Биллинговая система Nodeny

Главная категория => Курилка => Тема начата: poxy. от 18 Июля 2010, 11:56:13

Название: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 18 Июля 2010, 11:56:13

Всем Добрый день!
Вопрос как реализовать авторизацию на порту например dlink3028 ?И как связать с биллингом?
Про dhcp задумался ,чтоб по option82 выдавать на определенный порт определенный ip правильно?
И прошу поделится как у кого реализовано.
Заранее Спасибо за ответы ;)

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: goletsa от 18 Июля 2010, 12:30:56

Поиск по форуму, я выкладывал пример конфига.

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: elite от 18 Июля 2010, 12:57:25

Цитата: marcus7 от 18 Июля 2010, 11:56:13

Вопрос как реализовать авторизацию на порту например dlink3028 ?

почитать на форуме длинка :) а также почитать, почему 3028 редкостное гавно :)

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: stix от 18 Июля 2010, 14:13:22

http://forum.nodeny.com.ua/index.php?topic=724.0

оп

только нужно не забыть соответствующие доп поля в биллинге и их заполнить.

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 18 Июля 2010, 15:10:10

Спасибо!
goletsa
разъясните плизз строчку

Код:

allow members of \"match_swid_<dopdata-_user_sw_num>_port_<dopdata-_user_sw_port>\";

я так понял ,что сравнивается id свитча и порта ???
И обязательно прописывать в конфиге dhcp local-address?

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 18 Июля 2010, 15:11:06

Цитировать

а также почитать, почему 3028 редкостное гавно :)

Чем ?

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: goletsa от 18 Июля 2010, 15:25:54

Цитата: marcus7 от 18 Июля 2010, 15:10:10

Спасибо!
goletsa
разъясните плизз строчку

Код:

allow members of \"match_swid_<dopdata-_user_sw_num>_port_<dopdata-_user_sw_port>\";

я так понял ,что сравнивается id свитча и порта ???
И обязательно прописывать в конфиге dhcp local-address?

У меня отдельным файлом описаны классы для определения порта и свича.
Зависят целиком от используемого оборудования.

Пример (не мой):

Код:

 class "port-45" {
        match if binary-to-ascii (10, 8, "", suffix( option agent.circuit-id, 1)) = "45";
    }

Пример уже реальный:

Код:

class "match_swid_1_port_0"
        {
        match if (
                binary-to-ascii (16, 8, ":", suffix ( option agent.remote-id, 6)) =  "0:12:cf:4d:f:0"
                and binary-to-ascii (10, 8, "", suffix( option agent.circuit-id, 1)) =  "0"
                and binary-to-ascii(10, 16, "",  substring(option agent.circuit-id, 2, 2)) =  "1206"
                );
        }

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: goletsa от 18 Июля 2010, 15:33:34

Цитата: marcus7 от 18 Июля 2010, 15:11:06

Цитировать

а также почитать, почему 3028 редкостное гавно :)

Чем ?

http://forum.nag.ru/forum/index.php?showtopic=52882&st=0

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 18 Июля 2010, 15:37:16

Цитата: goletsa от 18 Июля 2010, 15:25:54

Цитата: marcus7 от 18 Июля 2010, 15:10:10

Спасибо!
goletsa
разъясните плизз строчку

Код:

allow members of \"match_swid_<dopdata-_user_sw_num>_port_<dopdata-_user_sw_port>\";

я так понял ,что сравнивается id свитча и порта ???
И обязательно прописывать в конфиге dhcp local-address?

Код:

 class "port-45" {
        match if binary-to-ascii (10, 8, "", suffix( option agent.circuit-id, 1)) = "45";
    }

Пример уже реальный:

Код:

class "match_swid_1_port_0"
        {
        match if (
                binary-to-ascii (16, 8, ":", suffix ( option agent.remote-id, 6)) =  "0:12:cf:4d:f:0"
                and binary-to-ascii (10, 8, "", suffix( option agent.circuit-id, 1)) =  "0"
                and binary-to-ascii(10, 16, "",  substring(option agent.circuit-id, 2, 2)) =  "1206"
                );
        }

Спасибо!
Я так понимаю это для длинка?
PS в поле _sw_num что вносите ?

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: stix от 18 Июля 2010, 15:46:36

видимо прийдется полный мануал с примером делать для настройки взаимодействия .1q с NoDeny
летом, может осенью введу в эксплуатацию 3550 и протестирую связку с ней.
пока все разрулил на EN 7i

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: goletsa от 18 Июля 2010, 15:51:29

Мой пример для EdgeCore но в теории может работать и на длинке если порядок байт совпадает.
Вообще все тонкости написания class'ов лучше разобрать самому.
Чтобы потом не было проблем.
Там довольно много интересного.

Цитировать

видимо прийдется полный мануал с примером делать для настройки взаимодействия .1q с NoDeny

А при чем тут .1q и Opt82

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 18 Июля 2010, 15:58:15

поле _sw_num это ид свитча?
ЗЫ за ответы Огромное Спасибо всем! :)

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: stix от 18 Июля 2010, 16:03:04

Цитировать

А при чем тут .1q и Opt82

то я имел ввиду L2 свич с разнесением сегментов за счет вланов и использованием dhcp снупинга в автоматическом режиме.
как-то так
и подключить к фунционалу snmpset

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: goletsa от 18 Июля 2010, 16:29:59

Цитата: stimels от 18 Июля 2010, 16:03:04

Цитировать

А при чем тут .1q и Opt82

У меня так и сделано.
DHCP Snooping + Opt82 + vlan
Жалка только что те ёжики что есть у меня не поддерживают IP Source Guard, тогда snmpset\acl не нужен.
При IPSG привязка формируется при выдаче через DHCP адреса.
Недавно щупал Zyxel ES-3124 - прикольный свич на доступ.
Вот бы только цену ему пониже.

