Биллинговая система Nodeny

Решили в сети убрать NAT и выдавать клиентам реальные IP. В нодени не предусмотрена динамическая выдача ип, а диапазон реальных IP не резиновый.  Отслеживать в ручном режиме их довольно сложно. Поскольку минусовой баланс не является критерием. Сейчас у клиента минус через 5 мин плюс.  Вобщем, нужен совет, кто как выходит из положения?

http://ip-as.ru/

покупай свою сеть внешних адресов и делаю bgp маршрутизацию.

У меня есть сеть внешних ИП и не одна. И маршрутизация БГП тоже сделана.

Проблема в том, что бы выдать их динамически.  Эти сети не резиновые. И проплата за следующую сеть ип не гарантия того что новую сеть выдадут. Потому что придется доказывать, что предыдущая сеть исчерпана. Не зря райп просит заводить эти сети на графики МРТЖ

> Также, для ускорения обработки последущих заявок рекомендуем
> предоставлять статистику использования адресного пространства
> в виде MRTG-графиков. Сбор статистики можно начать уже сейчас.
> Подробнее об этом можно прочитать на сайте RIPE:
> http://www.ripe.net/rs/ipv4/ipv4-verification.html
> http://www.ripe.net/rs/ipv4/verification-graphs.html

Поэтому динамическая выдача это уже необходимость....   Учет реальных ИП превращается уже в кошмар.

Динамической выдачи айпи для нодени пока нет. Потому что существует пока еще жесткая привязка айпи пользователя к пользователю
Это вам 52 версию надо ждать, там такой привявзки вроде бы нет.
Других вариантов для вас, кроме как бинат я не вижу.
 

кстати, да, в 52й:

ALTER TABLE `users` DROP `ip`
ALTER TABLE `users` DROP `mid`
ALTER TABLE `users` DROP `auth`
ALTER TABLE `users` DROP `money`
ALTER TABLE `users` DROP `sortip`
ALTER TABLE `users` DROP `srvs`
ALTER TABLE `users` DROP `hops`
ALTER TABLE `users` DROP `lstate`
ALTER TABLE `users` DROP `detail_traf`

заинтриговал :)
а структуру 52 версии нарисуешь?

Ну, некоторые позиции. В общих словах и с соплями.

Во-первых, я неоднократно спорил с другими авторами по поводу заточенности NoDeny. Сейчас он станет действительно более универсальным, но вероятно будет требовать больше мощностей. Я думаю этот переломный момент настал и я вовремя его подловил.

Во-вторых, я пытаюсь уйти от понятия "клиент")). Любая запись в базе - это объект. Пока везде фигурирует слово "клиент", но реально уже хранит объекты. (Походу, я не имею ввиду объекты ООП, хотя местами юзаю ООП, ну, или то, что им называют в perl-е:). Дополнительные (настраиваемые) поля описывают группу объектов. Об этом уже говорилось, однако я пошел дальше - у каждой группы свой набор свойств. Например, группа "роутеры" имеет шаблон данных "техданные роутеров", в них содержится Ip-адрес, который выдается роутеру, gps-расположение,  по которому привязывается к карте и т.д. Планирую пойти дальше и привязывать роутеры к точкам топологии, которые тоже будут объектами таблицы users. Хочу и админов и работников туда же. Получится единый механизм взаимодействия объектов.

В-третьих, под "во-вторых" придется немного подумать над апгрейдом концепции "дополнительных полей". Понятие "ревизия" мне очень нравится, но уж очень она усложняет процесс и скорость выборки актуальных данных. Поэтому планирую актуальную ревизию держать в единственном экземпляре для id клиента (объекта), а прошлые по-иному, лень объяснять как (пока).

В-четвертых, к типам полей добавится "модуль" - с каждым таким типом будет связан определенный модуль. Например для поля  с типом "модуль ip"  будет вызываться скрипт вычисляющий свободный Ip (сеть), делать проверку и т.д.

В-пятых, mysql созрел для транзакций, гг, на самом деле уже пару лет назад, однако надо понимать, что архитектура NoDeny создавалась много лет назад, когда mysql трудно было назвать субд.

В-шестых, уже авторизация клиента не связана с ip - введено понятие "сессия" (см. Radius) - сколько сессий насоздавал клиент, столько и будет светиться. Т.е. возможен такой вариант - школе дается один логин и пароль клиента "школа", дальше все компы класса соединяются по pppoe (pptp) с сервером, им выдаются какие-то ипы, даже неважно какие, факт в том, что сколько бы не подключилось компов - все они будут принадлежать логину "школа" - иметь один id (никаких алиасов), но будут иметь разные идентификаторы сессий (динамические). У сессий будут параметры мак-адрес, ip и/или другие, какие есть.

Пока хватит)

Мне сразу воображение нарисовало почему-то 1 логин/пароль которым деляться друг с другом по всему району города/области/страны...

ну и что? разве нет желания подсадить на инет тех людей, которых вам найдет абонент-жулик? Статистика по макам и сессиям ведется. Выжидаете месяц, потом блочите клиента, лепите ему штраф. Все халявщики, попробовав бесплатное демо вашего интернета, остаются без этого наркотика - идут к вам подключаться. Ищите позитив. "Плохой" абонет реально ищет вам клиентуру. Если этими клиентами будут уже ваши состоявшиеся абоненты - лепите всем штраф - надо соблюдать законы. Не хотите платить? - идите нахуй к конкурентам, потом вернетесь.

Ребята, я вам _отвечаю_, поверьте мне, я поработал немало на клиентов, я знаю - будете давать нормальное качество - вам будут побоку все эти игры, вы, наоборот, будете извлекать из этого пользу. Поймите, абонент вас всегда сможет наебать, упав на мороз "я логин никому не давал". Надо создать условия чтоб клиенту было _выгодно_ вас не обманывать. А ему выгодно тогда, когда цена соответствует качеству, когда ему выгодней потратить деньги и очень удобно иметь инет в любой момент времени, не боясь быть застуканным и имея чистую совесть.  Если вы даете гавноуслуги - чтоб вы не делали - будут уходить/обманывать и т.д. А процент "хакиров" есть  в любой сети - для них гордось "сломать провайдера" стыряв у кого-нить пароль или расшарив инет. Таких тоже можно на пользу использовать. Но это маркетинг. Пока вы не достигнете абонентской массы, скажем, в 1000 душ - вам все это как для марсианина балет, я понимаю, но вы к этому придете

Да это я так... Демагогии ради. Ибо http://freeradius.org/radiusd/doc/Simultaneous-Use никто не отменял.  :)
Не выйдет у моих дурить. А указанной массы достичь вряд ли удастся ближайшее время. Плюс при работе в домосетях можно самому внезапно упасть на мороз. Контингент, знаете ли, "местный"...

Неплохо.  При таком подходе можно ставить дублирующие PPPoE сервера и назначать им в пулл реальные ИП сети. А не только динамические ИП делать. Ждем новую версию...

Можно сделать проще: ввести параметр количество одновременных сессий с 1 логина.
Вот и все :)

именно

А вообще большие сложности прикрутить, динамическую выдачу ИП в текущую версию?  Я совсем уперся уже, райп отказал в выдаче еще одной сети,  а у меня даже половина ИП не используется в час пик.

Откатываться на нат нет никакого желания, конкуренты тоже давят. Практически у всех ип выдаются белые.

большие...
это надо переписывать ядро, noserver и т.п. = фактически то, что делается в новой версии

Какова примерная дата выхода новой версии?

не раньше чем через полгода

Как продвижения с новой версией? А то выдали /24 реальников а юзеров в два раза больше, хотелось бы без ната обойтись...

вы думате биллинг избавляет от ната?  :D

а нет продвижений :(

интересно однако, как биллинг влияет на нат?
у мну шас /26 есть сеть, и спокойно работает.....

Ну скорее всего имелось ввиду, раздача динамически белых IP адресов.

а зачем? укртелеком2?
передернул интерфейс и ломаешь дальше?

Ну зачем, это ты спрашивай у автора топика.

что ж случилось то?

В точку.
Можно подробнее?

ну например, попался в сети кулл хацкер
ломает что-то, его заблокировали, он передернул интерфейс, получил новый ІР адрес и дальше ломает.....
я понимаю что это все можно логировать.....

Найти его не проблема. Больше волнует нехватка реальных адресов.

Пока что юзаем pf binat.  Но не очень удобно в некоторых моментах(

Лучше выдавать напрямую через mpd

в чем проблема выдавать через mpd?

binat крут

Через mpd выдавать из пула можно? Если да, то как?

из пула???
set ippool add pool first last

А как вы будите трафик считать и менять скоростя и блокировать/разблокировать абонента?

Само ядро ноудени не умеет работать с пулами адресов(

Я конечно понимаю, что я не указал, что белые IP должны выдаваться в связке с ноудени...
Вот вы лично как выходите из положения? (см. название темы, а еще лучше прочитать всю тему ибо она не такая уж большая)

radius, епт )  :D

Динамически? Или у вас для каждого юзера свой реальник?

в одной из сетей, кому надо реальный, в биллинге прописали реальный - выделился реальный.
кому не нужно - прописали фейковый.
если чуваку нужен реальный Ip, значит ведь для чего то нужен?
например домашний сервак для друзей, днс, мало ли чего, а тут скакать будет Ip ))
это архиглупо

Есть такая штука как вконтакте, так вот там ограничение на кол-во соединений с одного IP - ни авторизироваться ни видео посмотреть, вообщем проблема с этим контактом, абоны нервничают. А на счет сервака дома - dyndns.org поможет. Хотя интересно для чего обычному абону дома днс сервер?
Я так понял пока единственный выход сделать пул на нате.

неправильно

никто не говорит про днс сервер.
есть такая штука как "А" запись домена.
есть такая штука как PTR запись.

