http://mikrotik.moscow Новое в теме RADIUS клиент — SessionID не является глобально уникальным форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 19:06:43 -0400 RADIUS клиент — SessionID не является глобально уникальным RouterOS в форуме RouterOS.
Здесь приведён очень хороший пример. Например, одна реализация использует строку из 8-значного шестнадцатеричного числа в верхнем регистре: первые две цифры увеличиваются при каждой перезагрузке (сброс каждые 256 перезагрузок), а следующие 6 цифр считаются с 0 для первого вошедшего пользователя после перезагрузки и идут до 2^24-1, примерно 16 миллионов. Но у меня уже 6 дублей с 2018-01-10 (!) на одном NAS:

select count(*) as dup, AcctSessionId, UserName, NASIPAddress from radacct group by AcctSessionId, UserName, NASIPAddress having dup > 1;

+-----+---------------+----------+--------------+
| dup | AcctSessionId | UserName | NASIPAddress |
+-----+---------------+----------+--------------+
|   2 | 811000a2      | USER1    | 10.249.99.5  |
|   2 | 811000ab      | USER1    | 10.249.99.5  |
|   2 | 8120005a      | USER2    | 10.249.99.5  |
|   2 | 81200075      | USER2    | 10.249.99.5  |
|   2 | 81200096      | USER2    | 10.249.99.5  |
|   2 | 81600062      | USER3    | 10.249.99.5  |
+-----+---------------+----------+--------------+

количество сессий за этот период — 3718. Я понимаю, что «возможны другие кодировки», но явно была выбрана очень простая методика.
14.03.2018 05:41:00, asy.]]> http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399645 http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399645 Wed, 14 Mar 2018 05:41:00 -0400 RouterOS RADIUS клиент — SessionID не является глобально уникальным RouterOS в форуме RouterOS.
Acct-Session-Id не является глобально уникальным, он не уникален для каждого NAS и не уникален при перезагрузках. https://tools.ietf.org/html/rfc2866#page-15 В RFC нет требования, чтобы этот атрибут был уникальным.
13.03.2018 11:22:00, savage.]]> http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399644 http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399644 Tue, 13 Mar 2018 11:22:00 -0400 RouterOS RADIUS клиент — SessionID не является глобально уникальным RouterOS в форуме RouterOS.
Проблему можно решить с помощью атрибута RADIUS «Class», если он больше нигде не используется. «Class» может возвращаться в сообщении «Access-Accept» и, например, содержать время начала сессии. Уникальным ключом в этом случае будет сочетание «UserName-AcctSessionId-NASIPAddress-Class». Однако «Class» может использоваться и для других целей, поэтому это решение имеет ограничения.
13.03.2018 09:23:00, asy.]]> http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399643 http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399643 Tue, 13 Mar 2018 09:23:00 -0400 RouterOS RADIUS клиент — SessionID не является глобально уникальным RouterOS в форуме RouterOS.
Нет. Один NAS может сгенерировать это:

+----------+---------------+--------------+---------------------+---------------------+
| UserName | AcctSessionId | NASIPAddress | AcctStartTime       | AcctStopTime        |
+----------+---------------+--------------+---------------------+---------------------+
| XXXXXXX  | 81800055      | 172.26.83.81 | 2017-11-26 12:52:23 | 2017-11-26 13:04:24 |
| XXXXXXX  | 81800055      | 172.26.83.81 | 2017-12-18 17:13:27 | 2017-12-18 20:53:36 |
+----------+---------------+--------------+---------------------+---------------------+

UserName-AcctSessionId-NASIPAddress — неплохой кандидат на уникальный ключ в SQL, но сейчас его использовать нельзя. И я не могу добавить AcctStopTime (то есть TimeStamp), потому что он может быть разным для одной сессии:

+-----------+---------------+-----------+---------------------+
| RadAcctId | AcctSessionId | UserName  | AcctStopTime        |
+-----------+---------------+-----------+---------------------+
|   1945119 | 81906399      | YYYYYYYY  | 2017-11-22 04:39:21 |
|   1945121 | 81906399      | YYYYYYYY  | 2017-11-22 04:39:20 |
+-----------+---------------+-----------+---------------------+

Задача — отфильтровать дубликаты.
08.03.2018 17:39:00, asy.]]> http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399642 http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399642 Thu, 08 Mar 2018 17:39:00 -0500 RouterOS RADIUS клиент — SessionID не является глобально уникальным RouterOS в форуме RouterOS.
Но почему ты используешь session ID? Можно настроить Nas Id как угодно, сделать его уникальным во всём мире. Проблема решена?
08.03.2018 17:27:00, blingblouw.]]> http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399641 http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399641 Thu, 08 Mar 2018 17:27:00 -0500 RouterOS RADIUS клиент — SessionID не является глобально уникальным RouterOS в форуме RouterOS.
Да, это проблема. Я считаю, что время должно использоваться для обеспечения уникальности SessionID. В пакетах RADIUS есть TimeStamp, но с ним возникает вторая проблема. Метка времени может отличаться для повторяющегося учетного пакета. Значит, одну из этих проблем нужно решить в RouterOS (а лучше обе). Я не тестировал последнюю версию, но проблема с SessionID есть в версии v6.36.
08.03.2018 17:08:00, asy.]]> http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399640 http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399640 Thu, 08 Mar 2018 17:08:00 -0500 RouterOS RADIUS клиент — SessionID не является глобально уникальным RouterOS в форуме RouterOS.
Прошло уже 4 года, а проблема до сих пор не решена. Может кто-то из MikroTik ответит на это? Когда используешь тысячи роутеров MikroTik в качестве шлюзов HotSpot и RADIUS-сервер, это превращается в серьёзную проблему.
02.08.2016 15:11:00, Aaelyen.]]> http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399639 http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399639 Tue, 02 Aug 2016 15:11:00 -0400 RouterOS RADIUS клиент — SessionID не является глобально уникальным RouterOS в форуме RouterOS.
Похоже, что SessionID MikroTik для аутентификации через RADIUS сбрасывается при перезагрузке, и поэтому не может считаться уникальным идентификатором внутри одного устройства. К тому же стартовое значение SessionID не уникально между разными роутерами, из-за чего могут возникать коллизии идентификаторов сессий у совершенно разных устройств. Это время от времени вызывает проблемы с нашей RADIUS-базой, которая создаёт дублирующиеся записи.

Корень проблемы в сетевых сбоях, из-за которых пакеты подтверждения не доходят до MikroTik. Роутер не знает, что пакет уже достиг базы, поэтому пытается отправить его повторно, что в некоторых случаях создаёт дубликат записи, а не обновляет существующую.

RADIUS также генерирует свой собственный “AcctUniqueID”, однако он тоже не является глобально уникальным! По умолчанию он формируется на основе MikroTik SessionID и нескольких других элементов, но поскольку уникальность этих элементов не гарантирована, весь ID не может считаться глобально уникальным. Усиливает проблему и то, что «уникальный» ID RADIUS — это MD5-хеш. К сожалению, возможно (хоть и с небольшой вероятностью) получить одинаковые MD5-хеши от совершенно разных данных!

В MikroTik и на стороне RADIUS-сервера есть несколько тайминговых параметров, которые я настраивал максимально эффективно, но полностью избавиться от проблем не удалось. Дело в том, что значения на сервере глобальные, и приходится искать компромисс. У нас на линиях сильно варьируется задержка из-за использования спутникового соединения и перегруженных xDSL DSLAM. Найти значения, которые подходят для всех случаев, сложно.

Было бы здорово, если бы MikroTik сделал SessionID действительно уникальным — например, генерировал стартовое значение, используя несколько параметров, уникальных для конкретного роутера, и сохранял его в NVRAM, чтобы после перезагрузки его можно было восстановить. Единственная оставшаяся проблема — замена роутера. Если не будет способа вручную ввести стартовое значение SessionID, снова могут появиться дубликаты.

Сейчас я рассматриваю возможность использовать поле Location ID в RADIUS (RADIUS WISPr-Location-ID), чтобы передавать серверу значение, гарантированно уникальное в глобальном масштабе. В него будет входить уникальный RouterID и счётчик, увеличивающийся скриптом при каждой перезагрузке роутера. Это значение в сочетании с SessionID на сервере должно обеспечить глобально уникальный идентификатор сессии, который можно будет использовать в базе данных с индексом SessionID и уникальным ограничением.

Мне было бы интересно узнать, сталкиваются ли другие с дублирующимися записями в своих RADIUS-базах и какие меры, если таковые есть, они принимали для устранения или хотя бы смягчения этой проблемы.
22.06.2012 02:45:00, cmacneill.]]> http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399638 http://mikrotik.moscow/forum/forum57/85758-radius-klient-_-sessionid-ne-yavlyaetsya-globalno-unikalnym/message399638 Fri, 22 Jun 2012 02:45:00 -0400 RouterOS