sdw

вот кусок с выдачей полисей и адресов, написаной нами на plpgsql функции radreply(), имхо достаточный чтобы понять принцип... IF (tar_t.policy_out IS NOT NULL) AND (tar_t.policy_in IS NOT NULL) THEN RAISE NOTICE 'lim'; rc.id := 0; rc.username := username_t; rc.attribute := 'Cisco-AVPair'; rc.op := '+='; rc.value := 'ip:sub-policy-In='||tar_t.policy_in; RETURN NEXT rc; rc.id := 0; rc.username := username_t; rc.attribute := 'Cisco-AVPair'; rc.op := '+='; rc.value := 'ip:sub-policy-Out='||tar_t.policy_out; RETURN NEXT rc; IF (tar_t.ip_pool IS NOT NULL) THEN RAISE NOTICE 'skip_framed_ip'; skip_framed_ip := true; rc.id := 0; rc.username := username_t; rc.attribute := 'Cisco-AVPair'; rc.op := '+='; rc.value := 'ip:addr-pool='||tar_t.ip_pool; RETURN NEXT rc; ELSE IF (NOT skip_framed_ip AND userinfo_t.fipaddress IS NOT NULL) THEN rc.id := 0; rc.username := username_t; rc.attribute := 'Framed-Ip-Address'; rc.op := ':='; rc.value := userinfo_t.fipaddress; skip_framed_ip := true; RETURN NEXT rc; END IF; END IF; ELSE конфиг, как верно заметили, зависит от используемого радиуса, получаете радиусом атрибут скармливаете его функции, выдаете полисями.

все очень просто. %{Calling-Station-Id}% на радиусе проверяй. и выдавай в radreply им соответствующие полиси.

убери timeout absolute если нужно лимитировать, то лучше радиусом.

знать бы точно. может у кого опыт поднятия 2000+ сессий на 10k есть?имеется в виду pptp конечно же...

а можно поподробнее про ограничение на 2к сессий? Откуда информация?кстати пптп на 10к завелся. иос 12.3(7)XI7b

Лучше всего по отношению drop/cpu себя показала конструкция: policy-map client32k_in class class-default police 32000 6000 8000 conform-action transmit exceed-action set-dscp-transmit 4 violate-action drop policy-map client64k_out class class-default police 64000 8000 16000 conform-action transmit exceed-action set-dscp-transmit 4 violate-action drop При CAR потери трафика могут составлять до 30-40% С шейпом потери само собой минимальные, но cpu жрет как не в себя ) TTL от/к пользователю, кто-нибудь фильтрует/правит ?

Условия: Пользователи получают достут в Интернет через PPTP, в качестве pptp сервера используется cisco 7140, IP адреса пользователям выдаются динамические. IOS ™ EGR Software (C7100-JK9O3S-M), Version 12.3(12e) cisco 7140-2FE (EGR) processor (revision A) with 229376K/98304K bytes of memory. Processor board ID 17307136 R7000 CPU at 262MHz, Implementation 39, Rev 2.1, 256KB L2, 2048KB L3 Cache Максимальное количество одновременных сессий - 500 Настроено через vpdn, конфиг vpdn: ! ip cef ip audit po max-events 100 vpdn enable vpdn aaa attribute nas-ip-address vpdn-nas ! vpdn-group 1 ! Default L2TP VPDN group ! Default PPTP VPDN group accept-dialin protocol any virtual-template 1 local name pptp_gateway ip mtu adjust ! virtual-template 1 pre-clone 500 ! interface Virtual-Template1 ip unnumbered FastEthernet0/0 no ip redirects no ip proxy-arp ip route-cache flow ip tcp adjust-mss 1400 ip mroute-cache peer default ip address pool user_pool no keepalive ppp authentication ms-chap-v2 ms-chap ppp ipcp dns x.х.х.х x.х.х.х ! radius-server vsa send accounting radius-server vsa send authentication ! Задача: Ввести анлимитные тарифы с ограничением по скорости, и пускать через эту циску, как анлимитчиков, так и пользователей работающих по трафику. Ограничения по скорости для пользователя должны выдаваться радиус сервером, в зависимоти от тарифного плана пользователя. Варианты решения: 1. CAR Конфиг циски не меняем просто выдаем радиусом для тарифов с ограничение скорости следующие строки: Cisco-AVPair+="lcp:interface-config=rate-limit input 64000 16000 32000 conform-action transmit exceed-action drop" Cisco-AVPair+="lcp:interface-config=rate-limit output 32000 8000 16000 conform-action transmit exceed-action drop" 2.Policy map (2-a варианта): Радиусом в зависимости от тарифа выдаем: Cisco-AVPair+="ip:sub-policy-Out=client64k_out" Cisco-AVPair+="ip:sub-policy-In=client32k_in" а) На кошке можно сделать например так ! policy-map do_priority class best-effort bandwidth percent 80 class class-default policy-map client64k_out class class-default shape average 64000 service-policy do_priority policy-map client32k_in class class-default shape average 32000 service-policy do_priority ! b) Или так policy-map client64k_out class twobucket police 64000 8000 16000 conform-action transmit exceed-action set-dscp-transmit 4 violate-action drop policy-map client32k_in class twobucket police 32000 6000 8000 conform-action transmit exceed-action set-dscp-transmit 4 violate-action drop 3. Трафик шейп ТОже несколько вариантов, например выдача радиусом для анлимитчика строки: Cisco-AVPair+="lcp:interface-config=traffic-shape rate 64000 8000 16000" также можно поиграться с traffic-shape adaptive и т.п. Либо настроить конструций traffic-shape с полиси мэп. Все приведенные варианты решения проверены на данной циске и реально работают. Всвязи с чем вопрос к уважаемым гуру: "Как сделать правильнее и обеспечить максимальное качество для юзера при данных условиях(500 сессий)? Дабы пользователи потом не вздернули непутевого админа за большое количество дропов, или наоборот кошка не загнулась от большого количства ацл и нагрузки на cpu." Приветсвуются тыканья носом с приведением своих вариантов решения. Варианты с установкой отдельного линукс-бокса под шейпер не приемлются.

хм... Если физика у клиента до mpd 100М/Нalf, то без напряга выдает 40Мб/с на сессию через тунель. Неужели GRE так много жрет ?

может и так. скинь конфиг мпд, перед сном почитать :) PS: кстати сетевухи как раз i82558...

полностью продублировал предложеный набор, окромя rxcsum и txcsum(не было соответсвующих сетевух под рукой)... максимум что удалось добится это 800К на сессию, т.е. 6.4Мбита/c, это при канале до клиента 10М/Half вопрос: неужто checksum offload играет такую большую роль ? или может jab слово заветное знает ? поделишся ? :)

mpd+freeradius+Postgresql пишется функция radreply которая в зависимости от остатка на счету отдает насу Session-Octets-Limit.

лучше пс рутером быстрее м дешевле - конвертером :)

сам сливал файликами, компакта нет :-( делать iso'шник честно говоря лень...

наше дело предложить... :-) хотя можно 16 портовые собирать, главное - размер партии.

скажи это любому инженеру связи - засмеет man "защита кабельных сетей от взаимных и внешних помех" грамотно сделаная скрутка - лучше пайки.