Page History

В данном примере MikroTik выступает в роли DHCP-сервера, шейпера и фаерволлафайерволла. Поддержка IPoE-сессий у RouterOS отсутствует, поэтому пакетов RADIUS-аккаунтинга сервер доступа не отправляет, только запросы авторизации. Сбор данных о потреблённом абонентом трафике при такой схеме доступа можно выполнять, например, через агрегацию NetFlow.

• В данном примере предполагается, что IP-адреса у всех абонентов статические.

• Профили будут формироваться для Оконечного оборудования, а IP-адрес привязывается к его компоненту — используем подстановку Адрес компонента оборудования.

  Атрибут с IP-адресом
• Атрибуты с подстановкой Дочерняя строка приказа по ценам могут быть вычислены системой только когда по услуге выставлен инвойс — необходимо учитывать это при настройке агента HARD и команд управления MikroTik.

# Список активных плагинов
enabled_plugins:
  - 'base/dhcpmikrotik-ipoe-option82'

# Логирование
log:
  # Общий лог агента
  common:
    # Уровень логирования: debug для отладки, info для эксплуатации
    level: 'debug'

# Системные фильтры
filters:
  # Базовая HTTP-аутентификация клиента (hard.pm / hard-dhcp.pm в FreeRADIUS)
  agent.basic_auth:
    main:
      # Логин базовой аутентификации
      login: 'freeradius'
      # Пароль базовой аутентификации
      password: 'freeradius_password'

# Серверные процессы агента
server:
  # IP-адрес сетевого интерфейса для приема запросов
  address: '127.0.0.1'
  # Номер TCP-порта для приема запросов
  port: 11080
  # Количество дочерних процессов агента - обработчиков запросов
  workers: 4

# Подключения к базам данных
connection_pools:
  # Подключение к БД кэша (MongoDB)
  mongo:
    main:
      # IP-адрес mongod
      host: '127.0.0.1'
      # Номер TCP-порта mongod
      port: 27027
      # Наименование базы данных
      name: 'hard_cache'
      # Имя пользователя базы данных
      user: 'hard'
      # Пароль пользователя базы данных
      password: 'mongo_user_password'

  # Подключение к БД провижининга (Oracle)
  database:
    main:
      # Наименование (net service name) базы данных
      name: 'hydra'
      # Имя пользователя базы данных
      user: 'AIS_RADIUS'
      # Пароль пользователя базы данных
      password: 'oracle_user_password'

      # Служебный абонент Гидры
      hydra:
        # Логин пользователя Гидры для доступа к приложению RADIUS-сервер
        user: 'hard'
        # Пароль пользователя Гидры для доступа к приложению RADIUS-сервер
        password: 'hydra_user_password'

# Синхронизация кэша с провижинингом
syncer:
  stomp:
    # IP-адрес сервера ActiveMQ
    host: '127.0.0.1'
    # Номер TCP-порта STOMP-коннектора ActiveMQ
    port: 61613
    # Логин пользователя ActiveMQ
    login: 'hydra'
    # Пароль пользователя ActiveMQ
    password: 'activemq_user_password'

  queues:
    # Наименование ActiveMQ-очереди с сообщениями об изменении профилей оборудования
    profiles: 'hydra_profiles_1'
    # Наименование ActiveMQ-очереди с сообщениями об изменении привязок оборудования
    binds: 'hydra_equipment_binds_1'

plugins:
  base:
    dhcpmikrotik-ipoe-option82:
      actions:
        # Действия authorize и authenticate не используются при работе FreeRADIUS в режиме DHCP-сервера
        authorize:
{}         authenticate: {}

        # Действие post_auth выполняется FreeRADIUS при получении им запросов DHCPDISCOVER, DHCPREQUEST
        post_auth:
          # Для идентификации абонентского оборудования сначала подбираем профиль операторского оборудования
          provider_profile: &get_provider_profile
            # Профиль операторского оборудования нужно искать в БД кэша
            set_by: search_cache
            query:
              # В подопции Remote Id запроса приходит IP-адрес коммутатора, в формате ASCII-HEX.
              # Пример преобразования: 0x495031302e31382e33322e31 → IP10.18.32.1 → 10.18.32.1
              Switch-IP-Address: $request.RAD_REQUEST.DHCP-Relay-Remote-Id.unhex().substring(32)
 
