u winboxu u queue list mozes da dodas red '"total rx bytes"".

ili digni HotSpot, pa usere pusti preko MAC adresa, a HotSpot povezi sa UserManager-om. Na Queue ce ti se ukupan promet izgubiti cim restartujes Mikrotik....

samo RADIUS

Vidim da je simple bezveze. Resetuje mi se ukupan promet a i kako ovo bitova po sekundi kilo bayta komplikacija. Znaci Hot Spot kako znam on nije nešto siguran jer sam dao jaranu putem WLAN-a da se kači na Tik

HotSpot nije siguran? U kom smislu?

jarani mu se kace na mikrotik bez IKAKVE AUTENTIFIKACIJE, a HotSpot koji ima kakav takav vid autentifikacije, mu je nesiguran. kolega ne lupetaj.... objasni nam, cime si sad osigurao svoj Mikrotik? tj. kako si zabranio da ti se neko nakaci na njega i koristi net, a da to nije jedan od tih tvojih jarana ili compova? simple queue ti bezveze? no comment! bezveze je zato sto ga ti koristis za nesto sto mu nije primarna namjena! ako ti ne ogranicava brzinu, onda je bezveze, a ako ogranicava brzinu na onoliko koliko si podesio, onda ti treba jos mnogo da citas manual, da bi mogao da tvrdis da je bezveze :)

Ja imam sličan zahtev. Naime, do sad ima podešen Simple Queue gde limitiram protok u kombinaciji sa Queue Tree gde imam neko prioritizovanje paketa (valjda) tipa pioritet 1 za DNS, 2 HTTP/HTTPS i sl. Pod Ubuntu Linux-om se nalazi server.

Šta mogu da očekujem od nekog open source rešenja tipa FreeRADIUS? Da li je moguće na postojeću konfiguraciju MT samo dodati FreeRADIUS i iskoristiti ga za npr. merenje trenutnog protoka, ukupno ostvarenog saobraćaja i možda autentifikacije po MAC adresama, a da funkcija MT ostane ista?

winbox: /tools/graphing

Grafikoni se beše gledaju samo preko web interfejsa, tipa 192.168.88.1/graphs/, a imaš i link na glavnom web interface-u.

Znam da nema baš brojčanog merenja, ali možda ti ovo bude dovoljno.

Za sve više od ovoga, samo RADIUS.

@bigfoot: može, ali MT na jednu mašinu, a RADIUS na drugu - dakle, trebaju ti dva kompa, ili komp i RB. Mislim da nema šanse da to stoji na jednoj mašini.

Ma to znam i koristim. Brojčano merenje ima u Simple Queue uz dodavanje odgovarajućih kolona. Zanima me šta mogu dobiti sa FreeRADIUS-om više od ovoga, osim npr. zbirnog protoka koji se neće poništiti resetovanjem MT.

Pa, realno - ništa novo, osim ogromnog olakšanja upravljanja velikom mrežom, i automatizacije. Sve parametre možeš konfigurisati i u samom mikrotiku, radius to samo automatizuje i olakšava.

Ili za Windows platformu, http://www.tekradius.com/
daleko jednostavniji za podesavanje od free radius.

hmmm za ovo treba SQL server, je li tako? a on nije FREE koliko sam ja upoznat... jednom sam ovo bio instalirao, cisto da vidim kako izgleda. goozicu sam oznojio dok sam ovo povezao sa SQL serverom...

Besplatan je. Pored verzije za SQL server, postoji verzija za SQLite, koju vec duze vreme koristim i prilicno je jednostavna za podesavanje.

@acatheking
Hvala ti na ovom aco, imam jednog naucnika koji ne zeli da se drnda sa *nix platformom... spasao si me ;)
Ovo cu mu predloziti, pa nek klikce kako zna i umije...

Drug jesil ti normalan. Ohladi malo. Evo gledam nitko ama baš nitko u ovaj mojoj temi ne piše na način ko ti. Što ja to LUPETAM. Evo zašto znam da je HotSpot ne siguran:

http://forum.mikrotik.com/view...t=11784&hilit=hack+hotspot

I to znam iz iskustv par kolega koji znaju više od mene i znam da je kasnije MT to riješio valjda. Ja sam MikroTik počeo da koristim prija par mjeseci i znam ono osnovno. Simple Queue je odlična stvar za posao koji treba da radi a to je da ograniči protok meni i kolegi te da daje prioritet paketima odlična stvar radi i radi taj posao perfektno. Za ono što sam ja mislio da može da radi to da mejri potrošeni protok i to radi odlično sve dok se ne restartuje.

I ko je reko da se ja i moj kolega kačimo bez ikakvog vida zaštite. Evo da ti nacrtam riječima. Iz mikrotika ide LAN kablo do AIR live AP-a koji je konfigurisan kao gateway i u AIR live AP stoji password za WEP enkripciju. Moje kolega kad se konektuje na taj AP mora da ukuca taj password da bi koristio internet. A pošto sam i sebe i njeg ograničio u MT- sve super radi. Naravno i taj AIR live AP ima svoj pass tako da se u njega nemože ući.

Drugo lan kablo ide u moju sobu tamo ima mali DIGITUS wlan ruter. I kad se moj lap kači na ruter sa WI FI takođe moram da ukacim pass da bi pristupio mreži. A DM500 u mojoj sobi kači se na taj WLAN ruter sa mrežnim kablom tako da ne mora biti pass.

Znači vid zaštitie postoji do sada sam koristio i ne vidim da mi je nešto veća potrošnja ili da našeto nije ok. Ali eto ja LUPETAM i nemam pojma nema veze.

Ostalim kolegama puno hvala sad znam kako se koriste grafici. I da napravim Hot Spot odnsno znam sta su rješenja. Hvala puno na ovakvom forumu gdje ima punu puno ljudi koji su extra i vole pomoći.

U biti meni treba samo to. Pošto je moj limit na ADSL-u 20Gb meni treba limit za mene na 12gb a kolegi na 8Gb. Brzinu znam kako da ograničim i sebi i njemu.

Mene zanima još jedna stvar. Da li je korišćenjem FreeRADIUS servera moguće postići da neki korisnici imaju izlaz van, a ostali samo unutar mreže? Bez toga, na MT postoji lista regUser kojom je odredjeno ko može, a ko ne može van. Šta MT dobija od FreeRADIUS-a kao rezultat autentifikacije? Mislim na MAC autentifikaciju, a ne nešto tipa user / pass.

a lika majko draga. pa ko ti je rekao, da MORAS SKLONITI WEP ENKRIPCIJU SA AP-a ako na mikrotiku aktiviras HOT SPOT???????? ta wep enkripcija je najloshiji vid zastite, losh podjednako kao i HotSpot! hackuje se u par minuta....

BigFoot: http://en.wikipedia.org/wiki/RADIUS
znaci:

1. to authenticate users or devices before granting them access to a network,
2. to authorize those users or devices for certain network services and
3. to account for usage of those services.

to sto ti hoces, mozes postici i RADIUSOM, ali i na samom mikrotiku (firewall, nat itd itd). Imas na tom linku sve fino objasnjeno, za sto zapravo sluzi RADIUS, i sta ti on omogucava. Znaci, ako ti to tako podeseno radi kako treba, NE DIRAJ! samo mozes sjebati i to sto radi hehehe :) a obicno tako i bude :) nista spektakularno sa FreeRadiusom neces dobiti, samo sto ce ti trebati jos jedna masina sa linuxom na koju ces ga instalirati....

_{[Ovu poruku je menjao Kolins Balaban dana 04.11.2010. u 10:53 GMT+1]}

Ne treba meni ništa posebno, nego npr. bar količina prenetih podataka da ostane posle reseta MT. Uglavnom znam čemu služi i kako se koristi RADIUS i znam da mogu po MAC adresi ili user / pass kombinaciji dozvoljavati pristup mreži, ali me zanima baš specifično, ako je neko to radio, da li je moguće i kako reći kombinaciji MT / RADIUS da oni koji prodju autentifikaciju imaju izlaz van, a ostali samo unutar lokalne mreže. To nije slučaj može / ne može da pristupi mreži. Gde se na MT to podešava kad RADIUS kaže Ok?

Dakle, za ovaj scenario potreban je HotSpot ruter, RADIUS server i korisnik :) Kada korisnik pokusa da pristupi HotSpot sistemu, ruter ce kao "username" uzeti MAC adresu korisnika. Ako je autorizacija korisnika podesena preko RADIUS, HotSpot ruter ce konsultovati RADIUS da proveri da li u njegovoj bazi postoji odredjeni korisnik tj. MAC adresa. RADIUS ce odgovoriti pozitivno/negativno (Accept/Reject) i ruter ce na osnovu toga dozvoliti/zabraniti pristup korisniku. Ukoliko treba pamtiti kolicinu prenetih podataka, na RADIUS mora da bude podesen accounting, koju ce omoguciti upisivanje podataka o ostvarenim sesijama sa HotSpot rutera, a svaka sesija sadrzi i kolicinu prenetih podataka (In/Out). Ovo je samo plasticni opis.

pa pravis profile u RADIUS-u, i pppoe server prvo pita RADIUS da li postoji korisnik sa tim kredencijalima, ako je odgovor potvrdan korisnik je autorizovan, ako ne postoji takav rekord u RADIUS-u onda se gleda mikrotik-ova lokalna baza, ono "secrets", ili se prva ona gleda pa se onda pita RADIUS, uglavnom to je postupak



to se desava pri konektovanju korisnika, mozda bi mogo da stavis da se maskarada vrsi sa za odredjeni opseg adresa, pa dok je klijent diskonektovan on moze pristupiti lokalnoj mrezi a kad se konektuje internetu, valjda to trazis

BigFoot, pa ne podesavas to na RADIUSU. Ti na RADIUSU mozes reci ti i ti korisnici ce imati te i te IP adrese, i tu je RADIUS zavrsio svoj posao. kad se pojavi ta adresa na mikrotiku (u hotspot odjeljku, u DHCP/Leases, u PPPOE...) onda ti tek mozes nesto raditi s tom adresom (namjerno ne kazem s korisnikom). da li ces ti tu adresu pustiti na internet, da li neces, da li ces joj zabraniti youtube, da li ces joj dozvoliti samo lokalnu mrezu, SVE TO PODESAVAS NA ROUTERU! Takodjer, kod nekih RADIUS servera ti mozes kreiriati grupe korisnika, kojima ces dodjeljivati jedan opseg adresa, i koje ces tretirati drugacije, u odnosu na neku drugu grupu adresa.

E, sad je jasno! Hvala Kolins. Dakle, ne treba mi RADIUS
P.S. Kome treba?

Ja to vidim ovako - ako grijesim ispravite me :)

- Mikrotik - Ruter, nadam se da znamo sta je njegova prevashodna uloga u mrezi
- Radius server - prosledjuje podatke izmedju rutera i SQL baze.
- Mysql server (ili neka druga baza) - u sebi drzi podatke o korisnicima (username/pass), podatke o brzini, o eventualno potrosenom protoku i slicno, prema potrebama onog ko ima potrebu da kontrolise mrezu. Sve prema potrebama i onog sta inace ruter i radius dozvoljavaju kao neki smislen parametar za rad.
- I aplikacija koja kontrolise i popunjava bazu sa korisnicima, profilima i slicno...

Sve ovo, zajedno, cini sistem za billing... A jedno bez drugog, treceg ili cetvrtog nema nekog smisla.
Radius samo zna na koji nacin da posalje ruteru potrebne podatke na osnovu kojih ruter pravi profil korisnika i daje mu IP i sta ti ja vec znam. A svi ti podaci stoje u bazi (mysql) koje radius skuplja na osnovu zahtjeva koje mu salje ruter.

Primjer, ruter salje radiusu - user yolja, poslao pass yolja, provjeri dal je tako u bazi. Radius se obrati mysql i zatrazi podatke za taj user... i dobija odgovor da je pass ispravan, i da taj ima pravo da se loguje, sa protokom 1M/256k (ranije zadato i navedeno u bazi).
Kad to radius sazna, onda on taj podatak na tacno odredjen nacin i u odredjenoj formi proslijedi ruteru, koji onda u svom, recimo pppoe, serveru zada potrebne parametre i odobri da korisnik yolja ostvari pppoe konekciju. Ta konekcija ce trajati prema parametru koji postoji u sql serveru i u odredjenom intervalu provjerava dal jos ima "uplaceno". Cim, recimo, vrijeme istekne (ili zadata kolicina prenetih podataka), radius to javi ruteru a onda ruter ugasi pppoe konekciju tom useru.

Slab sam bio iz srpskog, tako da mi pisanje bas ne ide od ruke, ali se nadam da ce ovo malo pojasniti sta ko radi. :)

www.blissradius.com

Ako ga Bane još nije pokvario, trebao bi da ti dozvoljava do deset usename-ova konektovanih PPtP ili PPPoE protokolom. Nema vremenskog ograničenja u trial verziji, samo ograničenje u broju korisnika.

Savršena integracija sa Mikrotik-om, program ima svoju sopstvenu bazu, i ravnopravno radi i pod Windows i pod Linux sistemima.

Ceo softver je na srpskom, a autor je (valjda se nije preselio) iz Pančeva.

Radius server, konkretno FreeRadius, prilikom autentikacije, ako je korisniku dozvoljena konekcija, moze, osim "Mikrotik-Rate-Limit" atributa, poslati i naziv access liste koja ce biti primjenjena na tog korisnika. Time bih odgovorio na pitanje da li se moze podesiti ko moze na internet a ko ne. Za ostale koji su nudili odgovore, molim vas, procitajte jos malo o FreeRadiusu i uopste o radius protokolu.

http://www.mikrotik.com/testdocs/ros/2.9/guide/aaa_radius.php

Jel moze mikrotikov usermanager samo da iscitava podatke iz rutera tipa broj pppoe sesija i ukupni protok i da ih belezi a da se ne pita za autentifikaciju korisnika?

Radius server, sam od sebe nece nista uraditi u vezi sa tim. Billing aplikacija radi taj dio ako je tako podesena/napisana. Billing aplikacija ce koristiti radius protokol da javi pppoe koncentratoru da obori sesiju za datog usera. Billing aplikacija ce u bazu unijeti podatak da je user blokiran. Prilikom autentikacije radius ce vidjeti da je user blokiran i kao odgovor ce prema koncentratoru polsati "Access-Reject" atribut.

RADIUS = Remote Authentication Dial-In User Service (dakle samo autentikacija)
AAA = authorization authentication accounting

Radius server odradjuje autentikaciju i autorizaciju direktno, accounting podatke samo zapisuje u bazu. Na osnovu accounting podataka neka druga aplikacija moze izvrsiti naknadne akcije na nekom korisniku (obicno se ta aplikacija zove billing aplikacija). Ukoliko ima nekih izmjena na samom korisniku iste se ne odnose na postojecu sesiju koja je pocela prije izmjena. Zbog toga billing aplikacija u vecini slucajeva obara sesiju kako bi korisnik kod nove konekcije bio odbijen ili dobio novi paket (nova brzina, nova access lista itd.)

Postoje rjesenja koja objedinjavaju radius+billing, ali i dalje su to dvije aplikacije upakovane u jedan proizvod.

Znaci mora freeradius...

@Schmidt
rekoh da mi pisanje sastava ne ide od ruke... ali poenta je da se radius nalazi kao veza izmedju rutera i baze korisnika. Bez radiusa, ruter ne zna da pridje bazi korisnika niti baza korisnika (ili neka druga aplikacija) ne bi imala predstavu sta da kaze ruteru i na koji nacin. Vise sam htio da istaknem ulogu radiusa u svemu tome, jer se u jednom trenutku doslo do zakljucka da je radius nepotreban.

@Hans_D
Mora - neki radius, a ima ih raznih.

A usermanager? :)

kako volis, ali ja ne volim to rjesenje - vise sam za to da ruter bude ruter, a billing da mi stoji na nekom drugom mjestu. Vjerovatno stvar ukusa, ne kazem da sam u pravu, samo iznosim svoje misljenje.

Mali hint?

Pa stavio sam URL i citirao opis atributa...

Imam jedan specifičan, a zanimljiv problem, vezano za MikroTik + Radius + PPPoE + Simple Queue... Dobija se dinamički kreirano pravilo za dinamički kreiran interfejs tipa:


Zanima me da li je moguće da ovo pravilo ima i packet-marks i parent? Za slučaj da nije, koristio bih Scheduled Script, ali mi je to rešenje "na mišiće"...

mislim da nije, jer queue nije poznat radius-u, tj. nema tog atributa u radiusu. za packet marks vidi u okviru firewall/mangle-a, za tu ip adresu....

Ok, queue nije poznat radius-u, ali kao rezultat vraćenog atributa MT pravi dinamički queue. Na isti način sam mislio da izvedem nešto da MT nateram da u taj dinamički kreiran queue, doda i uslov packet-marks=test_paket. Probaću nešto sa dinamičkim Mangle i Filter pravilima, možda u samom PPP profilu, Incoming Filter, Outgoing Filter, Address List... (RADIUS attribute Mikrotik-Mark-Id ?????)

Mikrotik-Mark-Id - firewall mangle chain name (HotSpot only).
Dakle, samo ako se korisnici konektuju preko Hotspota.

Da, videh...
Probao sam i sa skriptom:

Postave se markovi, ali nemaju uticaja. Da li je problem što su zadati interfejsi, ali ne i dst-address kao target IP adrese?
Da li je uopšte moguće definisati posebne limite za unutrašnji, a posebne za spoljašnji saobraćaj?

Izgleda da nije...
Odustao sam, obrisao Mikrotik-Rate-Limit atribut i vratio statičke Simple Queue. Izgleda da RADIUS + MikroTik još uvek ne mogu da izvedu ovako jednostavan zadatak jer to da korisnici imaju unutrašnji saobraćaj drugačije ograničen od spoljašnjeg, nije trebalo provajderima, pa nije ni radjeno.

Rekoh ja da Radius nije praktičan za to što si namerio...

Pa jesi, Pedja, ali sam morao probati jer nisam imao alternativu. Ovako, Radius će ostati za PPPoE autentifikaciju i accounting, ali će Simple Queue da radi limite, na čvorištima lokalne, na NAT-u za izlaz. Nije baš sasvim centralizovano, ali kompromis zahteva. Ima li više smisla Mangle po korisnicima + Queue Tree umesto Simple Tree?

Ne baš. Napatio bi se da podesiš a dobio bi isto što već imaš sa Simple Queues.

Podešavanje nije problem. Već imam prioritizovanje uradjeno sa Queue Tree. Nego, mislim da se Simple Queue obradjuje sekvencijalno i zato je sporiji od Queue Tree koji ide po stablu, geometrijski i do svakog čvora dolazi jedinstvenim putem.

I Simple Queues možeš da razvrstaš hijerarhijski.

Na pimer, ja uvek stavim prvo SimpleQueue za svaki interfejs, a onda na njega povezujem SQ pojedinačnih korisnika. Nekad čak i pravim dodatno SQ po mrežnim segmentima. To mi služi da lakše pratim kuda sve ide saobraćaj i gde su uska grla.

Već jesam, ali nisam siguran da se hijerarhijski obradjuje, već sekvencijalno. Evo slike.

Dobro je to tako.

Trebalo je da mi se javiš da ti dodelim IP opseg za mrežu. Sa tim Ip adresama nećeš moći da se povežeš sa drugim mrežnim zajednicama ako se ukaže kakva prilika.

Poslao sam regularno zahtev na srbijawireless, ali tamo se tek nedavno pojavio živ čovek. Možeš i sad da mi daš. Sve se lako menja jer je centralizovano i organizovano lepo.