Mikrotik.moscow [тема: Mikrotik и одновременное использование.]

Mikrotik и одновременное использование.

Sun, 30 Jul 2006 18:22:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Привет, ГУРУ! Хочу поменять свой checkrad файл, чтобы он работал с более чем 20 RB в HyperLan backbone и проверить, что лучше: snmp или telnet. Шаги: включить simulcheck в sql.conf, добавить attribute :=1 в rad sql таблицу, snmp=on в radiusd.conf, radutmp и SQL включить в разделе авторизации, включить snmp на каждом RB. И что дальше? Спасибо большое!
30.07.2006 18:22:00, OrCAD.

Mikrotik и одновременное использование.

Mon, 24 Jul 2006 14:42:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Не хочу начинать новую тему, поэтому спрашиваю помощи здесь. Может, кто-нибудь подсказать пошаговую документацию, как предотвратить одновременное использование? Нужна подробная документация, потому что я новенький в freeradius и linux. Я настроил freeradius, mysql и веб-биллинг на php. Начал использовать, но теперь заметил, что мои пользователи могут заходить более одного раза одновременно. Это плохо. Я сделал то, что написано в документации freeradius, но ничего не изменилось. Может, кто-нибудь напишет простые шаги для предотвращения одновременного использования?
24.07.2006 14:42:00, ponline.

Mikrotik и одновременное использование.

Sat, 01 Jul 2006 14:23:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Как изменить файл checkrad пошагово? Ещё вопрос: как удалить дубликаты аккаунтов в таблице "online users"? Вижу пользователя, подключенного до 5 дней, но он же онлайн не состоит… С уважением.
01.07.2006 14:23:00, OrCAD.

Mikrotik и одновременное использование.

Tue, 27 Jun 2006 19:09:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Причина моей медлительности в том, что сервер MT находится по другую сторону спутниковой связи от radius-бокса, поэтому snmpwalk работает, мягко говоря, очень плохо. Команда checkrad таймаутится через 10 секунд. Сейчас работаю над улучшением telnet-скрипта, он работает гораздо быстрее. Две командные строки для вывода списка пользователей, как для pppoe, так и для hotspot, следующие: ppp active print without-paging terse и ip hot act pr without-paging terse. Тут больше успехов, telnet-решение для checkrad лучше масштабируется в моём приложении с высокой задержкой. jm
27.06.2006 19:09:00, jonmansey.

Mikrotik и одновременное использование.

Tue, 27 Jun 2006 18:59:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Как я туплю, да ишь чего. Query .iso.org.dod.internet.private.enterprises.9.9.150.1.1.3.1.2 root@netsphere:~# time snmpwalk 198.18.0.33 public .iso.org.dod.internet.private.enterprises.9.9.150.1.1.3.1.2
enterprises.9.9.150.1.1.3.1.2.2175795200 = "test"

real 0m0.155s
user 0m0.067s
sys 0m0.010s Прошу прощения, глупая ошибка с моей стороны — был долгий день. Если вышеописанное работает, дайте знать, чтобы я мог отправить соответствующие патчи для скрипта checkrad… В общем, можно просто изменить OID для маршрута mikrotik_snmp из ifDesc на: # Нам нужны активные PPP-пользователи, А НЕ описания интерфейсов
$oid = ".iso.org.dod.internet.private.enterprises.9.9.150.1.1.3.1.2"; Подтверждено для PPPoE, на HotSpots ещё не тестировал, так как их у меня нет. Скорость вроде нормальная — попробуйте ещё раз, посмотрите, станет ли быстрее. Я подправлю checkrad, как только узнаю, что работает — это также ускорит запросы для PPPoE по SNMP…
27.06.2006 18:59:00, savage.

Mikrotik и одновременное использование.

