Статья Cisco PPPoE/PPTP сервер с RADIUS авторизацией

Администратор · Регистрация: 27.02.2009

Недавно, руководство поставило задачу - организовать сервер доступа. Выделили для этого дела Cisco 2651.
В результате получился nas с базой пользователей, ip (фейковых и реальных) в MySQL и шейпером rate-limit на виртуальных интерфейсах.

Итак, поэтапно:

I) Установка Freeradius

PHP код:



# cd /usr/ports/net/freeradius



# make config



[ ] KERBEROS      With Kerberos support                       

[ ] HEIMDAL       With Heimdal Kerberos support             

[ ] LDAP          With LDAP database support                   

[X] MYSQL         With MySQL database support                 

[ ] PGSQL         With PostgreSQL database support             

[ ] FIREBIRD      With Firebird database support (EXPERIMENTAL)

[ ] SNMP          With SNMP support                           

[ ] EDIR          With Novell eDirectory support               

[ ] NOPERL        Do not require perl (use only if necessary)   

[ ] EXPERIMENTAL  Build experimental modules     



# make; make install clean

Правим конфиг-файлы

PHP код:



# cd /usr/local/etc/raddb

radiusd.conf

Снимаем комменты

PHP код:



1)   #  See "Authorization Queries" in sql.conf

       sql





2)   sql_log {

       path = ${radacctdir}/sql-relay

       acct_table = "radacct"

     postauth_table = "radpostauth"



   Start = "INSERT INTO ${acct_table} (AcctSessionId, UserName, \

       NASIPAddress, FramedIPAddress, AcctStartTime, AcctStopTime, \

       AcctSessionTime, AcctTerminateCause) VALUES                 \

       ('%{Acct-Session-Id}', '%{User-Name}', '%{NAS-IP-Address}', \

       '%{Framed-IP-Address}', '%S', '0', '0', '');"

       Stop = "INSERT INTO ${acct_table} (AcctSessionId, UserName,  \

       NASIPAddress, FramedIPAddress, AcctStartTime, AcctStopTime, \

       AcctSessionTime, AcctTerminateCause) VALUES                 \

       ('%{Acct-Session-Id}', '%{User-Name}', '%{NAS-IP-Address}', \

       '%{Framed-IP-Address}', '0', '%S', '%{Acct-Session-Time}',  \

       '%{Acct-Terminate-Cause}');"

       Alive = "INSERT INTO ${acct_table} (AcctSessionId, UserName, \

       NASIPAddress, FramedIPAddress, AcctStartTime, AcctStopTime, \

       AcctSessionTime, AcctTerminateCause) VALUES                 \

       ('%{Acct-Session-Id}', '%{User-Name}', '%{NAS-IP-Address}', \

       '%{Framed-IP-Address}', '0', '0', '%{Acct-Session-Time}','');"



       Post-Auth = "INSERT INTO ${postauth_table} (id, user, pass, reply, \

       date) VALUES \

       ('','%{User-Name}', '%{User-Password:-Chap-Password}', \

       '%{reply:Packet-Type}', '%S');"

   }



3) #  Log traffic to an SQL database.

   #

   #  See "Accounting queries" in sql.conf

   #

     sql



   #

   #  Instead of sending the query to the SQL server,

   #  write it into a log file.

   #

     sql_log



4) session {

      radutmp



   #

   #  See "Simultaneous Use Checking Querie" in sql.conf

     sql

   }   



5) #  See "Authentication Logging Queries" in sql.conf

     sql

   #  Instead of sending the query to the SQL server,

   #  write it into a log file.

   #

     sql_log





   # Комментируем  files (по желанию)

   #  Read the 'users' file

   #   files

clients.conf

Указываем наш Cisco NAS:

PHP код:



client 192.168.0.254 {

        secret      = abcd

        shortname   = NAS

        nastype     = cisco

        require_message_authenticator = yes

}

PHP код:



sql.conf

Предполагается, что MySQL установлено, посему пропишем инфу о будущей базе и пользователе базы.

PHP код:



sql {

        # Database type

        # Current supported are: rlm_sql_mysql, rlm_sql_postgresql,

        # rlm_sql_iodbc, rlm_sql_oracle, rlm_sql_unixodbc, rlm_sql_freetds

        driver = "rlm_sql_mysql"



        # Connect info

        server = "localhost"

        login = "yourlogin"

        password = "yourpassword"



        # Database table configuration

        radius_db = "radius"

}

Создадим пользователя в базе:

PHP код:



# mysql -u root -p



mysql> CREATE DATABASE IF NOT EXISTS radius;



mysql> GRANT SELECT, INSERT, UPDATE, DELETE,

  -> CREATE, DROP, INDEX, ALTER on `yourlogin`.* to

  -> yourlogin@localhost IDENTIFIED BY 'yourlogin';



mysql> quit

Зальем в базу референсный темпл.

