[Oleg119]

Добрый день, коллеги.

Прошу совета. Маршрутизатор CCR-1009. 
На текущий момент количество клиентов небольшое, все в одном vlan, Адреса в этом влан выдает ДХЦП сервер. Есть потребность выдавать ip адреса неизвестным макам из "левого" пула, дабы ограничить доступ в интернет  (либо с редиректом на страницу лк, например).

Сейчас блочатся только неоплаченные клиенты через Firewall с помощью скрипта билинговой системы.

Каким образом это можно реализовать?

Изменено 20 марта пользователем Oleg119

[murano]

2 часа назад, Oleg119 сказал:

Добрый день, коллеги.

Прошу совета. Маршрутизатор CCR-1009. 
На текущий момент количество клиентов небольшое, все в одном vlan, Адреса в этом влан выдает ДХЦП сервер. Есть потребность выдавать ip адреса неизвестным макам из "левого" пула, дабы ограничить доступ в интернет  (либо с редиректом на страницу лк, например).

Сейчас блочатся только неоплаченные клиенты через Firewall с помощью скрипта билинговой системы.

Каким образом это можно реализовать?

Например с использованием RADIUS для DHCP.

[Oleg119]

41 минуту назад, murano сказал:

Например с использованием RADIUS для DHCP.

Можно чуть подробнее?

[murano]

2 часа назад, Oleg119 сказал:

Можно чуть подробнее?

У микротика есть IPoE (выдача DHCP после RADIUS-аутентификации). Для этого настраивается пересылка данных опции 82 радиусу, тот, в свою очередь, идет в базу данных, проверяет данные абонента, и уже дальше в зависимости от настроек отклоняет совсем, либо выдает адрес абоненту из лигитимного или гостевого пула, если гостевой используется.

[jffulcrum]

Советую весь раздел поглядеть: Mikrotik with Freeradius/mySQL # Part-1 | Syed Jahanzaib - Personal Blog to Share Knowledge ! (wordpress.com)

[sirmax]

Прежде всего хорошо бы понимать как в принципе работает радиус, и (ссылку читал по диагонали) можно сильно упростить жизнь написав свой модуль на перле или пайтоне

 

[Saab95]

13 часов назад, Oleg119 сказал:

На текущий момент количество клиентов небольшое, все в одном vlan, Адреса в этом влан выдает ДХЦП сервер. Есть потребность выдавать ip адреса неизвестным макам из "левого" пула, дабы ограничить доступ в интернет  (либо с редиректом на страницу лк, например).

Странно, получается любой может указать IP адрес руками и попасть в интернет?

Возможно, сперва, над дизайном сети поработать? Сделать влан на абонента, хотя бы?

 

DHCP сервер может при выдачи адреса создавать ARP запись. Если на основном интерфейсе (влане) установить арп - репли онли, то никто не сможет руками установить адрес и получить доступ в сеть.

 

Вы не написали каким образом сейчас выдаете адреса - статическими записями, или через радиус от биллинга. Если статическими - то просто создаете еще один пул, который и будет раздаваться всем тем, у кого нет статической записи и всего делов.

[VolanD666]

Или dot1x

[DeLL]

Надо бы с биллингом разобраться, это его задача должна быть с логической стороны