Вот теперь в голове полная каша...
Что имеем?
BRAS Cisco ASR1002-X, ПО LanBilling2 (ver. 2.014). LanBilling "знает" и сообщает только о названиях сервисов, ибо все они рулятся локально на Циске.
Пользователи. Все подключаются через PPPoE, исключений нет. Гостевой сети также нет, убрана.
Вопрос в том, что не могу составить для себя алгоритм подключения пользователя...
К примеру.
Есть вот такой изначальный конфиг
policy-map type control ISG-CONTROL
!
class type control always event session-start
10 authenticate aaa list ISG-GROUP
20 service local
!
Но, кроме удачной аутентификации надо же предусмотреть еще кучу нюансов, к примеру.
1. Пользователь не смог осилить буквы, неправильный пароль, поэтому ему надо разрешить пользоваться местным сервером ДНС и сервером статистики.
2. Первого числа у пользователя не хватило денег на следующий месяц, у него необходимо отобрать текущую услугу доступа в Интернет и оповестить, перекинув на страничку "дай денег".
3. Отвалился биллинг. Ну, мало ли. А очередной пользователь ломится и жаждит приобщиться к тайнам Интернета... Ему надо дать доступ, но "временный", скажем со скоростью 4 Мбит/сек.
Просто прочел то я много, но например так и не достиг понимания в таких вещах как credit-exhausted, quota-depleted... (Это скорее всего относится к помегабайтной оплате, которой у нас нет)
Из того что я описал выше, на мой взгляд, конфиг вырисовывается следующий:
policy-map type control ISG-CONTROL
class type control ISG-UNAUTH event timed-policy-expiry
1 service disconnect
!
class type control always event session-start
10 authenticate aaa list ISG-GROUP
20 service local
30 set-timer UNAUTH-TIMER 3
40 service-policy type service name SERVICE-TRUSTED
50 service-policy type service name REDIRECTION
!
class type control always event radius-timeout
1 service-policy type service name SERVICE-TRUSTED
2 service-policy type service name REDIRECTION
!
!
!!!!!!!!!!!!!! Сервис редиректа в случае окончания средств !!!!!!!!!!!!!!!!!!!
!
redirect server-group REDIRECT_NOPAY
server ip xxx.xx.xx.xx port 80
!
!
policy-map type service REDIRECTION
1 class type traffic CLASS-TO-REDIRECT
redirect to group REDIRECT_NOPAY
!
class type traffic default input
drop
!
!
class-map type traffic match-any CLASS-TO-REDIRECT
match access-group input 197
match access-group output 197
!
!
access-list 197 remark --Redirect-Portal--
access-list 197 permit tcp any any eq www
access-list 197 permit udp any any eq domain
access-list 197 permit udp any eq domain any
access-list 197 permit tcp any eq www any
access-list 197 deny ip any any
!
!!!!!!!!!!!!!!!!!!!!!! Конец сервиса !!!!!!!!!!!!!!!!!!!!!!!!!!!!
!
!
!
!!!!!!!!!!!!!!!! Куда разрешено ходить пользователям у которых кончилась денежка !!!!!!!!!!!!!!!!!!!
policy-map type service SERVICE-TRUSTED
1 class type traffic CLASS-TRUSTED
police input 64000 8000 16000
police output 64000 8000 16000
!
class type traffic default input
drop
!
!
class-map type traffic match-any CLASS-TRUSTED
match access-group input 198
match access-group output 198
!
!
access-list 198 remark --BLOCKED Clients--
! Разрешаем пользователю ДНС
access-list 198 permit udp any any eq domain
access-list 198 permit udp any eq domain any
! Разрешаем пользователю сервер статистики и наш сайт
access-list 198 permit tcp any host xxx.xx.xx.23 eq www
access-list 198 permit tcp any host xxx.xx.xx.23 eq 443
! Разрешаем пользователю доступ в систему PayOnline, вдруг он решился заплатить?
access-list 198 permit tcp any host 66.11.130.100 eq 443
! Разрешаем пользователю пинги
access-list 198 permit icmp any any
! Если ничего не забыл, то всё.
access-list 198 deny ip any any
!
!!!!!!!!!!!!!!!!! Конец сервиса !!!!!!!!!!!!!!!!!!!!!!!!!
Вопрос звучит следующим образом. Многие ведь используют PPPoE+ISG. Подскажите, какие сервисы вы юзаете, хотя бы обзорно, внутри этой самой основной policy control.
