UTM5+Mikrotik+авторизация по ip

Sefa · Сообщение **Sefa** » Пн янв 30, 2012 14:21

Всем Здравствуйте! есть проблема. не получается настроить авторизацию по ip. PPPoE настроил, все работает пользователи авторизуются, трафик считается. а вот про авторизацию по ip нигде не нашел мануал как это организовать. Если кто уже настраивал так, поделитесь опытом пожалуйста!

Sefa · Сообщение **Sefa** » Вт фев 14, 2012 09:13

Неужели никто так не делал??? или никто не хочет ответить??

copper · Сообщение **copper** » Пн фев 20, 2012 10:22

Планируете vlan на пользователя?

Point · Сообщение **Point** » Пн фев 20, 2012 12:42

А в чем проблема-то?
Клиенту выдается ip адрес любым доступным Вам образом (дхцп/статик), шлюзом соответственно является микротик. На микротике опционально создается акесс лист, куда утм вносит данный ип при включении клиенту инета и удаляет при выключении. В файрволле на мт создается правило- непускать никуда клиента без адреса в acl. Данные по трафику льются с микротика в утм так же по нетфлоу.

Sefa · Сообщение **Sefa** » Пт мар 09, 2012 11:28

а в utm что настраивается, чтобы идентифицировать пользователя?

Point · Сообщение **Point** » Пт мар 09, 2012 11:57

Sefa писал(а):а в utm что настраивается, чтобы идентифицировать пользователя?

В услуге "передача трафика" клиенту указывается выделенный ему ип адрес.

Sefa · Сообщение **Sefa** » Пт мар 09, 2012 12:12

а можно поподробнее вот про это

Point писал(а):На микротике опционально создается акесс лист, куда утм вносит данный ип при включении клиенту инета и удаляет при выключении. .

в утм правила нужно писать, чтобы он ip вносил в аксес лист?

Sefa · Сообщение **Sefa** » Пт мар 09, 2012 16:16

Настроил все как вы описали

Point писал(а):А в чем проблема-то?
Клиенту выдается ip адрес любым доступным Вам образом (дхцп/статик), шлюзом соответственно является микротик. На микротике опционально создается акесс лист, куда утм вносит данный ип при включении клиенту инета и удаляет при выключении. В файрволле на мт создается правило- непускать никуда клиента без адреса в acl. Данные по трафику льются с микротика в утм так же по нетфлоу.

интернет на клиентской машине не появляется. и в queue simple не появляются правила со скоростями. подскажите пожалуйста, что не так?

Point · Сообщение **Point** » Сб мар 10, 2012 10:46

Sefa писал(а):Настроил все как вы описали
Point писал(а):А в чем проблема-то?
Клиенту выдается ip адрес любым доступным Вам образом (дхцп/статик), шлюзом соответственно является микротик. На микротике опционально создается акесс лист, куда утм вносит данный ип при включении клиенту инета и удаляет при выключении. В файрволле на мт создается правило- непускать никуда клиента без адреса в acl. Данные по трафику льются с микротика в утм так же по нетфлоу.
интернет на клиентской машине не появляется. и в queue simple не появляются правила со скоростями. подскажите пожалуйста, что не так?

А в честь чего правила там появятся? Они появляются в том случае, если клиент авторизуется на nas сервере через радиус и радиус выдает nas-у необходимые атрибуты.
В вашем случае необходимо либо статически прописывать эти правила, либо поднимать отдельный шейпер.

Sefa · Сообщение **Sefa** » Сб мар 10, 2012 14:03

Point писал(а):
Sefa писал(а):Настроил все как вы описали
Point писал(а):А в чем проблема-то?
Клиенту выдается ip адрес любым доступным Вам образом (дхцп/статик), шлюзом соответственно является микротик. На микротике опционально создается акесс лист, куда утм вносит данный ип при включении клиенту инета и удаляет при выключении. В файрволле на мт создается правило- непускать никуда клиента без адреса в acl. Данные по трафику льются с микротика в утм так же по нетфлоу.
интернет на клиентской машине не появляется. и в queue simple не появляются правила со скоростями. подскажите пожалуйста, что не так?
А в честь чего правила там появятся? Они появляются в том случае, если клиент авторизуется на nas сервере через радиус и радиус выдает nas-у необходимые атрибуты.
В вашем случае необходимо либо статически прописывать эти правила, либо поднимать отдельный шейпер.

это я уже понял. нашел еще вот что. в микротике в параметрах дхцп сервера есть чекбокс USE Radius. выставляю его, но автоизация не происходит? ip не выдается. в логе тика вот что
http://imglink.ru/show-image.php?id=53b ... 9825e001f6

в логе радиуса вот что
http://imglink.ru/show-image.php?id=993 ... 09f71e74c5

в сервисной связке у пользователя прописан MAC. как это победить?

Point · Сообщение **Point** » Вс мар 11, 2012 05:57

Дык в логах радиуса явно видно, что пытается залогиниться юзер с логином=мак адрес.
Прописывайте в услуге "передача трафика" юзеру логин=mac и будет Вам щастье.

Sefa · Сообщение **Sefa** » Вс мар 11, 2012 08:49

Point писал(а):Дык в логах радиуса явно видно, что пытается залогиниться юзер с логином=мак адрес.
Прописывайте в услуге "передача трафика" юзеру логин=mac и будет Вам щастье.

Дык я вижу что там написано. вы думаете я не пробовал так? поставлял mac в логин в разных вариантах (XX:XX:XX и XX-XX-XX) никак не помогает. В логах тоже самое

Sefa · Сообщение **Sefa** » Вс мар 11, 2012 09:53

Вот ответ тех. поддержки netup

От: NetUP Support team <helpdesk@netup.ru>
Для: <admin@telecom-f.ru>
Тема: [Ticket#: 2012031110000058] UTM5 + Mikrotik + Авторизация DHCP через Radi [...]
Прикрепленный файл:
Добрый день, admin@telecom-f.ru!

<admin@telecom-f.ru> записано:

> Здравствуйте! есть необходимость в связке микротик + utm, с авторизацией по
> PPPoE, PPTP, IPoE. Авторизацию по PPPoE и PPTP я победил. все авторизуется
> правила в микротик с утм пишутся, интернет работает. а вот с авторизацией по
> ip никак не разберусь. я так понимаю чтобы по ip авторизовать через радиус, на
> микротике это можно реализовать только чрез dhcp? так вот настроил dhcp сервер
> на тике, выставил в его настройках чекбокс "USE Radius". в настройках клиента
> на утм в сервисной связке прописал ip и mac. но при попытке получить ip,
> происходит ошибка авторизации. это видно по логам микротика и радиуса утм.
> файлы скринов во вложении. подскажите как быть? и возможно ли это? если да то
> в чем может быть проблема?
>

Проблема заключается в символе ":", который является разделителем для
callback
номера. Вам необходимо настроить сервер доступа таким образом, чтобы в
поле логин
не содержался символ ":".

С уважением, группа технической поддержки Компании НетАП.
http://www.netup.ru
Тел.: +7 (495) 510-1025 доб.1
Факс.: +7 (499) 783-0080
IP: 77.72.80.1
Moscow, GMT+4

-- Руслан Капра --

кто нибудь знает как в тике реализовать передачу mac-адреса без ":"?

Point · Сообщение **Point** » Вс мар 11, 2012 14:03

скорее всего support@mikrotik.com знает

,
при необходимости они неплохо общаются по русски

Sefa · Сообщение **Sefa** » Вс мар 11, 2012 14:50

разобрался сам. утм отбрасыват первые 2 символа из mac-адреса. т.е. в поле логина в сервисной связке нужно ввести mac-адрес вида XX:XX:XX:XX:XX но без первых двух символов. авторизация при этом происходит и интернет появляется. но есть другая проблема - правила firewall не передаются на тик и трафик не считается( веду переписку с тех. поддержкой