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: stix от 18 Июля 2010, 16:40:19

в дочерней сети смеси из свичей
d-link 2108, 3com 3300, asotel 1908, Nortel Baystack 450-24T
как бы на этом зоопарке завести...
думал dhcp к радиусу примотать, если не получится чтото другое

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: VitalVas от 19 Июля 2010, 09:15:32

Цитата: stimels от 18 Июля 2010, 16:40:19

насколько я помню, этот нортел умеет работать с радиусом

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: stix от 19 Июля 2010, 09:25:09

802.1x это немного не то, что я хочу.

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 19 Июля 2010, 09:32:59

У меня есть кусочек частного сектора с мыльницами их обслуживает тот же dhcp сервер что и планирую использовать на opt82 ...если dhcp будет иметь конфиг с opt82 и всем что с ней связано как поведут себя мыльницы? Или там где opt82 там по ней выдавать будет а там где нет по старому? ???
Ток не пинайте ::)

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: elite от 19 Июля 2010, 09:39:38

Цитата: marcus7 от 19 Июля 2010, 09:32:59

там где opt82 там по ней выдавать будет а там где нет по старому? ???

типа такого...

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: goletsa от 19 Июля 2010, 17:17:51

Цитата: marcus7 от 19 Июля 2010, 09:32:59

как настроите так и будет
Но проще вынести мыльницы в отдельный vlan и не париться.

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 19 Июля 2010, 17:41:37

Цитата: goletsa от 19 Июля 2010, 17:17:51

как настроите так и будет
Но проще вынести мыльницы в отдельный vlan и не париться.

так они и так в отдельном влане :) вы имеете ввиду чтоб dhcp слушал на вланах с opt82 ? А как тогда остальным адреса выдавать?

Код:

# 10.5.226.0/24 Subnet

subnet 10.5.226.0 netmask 255.255.255.0
{
allow unknown-clients;
option routers 10.5.226.1;

<filtr net='10.5.226.0/24' dopdata-_use_option_82='1' state='on' dopdata-_mac_pc='^..:..:..:..:..:..$'>
# <dopdata-_user_sw_num> - <dopdata-_user_sw_port> - <lat_login> - <ip> - <dopdata-_mac_pc>
pool {range <ip>; allow members of \"match_swid_<dopdata-_user_sw_num>_port_<dopdata-_user_sw_port>\"; }
</filtr>

}

subnet 10.5.227.0 netmask 255.255.255.224
{
allow unknown-clients;
option routers 10.5.227.1;

<filtr net='10.5.227.0/27' dopdata-_mac_pc='^..:..:..:..:..:..$'>
        host <lat_login> {
                hardware ethernet <dopdata-_mac>;
                fixed-address <ip>;
        }
</filtr>

Так?

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 19 Июля 2010, 17:56:24

Не успел изменить пост ...понятно как все организовать в в верхнем посте сам себе ответил конфигом

PS goletsa покажи пример своего конфига с include/file плизз хочется каждый свитч в отдельный файл ...как я понял у вас так сделано?
Спасибо!

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: goletsa от 19 Июля 2010, 18:02:13

У меня вообще DHCP сервер не смотрит в vlan'ы. И находится отдельно.
Для этих целей есть dhcp-relay.

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 19 Июля 2010, 19:17:19

Вы имеете ввиду такое:
на мыльницы влан+dhcp который смотрит во влан
на L2 opt82 и dhcp заставить слушать еще на одном интерфейсе и на него принимать запросы dhcp-relay,а на свитчах прописать адресом dhcp сервера этот интерфейс ?

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: stix от 19 Июля 2010, 19:53:01

обычно в Core коммутаторах поднимают релеи

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 19 Июля 2010, 20:22:05

Цитата: stimels от 19 Июля 2010, 19:53:01

обычно в Core коммутаторах поднимают релеи

т.е. схема получается такая :
dhcp-server->core switch(relay)->vlan на свитч доступа ?А в core switch сходятся вланы с коммутаторов доступа? Так правильно будет?

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: stix от 19 Июля 2010, 20:50:58

да, иногда когда мега большая сеть еще делают свичи агрегации, чтобы коре свич меньше знал всякого хлама.
для маршрутизации локального трафик этот свич покупается с L3, который делает банальный роутинг локального трафика.

на маршрутизатор доступа приходит только интернет трафик
с маршрутизатора доступа уходит все на бордер, он же пограничный маршрутизатор.
выполняет роль магистрального маршрутизатора, традиционно работает по BGP с апстримами.
не занимается фильтрацией пакетов, шейперами итд. только маршрутизация.

в настоящее время Core свичи маст хэв только гигабитные порты.
сервера включаются непосредственно или в отдельный свич или в коре.

(http://www.germanhaloclan.de/img/hardware/lwlbackbone/7i.jpg)
вот на таком сделал

в других сетях все это на cisco 3560

Название: Re: DHCP Option 82 авторизация на порту
Отправлено: poxy. от 21 Июля 2010, 15:04:01

Спасибо всем за ответы!