Левые IP адреса в хот споте микротика

[Fint]

Перешли на авторизацию абонентов через хот спот микротика + радиус по мас. И периодически наблюдаю такую картину:

​http://joxi.ru/1A5xQW8hKa5eb2​

​http://joxi.ru/brR5EYwsQPpK3A​

При отключение порта смотрящего в сторону абонента, в хот споте остаётся только ip выданный нашим dhcp wan порту роутера.

С чем связано такое поведение?

[Fint]

У клиента в это время обновлялся вартандер. Попросил отключить обновление, левые хосты исчезли после перелогина. Кто нибуть знает как с этим бороться?

Edited July 20, 2016 by Fint

[Saab95]

Не использовать хоспот и радиус по мак, если нужно выдавать адреса по маку используйте просто DHCP с авторизацией по маку.

[AKim]

У клиента в это время обновлялся вартандер. Попросил отключить обновление, левые хосты исчезли после перелогина. Кто нибуть знает как с этим бороться?

 

У клиента роутер?

 

Бороться никак. Забить и чистить списки хотспота скриптом раз в минуту или по усмотрению. У меня раз в минуту.

/system logging disable 0
:foreach i in [ /ip hotspot host find where authorized =no and bypassed =no ] do={
/ip hotspot host remove $i
}
/system logging enable 0

[EShirokiy]

В настройках хотспота настраиваете ip binding и никаких проблем, работает отлично вместе со скриптом

/system logging disable 0
:foreach i in [ /ip hotspot host find where idle-time>00:01:00 ] do={
/ip hotspot host remove $i
}
:foreach i in [ /ip hotspot host find where authorized =no and bypassed =no ] do={
/ip hotspot host remove $i
}
/system logging enable 0

Надо его добавить в планировщик на исполнение раз в 3-5 минут.

 

В биндинг добавляйте проблемные подсети.

[Fint]

В настройках хотспота настраиваете ip binding и никаких проблем, работает отлично вместе со скриптом

/system logging disable 0
:foreach i in [ /ip hotspot host find where idle-time>00:01:00 ] do={
/ip hotspot host remove $i
}
:foreach i in [ /ip hotspot host find where authorized =no and bypassed =no ] do={
/ip hotspot host remove $i
}
/system logging enable 0

Надо его добавить в планировщик на исполнение раз в 3-5 минут.

 

В биндинг добавляйте проблемные подсети.

Именно так и сделал, спасибо.

/ip hotspot ip-binding

add address=10.1.0.0/24 disabled=no server=hotspot1

add address=0.0.0.0/0 disabled=no server=hotspot1 type=blocked

 

 

 

Кстати. Сегодня переделал разрешающее правило на сеть /16. Что бы 2-мя правилами все хот споты прикрыть. Но вот что заметил еще в хостах хот спота, некоторые клиентские роутеры(именно клиентские роутеры wifi, которые находятся за НАТом наших роутеров стоящих на доступе), с 1м иногда с 2мя левыми IP из 0й подсети. И бывает попадается с адресом шлюза, при этом конфликтов ip нет, в arp таблице тоже нет этих ip. Получается что 2мя общиими правилами для всех хот спотов не обойтись, лучше сделать отдельные правила с диапазоном адресов например /26, что бы шлюз сети не занимался?

Edited July 21, 2016 by Fint

[Fint]

У клиента в это время обновлялся вартандер. Попросил отключить обновление, левые хосты исчезли после перелогина. Кто нибуть знает как с этим бороться?

 

У клиента роутер?

 

 

Схема сети такова, что у каждого клиента на доступе роутер с НАТ, которые получает наш адрес, а от него уже провод идет к клиенту. Так вот за нашим устройством доступа стоит его обычный wifi роутер, видимо с arp-proxy... После добавления правил в IP => Hotspot => IP Bindings левые хосты пропали.

[EShirokiy]

 

Кстати. Сегодня переделал разрешающее правило на сеть /16. Что бы 2-мя правилами все хот споты прикрыть. Но вот что заметил еще в хостах хот спота, некоторые клиентские роутеры(именно клиентские роутеры wifi, которые находятся за НАТом наших роутеров стоящих на доступе), с 1м иногда с 2мя левыми IP из 0й подсети. И бывает попадается с адресом шлюза, при этом конфликтов ip нет, в arp таблице тоже нет этих ip. Получается что 2мя общиими правилами для всех хот спотов не обойтись, лучше сделать отдельные правила с диапазоном адресов например /26, что бы шлюз сети не занимался?

Не надо разрешать валидные подсети, а запрещать все остальное. Абоненты могут прекрасно работать с другим IP, лишь бы на один мак был один IP.