+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Управление VRF Radius

Управление VRF Radius, RouterOS

benbgg

Guest

21.12.2021 09:00:00

Привет! Я только что обновил наш запасной NAS до версии 7.1 и успешно разместил ssh и winbox внутри management vrf, который имеет следующее определение:
/ip vrf print detail
Flags: X - отключено; * - встроено
0 name="mgmt" interfaces=MGMT
1 * name="main" interfaces=all

Я добавил статический маршрут по умолчанию внутри management vrf и теперь могу успешно подключаться — отлично!

Однако: когда я настраиваю radius клиент с указанием сервера внутри этого vrf, даже если указываю исходящий адрес моего интерфейса MGMT, ЗАПРОСЫ НЕ УХОДЯТ.

Это нормальное поведение? Спасибо заранее!

icosasupport

Guest

26.01.2022 21:45:00

Я только предсказываю, что когда наконец будет нормально реализована изоляция управления с помощью VRF, я лично не захочу переделывать 100+ конфигураций под это, ведь у меня сейчас как раз новый проект с нуля. Поскольку мы все столько лет ждали славный седьмой релиз, думаю, пару лишних месяцев, чтобы он стал «официально» завершённым — это уже привычное дело. Тем временем в других маршрутизаторах эти функции давно отточены и проверены. Сейчас у меня есть управление в основной VRF и дополнительной VRF, но это ведёт к странным NAT/Mangle правилам, когда трафик исходит от самого роутера, а ведь хотелось бы наоборот всё упростить, а не усложнять.

marekm

Guest

23.11.2022 19:31:00

С выходом RouterOS 7.7, который уже скоро (сейчас в бете), как обстоят дела с поддержкой нестандартных VRF в клиенте RADIUS? Очень бы пригодилось отделять пользовательский трафик («главный» VRF с публичными IP-адресами) от управляющего трафика (и не только RADIUS, но также Winbox, SSH, SNMP, NTP, syslog и прочее — всё это в отдельном нестандартном VRF с приватным адресным пространством). Это снижает поверхность атаки извне и выглядит как хорошая практика по безопасности.

pe1chl Guest	#4 0 23.11.2022 20:11:00 Статус VRF описан здесь: https://help.mikrotik.com/docs/pages/viewpage.action?pageId=328206

marekm

Guest

25.11.2022 12:34:00

Хорошо, согласно документации теперь всё должно работать нормально. В Winbox я не вижу опции VRF для RADIUS (кроме Incoming), но если это работает из CLI — отлично, спасибо! Использовать «main» (основной VRF) для большей части трафика и нестандартный VRF для управления предпочтительнее, ведь у меня ещё есть несколько роутеров VyOS, где сейчас есть ограничение: динамические протоколы маршрутизации работают только в основном VRF, а в нестандартном – только статические маршруты, что вполне подходит для простой сети управления.

benbgg Guest	#6 0 18.01.2022 11:03:00 Привет! Кто-нибудь вообще когда-нибудь ответит на это — даже если просто скажет «это глупый вопрос» или «спроси на другом форуме»?

pe1chl

Guest

18.01.2022 13:11:00

Думаю, ответ таков: это «ожидаемое поведение», то есть нельзя задать VRF для трафика, исходящего от самого роутера. Видимо, единственный способ сейчас заставить это работать — чтобы «основной» VRF обрабатывал управленческий трафик, а для данных были отдельные VRF. Но я не могу дать точного ответа, так как сам VRF не использовал, а применял вручную настроенные политики маршрутизации, где, конечно, эту проблему можно решить с помощью нужных правил mangle.

icosasupport

Guest

26.01.2022 19:45:00

Мне кажется, что после многих лет работы над Ros 7 у Mikrotik должен был появиться стимул хотя бы сделать управление VRF корректным. Я имею в виду, что IP-сервисы (ssh, www, winbox и т.д.) поддерживают VRF, почему бы тогда не сделать это для RADIUS? Кому захочется, чтобы их RADIUS выходил в сеть через публичные адреса? Хотя бы какое-то соглашение вроде использования RADIUS-сервера через x.x.x.x%management-vrf уже было бы приемлемо.

joegoldman Guest	#9 0 26.01.2022 21:31:00 Службы управления в VRF — это всего лишь новое дополнение, скорее всего, они ещё не сделали поддержку RADIUS и, возможно, добавят её в будущих версиях. Они называют 7.1 стабильным релизом, но полный функционал пока не реализован. Лучше всего управлять через vrf «main», а дополнительные vrf использовать для клиентского трафика.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры