Ubilling Freeradius несколько NAS отключения абонента

[Hertan 0]

Добрый день, чес слово не хотел прибегать к помощи коллективного разума.

Пытаюсь внедрить Ubilling для имеющейся сети, есть несколько NAS - accel, киска и тд.  Интернет предоставляется по PPPoE

Читал документацию но не могу найти, как в случае с accel при блокировке пользователя, продолжать выдавать доступ к личному кабинету, qiwi и прочим ресурсам для оплаты.

Можно ли настроить биллинг таким образом шоб для отключенных абонентов он выдавал айпи из какого то определенного пула к примеру 172.16....?

И какие есть еще варианты?

Відредаговано 2015-03-20 08:17:56 Hertan

[l1ght 377]

Всяко у вас авторизация по радиусу? Не используете "Блокирование доступа должникам, отключенцам и отморозками"?

[Hertan 0]

Всяко у вас авторизация по радиусу? Не используете "Блокирование доступа должникам, отключенцам и отморозками"?

Да по радиусу, Нет, не использую, как раз таки хотелось что бы они проходили авторизацию, но зайти могли только в личный кабинет для доступа к обещанному платежу и на киви. Запрещение авторизации не вариант.

Відредаговано 2015-03-20 10:16:16 Hertan

[l1ght 377]

Я и не предлогаю запрещение авторизации, а просто уточняю. Тогда крутите фаерволы. Я ж понятия не имею что вы изменяли.

[Hertan 0]

Ничего не изменял, просто не увидел механизма работы по ограничению доступа интернету, где отключенный за неуплату пользователь может зайти и взять кредит

Відредаговано 2015-03-20 10:48:48 Hertan

[l1ght 377]

Это вы для акселя? Ну по дефолту в доке - там только нат в фаерволе, насколько я вижу.

И никаких запретов.

[Hertan 0]

Да документацию я смотрел вот именно что там ничего не описано про реализацию схемы:

Пользователи которые проплатили и используют интернет имеют  адреса подсети 10.0.0.0/8 или белые и пользуются интернетом

Пользователи которые не проплатили получают адрес  вида 172.16.Х.Х и не получают доступ ко всем интернетам, а только к определенным адресам

И в файрволе я пишу что то

iptables -t nat -A POSTROUTING -s 10.0.0.0 -o ${ВНЕШНИЙ_ИНТЕРФЕЙС} -j MASQUERADE

iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -d ${АДРЕС ЛИЧНОГО КАБИНЕТА} -o ${ВНЕШНИЙ_ИНТЕРФЕЙС -j MASQUERADE

Может как то по другому реализовано, но главное что бы пользователи которые не внесли абон плату, получали доступ к личному кабинету, и только, доступа в интернет быть не должно

Відредаговано 2015-03-20 11:23:43 Hertan

[nightfly 1 246]

Да документацию я смотрел вот именно что там ничего не описано про реализацию схемы:

Заворачить должников нужно фаером, чисто на уровне OnDisconnect - вообще не обязательно выдавать им другие айпишки, ибо это заведомое мудацтво.

 

И нет, я все также ничего не понимаю в этих ваших линуксах, но подозреваю что для заворотов  DarkSpider где-то уже расписывал на форуме решение. Там еще кажись что-то про ipset было.

Відредаговано 2015-03-20 11:25:52 nightfly

[DemonidZe 15]

ну проблем жешь нету ни каких !! ipset вам в помощь!!!! отключенных абонов добавлять в таблицу и еще создать таблицу с исключениями и все делаете похожее на вот это iptables -t nat -A POSTROUTING -s 172.16.0.0/16 -d ${АДРЕС ЛИЧНОГО КАБИНЕТА} -o ${ВНЕШНИЙ_ИНТЕРФЕЙС -j MASQUERADE только условеи с таблицы отключенных можно ходить в таблицу исключений. он дисконект при отключение записывает ипишник в таблицу отключенных, а при включении удаляет. принцип тот же как и в ipfw

Відредаговано 2015-03-20 14:56:46 DemonidZe

[vop 370]

Я бв Маскарад поменял бы на SNAT

[Hertan 0]

так как топик проиндексирован гуглом я опишусь

Добавил атрибут в убиллинге 

reply Filter-Id = {user[state]}

 

атрибут Filter-id  описан в RFC 2865 и присутствует во втором радиусе, кушается микротиком.

{user[state]} возвращает 4 статуса: 1) если включен = ON-LINE, 2) если выключен администратором DOWN, 3)если заморожен PASSIVE 4) Если отключен биллингом то OFF-LINE

 

accel я использую в связке со штатным линуксовым tc.

создаю таблицу BLOCKED /usr/sbin/ipset -N BLOCKED iphash

тем, самы, получаю возможность в Iptables манипулировать данной таблицей

в скрипт запуска где я ограничиваю скорости /etc/ppp/ip-ip.local дописываю что то наподобие такого.

варнинг! синтаксис для баша для некоторых махровых версий sh не подойдет.

 

 

IP=`/usr/bin/awk '/Framed-IP-Address/ {print $2}' /var/run/radattr.$1`

STATE=`/usr/bin/awk '/Filter-Id/ {print $2}' /var/run/radattr.$1`

if [[ "$STATE" == "PASSIVE" ||  "$STATE" == "DOWN"  || "$STATE" == "OFF-LINE" ]] ;

then /usr/sbin/ipset -A BLOCKED $IP

else

/usr/sbin/ipset -D BLOCKED $IP

fi

Далее как будет время, попробую настроить CoA/PoD функционал и если получится дополню ответ