnat protocol=udp dst-port=53 packet-mark=test123 action=accept

1 chain=dstnat packet-mark=test123 action=dst-nat to-addresses=xxx
to-ports=80

Есть какие-нибудь идеи? Они вообще ничего не делают, хотя packet marking, кажется, данные получает.

chris-oct

Guest

#11

08.09.2006 15:04:00

Мы хотели сразу настроить hotspot-radius, но когда дошли до примерно 1000-2000 клиентов и передачи около 50 Мбит данных, hotspot начал глючить, и мы так и не смогли это исправить. Сервер спонтанно перезагружался каждые несколько дней и возникали другие проблемы. Поэтому hotspot мы оставили для небольших систем (до 100 клиентов), а для большой клиентской базы перешли на dhcp-radius. Сервера теперь работают гораздо стабильнее. И мы также используем несколько radius-серверов для обработки правила по умолчанию "accept". /etc/freeradius/users ######################################################### Default Accept DEFAULT NAS-Port-Type == Ethernet,Auth-Type := Accept Rate-Limit = “2002K/2002K 10M/10M 2001K/2001K 60/60”, Fall-Through = Yes

variable

Guest

#12

08.09.2006 15:51:00

Ах, хорошо знать. Моя конечная цель – чтобы всё было настроено вот так: если в raddb как обычная группа → присваивать ей соответствующие атрибуты; если в raddb как nopay → вся трафик направлять на страницу nopay; если не в raddb → вся трафик направлять на страницу register mac. Для dhcp/radius я добился этого, настроив разные подсети: например, обычные пользователи имели бы IP-адреса от 100 до 240, nopay – от 240 до 250, а не входящие в raddb – от 250 до 254 или что-то вроде того, и у меня были правила маршрутизации, которые говорили: если трафик идет/приходит с IP-адреса 250-254 – перенаправлять на страницу register mac, 240-250 – на страницу nopay и т.д. Единственное, что мне не нравится в этой настройке, – если пользователь достаточно умный, он просто может вручную установить свой IP-адрес на “обычный” и обойти всё. С hotspot я пытался сделать это с помощью mark-id, но пока не удалось, hotspot кажется гораздо более сомнительным, чем метод dhcp, но если бы я смог заставить hotspot работать, то было бы сложнее обойти. Какие есть идеи/мысли на этот счет? Спасибо, chris-oct. Рад видеть, что ты тоже что-то делаешь, ты делаешь что-то похожее на то, что я только что описал?

chris-oct

Guest

#13

08.09.2006 16:05:00

Слышал, что некоторые люди отключают ARP каким-то образом (в интерфейсе). А потом на DHCP-сервере включают "Add ARP for leases". Тогда IP-адреса попадают в таблицу ARP только если DHCP включен. И если они попробуют задать IP-адрес вручную, они не смогут связаться с сервером (или он с ними не свяжется).

variable Guest	#14 0 08.09.2006 18:06:00 Ну, звучит безумно, но я могу представить, что это может отлично сработать. Это так вы делаете? Или вам это не особо важно?

variable Guest	#15 0 29.09.2006 22:22:00 Как отключить ARP на интерфейсе? Кто-нибудь знает, чтобы можно было сделать как описано выше?

hecklertm Guest	#16 0 05.09.2006 00:43:00 А почему бы вам не воспользоваться службой точек доступа с использованием Radius, чтобы все это сделать за вас? Посмотрите примеры точек доступа, возможно, там найдется то, что вам нужно.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры