Каждый плагин может использоваться в нескольких экземплярах с различными конфигурациями. Конфигурация экземпляра плагина описывается в ветке plugins → <plugin_name> → <plugin_instance_name>, где <plugin_name> — наименование плагина, а <plugin_instance_name> — наименование конкретного его экземпляра.

plugins:
  base:
    isg-ipoe-by-ip:
      call_stack:
        # Установка тега с типом запроса
        - set_tag_before/request_type
 
        # Отправка отказа в случае возникновения ошибки
        - reject_on_error/main

        # Игнорирование лишнего аккаунтинга
        - check_attr_before/finish_processing_of_unnecessary_accounting

        # Аккаунтинг по базовой сессии
        - set_tag_before/base-session-accounting

        # Авторизация ISG-сервисов вида IPOE-SC-INET-<Rate>-<Burst>
        - set_tag_before/auth-internet-access-isg-service
        - match_before/get_speed_limit_values_for_internet-access-isg-service
        - format_after/set_cisco-service-info_attr_for_internet-access-isg-service

        # Добавление префикса ко всем активируемым сервисам
        - map_after/add_prefix_to_isg-services

plugins:
  base:
    jmx5-qinq:
      actions:
        authorize:
          customer_profile: &customer_profile
            set_by: search_cache
            query:
              MAC-Address: $request.RAD_REQUEST.User-Name.normalize_mac()

          provider_profile: &provider_profile
            set_by: search_cache
            query:
              Switch-VLAN: $var.Remote-Circuit-Ids.Remote_Id
              Switch-Port-Code: $var.Remote-Circuit-Ids.Circuit_Id

          default_bind_type: network_connection

plugins:
  base:
    se-ipoe-by-o82:
      actions:
        authorize:
          provider_profile:
            set_by: search_cache
            query:
              Switch-IP: $request.RAD_REQUEST.Agent-Remote-Id.substring(6).unhex()
              Switch-Port-Code: $request.RAD_REQUEST.Agent-Circuit-Id.substring(12).to_i(16)

          customer_profile:
            set_by: set_first_from_provider_profile
            filter:
              Auth-Scheme: '"DHCP+L2TP"'

plugins:
  base:
    l2tp-by-login:
      actions:
        authorize:
          customer_profile: &customer_profile
            set_by: search_cache
            query:
              L2TP-Login: $request.RAD_REQUEST.User-Name.lower().regexp_replace("@.*$|\\\\t|\s")
              Auth-Scheme: '"DHCP+L2TP"'

          provider_profile: {}

Формирование ответа, включая выбор шаблона, может выполняться не самим ядром плагина, а специальным фильтром render_reply_after. При наличии такого фильтра в стэке обработки запроса, ядро плагина не формирует ответ, а только подбирает профили оборудования. Это позволяет провести дополнительные вычисления и проверки с помощью after-фильтров и уже на основании их результатов формировать ответ.

В блоках RAD_CHECK и RAD_REPLY шаблонов ответа можно использовать специальный ключ '*'. Значением такого ключа должно быть вычисляемое выражение, возвращающее словарь «Наименование RADIUS-атрибута — Его значение». При наличии такой записи, плагин добавит в ответ все атрибуты из этого словаря. Если некоторые атрибуты при этом необходимо исключить, следует в выражение добавить метод except.

plugins:
  base:
    isg-ipoe-by-ip:
      actions:
        authorize:
          reply: &default_reply
            # Авторизация ISG-сервисов вида IPOE-SC-INET-<Rate>-<Burst>
            - condition: $context.has_tag?("auth-internet-access-isg-service") and $request.RAD_REQUEST.User-Name.like?("^IPOE-SC-INET(-\d+){2}$")
              template:
                RAD_CHECK: &default_rad_check
                  # Добавляем все атрибуты из блока RAD_CHECK запроса, кроме «правильного» пароля
                  '*': $request.RAD_CHECK.except("Cleartext-Password")
                  # Идентификация абонентского оборудования выполняется по IP-адресу, а для сервисов вовсе не нужна.
                  # Поэтому для FreeRADIUS передаём в качестве «правильного» пароль из запроса.
                  Cleartext-Password: $request.RAD_REQUEST.User-Password

                RAD_REPLY:
                  Cisco-AVPair:
                    - '"subscriber:accounting-list=HYDRA-IPOE"'
                    - '"ip:traffic-class=in access-group name IPOE-ACL-ALL-TRAFF priority 1000"'
                    - '"ip:traffic-class=out access-group name IPOE-ACL-ALL-TRAFF priority 1000"'
                  Acct-Interim-Interval: '"300"'
 
                result: $rlm.OK

            # Оборудование не подобралось - отказ
            - condition: $customer_profile.null?()
              template:
                RAD_CHECK:
                  Auth-Type: '"Reject"'

                RAD_REPLY:
                  Reply-Message: '"Incorrect IP address"'

                result: $rlm.NOTFOUND

            # Всё в порядке
            - condition: $customer_profile.attributes.try("Internet-Access-Service-State") == "SERV_STATE_Provision"
              template:
                RAD_CHECK:
                  <<: *default_rad_check

                RAD_REPLY: &ok_rad_reply
                  Cisco-AVPair: '"subscriber:accounting-list=HYDRA-IPOE"'
                  Acct-Interim-Interval: '"300"'
                  Idle-Timeout: '"86400"'
                  Cisco-Account-Info: $customer_profile.attributes.ISG-IPoE-Services.split(",")

                result: $rlm.OK

            # Доступ заблокирован
            - template:
                RAD_CHECK:
                  <<: *default_rad_check

                RAD_REPLY:
                  <<: *ok_rad_reply
                  Cisco-Account-Info:
                    - '"IPOE-SC-REDIRECT"'
                    - '"IPOE-SC-OPENGARDEN"'

                result: $rlm.OK

plugins:
  base:
    dhcp-by-o82:
      actions:
        post_auth:
          provider_profile:
            set_by: search_cache
            query:
              Switch-IP: $request.RAD_REQUEST.DHCP-Relay-Remote-Id.substring(6).unhex()
              Switch-Port-Code: $request.RAD_REQUEST.DHCP-Relay-Circuit-Id.substring(12).to_i(16)

          customer_profile:
            set_by: set_first_from_provider_profile
            filter:
              Auth-Scheme: '"DHCP+L2TP"'

          reply:
            # Всё в порядке
            - condition: '    $customer_profile.present?()
                          and $customer_profile.attributes.DHCP-IP-Address.ip4?()
                          and $customer_profile.attributes.DHCP-Gateway-IP.ip4?()
                          and $customer_profile.attributes.DHCP-Subnet-Mask.ip4_mask?()'
              template:
                RAD_REPLY:
                  DHCP-Domain-Name-Server:
                    - '"192.168.11.15"'
                    - '"192.168.11.16"'
                  DHCP-IP-Address-Lease-Time: '"86400"'
                  DHCP-Router-Address: $customer_profile.attributes.DHCP-Gateway-IP
                  DHCP-Subnet-Mask: $customer_profile.attributes.DHCP-Subnet-Mask
                  DHCP-Your-IP-Address: $customer_profile.attributes.DHCP-IP-Address

                result: $rlm.OK
 
            # Профиль абонентского оборудования не подобрался - отказ
            - condition: $customer_profile.null?()
              template:
                RAD_REPLY: {}
                reject_reason: '"Customer equipment profile not found // Option 82"'
                result: $rlm.REJECT

            # В профиле нет маски/адреса/шлюза - отказ
            - template:
                RAD_REPLY: {}
                reject_reason: '"Not valid customer equipment profile // Option 82"'
                result: $rlm.REJECT

Запрос с первым пакетом аккаунтинга по сессии дополнительно маркируется тегом new-session. Наличие данного тега можно проверять, например, при вызове хука для отправки в очередь сообщения, отражающего факт начала новой сессии. Это может использоваться для формирования команд управления с отдельно стоящим шейпером, который не взаимодействует с сервером доступа.

plugins:
  base:
    l2tp-by-login:
      actions:
        authorize:
...
        authenticate:
...
        accounting:
          # Абонентский профиль подбирается так же, как и при авторизации
          customer_profile:
            <<: *customer_profile
          
          # Операторский профиль не используется
          provider_profile: {}

          session:
            # Набор атрибутов для формирования уникального внешнего идентификатора сессии
            unique_id_attributes: [User-Name, NAS-IP-Address, Framed-IP-Address, NAS-Port]
 
            # Шаблоны сессий
            templates:
              # Сессия с доступом в Интернет

              - condition: '   $customer_profile.attributes.try("Service-State-Code") == "SERV_STATE_Provision"
                            or $prev_session.attributes.try("Service-State-Code") == "SERV_STATE_Provision"'

                attributes: &session_attributes
                  Calling-Station-Id: $request.RAD_REQUEST.try("Calling-Station-Id")
                  Called-Station-Id: $request.RAD_REQUEST.try("Called-Station-Id")
                  Framed-IP-Address: $request.RAD_REQUEST.try("Framed-IP-Address")
                  NAS-Identifier: $request.RAD_REQUEST.NAS-Identifier
                  NAS-IP-Address: $request.RAD_REQUEST.NAS-IP-Address
                  Service-State-Code: $customer_profile.attributes.try("Service-State-Code")
                  Session-Template: '"Full access session"'
                  User-Name: $request.RAD_REQUEST.User-Name
 
                # Тарификация потоковых услуг передачи данных
                # Счётчики в пакетах приходят относительно сервера доступа — необходимо инвертировать направление для абонента
                services:
                    # Услуга «Интернет-трафик вх.»
                  - service_id: 40213701
                    value: $request.RAD_REQUEST.try("Acct-Output-Octets", "0").to_i() + 4 * $request.RAD_REQUEST.try("Acct-Output-Gigawords", "0").to_i().gigabytes()
                    unit: bytes
 
                    # Услуга «Интернет-трафик исх.»
                  - service_id: 40213501
                    value: $request.RAD_REQUEST.try("Acct-Input-Octets", "0").to_i() + 4 * $request.RAD_REQUEST.try("Acct-Input-Gigawords", "0").to_i().gigabytes()
                    unit: bytes
 
              # Гостевые сессии незарегистрированных абонентов — не нужно загружать в Гидру
              - condition: '   $customer_profile.null?()
                           and $prev_session.customer_profile_id.empty?()'
                attributes:
                  <<: *session_attributes
                  Session-Template: '"Guest session"'
                load_to_hydra: false
 
              # Сессии с ограниченным доступом — не нужно тарифицировать услуги
              - attributes:
                  <<: *session_attributes
                  Session-Template: '"Restricted session"'
 
                services: {}

plugins:
  base:
    isg-ipoe-by-ip:
      actions:
        authorize:
...
        authenticate:
...
        accounting:
          # Абонентский профиль подбирается так же, как и при авторизации: по IP-адресу абонентского оборудования
          customer_profile:
            <<: *customer_profile
 
          # Операторский профиль не используется
          provider_profile: {}

          session:
            templates:
              # Базовая сессия
              - condition: $request.RAD_REQUEST.try("Cisco-Service-Info").empty?()
 
                attributes: &session_attributes
                  User-Name: $request.RAD_REQUEST.User-Name
                  NAS-IP-Address: $request.RAD_REQUEST.NAS-IP-Address
                  NAS-Port-Id: $request.RAD_REQUEST.NAS-Port-Id
                  Cisco-AVPair: $request.RAD_REQUEST.Cisco-AVPair
                  Cisco-Service-Info: $request.RAD_REQUEST.try("Cisco-Service-Info")
 
              # Сервисная сессия доступа в Интернет
              - condition: $request.RAD_REQUEST.Cisco-Service-Info.like?("^NIPOE-SC-(INET|NIGHT)-.+$")
                attributes:
                  # Набор сохраняемых атрибутов тот же, что и для базовой сессии
                  <<: *session_attributes
 
                services:
                  # Услуга «Интернет-трафик исх.»
                  - service_id: 40213501
                    value: $request.RAD_REQUEST.try("Acct-Input-Octets", "0").to_i() + 4 * $request.RAD_REQUEST.try("Acct-Input-Gigawords", "0").to_i().gigabytes()
                    unit: bytes
 
