Байпас на Cisco ASR1001

[alibek]

Есть Cisco ASR1001X, выполняющая функции BRAS PPPoE.

Конфигурация примерно такая:

Скрытый текст

aaa new-model
!
aaa group server radius BM6-PPPOE
 server-private 10.1.128.2 key ******
 ip vrf forwarding CORE
 ip radius source-interface Loopback1
!
aaa authentication login default local
aaa authentication ppp PPPOE group BM6-PPPOE
aaa authorization network PPPOE group BM6-PPPOE 
aaa accounting delay-start
aaa accounting jitter maximum 10
aaa accounting update periodic 10
aaa accounting network PPPOE start-stop group BM6-PPPOE
!
aaa nas port extended
!
aaa server radius dynamic-author
 client 10.1.128.2 vrf CORE
 client 10.1.144.3 vrf CORE
 server-key ******
 auth-type any
!
subscriber templating
subscriber authorization enable
!
!
class-map type traffic match-any LOCAL
 match access-group input name LOCAL-IN
 match access-group output name LOCAL-OUT
!
class-map type traffic match-any INTERNET
 match access-group input name PUBLIC-IN
 match access-group output name PUBLIC-OUT
!
class-map type traffic match-any NO-MONEY
 match access-group input name EXTERNAL-WEB
!
class-map type control match-all CLS-USERDROP
 match timer 5min 
 match authen-status unauthenticated 
!
!         
class-map match-any NO-MONEY
policy-map type service LOCAL-ACCT
 class type traffic LOCAL
  accounting aaa list PPPOE
 !
 class type traffic default in-out
  drop
 !
!
policy-map type service INTERNET-ACCT
 class type traffic INTERNET
  accounting aaa list PPPOE
 !
 class type traffic default in-out
  drop
 !
!
policy-map type service NO-MONEY-REDIRECT
 class type traffic NO-MONEY
  redirect to group NO-MONEY
 !
!
policy-map type control RULES-PPPOE
 class type control CLS-USERDROP event timed-policy-expiry
  10 service disconnect
 !
 class type control always event session-start
 !
!
policy-map type control RULEISG
 class type control always event quota-depleted
  1 set-param drop-traffic FALSE
 !
 class type control always event session-start
  1 authorize aaa list PPPOE password ****** identifier source-ip-address 
  2 service-policy type service name L4REDIRECT_to_DNS
  3 service-policy type service name L4REDIRECT-ATT
  4 set-timer 5Min 5
 !
 class type control always event credit-exhausted
  1 service-policy type service name NOMONEY
 !
 class type control always event service-failed
  1 service-policy type service name 512k_DEF
  2 log-session-state 
 !
 class type control always event service-stop
  1 service-policy type service unapply identifier service-name
  2 service-policy type service name 512k_DEF
 !
!
bba-group pppoe global
 virtual-template 1
 vendor-tag circuit-id service
 vendor-tag strip
 sessions max limit 65530
 sessions per-mac limit 10
 sessions per-vlan limit 1024
 sessions auto cleanup
!
interface Loopback1
 description LOOP-PPP
 vrf forwarding CORE
 ip address 10.255.255.215 255.255.255.255
!
interface Virtual-Template1
 mtu 1492
 ip unnumbered Loopback1
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 peer default ip address pool CLIENT-PPP
 ppp authentication pap PPPOE
 ppp authorization PPPOE
 ppp accounting PPPOE
 ppp ipcp dns ***.***.***.1 ***.***.***.124
 ppp timeout idle 60
!
interface BDI400
 no ip address
 vlan-range dot1q 400 499
  pppoe enable group global
 !
!

 

Сейчас связь с RADIUS-ом потеряна и быстро восстановить не получится.

Подскажите, как временно настроить байпас (автоматическое разрешение подключения)?

С биллинга прилетает минимум настроек, IP-адреса клиентам назначает сам BRAS из своего пула.

[sol]

2 минуты назад, alibek сказал:

Подскажите, как временно настроить байпас (автоматическое разрешение подключения)?

Поднять рядом на ноутбуке freeradius с тремя строчками конфига, отвечающим "да" на любой запрос?

[alibek]

Так не получится, упал не RADIUS, а сегмент, связывающий внутреннюю серверную сетку и сервисную сетку для BRAS.

 

Вроде бы этого достаточно:

Скрытый текст

aaa authentication ppp PPPOE none
aaa authorization network PPPOE none
aaa accounting network PPPOE start-stop none

 

Или что-то упустил?

[sol]

1 час назад, alibek сказал:

Так не получится, упал не RADIUS, а сегмент, связывающий внутреннюю серверную сетку и сервисную сетку для BRAS.

Да наплевать кто упал. Поставьте рядом с этой циской ноутбук. И поднимите на нём радиус с тем-же ip и ключом.

[Andrei]

15 часов назад, alibek сказал:

достаточно

Вот такое когда-то встречал на просторах инета

aaa new-model
aaa authentication ppp default none
aaa authorization network default none
!
bba-group pppoe global
 virtual-template 1
 ac name catalist
!
interface Loopback0
 ip address 10.0.0.1 255.255.255.255
!
interface FastEthernet0/0
 no ip address
 pppoe enable group global
!
interface Virtual-Template1
 ip unnumbered Loopback0
 peer default ip address pool default
 ppp authentication pap callin
 ppp ipcp dns 8.8.8.8 8.8.4.4
!
ip local pool default 10.0.0.2 10.0.0.254

По сути - тоже самое, что у вас

[alibek]

Да, ключевое это none для авторизации и аутентификации (ну и для аккаунтинга, чтобы в логах меньше мусор было).

В общем вчера байпас успешно отработал, сегодня все вернул обратно.

[sirmax]

8 часов назад, alibek сказал:

Да, ключевое это none для авторизации и аутентификации (ну и для аккаунтинга, чтобы в логах меньше мусор было).

В общем вчера байпас успешно отработал, сегодня все вернул обратно.

Скорее всего можно вписать none или типа того вторым методом после радиуса что бы в след раз «оно само»

у меня так сделано но для isg с ppp не имел дел

[alibek]

18 часов назад, sirmax сказал:

что бы в след раз «оно само»

Ну надеюсь, что следующего раза не будет.

У меня одна старая Cisco 3750 сдохла, которая обслуживала несколько подсетей и сегментов.

Вначале заглючила (большой процент потерь), а после перезагрузки не стартанула — в консоли полная тишина, индикаторы горят оранжевым, причем при каждом включении по разному (один раз даже зеленый SYST был), а через какое-то время и включаться отказалась.

Пока замену подбирал и настраивал — и нужен был байпас.

[sirmax]

7 часов назад, alibek сказал:

Ну надеюсь, что следующего раза не будет.

У меня одна старая Cisco 3750 сдохла, которая обслуживала несколько подсетей и сегментов.

Вначале заглючила (большой процент потерь), а после перезагрузки не стартанула — в консоли полная тишина, индикаторы горят оранжевым, причем при каждом включении по разному (один раз даже зеленый SYST был), а через какое-то время и включаться отказалась.

Пока замену подбирал и настраивал — и нужен был байпас.

Эти свитчи страдали отвалом памяти на сайте даже был список моделей, если оно то чинят такое

[alibek]

Нет, умерла так умерла.
Давно хотел заменить (это стек из Cisco 3750G-12S и трех 3750-24TS), потому что занимают много места, а портовая емкость почти бесполезна, да все руки не доходили.