स्थानीय समूह विस्तार के साथ मिकरोटिक पर रेडियस के माध्यम से प्राधिकरण

सभी को शुभ दिन! मैं एक मिश्रित नेटवर्क, सिस्को, मिकरोटिक, जुनिपर के साथ एक बड़ी संघीय कंपनी में नौसिखिया नेटवर्क व्यवस्थापक के रूप में काम करता हूं।
और फिर एक दिन निम्नलिखित कार्य दिखाई दिया।

स्रोत डेटा:

1. एक क्षेत्रीय प्रणाली प्रशासक है जिसके पास कई प्रणाली प्रशासक अधीनस्थ हैं। प्रत्येक सिस्टम एडमिनिस्ट्रेटर के पास एक RU - एक क्षेत्रीय नोड होता है, जहां दुकानों के लिए हेड यूनिट 2 मिकरोटिक 1100ahx2 और सिस्को c3550 हैं - मिक्रोटिक RB751G-2HnD।
2. प्रत्येक मिकरोटिक का एक स्थानीय समूह है जिसका नाम शहर के समान है: ओम्स्क - ओएमएस, केमेरोवो - केएमआर, मिकरोटिक के पूर्ण अधिकार के साथ।

उद्देश्य:

एक क्षेत्रीय प्रशासक को अपनी जिम्मेदारी के क्षेत्र में केवल रेडियस के माध्यम से अधिकृत करें, उदाहरण के लिए, ओएमएस और केएमआर।

एक कार्य है, हम उसे पूरा करने का प्रयास कर रहे हैं।
मिकरोटिक पर त्रिज्या कॉन्फ़िगर करें:

/ त्रिज्या जोड़ने सेवा = लॉगिन पता = 10.0.x.10 गुप्त = xxx अक्षम = नहीं
/ उपयोगकर्ता एएए सेट उपयोग-त्रिज्या = हाँ

लिनक्स पर FreeRadius स्थापित करना, मेरे पास डेबियन था: apt-get install फ्रीरेडियस
मेरे पास मिकरोटिक 172.16.0.0/12 पर एक सबनेट है,
/etc/freeradius/clients.conf को लिखें

ग्राहक 172.16.0.0/12 {
secret = xxx
shortname = Network_Devices
}

फिर, / etc / freeradius / शब्दकोश को न भूलें

वेदर मिकरोटिक 14988

BEGIN-VENDOR मिकरोटिक

ATTRIBUTE मिकरोटिक-रिकव-लिमिट 1 पूर्णांक
ATTRIBUTE मिकरोटिक-एक्समिट-लिमिट 2 पूर्णांक
ATTRIBUTE मिकरोटिक-समूह 3 स्ट्रिंग
ATTRIBUTE मिकरोटिक-वायरलेस-फॉरवर्ड 4 पूर्णांक
ATTRIBUTE मिकरोटिक-वायरलेस-स्किप-डॉट 1 एक्स 5 पूर्णांक
ATTRIBUTE मिकरोटिक-वायरलेस-एनको-अल्गो 6 पूर्णांक
ATTRIBUTE मिकरोटिक-वायरलेस-एंकल-की 7 स्ट्रिंग
ATTRIBUTE मिकरोटिक-दर-सीमा 8 स्ट्रिंग
ATTRIBUTE मिकरोटिक-दायरे 9 स्ट्रिंग
ATTRIBUTE मिकरोटिक-होस्ट-आईपी 10 ipaddr
ATTRIBUTE मिकरोटिक-मार्क-आईडी 11 स्ट्रिंग
ATTRIBUTE मिकरोटिक-विज्ञापन-यूआरएल 12 स्ट्रिंग
ATTRIBUTE मिकरोटिक-विज्ञापन-अंतराल 13 पूर्णांक
ATTRIBUTE मिकरोटिक-रिकव-लिमिट-गिगावर्ड्स 14 पूर्णांक
ATTRIBUTE मिकरोटिक-एक्समिट-लिमिट-गिगावर्ड 15 पूर्णांक
ATTRIBUTE मिकरोटिक-वायरलेस-पीएसके 16 स्ट्रिंग
ATTRIBUTE मिकरोटिक-कुल-सीमा 17 पूर्णांक
ATTRIBUTE मिकरोटिक-टोटल-लिमिट-गिगावार्ड्स 18 पूर्णांक
ATTRIBUTE मिकरोटिक-एड्रेस-लिस्ट 19 स्ट्रिंग
ATTRIBUTE मिकरोटिक-वायरलेस-एमपीके 20 स्ट्रिंग
ATTRIBUTE मिकरोटिक-वायरलेस-टिप्पणी 21 स्ट्रिंग
ATTRIBUTE मिकरोटिक-डेलिगेट-आईपीवी 6-पूल 22 स्ट्रिंग

# मिक्रोटिक मान

VALUE मिकरोटिक-वायरलेस-एनको-एल्गो नो-एन्क्रिप्शन 0
वैल्यू मिकरोटिक-वायरलेस-एनको-एल्गो 40-बिट-वीपी 1
वैल्यू मिकरोटिक-वायरलेस-एनको-अल्गो 104-बिट-वीईपी 2
वैल्यू मिकरोटिक-वायरलेस-एनको-एल्गो एईएस-सीसीएम 3
वैल्यू मिकरोटिक-वायरलेस-एनको-अल्गो टीकेआईपी 4

END-VENDOR मिकरोटिक

यही है, अब हमें / etc / freeradius / उपयोगकर्ताओं में एक उपयोगकर्ता बनाने की आवश्यकता है:

regSA यूजर-पासवर्ड: = 12345
प्रामाणिक-प्रकार = CHAP,
मिकरोटिक-समूह: = ओएमएस

हम FreeRadius को पुनरारंभ करते हैं और Omsk Mikrotiki पर जाने का प्रयास करते हैं। सब कुछ काम करता है।

लेकिन अब हम केमेरोवो जाने की कोशिश कर रहे हैं। हमें पठन समूह मिलता है, केवल पठन अनुमतियों के साथ। क्या हो रहा है? हम मिकरोटिक पर एक लॉग को देखते हैं और हम देखते हैं:

सक्रिय उपयोगकर्ताओं में:

आप केमेरोव के लिए एक समूह पंजीकृत करना भूल गए, आप कहते हैं। हम लिखते हैं:

regSA यूजर-पासवर्ड: = 12345
प्रामाणिक-प्रकार = CHAP,
मिकरोटिक-समूह: = ओएमएस, केएमआर

फ्रीरेडियस को पुनः आरंभ करें। हम कोशिश करते हैं, हमें भी वही मिले। यह पता चला है कि एक उपयोगकर्ता के लिए हम केवल एक समूह निर्दिष्ट कर सकते हैं। क्योंकि प्राधिकरण के दौरान, पहले वाले को हमेशा लिया जाता है। मृत अंत? नहीं, Google के कुछ घंटों, FreeRadius पर शोध करें और एक रास्ता निकालें।
Radiusd.conf में पोस्ट-पोस्ट हैंडलर है, मैं इसका उपयोग करने का प्रयास करने का निर्णय लेता हूं।
हम लिखते हैं:

पोस्ट-पोस्ट {
अगर (उपयोगकर्ता-नाम == "regSA") {उपयोगकर्ता नाम की जाँच करें
अगर (NAS-IP- पता = ~ /172-26.22-26.(2(2 ई 4-9†IND►3-4-05†0-9†pg5►0-5†))\.( [0 -9] | [1-9] [0-9] | 1 ([0-9] [0-9]) | 2 ([0-4] [0-9] | 5 [0-5]) | /) {और आईपी की जाँच करें
अद्यतन उत्तर {
मिकरोटिक-समूह: = "ओएमएस" यदि सब कुछ एक साथ आया है, तो हम मिकरोटिक समूह को देते हैं, जो इस पर है
}
}
if (NAS-IP-Address = ~ /172-26.20-26.(6 Is4-9 -pg►7-8† Did0-9†pg9 Is0-5†)\.( [0-9] | [1-9] [0-9] | 1 ([0-9] [0-9]) | 2 ([0-4] 0-9] | 5 [0-5])) /) {|
अद्यतन उत्तर {
मिकरोटिक-समूह: = "केएमआर"
}
}
}

} सभी पोस्ट-ऑउट को बंद करें

एनएएस-आईपी-एड्रेस आईपी एड्रेस है जिसमें से प्राधिकरण अनुरोध आता है। एक नियमित रूप से उपयोग किया जाता है, लेकिन जब से मैं तुम्हारे साथ हूं, मैंने उत्पन्न करने के लिए साइट www.analyticsmarket.com/freetools/ipregex का उपयोग किया था
अब में / etc / freeradius / users: समूह को एक विशेषता के रूप में हटाते हैं जो हमारे लिए बिल्कुल शानदार है

regSA यूजर-पासवर्ड: = 12345
प्रामाणिक-प्रकार = CHAP

FreeRadius के पुनरारंभ होने के बाद, हम समझते हैं कि सब कुछ हमारे लिए काम करता है, यह क्षेत्र ओएमएस समूह को ओएमएस समूह के साथ केएमआरओ के साथ केमेरोवो तक मिलता है।

उपयोगकर्ताओं में मिकरोटिक-समूह: = "पूर्ण" डालना असंभव क्यों था? यह संभव था, लेकिन फिर क्षेत्रीय प्रणाली प्रशासक को पूरे रूस में सभी मिकरोटिक तक पहुंच मिली, जो निश्चित रूप से अच्छा नहीं है। कुछ चुनिंदा लोगों के पास ही ऐसे अधिकार होते हैं।