Связка Juniper MX80 и Nodeny Plus

[NodenY45]

Модуль ядра  dhcp запущен?

запущен, тоесть я понимаю вы предлагаете авторизовать ним через events.pl?
у меня было уже не один раз что этот скрипт намертво вис, и модуль дхцп начинал работать только после ребута всего сервера, ошибок соответсвенно никаких не писало. думал от него уйти, понимаю что никак

И как же быть с трафиком, раньше собиралось через ipcad, через радиус реально трафик на mx80 собрать по клиенту? еще вроде на джуне есть своя фича jflow, будет ли н+ через нее собирать трафик?

[NodenY45]

Модуль ядра  dhcp запущен?

запущен, тоесть я понимаю вы предлагаете авторизовать ним через events.pl? (в мануале видел что надо вырубать модуль)
у меня было уже не один раз что этот скрипт намертво вис, и модуль дхцп начинал работать только после ребута всего сервера, ошибок соответсвенно никаких не писало. думал от него уйти, понимаю что никак

И как же быть с трафиком, раньше собиралось через ipcad, через радиус реально трафик на mx80 собрать по клиенту? еще вроде на джуне есть своя фича jflow, будет ли н+ через нее собирать трафик?

[Warlock]

И как же быть с трафиком, раньше собиралось через ipcad, через радиус реально трафик на mx80 собрать по клиенту? еще вроде на джуне есть своя фича jflow, будет ли н+ через нее собирать трафик?

на джуне есть netflow v5, но без доп. платы ты не сможешь нормально собирать, т.к. нагрузка будет очень высокая, а плата как раз нужно чтоб эту нагрузку на себя брать.. я трафик никак не собираю..
Есть вариант сбора трафика через ралиус, но я этим не заморачивался пока...

[NodenY45]

И как же быть с трафиком, раньше собиралось через ipcad, через радиус реально трафик на mx80 собрать по клиенту? еще вроде на джуне есть своя фича jflow, будет ли н+ через нее собирать трафик?

на джуне есть netflow v5, но без доп. платы ты не сможешь нормально собирать, т.к. нагрузка будет очень высокая, а плата как раз нужно чтоб эту нагрузку на себя брать.. я трафик никак не собираю..
Есть вариант сбора трафика через ралиус, но я этим не заморачивался пока...

то место куда можно поставить плату- занято платой для ната
статистика надо для того, чтобы понять пользовался ли клиент инетом.

[Warlock]

Остается только собирать по радиусу. Другого выхода не .

[goletsa]

Остается только собирать по радиусу. Другого выхода не .

Есть, я на коммутаторе до nat снимаю через span все что уходит с mx'a.
но это надо иметь хотя бы несколько 10г портов на свиче и отдельный сервер по ng_netflow.

[goletsa]

то место куда можно поставить плату- занято платой для ната
статистика надо для того, чтобы понять пользовался ли клиент инетом.

А как оно вообще по стабильности? Вроде не очень говорят плата

[NodenY45]

то место куда можно поставить плату- занято платой для ната
статистика надо для того, чтобы понять пользовался ли клиент инетом.

А как оно вообще по стабильности? Вроде не очень говорят плата

а в чем именно должна проявляться нестабильность? вот кстати интересная ссылка https://show-route.blogspot.com/2016/06/crash-ms-mic.html

[NodenY45]

Стас, предлагаю написать доку.. с меня по настройке pppoe.. штука ведь нужная, или тебе не интересно развивать эту тему?

По доке подскажите, написали ли? Если нет, покажите профиль с заглушкой на ноденай.

[Warlock]

Ты уже с остальным разобрался?

[NodenY45]

Ты уже с остальным разобрался?

Почти

[Warlock]

Код:

# show dynamic-profiles svc-guest-pppoe                                                                                                                             
interfaces {                                                                                                                                                                            
    pp0 {                                                                                                                                                                               
        unit "$junos-interface-unit" {                                                                                                                                                  
            family inet {                                                                                                                                                               
                filter {                                                                                                                                                                
                    input svc-filter-in-nomoney precedence 250;                                                                                                                         
                }                                                                                                                                                                       
            }
        }
    }
}
firewall {
    family inet {
        filter svc-filter-in-nomoney {
            interface-specific;
            term 1 {
                from {
                    destination-address {
                        8.8.8.8/32;
                        x.x.x.x/32;  -<< Добавляешь адреса которые хочешь разрешить.
                    }
                    protocol [ tcp udp ];
                    destination-port [ 80 443 53 8080 ];
                }
                then accept;
            }
            term 2 {
                from {
                    protocol tcp;
                    destination-port [ 80 443 ];
                }
                then {
                    routing-instance neg_dep;
                }
            }
            term default {
                then {
                    discard;
                }
            }
        }
    }
}

Код:

# show routing-options 
interface-routes {
    rib-group inet neg_dep;
rib-groups {
    neg_dep {
        import-rib [ inet.0 neg_dep.inet.0 ];
    }
}

Код:

# show routing-instances neg_dep 
instance-type forwarding;
routing-options {
    static {
        route 0.0.0.0/0 next-hop x.x.x.x;  -<< x.x.x.x - ip заглушки
    }
}

На машинке где будет заглушка добавляешь в фаервол запись:

Код:

fwd 127.0.0.1,8080 tcp from any to not me dst-port 80 via em1

интерфейс под себя уже..

[NodenY45]

Наконецто нашлось время, испытать COA модуль, c juniper mx80 ipoe работает прекрасно, меняет скорость, запрещает доступ, открывает доступ, все ок, реагирует быстро.

Осталась одна проблема. Авторизация висит активная, даже когда клиент выключил ПК.... DHCP настроен на MX.

Что за фича? Я так понимаю она как раз для этого и служит?

И тебе нужно будет обратиться к Стасу, чтоб он тебе дал/продал небольшую приблуду для билинга (snmp_chkses), которая по snmp будет получать список авторизованных пользователей.. Хз, может для ipoe ее нужно будет чуток переделать, т.к. сейчас она получает список логинов.

[Efendy]

Потому что в dhcp нет четкого механизма сообщить, что комп "в сети". Вот получил комп ip и через минуту выключился. Как биллинг узнает об этом? Нет механизма keep-alive,  когда в протоколе предусмотрена периодическая посылка пакетов "я живой". Поэтому приходится биллингу действовать исходя из таких соображений: через lease-time  абон должен запросить продление аренды ip, пока он не сделал это, думаем, что он в сети. Правда в протоколе есть механизм посылки пакета освобождения ip, но это не всегда работает, как минимум не работает, если комп перегрузить через кнопку или оборвется связь

[NodenY45]

Потому что в dhcp нет четкого механизма сообщить, что комп "в сети". Вот получил комп ip и через минуту выключился. Как биллинг узнает об этом? Нет механизма keep-alive,  когда в протоколе предусмотрена периодическая посылка пакетов "я живой". Поэтому приходится биллингу действовать исходя из таких соображений: через lease-time  абон должен запросить продление аренды ip, пока он не сделал это, думаем, что он в сети. Правда в протоколе есть механизм посылки пакета освобождения ip, но это не всегда работает, как минимум не работает, если комп перегрузить через кнопку или оборвется связь

Иными словами "используйте стандартный дхцп для ноудейнай, а на МХ настройте релей".
ВернО?
Получается в случае отпада дхцп на ноуденай - авторизация работать не будет... И что за фича snmpchkes?