Mikrotik и одновременное использование.

В общем, лучше используйте SNMP. Скрипт checkrad, который FreeRadius использует для проверки дубликатов, не очень хорошо работает с Telnet-агентами для MT. Определите тип вашего NAS как mikrotik_snmp и почитайте документацию по simultaneous-use, чтобы узнать, как это настроить…

И вот я только сейчас узнал, что документация лежит в исходном tarball’е. Скачайте архив FreeRadius, распакуйте его – там будет директория doc(s)…

Два события происходят, когда в дело включается одновременное использование… FreeRadius запрашивает таблицы учёта, чтобы проверить, есть ли активные сессии (как вы совершенно справедливо упомянули ниже – query_check). Однако, из-за природы протокола UDP, который используется в Radius, пакеты могут теряться. Сообщения Accounting-Stop могут быть потеряны, и Radius-сервер никогда не получит пакет, который фактически сообщает ему, что пользователь вышел из системы. Чтобы это обойти, предусмотрен второй шаг. Когда Radius-сервер подозревает (на основе запроса учёта), что обнаружен дубликат входа, он опрашивает NAS, чтобы точно определить, так ли это – и вот тут в игру вступает checkrad.

В файле clients.conf ваш nas_type должен быть правильно определён – иначе FreeRadius не будет знать, как вызывать checkrad. Checkrad также должен функционировать должным образом, иначе вы получите ложное обнаружение дублирующегося пользователя, когда его на самом деле нет.

Будь вы используете SNMP или Telnet, ваш файл nas_passwd также должен быть правильно настроен (убедитесь в правильных разрешениях на файл), чтобы checkrad мог получить community (в случае SNMP) или данные учётной записи пользователя (в случае Telnet) для входа. Если вы используете SNMP, Radius-сервер, очевидно, должен иметь доступ к опросу SNMP-сервера, если вы используете Telnet, Radius-сервер, очевидно, должен иметь доступ по Telnet к MT.

И ещё одна распространённая ошибка: Simultaneous-Use – это пункт проверки, а не ответ…

Нет, проверка PPPoE работает нормально сама по себе, но я запускаю PPPoE и Hotspot на одном сервере с одним и тем же Radius, и мне нужно предотвратить одновременный вход в систему через PPPoE и Hotspot. Поэтому проверка `ifdesc` недостаточно эффективна, так как подключения Hotspot не создают интерфейсы как таковые. Я думаю, что в MIB есть какая-то запись для каждого подключения Hotspot, просто нужно исследовать и добавить в тесты `checkrad`. Буду благодарен за любые советы или предложения.

Вот информация по этому вопросу. Точки доступа отображаются в MIB следующим образом: # /usr/bin/snmpwalk -r 1 -t 5 -v1 -c 'snmpcommunity' 10.0.0.10 1.3.6.1.4.1.9.9.150.1.1.3
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629408 = STRING: "username1"
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629475 = STRING: "username2"
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629552 = STRING: "username3"
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629593 = STRING: "username4"
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629600 = STRING: "username5"

Я добавил следующий фрагмент кода в секцию mikrotik_snmp в checkrad, сразу после проверки ifdesc:

# хотим точки доступа
 $oid = "1.3.6.1.4.1.9.9.150.1.1.3";

 @output = snmpwalk_prog($ARGV[1], $password, "$oid");

 foreach $line ( @output ) {
   # удаляем перенос строки
   chomp $line;
   # удаляем пробелы в конце строки
   ($line = $line) =~ s/\s+$//;
   if( $line =~ /"$ARGV[3]"/ ) {
     $username_seen++;
   }
 }

Теперь checkrad корректно обнаруживает существующие точки доступа, но с 80 пользователями, подключенными к точке доступа, snmpwalk довольно медленный (10-15 секунд). Это может стать препятствием для реального внедрения. Это означает, что для аутентификации каждого входа потребуется не менее нескольких секунд, что, вероятно, неприемлемо. Есть какие-нибудь советы, как ускорить этот процесс? Спасибо, jon.

Как я туплю, да ишь чего. Query .iso.org.dod.internet.private.enterprises.9.9.150.1.1.3.1.2 root@netsphere:~# time snmpwalk 198.18.0.33 public .iso.org.dod.internet.private.enterprises.9.9.150.1.1.3.1.2
enterprises.9.9.150.1.1.3.1.2.2175795200 = "test"

real    0m0.155s
user    0m0.067s
sys     0m0.010s Прошу прощения, глупая ошибка с моей стороны — был долгий день. Если вышеописанное работает, дайте знать, чтобы я мог отправить соответствующие патчи для скрипта checkrad… В общем, можно просто изменить OID для маршрута mikrotik_snmp из ifDesc на: # Нам нужны активные PPP-пользователи, А НЕ описания интерфейсов
 $oid = ".iso.org.dod.internet.private.enterprises.9.9.150.1.1.3.1.2"; Подтверждено для PPPoE, на HotSpots ещё не тестировал, так как их у меня нет. Скорость вроде нормальная — попробуйте ещё раз, посмотрите, станет ли быстрее. Я подправлю checkrad, как только узнаю, что работает — это также ускорит запросы для PPPoE по SNMP…

Как изменить файл checkrad пошагово? Ещё вопрос: как удалить дубликаты аккаунтов в таблице "online users"? Вижу пользователя, подключенного до 5 дней, но он же онлайн не состоит… С уважением.