+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Вспомогательный RADIUS-сервер

Вспомогательный RADIUS-сервер, RouterOS

wildbill442

Guest

27.07.2009 17:36:00

Всем привет, у меня давно назревал вопрос. У меня настроено два RADIUS сервера в случае сбоя – основной и резервный. Почему RouterOS не переключается на резервный RADIUS сервер, если основной выдаёт избыточные таймауты? Вот моя RADIUS конфигурация: # jul/27/2009 10:26:51 by RouterOS 3.25
# software id = ****-***
#
/radius
add accounting-backup=no accounting-port=1813 address=10.100.1.12 \
authentication-port=1812 called-id="" comment="Primary" disabled=no domain="" \
realm="" secret=***** service=wireless timeout=300ms
add accounting-backup=no accounting-port=1813 address=10.100.1.13 \
authentication-port=1812 called-id="" comment="Secondary" disabled=no domain="" \
realm="" secret=***** service=wireless timeout=300ms Как RouterOS обрабатывает несколько записей для одного и того же сервиса? Похоже, что он не использует подход round robin, и даже при избыточных таймаутах основного сервера он не переключается на резервный. Хочу уточнить, он иногда использует резервный сервер, хотя я и не понимаю логику его выбора. Я хочу, чтобы аутентификация была максимально незаметной для пользователя. Подход RouterOS не отличается плавностью, и он продолжает пытаться аутентифицироваться на недоступном основном RADIUS сервере, даже если резервный сервер работает. Может ли кто-нибудь прояснить, как RouterOS выбирает RADIUS сервер, когда указано несколько?

zoj1

Guest

15.08.2013 21:00:00

Привет! Что не так со скриптом? Когда я добавил этот скрипт в MT (5.24), выдал ошибку: /system script
add name=RadiusCHECK source=":local i 0; {:do {:set i ($i + 1)} while (($i < 5) && ([/ping primary_radius interval=3 count=1]=0))}; :if ($i=5 ) do={/radius disable [find address=primary_radius]; /radius enable [find address=second_radius] }; :if ($i<5 && [/radius get [find address=primary_radius] disabled]=yes) do={/radius enable [find address=primary_radius]; /radius disable [find address=second_radius]}"
syntax error (line 1 column 58) Проблема в: {:do {:set i ($ i + 1)} Спасибо.

zoj1 Guest	#3 0 17.08.2013 11:08:00 Привет, никто не знает, почему скрипт не работает? Может, у кого-то есть другой скрипт для переключения на резервный RADIUS?

SurferTim

Guest

17.08.2013 11:24:00

Зачем тебе вообще скрипт? Я только что проверил функцию отказоустойчивости /radius с v5.25, и всё работает отлично. Radius-сервера будут вызываться в порядке, указанном в списке "/radius", ЕСЛИ они подходят для данного пользователя. Только если сервер не отвечает, он использует следующий сервер. Если первый сервер принимает подключение (редакция: на самом деле возвращает пакет), второй сервер использоваться не будет. Добавлено: Если у тебя много таймаутов на основном radius-сервере, возможно, тебе стоит сначала это исправить. Если сервер загружен или подключение перегружено, попробуй увеличить значение таймаута. /radius
print detail
set 0 timeout=2s Но теперь потребуется 2 секунды, прежде чем основной radius-сервер выдаст таймаут, и будет вызван второй сервер.

zoj1

Guest

19.08.2013 12:36:00

Привет, обе машины работают нормально, у меня нет проблем с таймаутом. Проблема в том, что когда первая машина выходит из строя, репликация базы данных происходит раз в 24 часа. Если используешь две машины, иногда пользователь аутентифицируется ко второй, и это проблема. Я включил Accounting Backup на второй машине, но потом это не работает, когда первая машина выходит из строя. Кто-то уже описывал подобную проблему на форуме. Поэтому хорошим решением было бы использовать скрипт для переключения машин.

SurferTim

Guest

19.08.2013 12:45:00

Если используете два сервера, иногда пользователь аутентифицируется на втором, и вот она — проблема. Вот она, проблема. Почему ваши клиенты аутентифицируются на втором сервере, если первый работает? Звучит как проблема с сетью. И когда вы переключаетесь между серверами по скрипту, проблема вывернется наизнанку. Не исчезнет. С резервным копированием бухгалтерии на втором сервере, это тоже может вызвать проблемы. Если вы используете второй сервер, значит первый стоит. И резервные копии бухгалтерии он не получит. Вы просто теряете время.

zoj1 Guest	#7 0 19.08.2013 13:18:00 Иногда бывает, что второй сервер отвечает быстрее первого. P.S. Сервера работают в WAN.

SurferTim

Guest

19.08.2013 13:22:00

И что это вообще имеет отношение к делу? Роутер не пытается связаться с обоими RADIUS-серверами одновременно. Он пытается связаться с первым сервером, который соответствует требованиям, и ЕСЛИ первый не отвечает в течение времени ожидания, ТО он пытается связаться со вторым сервером. ЕСЛИ он не может связаться со вторым сервером, ТО вы получите сообщение "RADIUS-сервер не отвечает" на странице входа. Я пытаюсь вам сказать, что вам следует настроить первый сервер так, чтобы он передавал резервную бухгалтерию на второй сервер, чтобы, когда первый выйдет из строя, у второго были актуальные данные о ваших пользователях.

zoj1

Guest

19.08.2013 13:46:00

Я пытаюсь донести до тебя, что первый сервер нужно настроить на резервное копирование бухгалтерских данных на второй сервер. Так, когда первый выйдет из строя, на втором будут актуальные данные о пользователях. Да, но если первый сломается и я настрою второй сервер на резервное копирование, новые пользователи не смогут подключиться.

SurferTim Guest	#10 0 19.08.2013 13:48:00 Куда делать резервное копирование данных учета? На сбойный первый сервер? Добавь третью запись сервера RADIUS и попробуй сделать резервное копирование данных учета с него со второго сервера.

zoj1

Guest

#11

19.08.2013 13:59:00

Пытался, но появилась другая проблема. Когда я настроил: второй сервер с отмеченным резервным копированием бухгалтерии первого сервера, второй сервер, то при выходе из строя первого сервера новый пользователь может авторизоваться, но на втором сервере у меня два пользователя – одни и те же (двойная авторизация). Первая запись – из резервного копирования бухгалтерии, вторая – корректная авторизация через второй сервер.

zoj1 Guest	#12 0 19.08.2013 15:17:00 Я нашел проблему со скриптом. Оказывается, нужно было убрать кавычки (" "), тогда я смог добавить скрипт в MT/system script. add name=RadiusCHECK source= { :local i 0; {:do {:set i ($i + 1)} while (($i < 5) && ([/ping primary_radius interval=3 count=1]=0))}; :if ($i=5 ) do={/radius disable [find address=primary_radius]; /radius enable [find address=second_radius] }; :if ($i<5 && [/radius get [find address=primary_radius] disabled]=yes) do={/radius enable [find address=primary_radius]; /radius disable [find address=second_radius]}} Спасибо за помощь.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры