Загальний опис
Історія змін
Рекомендації до оновлення
Плани на майбутнє
Відомі проблеми
Онлайн демо
Допомога проекту
Люди
Трохи про безпеку
FAQ
Система призначена для аутентифікації, авторизації, обліку та застосування політик до трафіку користувачів, що проходить через маршрутизатор під управлінням ядра Linux. Є спробою реалізувати частину функціоналу Cisco ISG в рамках ОС Linux.
Процес встановлення описано на сторінці проєкту, але ми про всяк випадок напишемо і тут. Усі команди виконуємо від імені суперкористувача root.
# aptitude install linux-headers-$(uname -r) iptables-dev build-essential # cpan -i Net::Radius::Packet
# wget --no-check-certificate https://bitbucket.org/sysoleg/lisg/get/master.tar.gz # tar zxf master.tar.gz
# cd sysoleg-lisg-*/kernel # ./configure # make # make install
# modprobe ipt_ISG
# cd .. # cp -r ISG /opt
# /opt/ISG/bin/ISGd.pl
# echo ipt_ISG >> /etc/modules
#!/bin/sh -e ### BEGIN INIT INFO # Provides: linux-isg # Required-Start: $networking # Required-Stop: $networking # Default-Start: 2 3 4 5 # Default-Stop: 0 1 6 ### END INIT INFO PATH=/bin:/usr/bin:/sbin:/usr/sbin:/usr/local/sbin; . /lib/lsb/init-functions case "$1" in start) log_daemon_msg "Starting Linux ISG daemon" "linux-isg" if /opt/ISG/bin/ISGd.pl; then log_end_msg 0 else log_end_msg 1 fi ;; restart) log_daemon_msg "Restarting Linux ISG daemon" "linux-isg" start-stop-daemon --stop --quiet --oknodo --retry 180 --pidfile /var/run/ISGd.pid if /opt/ISG/bin/ISGd.pl; then log_end_msg 0 else log_end_msg 1 fi ;; stop) log_daemon_msg "Stopping Linux ISG daemon" "linux-isg" start-stop-daemon --stop --quiet --oknodo --retry 180 --pidfile /var/run/ISGd.pid log_end_msg 0 ;; *) log_success_msg "Usage: /etc/init.d/linux-isg {start|stop|restart}" exit 1 ;; esac exit 0
# chmod a+x /etc/init.d/linux-isg # update-rc.d linux-isg defaults
Припустимо:
Попереднє налаштування самого Linux ISG здійснюється в /opt/ISG/etc/config.pl. Головне, що тут потрібно - це налаштувати зв'язок із сервером FreeRADIUS. Робиться це приведенням опцій до такого вигляду:
$cfg{radius_auth}{0} = { server => "192.168.0.250:1812", timeout => 5, secret => "90d65aea5b99" };
$cfg{radius_acct}{0} = { server => "192.168.0.250:1813", timeout => 5, secret => "90d65aea5b99" };
### CoA-related settings
$cfg{coa_server} = "192.168.0.250"; ## Accept requests only from this IP (comment to accept from all)
$cfg{coa_secret} = "90d65aea5b99"; ## Shared secret
$cfg{coa_port} = 3799; ## Local UDP port to listen for CoA requests
Також приведемо файл /etc/rc.local до такого вигляду, щоб запрацювали iptables:
#!/bin/sh -e # # rc.local # # This script is executed at the end of each multiuser runlevel. # Make sure that the script will "exit 0" on success or any other # value on error. # # In order to enable or disable this script just change the execution # bits. # # By default this script does nothing. # Flush iptables --flush iptables --flush -t nat # NAT iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j SNAT --to-source 192.168.0.252 # L4 Redirects iptables -t nat -A PREROUTING -p tcp --dport 80 -m isg --service-name OFF-LINE -j DNAT --to-destination 192.168.0.250 iptables -t nat -A PREROUTING -p tcp --dport 80 -m isg --service-name PASSIVE -j DNAT --to-destination 192.168.0.250 iptables -t nat -A PREROUTING -p tcp --dport 80 -m isg --service-name DOWN -j DNAT --to-destination 192.168.0.250 # Linux ISG rules iptables -A FORWARD -s 10.0.0.0/24 -j ISG --session-init iptables -A FORWARD -d 10.0.0.0/24 -j ISG exit 0
Перед додаванням сервісів, які будуть прив'язані до користувачів, необхідно визначити класи трафіку у файлі /opt/ISG/etc/tc.conf. Ось його вміст для нашого випадку:
## Traffic classes for lISG ## Format: Class name IPv4 prefix (subnet) RFC1918 10.0.0.0/8 RFC1918 192.168.0.0/16 RFC1918 172.16.0.0/12 DNS 8.8.8.8/32 DNS 8.8.4.4/32 GLOBAL 0.0.0.0/0
Важливо! Якщо вказуєте якийсь конкретний IP додавайте маску /32
Сервіси встановлюються у файлі /opt/ISG/etc/config.pl у секції, обмеженій коментарями:
... ####################### Services description ####################### Тут зазначаємо сервіси #################### End services description ###################### ...
Для нашої ситуації сервіси матимуть приблизно такий вигляд:
...
####################### Services description #######################
# Local networks access service
$cfg{srv}{"LOCAL"}{type} = "policer";
$cfg{srv}{"LOCAL"}{rate_info} = "QD;100000000;3125000;U;100000000;3125000";
$cfg{srv}{"LOCAL"}{traffic_classes} = [ "RFC1918", "DNS" ];
# Mark packets from '{user[state]}' whet they are trying to go
# to addresses from 'GLOBAL'
$cfg{srv}{"ON-LINE"}{type} = "policer";
$cfg{srv}{"ON-LINE"}{rate_info} = "QD;10000000;312500;U;10000000;312500";
$cfg{srv}{"ON-LINE"}{traffic_classes} = [ "GLOBAL" ];
$cfg{srv}{"OFF-LINE"}{type} = "tagger";
$cfg{srv}{"OFF-LINE"}{traffic_classes} = [ "GLOBAL" ];
$cfg{srv}{"PASSIVE"}{type} = "tagger";
$cfg{srv}{"PASSIVE"}{traffic_classes} = [ "GLOBAL" ];
$cfg{srv}{"DOWN"}{type} = "tagger";
$cfg{srv}{"DOWN"}{traffic_classes} = [ "GLOBAL" ];
#################### End services description ######################
...
Через особливості самої системи Linux ISG ми не можемо просто так узяти і передати атрибути швидкості для користувача. Але це обмеження легко обійти. Усе, що потрібно - це додати сервіси, назви яких відповідатимуть тарифним планам із зазначенням швидкостей. Наприклад для тарифу “Unlim-500” із симетричною швидкістю 10 Мбіт/сек. параметри будуть такими:
$cfg{srv}{"Unlim-500"}{rate_info} = "QD;10000000;312500;U;10000000;312500";
$cfg{srv}{"Unlim-500"}{traffic_classes} = [ "GLOBAL" ];
Після, додаємо до списку атрибутів мережі наступний:
Після чого користувачі почнуть отримувати додатково сервіс з тарифом користувача, і швидкість буде обмежуватись згідно з тарифом…
Якщо все пройшло добре, то після спроби користувача вийти в інтернет, команда /opt/ISG/bin/ISG.pl виведе щось таке
# /opt/ISG/bin/ISG.pl User IP-address NAT IP-address Port number Uniq. Identifier Durat. Octets-in Octets-out Rate-in Rate-out Service name Flags 10.0.0.2 0.0.0.0 Virtual1 B87A6BA0D86B93EA 1556 2984 6024 0 0 Main session A
А якщо нам потрібно перевірити сервіси, закріплені за користувачем:
# /opt/ISG/bin/ISG.pl show_services 10.0.0.2 User IP-address NAT IP-address Port number Uniq. Identifier Durat. Octets-in Octets-out Rate-in Rate-out Service name Flags 10.0.0.2 0.0.0.0 Virtual1 C3D8943C8C193407 0 0 0 100000000 100000000 LOCAL SO 10.0.0.2 0.0.0.0 Virtual1 609494475903148E 1786 2984 6024 10000000 10000000 ON-LINE SOU
