RADIUS: Атрибут Max-Session-Time не определен.

Классический случай использования модуля sqlcounter (experimental.conf – хотя это уже не экспериментальный модуль).

sqlcounter noresetcounter {
   counter-name = Max-All-Session-Time
   check-name = Max-All-Session
   sqlmod-inst = sql
   key = User-Name
   reset = never
   query = "SELECT SUM(AcctSessionTime) FROM RadiusAccounting WHERE UserName=TRIM(LOWER('%{%k}'))"
 }

 sqlcounter dailycounter {
   counter-name = Daily-Session-Time
   check-name = Max-Daily-Session
   sqlmod-inst = sql
   key = User-Name
   reset = daily
   query = "SELECT SUM(AcctSessionTime - GREATEST((%b - UNIX_TIMESTAMP(AcctStartTime)), 0)) FROM RadiusAccounting WHERE UserName=TRIM(LOWER('%{%k}')) AND UNIX_TIMESTAMP(AcctStartTime) + AcctSessionTime > '%b'"
 }

 sqlcounter monthlycounter {
   counter-name = Monthly-Session-Time
   check-name = Max-Monthly-Session
   sqlmod-inst = sql
   key = User-Name
   reset = monthly
   query = "SELECT SUM(AcctSessionTime - GREATEST((%b - UNIX_TIMESTAMP(AcctStartTime)), 0)) FROM RadiusAccounting WHERE UserName=TRIM(LOWER('%{%k}')) AND UNIX_TIMESTAMP(AcctStartTime) + AcctSessionTime > '%b'"
 }

Просто небольшой пример… Очевидно, выше просто определяется его работа, я оставлю за вами конфигурацию, настройку атрибутов и соответствующие разделы в файле конфигурации radius.

Max-Session-Time — это элемент проверки, а не элемент ответа. Поэтому Radius-сервер получает этот атрибут откуда-то, проверяет его и разрешает или запрещает аутентификацию на его основе. В данном случае Max-Session-Time предоставляется непосредственно Radius-сервером на основе предоставленных мною настроек. Session-Timeout := 5 (Элемент ответа). Пользователь подключается, NAS разрешает пользователю оставаться подключенным в течение 5 секунд, а затем отключает пользователя. Как только пользователь переподключается, он снова будет отключен через 5 секунд и так далее. Max-All-Session := 500 (Элемент проверки). Пользователь подключается, Radius проверяет через свою базу данных учёта, как долго пользователь был в сети. Если пользователь находится в сети более 500 секунд, Radius-сервер запретит аутентификацию пользователя. Поскольку это элемент проверки, он не имеет никакого отношения к NAS. Max-Daily-Session := 500 (Элемент проверки). Пользователь подключается, Radius проверяет через свою базу данных учёта, как долго пользователь был в сети. Если пользователь находится в сети более 500 секунд за текущий день, аутентификация запрещена. Опять же, это элемент проверки, он не имеет никакого отношения к NAS. Max-Monthly-Session := 500 (Элемент проверки), то же самое, что и Daily-Session, только рассчитывается за период текущего месяца вместо дня. Опять же, элемент проверки, опять же, он не имеет никакого отношения к NAS. В двух словах: Session-Timeout — это элемент ответа (Он отправляется в NAS), и NAS выполняет работу по отключению пользователя после истечения периода ожидания. Max-All-Session (который вы можете легко переименовать в Max-Session-Time, отредактировав конфигурацию), Max-Daily-Session, Max-Monthly-Session, Max-AnythingYouWantToSetupInRLMSQLCounter-Session — это элемент проверки. Он обрабатывается внутри Radius-сервера и НИКОГДА не отправляется в NAS. Radius-сервер выполняет вычисления, чтобы определить, разрешить или запретить аутентификацию пользователя после истечения определенного периода времени в сети… Я не думаю, что могу быть понятнее, чем это… Это не ракетостроение?

Окей, давайте поиграем с этой идеей. Пользователь ABC подключается. Он аутентифицируется через RADIUS, RADIUS отправляет Session-Timeout := 600. В этом случае NAS знает, что через 600 секунд ему нужно разорвать соединение для пользователя ABC. Вроде бы всё отлично. А теперь отправим Max-Session-Time. Пользователь ABC подключается. Он аутентифицируется через RADIUS, RADIUS отправляет Max-Session-Time := 600. NAS НИКОГДА не узнает, когда ему нужно отключить этого пользователя, раз NAS не имеет представления о том, сколько времени пользователь уже провёл онлайн. Расчёт ОДНОЗНАЧНО должен выполняться RADIUS-сервером – так как RADIUS-сервер является единственным элементом в цепочке аутентификации, у которого есть данные учёта… Ну, в общем… Это то, что вам нужно. Реализуйте это, поиграйте с этим, и потом вернитесь и поблагодарите нас, когда всё будет готово. RADIUS-сервер получает максимальное разрешённое время из атрибута проверки (который вы добавляете в файл пользователей как часть блока аутентификации пользователя – похоже на пароль), RADIUS-сервер затем проверяет, сколько времени пользователь уже провёл онлайн. Таким образом, Max-Session-Time равен общему разрешённому времени минус время, которое уже было использовано. Разница затем отправляется NAS в качестве Session-Timeout, чтобы NAS разорвал соединение, когда будет использовано максимальное разрешённое время. Работает безупречно, делал это сотни раз…