Перейти к содержимому
Калькуляторы

Ericsson / Redback Smartedge. Отзывы, реальная производительность. Особенности, плюсы, минусы

Ответить

zstas   

zstas
Опубликовано · Жалоба

http://data.nag.ru/Ericsson%20SmartEdge%20%28Redback%29/Configurations/non-dhcp-clips.pdf

т.е. запускаете non-dhcp clips l3 без авторизации (чтобы тупо всех пускал). на сабскрайбера вешаете nat policy с paired mode.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано (изменено) · Жалоба

http://data.nag.ru/Ericsson%20SmartEdge%20%28Redback%29/Configurations/non-dhcp-clips.pdf

т.е. запускаете non-dhcp clips l3 без авторизации (чтобы тупо всех пускал). на сабскрайбера вешаете nat policy с paired mode.

Принялся делать, БРАС авторизует абонентов и выдает 10.5.0.0/16

Далее PBR на НАТ и с него уже в интернет.

 

service-policy name CLIPS-1
allow clips ip range 10.5.0.0 10.5.255.255

nat logging-profile NAT-LOG-PROFILE1
 transport-protocol udp
 export-version v9
 dscp ef
 source 10.4.1.3 port 4242
 destination 10.4.1.1 context local port 9996

ip nat pool NAT-0 napt multibind logging
 logging-profile NAT-LOG-PROFILE1
 address 88.88.88.88/24
  exclude well-known

nat policy NAT enhanced
 connections tcp maximum 2000
 connections udp maximum 1000
 connections icmp maximum 50
! Default class
 ignore
 inbound-refresh udp
 icmp-notification
! Named classes
 access-group NAT-ACL
  class NAT
   pool NAT-0 local
   timeout tcp 1800
   timeout udp 60
   timeout fin-reset 60
   timeout icmp 30
   timeout syn 60
   timeout abandoned 3600
   inbound-refresh udp
   icmp-notification

policy access-list NAT-ACL
seq 10 permit ip 10.5.0.0 0.0.0.255 class NAT

interface vlan3026
ip address 10.4.3.1/24

aaa authentication subscriber none


subscriber default
 ip source-validation
 nat policy-name NAT

port ethernet 2/1
no shutdown
encapsulation dot1q
dot1q pvc 3026
 bind interface vlan3026 local
 service clips auto-detect context local service-policy CLIPS-1

 

Но сабскрайбер не появляется. В доке выше создавался интерфейс с сетью clips ip range, нужен ли он мне, если в качестве шлюза у абонентов выступает БРАС, а не НАТ?

12.1.1.7p3

Изменено пользователем iValera

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано · Жалоба 

[local]NAT-R1(config-ctx)#aaa authentication subscriber none
[local]NAT-R1(config-ctx)#exit
[local]NAT-R1(config)#exit

Субскрабера нет.

 

Вернул как было aaa authentication subscriber local radius, и стало вот так:

[local]NAT-R1#show subscribers
TYPE    CIRCUIT                    SUBSCRIBER         CONTEXT   START TIME
--------------------------------------------------------------------------------
clips   2/1 vlan-id 3026 clips 265 10.5.0.5           local     (AUTHENTICATING
--------------------------------------------------------------------------------
Total=1

Type            Authenticating          Active          Disconnecting
PPP                          0               0                      0
PPPoE                        0               0                      0
DOT1Q                        0               0                      0
CLIPs                        1               0                      0
ATM-B1483                    0               0                      0
ATM-R1483                    0               0                      0
Mobile-IP                    0               0                      0

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

vurd   

vurd
Опубликовано · Жалоба

У меня с none так ни разу и не заработало. Хотя в мане и в описании команды пишут "all accepted", но по show sub log username user@name показывает, что db_response = 2 и на этом всё. При обычноый local или radius - db_response = 1, после следуют бинды.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано · Жалоба

При обычноый local или radius - db_response = 1, после следуют бинды.

Тоесть сабскрайберы авторизуются и все работает?

У кого-то при aaa authentication subscriber none работает вообще?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

zstas   

zstas
Опубликовано · Жалоба

хм, с none не пробовал. попробуйте с local и пропишите руками сабов.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано · Жалоба

хм, с none не пробовал. попробуйте с local и пропишите руками сабов.

Ставлю aaa authentication subscriber local - строчка в конфиге не появляется даже, ставлю radius, строка есть, и висит:

TYPE    CIRCUIT                    SUBSCRIBER         CONTEXT   START TIME
--------------------------------------------------------------------------------
clips   2/1 vlan-id 3026 clips 266 10.5.0.5           local     (AUTHENTICATING
--------------------------------------------------------------------------------
Total=1

Type            Authenticating          Active          Disconnecting
PPP                          0               0                      0
PPPoE                        0               0                      0
DOT1Q                        0               0                      0
CLIPs                        1               0                      0
ATM-B1483                    0               0                      0
ATM-R1483                    0               0                      0
Mobile-IP                    0               0                      0

Саба прописываю вот так:

 subscriber name 10.5.0.5
  ip address 10.5.0.5

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

zstas   

zstas
Опубликовано · Жалоба

а debug aaa all что говорит когда аутентификация локальная?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано · Жалоба

а debug aaa all что говорит когда аутентификация локальная?

При local

Apr 4 09:31:21: %CLIPS-7-ISM: ICR Lib processing ISM CCT DEL: 2/1:511:63:31/13/2/4306
Apr 4 09:31:22: %CLIPS-7-AUTO_DETECT: Process CREATE from PPA cct: 2/1:511:63:31/1/2/7 ip: 10.5.0.5
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-CCT: Assigned session-id 266451
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: Sending circuit create to ISM
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: Sending circuit flags IP to ISM
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: Sending circuit config to ISM session id 266451
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: Sending circuit state UP to ISM
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-FSM: State now: Await-cct-up, was: Initial
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: Processing ISM event: CCT state; CCT create
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: sub_event 3 state: Await-cct-up
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: Processing ISM event: CCT cfg; CCT 1qcfg
Apr 4 09:31:22: %CLIPS-7-ISM: clips_ism_recv_cct_cfg, iphost_count:0 ipv6host msg
Apr 4 09:31:22: %CLIPS-7-ISM: ICR Lib processing ISM CCT CFG : 2/1:511:63:31/13/2/4307
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: Processing ISM event: CCT state; CCT up
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: sub_event 2 state: Await-cct-up
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-FSM: State now: Sent-auth-req, was: Await-cct-up
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-AUTH: Sending authentication request to AAAd
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: Received AUTHEN_REQUEST msg from CLIPSd for username 10.5.0.5 with external handle = 266451
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-GEN: aaa_sess_wrap_lookup_with_ccthandle: AAA cct node lookup fail: cct 2/1:511:63:31/13/2/4307 (0x100ffffd80010d3)
Apr 4 09:31:22: %AAA-7-GEN: aaa_idx 500010d4: aaa_sess_wrap_lookup_with_index: AAA idx node lookup fail: idx 0x500010d4
Apr 4 09:31:22: [0000]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: aaa_create_session_with_cct_handle: creating session for cct 2/1:511:63:31/13/2/4307 index 1342181588
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: Assigned aaa_idx 1342181588 to username 10.5.0.5
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: IPOE CLIPS ip address is 168099845
Apr 4 09:31:22: %AAA-7-GEN: aaa_convert_context_name_to_id: Context ID 0x40080001
Apr 4 09:31:22: %AAA-7-AUTHEN: aaa_set_context_grid Convert context name: local to context_id: 0x40080001
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: Binding subscriber 10.5.0.5 to context local via bind context (aaa_idx = 1342181588).
Apr 4 09:31:22: %AAA-7-ANCP: [aaa_DslAddOrFindSessionCircuit] searching in CCT tree for cct "2/1:511:63:31/1/2/7" madeNew 1
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: Received session slot mask 0x0