Tue, 27 Jun 2006 18:56:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Я не уверен, что это реализовано правильно. Проверка PPPoE работает, поскольку она сканирует виртуальные интерфейсы — а не активных пользователей. Поиск происходит на основе соответствия имени пользователя (InterfaceDesc = ). Кроме статистики интерфейсов, в MIB нет ссылок на активных PPP или HotSpot пользователей от MT, если я чего-то не упускаю. Запрос указанного MIB не дает никаких результатов… root@netsphere:~# snmpwalk 198.18.0.33 public 1.3.6.1.4.1.9.9.150.1.1.3
root@netsphere:~# /ppp active print oid или /ip hotspot active print oid тоже не возвращают никаких SNMP oid для запроса, что заставляет меня думать, что активные пользователи как таковые не включены в MIB MT… Документация утверждает обратное.
27.06.2006 18:56:00, savage.

Mikrotik и одновременное использование.

Tue, 27 Jun 2006 16:43:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Вот информация по этому вопросу. Точки доступа отображаются в MIB следующим образом: # /usr/bin/snmpwalk -r 1 -t 5 -v1 -c 'snmpcommunity' 10.0.0.10 1.3.6.1.4.1.9.9.150.1.1.3
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629408 = STRING: "username1"
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629475 = STRING: "username2"
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629552 = STRING: "username3"
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629593 = STRING: "username4"
SNMPv2-SMI::enterprises.9.9.150.1.1.3.1.2.2150629600 = STRING: "username5"

Я добавил следующий фрагмент кода в секцию mikrotik_snmp в checkrad, сразу после проверки ifdesc:

# хотим точки доступа
$oid = "1.3.6.1.4.1.9.9.150.1.1.3";

@output = snmpwalk_prog($ARGV[1], $password, "$oid");

foreach $line ( @output ) {
# удаляем перенос строки
chomp $line;
# удаляем пробелы в конце строки
($line = $line) =~ s/\s+$//;
if( $line =~ /"$ARGV[3]"/ ) {
$username_seen++;
}
}

Теперь checkrad корректно обнаруживает существующие точки доступа, но с 80 пользователями, подключенными к точке доступа, snmpwalk довольно медленный (10-15 секунд). Это может стать препятствием для реального внедрения. Это означает, что для аутентификации каждого входа потребуется не менее нескольких секунд, что, вероятно, неприемлемо. Есть какие-нибудь советы, как ускорить этот процесс? Спасибо, jon.
27.06.2006 16:43:00, jonmansey.

Mikrotik и одновременное использование.

Tue, 27 Jun 2006 05:52:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Я тоже на это бы подумал. Checkrad проверяет только PPP… Посмотрю на выходных, смогу ли я собрать какой-нибудь код и отправить патч для checkrad, чтобы он реализовал что-то вроде mikrotik_hotspot или что-то похожее. Без обещаний, зависит от того, сколько у меня будет времени… – C
27.06.2006 05:52:00, savage.

Mikrotik и одновременное использование.

Tue, 27 Jun 2006 05:45:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Нет, проверка PPPoE работает нормально сама по себе, но я запускаю PPPoE и Hotspot на одном сервере с одним и тем же Radius, и мне нужно предотвратить одновременный вход в систему через PPPoE и Hotspot. Поэтому проверка `ifdesc` недостаточно эффективна, так как подключения Hotspot не создают интерфейсы как таковые. Я думаю, что в MIB есть какая-то запись для каждого подключения Hotspot, просто нужно исследовать и добавить в тесты `checkrad`. Буду благодарен за любые советы или предложения.
27.06.2006 05:45:00, jonmansey.

Mikrotik и одновременное использование.

Tue, 27 Jun 2006 05:27:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Я, честно говоря, не в теме hotspot... Никогда не использовал, но могу поверить, что в скрипте может потребоваться небольшая доработка. А по PPPoE – совершенно нормально просто сканировать ifDesc в MIB. Описания-то довольно говорящие, это же и имя интерфейса – вполне себе описательно, и я не вижу никаких проблем с этим. Зачем ещё какие-то проверки? В каких случаях? Главное, на что стоит обратить внимание: Корректный атрибут (Simultaneous-Use := 1) как пункт проверки Корректные определения в clients.conf Корректные записи в nas_passwd Radius ДОЛЖЕН иметь доступ к MT, либо через SNMP, либо через Telnet Если этого нет, запускай checkrad вручную, тестируй/отлаживай, смотри, что он делает (можно даже добавить немного отладочного кода в perl-скрипт, если нужно). Если checkrad работает, но FR игнорирует его, пожалуйста, выложи radius -X, где обрабатывается дублирующийся вход, я с удовольствием посмотрю – С
27.06.2006 05:27:00, savage.