твой выход из проблемы это NAT )))
настрой на фре pf с десятком IP по раунд-робину и пусть все радуются жизни
будет каждый раз динамически меняться IP

видимо ты пока еще не понимаешь где у тебя проблемы, чтобы их решить.
и поэтому не там ищешь ответы.

биллинг тут на 200% не при делах!

Конкретно про записи днс ничего сказано не было. Если ип реальный динамический - это не проблемма, ссылку давал.
А то что приходится юзать нат когда есть /24 белых ипов это глупо. Биллинг куплен. база заполнена, назад дороги нет, поэтому бум ждать и надеяться пока что-то изменится...

Если у тебя безлимитки, тогда до выхода релиза нужно сделать авторизацию только по логину + пароль (РРРоЕ или ВПН) и всем динамически выдавать ІР адреса из пула. Если у абона нет денег на счету просто запретить ему доконца довести авторизацию.
Может что то нетак  намолотил, извините, что то под конец дня туплю!

да блин.
если у тебя /24, выдай юзерам им через Mpd, в чем проблема то???
или неумение пользоваться натом и радиусом?
разберитесь с задачами

раунд-робин зло!(ИМХО)
Так как ип меняется во время сессии !И может сменится несколько раз!
Вышел с положения с помощью "peer connection type" (бордер на микротике).Туда заряжен пул /24 реальных ип ,далее src-nat .При соединении клиенту выдается один определенный адрес ,и при следующем тоже (высчитывается хеш внутреннего ип) ,а самое главное не меняется на протяжении сессии!

можно без раунд робина.
будет работать.

согласен

тут скорее люди не могут разобраться что им надо.
ну и камень преткновения - биллинг.

у нас директор также само считает во всем, если есть хоть один полупроводник в девайсе - виноват админ

;D ;D ;D

Почитайте тему сначала. Плюс еще 5-6 похожих тем на этом форуме. Вы все поймете. Людям нужны динамические выдаваемые реальные IP  без ната. Динамически, потому что реальников на всех не хватает, в лучшем случае 1 ип на 2 абона. И не надо рассказывать про днс, серваки дома, хакеров и т.п. Надеюсь в сл. версии нодени это сделают.

А как без ната ?Если /24 на 500 абонентов?

600 абонов в базе, максимум 230 онлайн в часы пик, /24 бы хватило

ну не умеет nodeny динамические ип :(
и тут уже ничего не сделаешь...

Это задача индивидуальная и сверх ненужная.
я бы без биллинга решил ее

ну не свовсем так.
нодени не может считать траф по динамическим апи.
но можно сделать без учета трафика. если способ по мпд раздавать то передалть просто запрос и добавить одну таблицу  типа  realip  и поля   ip   pref  соответсвенно в апи скписко всех апи а в преф по умолсанию 0  если используется 1  и скармливать єто радиусу - у зверей в билинге апи не будут играть роль вооще вкл откл только по логину и пасу.

могу сделать . только вот вопрос - оно насктольок нужно что бі платить за єто?

А шейпы разве не по ИП работают?

+100 как шейпить без привязки к ип?

mpd+ng_car :)

А если без тунелей?Только ип-ип?Никак ?!

можна зробити щоб радіус передавав параметри швидкості - http://forum.nodeny.com.ua/index.php?topic=777.msg8119#msg8119

да, почитай, я показывал что и как делать, исправлять в процедурах

а щоб користувача відключало то можна зробити щоб мінявся пароль на рррое, наприклад дописувались до паролю кілька будь-яких букв, і один раз в добу всіх відключати

сделай проще по крону mpd restart

Будет столько вонИ от зверей что у них раз в сутки инет отрубается...

привикнуть з часом) Наскільки мені відомо в укртелекому раз в добу розєднує, а в них більше мільйона користувачів..

аптаймы сессий )

Я вот вообще не пойму зачем изначально делать привязку логинов к IP в нодени? Конечно так проще, но было бы лучше, если бы IP выдавались при авторизации из заданного диапазона (реальные, серые) и была бы таблица (или еще что-то) соответствия IP<->логин, тогда и траф считался. Хотя если рассчитывать на то что доступ будет даваться без всяких PPP то данная схема не катит...

ppp юзается в небольших сетях или сетях с малым трафиком.
представь 100мбит по ppp

Я имел ввиду PPTP и PPPoE

и там и там туннели но среда разная

один хрен ppp

не забывай, что Nodeny разрабатывался много лет назад :) да и изначально он делался под авторизацию ключиком, а не пппое
вот, к примеру, абиллс изначально под пппое делали - вот он и умеет динамические ип

PPPoE потянет обычный современный тазик, и не нужны супермега железяки

странно, P4 - 5 тысяч соединений со 128 битным шифрование и с 5 тысячами шейперов не потянул...
наверное руки кривые

наверно с расчетами не дружите

видимо да
обычно 5 тысяч сессий офисный тазик качает