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: aaa_process_ipc_authen_request slot_mask: 0x0 ipc_req->active_slot_msk : 0x0
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: Acct-Session-Id: 0100FFFFD80010D3-57020A3A/len:25
Apr 4 09:31:22: %AAA-7-GEN: aaa_idx 500010d4: Processing AUTHEN_REQUEST msg.
Apr 4 09:31:22: [0001]: %AAA-7-GEN: AAA sub name node lookup fail: cntxt 0x40080001 subscriber 10.5.0.5
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: Adding aaa_idx 1342181588 to context local
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: Sending Authentication request to local
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: [aaa_send_db_req]. Invalid Monitor Circuit
Apr 4 09:31:22: %AAA-7-GEN: aaa_idx 500010d4: Sending DB_REQUEST to local.
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: aaa_local_authen: Subscriber 10.5.0.5 exists, idx: 8, type: 0
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-EXCEPT: aaa_idx 500010d4: [10.5.0.5] passwd check failed, no password
Apr 4 09:31:22: %AAA-7-AUTHEN: aaa_idx 500010d4: aaa_process_ipc_authen_response, Received Authentication response msg for aaa_idx 1342181588.
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: aaa_process_authen_fail_cleanup: bind_ec error code 2
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: aaa_process_authen_fail_cleanup: response header status set to fail: send acct stop for err-code 24
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-ACCT: aaa_idx 500010d4: aaa_send_db_acct_request_all: Acct method 0x8 (10.5.0.5)
Apr 4 09:31:22: %AAA-7-AUTHEN: Copied term ec 24 to session_down_acct
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: aaa_send_authen_reply: Sending authentication response of 2 for stack 0 for user 10.5.0.5
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: Deleting session term cause 24
Apr 4 09:31:22: [0001]: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: clear_all_ipv6_prefixes: no ipv6 author attrs for subscriber 10.5.0.5
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-AUTH_E: Authentication response fail, status: Fail
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-FSM: State now: Await-down-cplt, was: Sent-auth-req
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-AUTH: Sending session down to AAAd; cause: Authentication failure (24)
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: aaa_process_ipc_session_down: Received SESSION_DOWN msg extern_handle 266451 ep=15
Apr 4 09:31:22: %AAA-7-GEN: aaa_idx 500010d4: aaa_sess_wrap_lookup_with_index: AAA idx node lookup fail: idx 0x500010d4
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: Failed to look up session lookup with cct_handle to purge session
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-GEN: aaa_sess_wrap_lookup_with_ccthandle: AAA cct node lookup fail: cct 2/1:511:63:31/13/2/4307 (0x100ffffd80010d3)
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-AUTHEN: aaa_idx 500010d4: Session Down request: Unknown session
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %AAA-7-INTF: send state change of sub to ISM,new state is down-complete, cause 24
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: Processing ISM event: CCT state; CCT del
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-ISM: sub_event 4 state: Await-down-cplt
Apr 4 09:31:22: [2/1:511:63:31/13/2/4307]: %CLIPS-7-FSM: State now: Unknown, was: Await-down-cplt
Apr 4 09:31:22: %CLIPS-7-ISM: ICR Lib processing ISM CCT DEL: 2/1:511:63:31/13/2/4307
Apr 4 09:31:23: %CLIPS-7-AUTO_DETECT: Process CREATE from PPA cct: 2/1:511:63:31/1/2/7 ip: 10.5.0.5
Apr 4 09:31:23: [2/1:511:63:31/13/2/4308]: %CLIPS-7-CCT: Assigned session-id 266452
Apr 4 09:31:23: [2/1:511:63:31/13/2/4308]: %CLIPS-7-ISM: Sending circuit create to ISM
Apr 4 09:31:23: [2/1:511:63:31/13/2/4308]: %CLIPS-7-ISM: Sending circuit flags IP to ISM
Apr 4 09:31:23: [2/1:511:63:31/13/2/4308]: %CLIPS-7-ISM: Sending circuit config to ISM session id 266452
Apr 4 09:31:23: [2/1:511:63:31/13/2/4308]: %CLIPS-7-ISM: Sending circuit state UP to ISM
Apr 4 09:31:23: [2/1:511:63:31/13/2/4308]: %CLIPS-7-FSM: State now: Await-cct-up, was: Initial
Apr 4 09:31:23: [2/1:511:63:31/13/2/4308]: %CLIPS-7-ISM: Processing ISM event: CCT cfg; CCT 1qcfg