PHP код:



# cd /usr/ports/net/freeradius

# make extract

# cd work/freeradius-1.1.7/doc/examples/

# mysql -u root -p radius < mysql.sql

II ) Также былa организована "нарезка" канала пользователям, посредством передачи AV пар. (в dictionary надо прописать поддержку)

PHP код:



mysql> INSERT INTO radgroupreply 

mysql> (id, GroupName, Attribute, op, Value)

mysql> VALUES (NULL, 'pppoe', 'Framed-Protocol', '=', 'PPP');

PHP код:



mysql> INSERT INTO radgroupreply

mysql> (id, GroupName, Attribute, op, Value) 

mysql> VALUES (NULL, 'pppoe', 'Service-Type', '=', 'Framed-User')

PHP код:



mysql> INSERT INTO radgroupreply 

mysql> (id, GroupName, Attribute, op, Value)

mysql> VALUES (NULL, 'pppoe', 'Cisco-Avpair', '=', 

mysql> 'interface-config#1=rate-limit output 64000 12200 24400  

mysql> conform-action continue exceed-action drop')

PHP код:



mysql> INSERT INTO radgroupreply 

mysql> (id, GroupName, Attribute, op, Value) 

mysql> VALUES (NULL, 'pppoe', 'Cisco-Avpair', '+=',

mysql>'interface-config#2=rate-limit input 64000 12200 24400  

mysql> conform-action continue exceed-action drop')

PHP код:



mysql> INSERT INTO usergroup (UserName, GroupName, priority)

mysql> VALUES ('yourname', 'pppoe', 1)

PHP код:



mysql> INSERT INTO radreply 

mysql> (id, UserName, Attribute, op, Value)

mysql> VALUES (NULL, 'yourname', 'Framed-IP-Address', '=', 

mysql> '10.10.15.6')

PHP код:



mysql> INSERT INTO radcheck 

mysql> (id, UserName, Attribute, op, Value) 

mysql> VALUES (NULL, 'yourname', 'Password', '==', 'yourpass')

PHP код:



mysql> INSERT INTO radgroupcheck 

mysql> (id, GroupName, Attribute, op, Value)

mysql> VALUES (NULL, 'pppoe', 'Simultaneous-Use', ':=', '1')

Пользователь yourname с паролем yourpass при успешной авторизации получает ip из сети 10.10.15.0/27, принадлежит к групе pppoe для которой пропускная способность канала - 64кб/с.

Стоит также обратить внимание на то, что Cisco-Avpair состоит из показателей normal burst и maximum burst, которые (по дефолту) просчитывают по таким формулам:

normal burst - band/8*1.5
maximum burst - (band/8*1.5)*2
где band - желаемая пропукная способность в кб/сек

III ) Конфиг cisco 2651

PHP код:



!

! Last configuration change at 10:21:41 UTC Fri Feb 22 2008

! NVRAM config last updated at 10:11:17 UTC Fri Feb 22 2008

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname pppoe-tor

!

aaa new-model

aaa authentication login default local

aaa authentication ppp default group radius local

aaa authorization exec default local

aaa authorization network default group radius group radius

aaa accounting delay-start

aaa accounting update periodic 5

aaa accounting network default start-stop group radius

enable secret ***************



!

username tfwr password 0 *******

clock timezone Kiev 2

ip subnet-zero

no ip source-route

no ip rcmd domain-lookup

ip rcmd rcp-enable

ip rcmd rsh-enable

!

!

ip domain-name pppoe.domain.com.ua

ip name-server ***.**.*.***

ip name-server 172.18.15.2

!

ip audit notify log

ip audit po max-events 100

virtual-profile virtual-template 1

vpdn enable

!

vpdn-group 1

accept-dialin

  protocol pppoe

  virtual-template 1

!

!

!

call rsvp-sync

!

!

!

interface Loopback1

ip address 1.1.1.1 255.255.255.255

!

interface FastEthernet0/0

no ip address

duplex auto

speed auto

!

interface FastEthernet0/0.445

encapsulation dot1Q 445

ip address 192.168.0.254 255.255.255.0

ip nat inside

pppoe enable

!

interface FastEthernet0/0.455

encapsulation dot1Q 455

ip address 172.18.53.242 255.255.255.0

ip nat inside

pppoe enable

!

interface FastEthernet0/0.15

encapsulation dot1Q 15

ip address 195.9*.**.*** 255.255.255.224

ip nat outside

!

interface Virtual-Template1

ip unnumbered Loopback1

ip nat inside

ppp authentication chap callin

!

ip nat inside source list nat interface FastEthernet0/0.15 overload

ip classless

ip route 0.0.0.0 0.0.0.0 195.9*.**.***

ip http server

!

!

ip access-list extended nat

permit   ip  10.10.15.0 0.0.31.255 any

ip radius source-interface FastEthernet0/0.445

!

radius-server configure-nas

radius-server host 192.168.0.250 auth-port 1812 acct-port 1813 key abcd

radius-server attribute 6 on-for-login-auth

radius-server attribute 8 include-in-access-req

radius-server attribute 32 include-in-access-req

radius-server attribute 44 include-in-access-req

radius-server attribute 44 extend-with-addr

radius-server attribute nas-port format d

radius-server vsa send authentication

!

line con 0

line aux 0

!

line vty 5 15

transport preferred ssh

transport input ssh

!

end

Для поддержки шифрования можно прописать:

PHP код:



interface Virtual-Template1

ppp encrypt mppe 128 required

ppp authentication chap

Всё это каcалось PPPoE сервера, с его главным недостатком - работа только в одноранговой сети. Когда же сеть сегментирована, и второй уровень не всегда можно обезпечить, на помошь приходит VPN, который с легкостью конфигурируется тут:

vpdn-group 1
accept-dialin

Тут protocol pppoe меняем на pptp. На интерфейсе убираем pppoe enable.

Отладка

PHP код:



# sh vpdn session   ! Просмотр сессий

# clear vpdn tunnel [pppoe, pptp]   ! Сброс сессий

# debug aaa authentication ! Отладочная инфа Cisco:

# debug aaa authorization

# debug vpdn error

# debug vpdn packet



# radiusd -X     ! Отладочная инфа Freeradius - запуск радиуса с параметрами

# radiusd -XXX

Опции темы
Версия для печати Отправить по электронной почте
Опции просмотра
Линейный вид Комбинированный вид Древовидный вид