Привязка клиентских устройств и ограничение доступа с не привязанных.

[biox]

Используем DHCP. Если mac клиентского компа отсутствует в базе DHCP (например купили новый комп), то клиенту выдаётся IP из буферного пула. Длее в сети присутствует бридж между всеми vlan с ACL для обрезания трафа, на бридже поднят IP являющийся default gatewy в буферном диапазоне. В результате при любых http запросах из буферного диапазона бридж маскарадит запросы под свой ип и направляет их на сервер статистики (для входа в личный кабинет) где клиент после входа под своим логином и пассом уже может сам прописать (активировать, привязать к своему IP) новый комп.

Вопрос использует ли кто то ещё подобную схему работы и как она у вас реализуется?

 

П.С. Вопрос возник в связи с тем что в новом населённом пункте при построении сети используем super vlan и как то не айс пихать в бридж кучу sub vlan.

[Yarlan Zey]

раз уж вланы используете, может опцию 82?

[biox]

в планах есть.

При opt82 как реализовать заброс клиента на вход в личный кабинет при отрицательном балансе?

М.... хотя это можно будет на бордере реализовать....

[vIv]

Такое ощущение, что существует машина времени и топикстартер пришёл к нам где-то из 1992-го года.

 

НЕЧЕГО смотреть на МАСи! Смотрите на ПОРТ доступа! А что за устройство воткнул абонент - совершенно не операторского ума дело!

 

маскарадит запросы под свой ип и направляет их на сервер статистики (для входа в личный кабинет) где клиент после входа под своим логином и пассом уже может сам прописать (активировать, привязать к своему IP) новый комп.

Дружище, ты на улице бываешь? С людьми общаешься? Ты можешь в качестве фантазии представить, что в интернет идёт НЕ КОМП с виндой?

 

Синдром вахтёра надо лечить. Он вреден.

[Ivan_83]

У нас что то подобное допиливается, тоже супервлан, тоже заворот хттп в личный кабинет. Используем линукс исг, там же вебредирект есть.

 

 

 

 

Дружище, ты на улице бываешь? С людьми общаешься? Ты можешь в качестве фантазии представить, что в интернет идёт НЕ КОМП с виндой?

 

Хомяк ставит роутер и все его девайсы имеют один мак в сети оператора, а хомяк получает вайфай.

 

Посмотрите на проблему с другой стороны: на л2 удобнее всего шейпить/и тп сразу в4 и в6, и не у всех есть возможность техническая влан на юзера давать, точно также как и управляемый порт каждому.

 

 

[biox]

vIv в вашем посте не нашёл ни одного слова по существу.

 

opt82 будем запускать после того как из сети исчезнет последний не управляемый коммутатор, благо это будет менее чем через месяц.

[arseniiv]

пришёл к нам где-то из 1992-го года.

 

не помню чтобы в 1992 году были домашние сети Ethernet в России.

 

дома был модем - в лучшем случае

[Wingman]

в планах есть.

При opt82 как реализовать заброс клиента на вход в личный кабинет при отрицательном балансе?

М.... хотя это можно будет на бордере реализовать....

 

У нас, если порт юзера неизвестен, dhcp даёт ему ип из левого пула, на все днс-запросы из которого идёт ответ с определённым ip, на котором юзеру предлагается ввести логин и пароль.

После ввода этот логин привязывается к порту, на который был выдан ip, с которого юзер зашёл на страницу авторизации (dhcp пишет лизы в бд)

Для этого на юзерских вланах у нас заведены секондари интерфейсы как шлюзы для "левых" пулов.

 

 

Про маки абсолютно согласен с vIv. Если уж перестраивать и перекраивать сеть, то стоит, имхо, делать всё по уму, тем более, если access-оборудование это позволяет.

 

 

 

Хомяк ставит роутер и все его девайсы имеют один мак в сети оператора, а хомяк получает вайфай.

Посмотрите на проблему с другой стороны: на л2 удобнее всего шейпить/и тп сразу в4 и в6, и не у всех есть возможность техническая влан на юзера давать, точно также как и управляемый порт каждому.

У меня сильное подозрение, что в вашей среде обитания конкуренты отсутствуют как класс :) К сожалению, у нас, например, если у юзера будет выбор "купить роутер, да ещё и подороже, чтобы не глючил и мультикаст держал, да ещё и за настройку заплатить, ЛИБО бесплатно перейти к конкуренту без подобного геморроя", 99% выберут второе.

Ключевой вопрос: для чего всё делается в конечном итоге? Чтобы потешить своё самолюбие, или всё же для упрощения жизни юзеру?

 

>> не у всех есть возможность техническая влан на юзера давать

p.s. будущее видим в vlan-per-user (особенно в свете грядущего ipv6), осталось придумать, чем аггрегировать не слишком затратно и не слишком геморройно =)

[vIv]

Дружище, ты на улице бываешь? С людьми общаешься? Ты можешь в качестве фантазии представить, что в интернет идёт НЕ КОМП с виндой?

Хомяк ставит роутер и все его девайсы имеют один мак в сети оператора, а хомяк получает вайфай.

А когда он купит другой - теперь в розовой коробочке?

 

Не нужно делать проблем клиенту. Это чирейвато 1) звонками в саппорт и 2) поиском провайдера, который не делает проблем

 

vIv в вашем посте не нашёл ни одного слова по существу.

Это печально, ибо я ж писал:

Синдром вахтёра надо лечить. Он вреден.

 

Посмотрите на проблему

А будешь показно меня на "Вы" обзывать - я тебя на нашем конали линуксоидом буду гнобить!

[biox]

Это печально, ибо я ж писал:

vIv но вы действительно ни слова не написали о том как реализовано у вас или как это можно реализовать. А если вы считаете это секретной информацией, то зачем вы тогда вообще на форуме пребываете?

Мне интересны способы реализации.

Спасибо Wingman, о возможности использовать DNS я не подумал.

Edited February 8, 2012 by biox

[vIv]

vIv но вы действительно ни слова не написали о том как реализовано у вас или как это можно реализовать.

Ещё в 2006-м году - vlan-per-customer, статья NAGа с моими цитатами. Мы под это дело даже запилили развитие фирмвари для HP ProCurve 5300, которая потом пошла на 3500, 6200, 5400 и 8200. Подопытный 5304xl года два у меня около стола висел =)

[biox]

Бл.....ь!!!! vIv я не спрашивал ни о статьях нага ни о ваших к ним комментам. Прочитайте тему и если вы теоретик опишите схему, а если практик расскажите как у вас это реализовано.

[Navu]

Спокойствие, только спокойствие (с) Карлсон

[vIv]

vIv но вы действительно ни слова не написали о том как реализовано у вас или как это можно реализовать.

vlan-per-customer

Какая буква непонятна?

[biox]

хорошо vIv - с сегодняшнего дня мои хомяки сидят в отдельных вланах... но что то странно... ваш совет не помог... с неизвестных компов они никак не попадают в личный кабинет....... наверное vIv вы что то забыли разъяснить.... не хватает подробностей.

Прошу вас, пожалуйста - расскажите по подробней.

[Yarlan Zey]

вы просто на порт выделяете пул адресов и привязываете его к абоненту. этот пул только этого абонента.

 

абонент поменял железку, получил другой ип из этого пула (у нас 5 ипов на порт. тема была о количестве необходимых) и спокойно сидит в нете, ибо на шейпере правило на него уже есть. может через простой коммутатор цеплять одновременно несколько устройств и все сразу будет работать. хомячки в восторге.

 

если уж так хотите завернуть на личный кабинет, то просто добавляете правило, что если шейпер не знает этот ип - перенаправляем на личный кабинет. и там уже делаете с ним, что хотите...

[dwemer]

вы просто на порт выделяете пул адресов и привязываете его к абоненту. этот пул только этого абонента.

 

абонент поменял железку, получил другой ип из этого пула (у нас 5 ипов на порт. тема была о количестве необходимых) и спокойно сидит в нете, ибо на шейпере правило на него уже есть. может через простой коммутатор цеплять одновременно несколько устройств и все сразу будет работать. хомячки в восторге.

 

 

а если абоненту нужен реальник?

выделять пул реальных адресов? или запоминать MAC, которому надо реальник выдать?

[biox]

У нас как раз реальные ипы у абонентов. И пиринг есть...... А если делать заворот хттп на бордере, то пиринг никак не залочить ибо его рулит не бордер а L3 агрегация

Edited February 9, 2012 by biox

[Yarlan Zey]

 

а если абоненту нужен реальник?

выделять пул реальных адресов? или запоминать MAC, которому надо реальник выдать?

ну выдавайте один. в чем проблема? есть патч для isc, который позволяет выдать ип, даже если лиза предыдущего устройства (с другим маком) не закончилась. при условии что он неактивен

[Ivan_83]

А когда он купит другой - теперь в розовой коробочке?

 

Нажмёт на нём ресет, подключит дыирку ИНТЕРНЕТ к нам, в остальные засунет свои девайсы. Роутер выхватит адрес автоматом, но при попытке сходить на сайт - перекинет на странику авторизации. Авторизуется и так до следующей, голубой коробочки.

 

 

 

 

А будешь показно меня на "Вы" обзывать - я тебя на нашем конали линуксоидом буду гнобить!

 

Вот возьму и уйду на линукс, назло тебе :)

 

Портирую туда нетграф и будут там ноды дальше писать :)

 

Канал слишком много отвлекает, я так сосредоточится не могу на креативе. А после общения с некоторыми товарищами вообще руки опускаются )

 

 

[Negator]

Не нужно делать проблем клиенту. Это чирейвато 1) звонками в саппорт и 2) поиском провайдера, который не делает проблем

Вы правы, но по факту никто провайдера менять из за такой мелочи не будет.

Проверено. Людям гораздо важнее моменты качества и удобства оплаты нежели (о ужас)- один раз позвонить провайдеру при смене мака.

Да и вообще давно роутеры у большинства - они стоят и работают, а свои железки абоненты к ним подключают.

 

А если еще и при смене МАКА абонент попадает на некую страничку ввода логина с паролем, после ввода которых мак с которого пришел абонент на эту страничку прописывается в качестве нового мака абонента - то вообще жалоб и проблем нет.

А еще у нас и PPPoE местами есть. И что? Это удобно.

Раньше я тоже был уверен что юзеру принципиален тип подключения - что DHCP удобнее и т.д.

Но нет, не приципиален, это все сказки маркетологов.

 

 

 

 

К чему я это говорю - а не всегда есть возможность воткнуть клиента в умный порт.

Вот мы недавно приобрели небольшую сеточку в соседнем районе - тихий ужас, а переводить надо.

Пока там покидают оптику, разварят, перетянут всех в новые красивые ящики, поставят везде умные свичи - это полгода еще пройдет.

Вот тогда мы и перейдем на опцию 82 и выдачу IP по порту, а пока такие вещи не всегда прокатывают.