              # В подопции Circuit Id, в последних двух байтах, запроса приходит номер порта
              # Примеры преобразований: 0x000402d7010c → 0c → 12; 0x000402d70105 → 05 → 5
              Switch-Port-Number: $request.RAD_REQUEST.DHCP-Relay-Circuit-Id.substring(12-2).to_i(16)

            # Для авторизации получаем профиль абонентского оборудования
          customer_profile: &get_customer_profile
            # ИзвлекаемПрофиль профиль абонентского оборудования изпривязан профиляк профилю операторского
            set_by: set_first_from_provider_profile
              # В данном примере активный профиль абонентского оборудования может быть только один,
            # поэтому дополнительной фильтрации не требуется
            filter: {}
 
          reply: &auth_reply
            # Профиль абонентского оборудования подобранподобрался -и формируемуслуга ответоказывается
с сетевыми параметрами             - condition: '    $customer_profile.present?()
                          and $customer_profile.attributes.Service-Status == "SERV_STATE_Provision"'
              template:
                RAD_REPLYCHECK: &auth_rad_check
                  # АтрибутыСохраняем данногодля блокаFreeRADIUS будутвсе закодированы FreeRADIUS в соответствующие DHCP-опцииисходные атрибуты RAD_CHECK
                  '*': $request.RAD_CHECK
                  # В качестве правильного пароля для FreeRADIUS подставляем тот, что пришёл в запросе
                   DHCP-Your-IP-Address: $customer_profile.attributes.IP-AddressCleartext-Password: $request.RAD_REQUEST.User-Password

                 DHCP-Subnet-MaskRAD_REPLY: $customer_profile.attributes.Subnet-Mask
    &registered_customer_auth_reply
                  # IP-адрес, который MiktoTik должен выдать устройству
             DHCP-Router     Framed-IP-Address: $customer_profile.attributes.RouterFramed-IP-Address
                  DHCP-DHCP-Server-Identifier: # Наименование списка адресов, в который MiktoTik должен поместить выдаваемый IP-адрес
                  # Списки адресов настроены на MiktoTik и используются для ограничения скорости доступа:
                  # Например список alist_active_speed_limit_5120k_down_5120k_up - симметричное ограничение 5 Мбит/с
                  Mikrotik-Address-List: '   "alist_active_speed_limit_"
                                           + $customer_profile.attributes.RouterSpeed-IPDownload-Addresskbps + "k_down"
                DHCP-Server-IP-Address:                            + $customer_profile.attributes.RouterSpeed-IPUpload-Addresskbps + "k_up"'
                DHCP-Domain-Name-Server:  # Время, по истечении которого MiktoTik повторно запросит авторизацию для абонентского устройства
                  Session-Timeout: '"172.16.0.286400"'
                result: $rlm.OK

 - '"172.16.0.4"'           # Профиль абонентского оборудования подобрался, но услуга не оказывается
            - condition: $customer_profile.present?()
              template:
   DHCP-NTP-Servers:
             # RAD_CHECK формируем так же, как и для полноценного доступа
                RAD_CHECK: *auth_rad_check
                RAD_REPLY:
                  << : *registered_customer_auth_reply
                  # Для заблокированных абонентов отдаём особый Address- '"172.16.0.3"'
  List и короткое время аренды
                  Mikrotik-Address-List: '"172.16.0.4alist_blocked"'
                  DHCP-IP-Address-Lease-TimeSession-Timeout: '"3600600"'
                result: $rlm.OK

            # Профиль абонентского оборудования не найденподобрался - отвечаемотказ
отказом             - template:
                RAD_CHECK:
                  # Сохраняем для FreeRADIUS все исходные атрибуты RAD_CHECK
                  '*': $request.RAD_CHECK
                RAD_REPLY: {}
                 result: $rlm.NOTFOUND

        # Подбор профилей оборудования и формирование ответа выполняется так же, как и в действии authorize
        authenticate:
          provider_profile: *get_provider_profile
          customer_profile: *get_customer_profile
          reply: *auth_reply

        # Действие accounting не используется: приMikroTik работене FreeRADIUSподдерживает вIPoE-сессии режиме DHCP-сервераи не присылает RADIUS-аккаунтинг
        accounting: {}

# Параметры для связи с HARD
my @HARD_API_URLS = (                                     # Пул API URL для запросов
  "http://127.0.0.1:11080/base/dhcpmikrotik-ipoe-option82"
);

use constant HARD_AUTH_USER     => "freeradius";          # Логин
use constant HARD_AUTH_PASSWORD => "freeradius_password"; # Пароль