Mikrotik и одновременное использование.

Fri, 09 Jun 2006 05:59:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
И вот я только сейчас узнал, что документация лежит в исходном tarball’е. Скачайте архив FreeRadius, распакуйте его – там будет директория doc(s)…

Два события происходят, когда в дело включается одновременное использование… FreeRadius запрашивает таблицы учёта, чтобы проверить, есть ли активные сессии (как вы совершенно справедливо упомянули ниже – query_check). Однако, из-за природы протокола UDP, который используется в Radius, пакеты могут теряться. Сообщения Accounting-Stop могут быть потеряны, и Radius-сервер никогда не получит пакет, который фактически сообщает ему, что пользователь вышел из системы. Чтобы это обойти, предусмотрен второй шаг. Когда Radius-сервер подозревает (на основе запроса учёта), что обнаружен дубликат входа, он опрашивает NAS, чтобы точно определить, так ли это – и вот тут в игру вступает checkrad.

В файле clients.conf ваш nas_type должен быть правильно определён – иначе FreeRadius не будет знать, как вызывать checkrad. Checkrad также должен функционировать должным образом, иначе вы получите ложное обнаружение дублирующегося пользователя, когда его на самом деле нет.

Будь вы используете SNMP или Telnet, ваш файл nas_passwd также должен быть правильно настроен (убедитесь в правильных разрешениях на файл), чтобы checkrad мог получить community (в случае SNMP) или данные учётной записи пользователя (в случае Telnet) для входа. Если вы используете SNMP, Radius-сервер, очевидно, должен иметь доступ к опросу SNMP-сервера, если вы используете Telnet, Radius-сервер, очевидно, должен иметь доступ по Telnet к MT.

И ещё одна распространённая ошибка: Simultaneous-Use – это пункт проверки, а не ответ…
09.06.2006 05:59:00, savage.

Mikrotik и одновременное использование.

Thu, 08 Jun 2006 21:13:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Привет снова, Savage! Где найти эту документацию? (/usr/share/freeradius/doc ??) Я пытался включить query_check в sql.conf и внутри таблицы Simultaneous-Use:=2 через Dialupadmin webpanel, но у меня проблемы с PPP-пользователями. Завтра попробую вставить “return= 1” в скрипт checkrad perl.. мой nas_type: other (нужно ли определять nas_type: mikrotik_snmp ?). Подожди, SNMP в RB с правильно заданными параметрами в файле naspasswd? С уважением.
08.06.2006 21:13:00, OrCAD.

Mikrotik и одновременное использование.

Thu, 08 Jun 2006 20:50:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
В общем, лучше используйте SNMP. Скрипт checkrad, который FreeRadius использует для проверки дубликатов, не очень хорошо работает с Telnet-агентами для MT. Определите тип вашего NAS как mikrotik_snmp и почитайте документацию по simultaneous-use, чтобы узнать, как это настроить…
08.06.2006 20:50:00, savage.

Mikrotik и одновременное использование.

Tue, 27 Jun 2006 00:46:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Какие есть советы, как предотвратить одновременный вход в PPPoE и точку доступа? Похоже, скрипту checkrad нужно внести изменения, чтобы он проверял не только наличие ifDesc в MIB. jm
27.06.2006 00:46:00, jonmansey.

Mikrotik и одновременное использование.

Thu, 08 Jun 2006 17:15:00 -0400

Mikrotik и одновременное использование. RouterOS в форуме RouterOS.
Привет, если я хочу использовать опцию "Simultaneous Use:=1" в настройках Dialup Admin, требуется ли RB входящее Telnet разрешение? Есть ли альтернативный метод, чтобы проверить, подключен ли кто-то из моей сети RB (NAS)? Я вижу SNMP или Telnet finger type… это хороший способ? Заранее благодарю.
08.06.2006 17:15:00, OrCAD.