При none

Apr 4 09:36:08: %CLIPS-7-ISM: ICR Lib processing ISM CCT DEL: 2/1:511:63:31/13/2/4535
Apr 4 09:36:08: %CLIPS-7-AUTO_DETECT: Process CREATE from PPA cct: 2/1:511:63:31/1/2/7 ip: 10.5.0.5
Apr 4 09:36:08: [2/1:511:63:31/13/2/4536]: %CLIPS-7-CCT: Assigned session-id 266680
Apr 4 09:36:08: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: Sending circuit create to ISM
Apr 4 09:36:08: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: Sending circuit flags IP to ISM
Apr 4 09:36:08: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: Sending circuit config to ISM session id 266680
Apr 4 09:36:08: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: Sending circuit state UP to ISM
Apr 4 09:36:08: [2/1:511:63:31/13/2/4536]: %CLIPS-7-FSM: State now: Await-cct-up, was: Initial
Apr 4 09:36:08: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: Processing ISM event: CCT cfg; CCT 1qcfg
Apr 4 09:36:08: %CLIPS-7-ISM: clips_ism_recv_cct_cfg, iphost_count:0 ipv6host msg
Apr 4 09:36:08: %CLIPS-7-ISM: ICR Lib processing ISM CCT CFG : 2/1:511:63:31/13/2/4536
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: Processing ISM event: CCT cfg; CCT 1qcfg
Apr 4 09:36:09: %CLIPS-7-ISM: clips_ism_recv_cct_cfg, iphost_count:0 ipv6host msg
Apr 4 09:36:09: %CLIPS-7-ISM: ICR Lib processing ISM CCT CFG : 2/1:511:63:31/13/2/4536
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: Processing ISM event: CCT state; CCT up
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: sub_event 2 state: Await-cct-up
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-FSM: State now: Sent-auth-req, was: Await-cct-up
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-AUTH: Sending authentication request to AAAd
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: Received AUTHEN_REQUEST msg from CLIPSd for username 10.5.0.5 with external handle = 266680
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-GEN: aaa_sess_wrap_lookup_with_ccthandle: AAA cct node lookup fail: cct 2/1:511:63:31/13/2/4536 (0x100ffffd80011b8)
Apr 4 09:36:09: %AAA-7-GEN: aaa_idx 500011b9: aaa_sess_wrap_lookup_with_index: AAA idx node lookup fail: idx 0x500011b9
Apr 4 09:36:09: [0000]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_create_session_with_cct_handle: creating session for cct 2/1:511:63:31/13/2/4536 index 1342181817
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: Assigned aaa_idx 1342181817 to username 10.5.0.5
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: IPOE CLIPS ip address is 168099845
Apr 4 09:36:09: %AAA-7-GEN: aaa_convert_context_name_to_id: Context ID 0x40080001
Apr 4 09:36:09: %AAA-7-AUTHEN: aaa_set_context_grid Convert context name: local to context_id: 0x40080001
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: Binding subscriber 10.5.0.5 to context local via bind context (aaa_idx = 1342181817).
Apr 4 09:36:09: %AAA-7-ANCP: [aaa_DslAddOrFindSessionCircuit] searching in CCT tree for cct "2/1:511:63:31/1/2/7" madeNew 1
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: Received session slot mask 0x0
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_process_ipc_authen_request slot_mask: 0x0 ipc_req->active_slot_msk : 0x0
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: Acct-Session-Id: 0100FFFFD80011B8-57020B59/len:25
Apr 4 09:36:09: %AAA-7-GEN: aaa_idx 500011b9: Processing AUTHEN_REQUEST msg.
Apr 4 09:36:09: [0001]: %AAA-7-GEN: AAA sub name node lookup fail: cntxt 0x40080001 subscriber 10.5.0.5
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: Adding aaa_idx 1342181817 to context local
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: Sending Authentication request to none
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: [aaa_send_db_req]. Invalid Monitor Circuit
Apr 4 09:36:09: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_process_ipc_authen_response, Received Authentication response msg for aaa_idx 1342181817.
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_process_ipc_authen_response: Length of attributes 0
Apr 4 09:36:09: %AAA-7-GEN: aaa_idx 500011b9: Processing DB_RESPONSE msg.
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHOR: aaa_idx 500011b9: aaa_is_sess_on_tm_card: slot 2 is NOT a TM card
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-GEN: aaa_idx 500011b9: aaa_process_db_response: Received successful DB response.
Apr 4 09:36:09: %AAA-7-AUTHEN: aaa_is_ipv6_license_available: No IPv6 Licenses are available. Max-Count 0 Used-Count 0
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHOR: aaa_idx 500011b9: aaa_process_profile_attr: Process sub_profile: default
Apr 4 09:36:09: %AAA-7-AUTHEN: aaa_is_ipv6_license_available: No IPv6 Licenses are available. Max-Count 0 Used-Count 0
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_ipv6_enforce_binding_order: The IPV6 stack is not enabled for user 10.5.0.5
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_bind_subscriber: Enforcing IPV6 binding failed error code -1
Apr 4 09:36:09: %AAA-7-AUTHEN: aaa_is_clear_sess_dup_ip: dualstack_forcedown knob not configured, session not-cleared
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-EXCEPT: aaa_idx 500011b9: aaa_process_db_response: Cannot populate dynamic attribute for subscriber 10.5.0.5.  send FAIL to client
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_release_license: No license to release for user 10.5.0.5
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_process_authen_fail_cleanup: bind_ec error code -1
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_process_authen_fail_cleanup: response header status set to fail: send acct stop for err-code 24
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-ACCT: aaa_idx 500011b9: aaa_send_db_acct_request_all: Acct method 0x8 (10.5.0.5)
Apr 4 09:36:09: %AAA-7-AUTHEN: Copied term ec 24 to session_down_acct
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_send_authen_reply: Sending authentication response of 2 for stack 0 for user 10.5.0.5
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: Deleting session term cause 24
Apr 4 09:36:09: [0001]: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: clear_all_ipv6_prefixes: no ipv6 author attrs for subscriber 10.5.0.5
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-AUTH_E: Authentication response fail, status: Fail
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-FSM: State now: Await-down-cplt, was: Sent-auth-req
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-AUTH: Sending session down to AAAd; cause: Authentication failure (24)
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: aaa_process_ipc_session_down: Received SESSION_DOWN msg extern_handle 266680 ep=15
Apr 4 09:36:09: %AAA-7-GEN: aaa_idx 500011b9: aaa_sess_wrap_lookup_with_index: AAA idx node lookup fail: idx 0x500011b9
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: Failed to look up session lookup with cct_handle to purge session
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-GEN: aaa_sess_wrap_lookup_with_ccthandle: AAA cct node lookup fail: cct 2/1:511:63:31/13/2/4536 (0x100ffffd80011b8)
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-AUTHEN: aaa_idx 500011b9: Session Down request: Unknown session
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %AAA-7-INTF: send state change of sub to ISM,new state is down-complete, cause 24
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: Processing ISM event: CCT state; CCT del
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-ISM: sub_event 4 state: Await-down-cplt
Apr 4 09:36:09: [2/1:511:63:31/13/2/4536]: %CLIPS-7-FSM: State now: Unknown, was: Await-down-cplt

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

zstas   

zstas
Опубликовано · Жалоба

[10.5.0.5] passwd check failed, no password

попробуйте прописать в сабе password Redback

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано (изменено) · Жалоба

[10.5.0.5] passwd check failed, no password

попробуйте прописать в сабе password Redback

Прописал

 subscriber name 10.5.0.5
  password Redback
  ip address 10.5.0.5

Спасибо помогло, только как это понять, это баг или фича? И как быть с тем, что сабов тысячи, авторизовывать без создания сабов и пароля?

Изменено пользователем iValera

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

zstas   

zstas
Опубликовано (изменено) · Жалоба

iValera, можно конеш поднять фрирадиус, который бы всем давал добро. но это как костыльный вариант.

 

Ну посмотрим, он ругается что "Cannot populate dynamic attribute for subscriber 10.5.0.5". Ему не хватает ипа в subscriber default.

 

Не уверен взлетит или нет, но можно так попробовать. На multibind интерфейсе пропишите:

ip pool 10.5.0.0/16 name pool1

На subscriber default

ip address pool name pool1

И аутентификацию none. Если не взлетит сразу дебаг приложите.

Изменено пользователем zstas

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано · Жалоба

iValera, можно конеш поднять фрирадиус, который бы всем давал добро. но это как костыльный вариант.

 

Ну посмотрим, он ругается что "Cannot populate dynamic attribute for subscriber 10.5.0.5". Ему не хватает ипа в subscriber default.

 

Не уверен взлетит или нет, но можно так попробовать. На multibind интерфейсе пропишите:

ip pool 10.5.0.0/16 name pool1

На subscriber default

ip address pool name pool1

И аутентификацию none. Если не взлетит сразу дебаг приложите.

Взлетело, спасибо! Повесил на саба paired-mode, можно тестировать NAT)

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

vurd   

vurd
Опубликовано · Жалоба

Покажите итоговый конфиг, для истории.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано · Жалоба

none-dhcp-clips + nat howto

Есть брас, появилсь задача натить часть пользователей.

Решили использовать старое шасси под нат, завернули на него серую сеть по PBR.

Вначале нат не взлетел, т.к. paired mode работает только на динамических интерфейсах, от napt конечно же отказались.

Выше гуру подсказали что можно использовать none-dhcp-clips. Итого авторизация происходит по первому ip пакету, создается динамический интерфейс (clips) на который вешается полиси с nat paired mode.

 

!
service-policy name CLIPS-1
allow clips ip range 10.5.0.3 10.5.255.255
!
context local
!
ip nat pool NAT-2 napt paired-mode logging
 paired-mode subscriber over-subscription 64 port-limit 5000
 logging-profile NAT-LOG-PROFILE1
 address 88.88.88.88/28
  exclude well-known
!
nat policy NAT-2 enhanced
 connections tcp maximum 2000
 connections udp maximum 1000
 connections icmp maximum 10
! Default class
 ignore
 inbound-refresh udp
 icmp-notification
! Named classes
 access-group NAT-ACL
  class NAT
   pool NAT-2 local
   timeout tcp 1800
   timeout udp 60
   timeout fin-reset 60
   timeout icmp 30
   timeout syn 60
   timeout abandoned 3600
   inbound-refresh udp
   icmp-notification
!
interface CLIPS multibind
 ip address 10.5.0.2/16
 ip pool 10.5.0.0/16 name pool-clips-1
!
interface vlan3026
 description #svyaznost NAT-RB s BRAS-RB
 ip address 10.4.3.1/24
!
policy access-list NAT-ACL
 seq 10 permit ip 10.5.0.0 0.0.0.255 class NAT
!
aaa authentication subscriber none  
!
subscriber default
  ip address pool name pool-clips-1
  timeout idle 10
  nat policy-name NAT-2
!
ip route 10.5.0.0/16 10.4.3.2
!
port ethernet 2/1 
no shutdown
encapsulation dot1q
dot1q pvc 3026 
 bind interface vlan3026 local
 service clips auto-detect context local service-policy CLIPS-1

Кстати, у кого какие значения connections tcp/udp, over-subscription, port-limit?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

zstas   

zstas
Опубликовано · Жалоба

кстати, раз уж вы используете cgnat можно врубить в nat policy

    endpoint-independent filtering tcp
   endpoint-independent filtering udp

если, конечно, оно нужно

 

про over-subscription в закрытом разделе обсуждали, что чем меньше, тем лучше пользователи размазываются по пулу.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

vurd   

vurd
Опубликовано · Жалоба

Спасибо за конфиг. OS ставьте в 1.

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано (изменено) · Жалоба

кстати, раз уж вы используете cgnat можно врубить в nat policy

    endpoint-independent filtering tcp
   endpoint-independent filtering udp

если, конечно, оно нужно

 

про over-subscription в закрытом разделе обсуждали, что чем меньше, тем лучше пользователи размазываются по пулу.

Если я правильно понял, то это позволяет осуществлять обратную трансляцию через тот же порт, который был открыт ранее, невзирая на возможно отличающийся ip адрес источника?

 

Спасибо за конфиг. OS ставьте в 1.

Получается 1 в 1? У нас нет столько IP адресов.

Изменено пользователем iValera

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

zstas   

zstas
Опубликовано (изменено) · Жалоба

и я правильно понял, то это позволяет осуществлять обратную трансляцию через тот же порт, который был открыт ранее, невзирая на возможно отличающийся ip адрес источника?

да, в теории должен помочь со всяким peer-to-peer, когда на порт по которому обратился клиент обратно будут долбиться куча других ip-адресов.

Изменено пользователем zstas

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

zstas   

zstas
Опубликовано · Жалоба

 

Получается 1 в 1? У нас нет столько IP адресов.

после того, как роутер дойдёт до конца пула, он пойдёт по новой. у вас есть доступ в закрытый раздел по эриксонам?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

vurd   

vurd
Опубликовано · Жалоба

Это не 1 в 1, это совсем наоборот, это всё что у вас есть на всё что у вас есть. Т.е. он максимально размажет абонентов по пулу. Ваше 64 наоборот будет прибивать всё на первые адреса.

Это нельзя понять, просто надо сделать os=1 :)

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

iValera   

iValera
Опубликовано (изменено) · Жалоба

Про OS почитал, спасибо. Доступ в раздел получил.

Переделал конфиг для nat, прошу покритиковать, задача транслировать 16 серых адресов в 1 белый. В продакшене пул будет /24 или сразу /23

context local
!
nat fragments
!
ip nat pool NAT-2 napt paired-mode logging
 paired-mode subscriber over-subscription 1 port-limit 4096
 logging-profile NAT-LOG-PROFILE1
 address 88.88.88.88/28
  exclude well-known
!
nat policy NAT-2 enhanced
 connections icmp maximum 10
! Default class
 ignore
 inbound-refresh udp
 icmp-notification
! Named classes
 access-group NAT-ACL
  class NAT
   pool NAT-2 local
   timeout tcp 3600
   timeout udp 60
   timeout fin-reset 60
   timeout icmp 30
   timeout syn 60
   timeout abandoned 3600
   admission-control tcp
   admission-control udp
   admission-control icmp
   endpoint-independent filtering udp
   endpoint-independent filtering tcp
   inbound-refresh udp
   icmp-notification

Изменено пользователем iValera

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

loschikatilos   

loschikatilos
Опубликовано · Жалоба

Все же достали ломиться на коробку:

 

Apr 7 21:43:59: %SYSLOG-3-ERR: inetd[10740]: refused connection from 222.186.21.251 service 22 (ssh) context:0x40080001

Apr 7 21:44:01: %SYSLOG-3-ERR: inetd[10741]: refused connection from 222.186.34.206 service 22 (ssh) context:0x40080001

Apr 7 21:44:03: %SYSLOG-3-ERR: inetd[10742]: refused connection from 222.186.21.251 service 22 (ssh) context:0x40080001

Apr 7 21:44:05: %SYSLOG-3-ERR: inetd[10743]: refused connection from 222.186.34.206 service 22 (ssh) context:0x40080001

Apr 7 21:44:07: %SYSLOG-3-ERR: inetd[10744]: refused connection from 222.186.21.251 service 22 (ssh) context:0x40080001

Apr 7 21:44:11: %SYSLOG-3-ERR: inetd[10745]: refused connection from 222.186.21.251 service 22 (ssh) context:0x40080001

Apr 7 21:44:11: %SYSLOG-3-ERR: inetd[253]: ssh/tcp server failing (looping), service terminated

 

после такого сам попасть на нее не могу.

 

Из того что настроил:

 

!

ip access-list trusted.hosts ssh-and-telnet-acl

seq 10 permit ip host 192.168.1.65

seq 20 permit ip host 192.168.1.241

seq 30 permit ip host 192.168.1.100

seq 90 deny tcp any any

seq 100 permit ip any any

!

 

service ssh server access-group trusted.hosts

admin-access-group ssh-and-telnet-acl in

 

!

ssh server rate-drop 50

ssh server start-drop 5

!

 

Что еще можно сделать?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

bike   

bike
Опубликовано · Жалоба

Вам поможет -

admin-access-group admin-access in count

 

Есть доступ в закрытый раздел?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

loschikatilos   

loschikatilos
Опубликовано · Жалоба

Вам поможет -

admin-access-group admin-access in count

 

Есть доступ в закрытый раздел?

 

ЧТо за раздел?

Поделиться сообщением

Ссылка на сообщение
Поделиться на других сайтах

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Гость
Ответить в тему...

×   Вставлено в виде отформатированного текста.   Вставить в виде обычного текста

  Разрешено не более 75 смайлов.

×   Ваша ссылка была автоматически встроена.   Отобразить как ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставить изображения напрямую. Загрузите или вставьте изображения по ссылке.

×
Перейти к списку тем Активное оборудование Ethernet, IP, MPLS, SDN/NFV...