                  # Услуга «Интернет-трафик вх.»
                  - service_id: 40213701
                    value: $request.RAD_REQUEST.try("Acct-Output-Octets", "0").to_i() + 4 * $request.RAD_REQUEST.try("Acct-Output-Gigawords", "0").to_i().gigabytes()
                    unit: bytes
 
                service_profile:
                  # Идентификатор шаблона абонентских профилей «IPoE - Доступ к сети Интернет»
                  template_id: 25244901
 
              # Сервисная сессия доступа к локальной сети с учётом трафика
              - condition: $request.RAD_REQUEST.Cisco-Service-Info.like?("^NIPOE-SC-(LOCAL|PRIVATE)$")
                attributes:
                  # Набор сохраняемых атрибутов тот же, что и для базовой сессии
                  <<: *session_attributes

                services:
                  # Услуга «Локальный трафик исх.»
                  - service_id: 40214001
                    value: $request.RAD_REQUEST.try("Acct-Input-Octets", "0").to_i() + 4 * $request.RAD_REQUEST.try("Acct-Input-Gigawords", "0").to_i().gigabytes()
                    unit: bytes

                  # Услуга «Локальный трафик вх.»
                  - service_id: 40214201
                    value: $request.RAD_REQUEST.try("Acct-Output-Octets", "0").to_i() + 4 * $request.RAD_REQUEST.try("Acct-Output-Gigawords", "0").to_i().gigabytes()
                    unit: bytes

                service_profile:
                  # Идентификатор шаблона абонентских профилей «IPoE - Доступ к локальной сети»
                  template_id: 25245101

              # Прочие сервисные сессии, для которых тарификация услуг не требуется
              - attributes:
                  # Набор сохраняемых атрибутов тот же, что и для базовой сессии
                  <<: *session_attributes
 
                service_profile:
                  # Идентификатор шаблона абонентских профилей «IPoE - Доступ к локальной сети»
                  template_id: 25245101

При настройке обработки on/off-пакетов необходимо убедиться, что сохранение указанных в ключе on_off_attributes атрибутов сессий настроено в блоке plugins → base → <plugin_instance_name> → actions → accounting → session → templates → attributes.

plugins:
  base:
    ran-by-login:
      actions:
        authorize:
...
        authenticate:
...
        accounting:
          session:
            templates:
              - attributes:
                  NAS-IP-Address: $request.RAD_REQUEST.NAS-IP-Address
                  User-Name: $request.RAD_REQUEST.User-Name

          on_off_attributes:
            NAS-IP-Address: $request.RAD_REQUEST.NAS-IP-Address

Настройка самих хуков описана в отдельной статье: Хуки.

# HARD RADIUS accounting loader
*/3 *   * * *   hard    /opt/hydra/hard/init/hard.sh -f /etc/hydra/hard batch &>/dev/null

Если при запуске процесс загрузки аккаунтинга обнаруживает другой работающий в том же режиме процесс агента, он записывает в лог информацию об этом и завершается.

Наличие сессий в состоянии Завершена по таймауту является симптомом проблем RADIUS-взаимодействия между сервером доступа и RADIUS-сервером. Наиболее частые причины появления таких сессий:

• Отключение или перезагрузка сервера доступа, при которой он не отправляет на RADIUS-сервер пакет Accounting-On или Accounting-Off. Решение — настроить сервер доступа на отправку таких пакетов.
• Некорректно заданное в конфигурации агента значение таймаута завершения сессий. Рекомендуется в качестве значения указывать 1.5-2.5 используемого интервала аккаунтинга (атрибут Acct-Interim-Interval), для того чтобы даже потеря одного пакета аккаунтинга не приводила к завершению сессии по таймауту. Если же таймаут окажется меньше интервала аккаунтинга, то большинство все сессий будет постоянно завершаться по таймауту.
• Различные сетевые проблемы, из-за которых часть пакетов аккаунтинга не доходят до RADIUS-сервера. Решение зависит от характера проблемы, для локализации которой, обычно, анализируются логи RADIUS-сервера, сервера доступа и снимаемые между этими серверами дампы RADIUS-взаимодействия.