+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Как передать DNS-серверы через Freeradius?

Как передать DNS-серверы через Freeradius?, RouterOS

grzesjan

Guest

15.05.2006 08:29:00

Привет! Только что настроил Mikrotik для аутентификации DHCP через RADIUS. Читал документацию, но не нашёл ответа: как передавать DNS-серверы таким DHCP-клиентам? Сейчас у меня есть /ip dhcp-servers network statements, но я хотел бы использовать параметры RADIUS для этого. Как это можно сделать? С уважением, Грегор.

grzesjan Guest	#2 0 15.05.2006 10:42:00 Бухгалтерия — это то, чем я попробую заняться в следующем месяце. Ещё один вопрос: как указать DNS-суффикс в радиусе? То есть параметр, который называется domain и используется в /ip dhcp-server network.

savage

Guest

15.05.2006 09:22:00

Стандартные атрибуты radius — MS-Primary-DNS-Server и MS-Secondary-DNS-Server. Как MT реализовали это на уровне DHCP, мне неизвестно. Попробуйте эти два, если не сработает, думаю, придётся делать это каким-то другим способом (не через radius). – C

grzesjan

Guest

15.05.2006 10:01:00

radio:~# grep -i MS-Primary-DNS-Server /usr/share/freeradius/dictionary* /usr/share/freeradius/dictionary.microsoft:ATTRIBUTE MS-Primary-DNS-Server 28 ipaddr Не думаю, что dictionary.microsoft — это "стандарт". Говоришь, Mikrotik принимает параметры, которые не определены в словаре Mikrotik? Gregor

savage

Guest

15.05.2006 10:05:00

Да, так оно и есть. Я часто использую их на PPPoE без каких-либо проблем. Помните, что специфический для поставщика словарь не означает, что поставщик принимает ТОЛЬКО свои атрибуты. Словарь поставщика предназначен для того, чтобы другое программное обеспечение могло с ним взаимодействовать. Это словарь, чтобы все говорили на одном языке — и не означает, что поставщик XYZ говорит только на одном языке, определенном в их собственном словаре… Понимание атрибутов поставщиком во многом зависит от того, что понимает реализация PPP — в случае MT это Linux. Почитайте man ppp, там вы увидите множество других документированных атрибутов, которые принимаются и понимаются. Словарь и описание атрибутов на сайте MT — это всего лишь описание собственных атрибутов MT, которые MT решила "создать" для использования в своих системах. MS-Primary/Secondary-DNS-Server — это один из немногих способов указать DNS-серверы для PPP-соединений через Radius. Cisco их использует, MT принимает (даже если они не задокументированы), и я уверен, что многие другие поставщики NAS используют их. MS-Primary/Secondary-DNS-Server, на мой взгляд, также можно классифицировать как "стандартный", поскольку они четко определены в RFC2548. Для справки по атрибутам, не стесняйтесь посмотреть http://www.freeradius.org/rfc/attributes.html И нет, это также не означает, что MT будет понимать, соблюдать или придерживаться ВСЕХ этих атрибутов. – C

grzesjan Guest	#6 0 15.05.2006 10:18:00 Да, работает! Спасибо за помощь, обидно, что этого всего нет в документации на http://www.mikrotik.com/docs/ros/2.9/guide/aaa_radius – еще раз спасибо! Гregor

savage

Guest

15.05.2006 10:37:00

Они не перечисляют их на сайте, видимо, их слишком много. Важные вещи, на которые вам стоило обратить внимание: MikroTik RouterOS RADIUS Client должен хорошо работать со всеми серверами, соответствующими RFC. Если вы начнете читать различные RFC, касающиеся Radius, Authentication, Accounting и Authorization, то увидите, что многие из этих RFC конкретно указывают атрибуты, поддерживаемые в рамках RFC. Если программное обеспечение или NAS заявляет о поддержке RFCxyz, то оно должно поддерживать все, что указано в RFC. В случае с MT это включает в себя много атрибутов, которые не перечислены на сайте, но указаны в RFC. Достаточно нормально, на мой взгляд, но не полагайтесь только на информацию от производителя. Читайте RFC Documents, убедитесь, что вы понимаете, что вы реализуете, прежде чем начинать реализацию – C

savage

Guest

15.05.2006 10:55:00

Возможно, я ошибаюсь, но насколько я понимаю, стандартного атрибута Radius для этого параметра нет. Если такого стандартного атрибута нет (можно посмотреть в разных RFC, чтобы убедиться), то Mikrotik нужно будет добавить и реализовать его через свой проприетарный Vendor Dictionary. Авторизацию DHCP через Radius я обычно не использую, поэтому мои знания в этой области ограничены. Посмотрите RFC, проверьте, есть ли там что-то… – C

grzesjan

Guest

17.05.2006 09:13:00

Ой, кажется, я подтвердил, что оба атрибута работают, но сделал только быструю проверку и ошибся. Если в /ip dhcp-server network нет dns-серверов, Mikrotik назначает свои собственные dns-серверы (используемые в /ip dns), а не те, что отправляются MS-Primary-DNS-Server и MS-Secondary-DNS-Server. Так что вопрос все еще остается - как передавать dns-серверы через radius/dhcp? Gregor

savage Guest	#10 0 17.05.2006 09:24:00 Radius – это система аутентификации по коммутируемым каналам. Бесят меня эти ребята, которые постоянно придумывают новые способы обойти RFC, чтобы сделать своё уникальное проприетарное ПО… (извините, просто высказался, каш). Вопрос DHCP через Radius описан в RFC4014. Согласно RFC, поддерживаются только User-Name (MAC-адрес), Service-Name, Session-Timeout, Framed-Pool, Framed-IPv6-Pool и атрибуты, специфичные для поставщика. Если Mikrotik не расширит свой собственный словарь и не добавит собственные атрибуты для поддержки стандартных DHCP-опций через Radius, вы будете ограничены только этими 4-5 атрибутами. Альтернатива (и, как я уже сказал, я это не использую, поэтому не знаю, будет ли это работать) – настроить обычный DHCP-сервер, добавить все необходимые опции (DNS, Domain Name, WINS и т.д.) в опции области DHCP, а затем переключить это на аутентификацию через Radius. Возможно, это сработает, если Radius не перезаписывает то, что уже настроено в области. Если он перезаписывает, ну… Скажем так, я не буду в восторге…

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры