http://mikrotik.moscow Новое в теме Радиус отключен. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 10 Aug 2026 22:15:00 -0400 Радиус отключен. RouterOS в форуме RouterOS.
Я наткнулся на похожую проблему и, возможно, на баг в функциональности. Когда Mikrotik настроен как PPTP-сервер и RADIUS-клиент, а также включен RADIUS входящий, пользователи могут успешно подключаться к Mikrotik по PPTP, и всё работает нормально. Но когда приходит "Disconnect-Message" от RADIUS-сервера, происходит что-то странное: в PPP - Active connection подключения больше нет, но в PPP - Interfaces мы всё ещё видим подключение. К тому же, клиент (Win XP) видит установленное подключение на своем компьютере. А после того, как клиент отключается от PPTP, в PPP - Interfaces становится пусто, но если заглянуть в подменю IP-Pool, мы видим, что IP-адрес, который использовался ранее, всё ещё используется в IP-Pool PPTP. Он остаётся зарезервированным до перезагрузки Mikrotik, даже если все PPTP-клиенты отключены. Из-за этого после нескольких подключений и отключений клиентов таким образом, в IP-Pool не останется свободных IP-адресов. У вас есть какое-нибудь решение этой проблемы?
03.02.2006 20:50:00, bluestar.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300592 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300592 Fri, 03 Feb 2006 20:50:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
Вам нужно отправить идентификатор NAS, один из: NAS-IP-Address, NAS-Identifier или NAS-IPv6-Address (который не поддерживается MT). Затем вам также нужно отправить идентификатор СЕССИИ, один (или несколько): User-Name, NAS-Port, Framed-IP-Address, Called-Station-Id, Calling-Station-Id, Acct-Session-Id, Acct-Multi-Session-Id (не поддерживается MT), NAS-Port-Type, NAS-Port-Id, Originating-Line-Info (не поддерживается MT), Framed-Interface-Id (не поддерживается MT), Framed-IPv6-Prefix (не поддерживается MT). Соберите эти данные, сформируйте запрос и отправьте его в MT. Типичный запрос на отключение PPPoE-соединения может выглядеть примерно так: NAS-IP-Address = this.is.the.ip.of.my.NAS
 User-Name = piet@somewhere.nice
 Acct-Session-Id = 81200000
 Calling-Station-Id = MAC:Address:Of:PPPOE:Client
 Framed-IP-Address = this.is.the.ip.of.the.user Это будет правильно отформатированное сообщение об отключении, включающее РАЗЛИЧНЫЕ проверки, чтобы MT отключал только одно единственное правильное соединение. Все эти значения получены из каждого обновления учёта, которое получает RADIUS-сервер, вся информация доступна RADIUS-серверу, вам нужно просто отправить правильные данные обратно. Давайте лучше убедимся, что мы получим правильную информацию на этом форуме.
03.02.2006 20:28:00, savage.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300591 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300591 Fri, 03 Feb 2006 20:28:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
Работает с Framed-Ip-Address.
03.02.2006 19:19:00, sublimespot.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300590 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300590 Fri, 03 Feb 2006 19:19:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
Включи отладку, логи радиуса, там увидишь, что происходит. Если хочешь отправлять с другого адреса, добавь этот адрес как ещё один сервер радиуса (неважно, будешь ли ты его использовать).
07.02.2006 10:47:00, normis.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300589 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300589 Tue, 07 Feb 2006 10:47:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
В таком случае, где вообще нужно конфигурить секреты для входящих клиентов? Запрос пришел с Radius Server, настроенного как Radius Client, один и тот же секрет / IP / и т.д. Флаги: X - отключено.
# SERVICE CALLED-ID DOMAIN ADDRESS SECRET
0 ppp 198.18.60.2 core02
login

В любом случае, есть вероятность, что отсоединение может происходить с другого сервера, отличного от того, что сконфигурировано в секциях Radius Server, поэтому, на самом деле, нет места для конфигурирования секрета для входящих Radius Clients… Radius Client просто имеет enabled=yes/no и входящий порт. Ничего не нужно указывать для адресов источника клиентов или секретов. Ну, если конечно я что-то не пропустил.
07.02.2006 09:22:00, savage.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300588 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300588 Tue, 07 Feb 2006 09:22:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
BAD означает, что общий секрет (или сигнатура пакета) оказался неверным. Запрос на отключение (Disconnect-Request) не сработает с PPPoE и PPTP, потому что в текущих версиях есть проблема, которую исправят в следующем релизе.
07.02.2006 09:17:00, normis.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300587 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300587 Tue, 07 Feb 2006 09:17:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
У меня та же проблема. Отправил файл поддержки на support@mikrotik.com, но ответа с решением пока нет. У кого-нибудь есть рабочее решение проблемы с Radius Disconnect?
07.02.2006 09:16:00, bluestar.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300586 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300586 Tue, 07 Feb 2006 09:16:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
Просто небольшая проверка концепции: MT: requests: 0
 bad-requests: 0
         acks: 0
         naks: 0 Сейчас отправляю невалидный Disconnect (NAS-IP-Address указан неверно): Отправка Disconnect-Request с id 135 на 198.18.60.1:1700
       NAS-IP-Address = 198.18.60.2
       Framed-IP-Address = 00:00:00:00:00:00
rad_recv: Disconnect-NAK пакет от хоста 198.18.60.1:1700, id=135, length=45
       Error-Cause = NAS-Identification-Mismatch
       NAS-Identifier = "wsmd-core02"
       NAS-IP-Address = 198.18.60.1 MT Stats: requests: 0
 bad-requests: 1
         acks: 0
         naks: 0 Пока что все хорошо, хотя NACK должен был вырасти, так как запрос не был плохим, он просто был некорректным… По моему мнению, BAD = неверный синтаксис и тому подобное, но это дело вкуса, как говорится. Теперь отправляю тот же запрос, но с правильным NAS-IP-Address. Отправка Disconnect-Request с id 144 на 198.18.60.1:1700
       NAS-IP-Address = 198.18.60.1
       Framed-IP-Address = 00:00:00:00:00:00
Повторная отправка Disconnect-Request с id 144 на 198.18.60.1:1700
       NAS-IP-Address = 198.18.60.1
       Framed-IP-Address = 00:00:00:00:00:00
Повторная отправка Disconnect-Request с id 144 на 198.18.60.1:1700
       NAS-IP-Address = 198.18.60.1
       Framed-IP-Address = 00:00:00:00:00:00 Timeouts… MT Stats: requests: 0
 bad-requests: 1
         acks: 0
         naks: 0 Служба Radius listener умерла. Она больше не принимает никаких запросов, пока служба не будет отключена и снова включена.
07.02.2006 08:55:00, savage.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300585 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300585 Tue, 07 Feb 2006 08:55:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
У меня есть контракт на техподдержку от MT. Так что если они это не заметят, я их предупрежу.
03.02.2006 21:36:00, sublimespot.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300584 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300584 Fri, 03 Feb 2006 21:36:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
Окей, MT, видимо, нужно разбираться с этим. Однозначно есть ошибка в сервисе внутри MT. Оно не должно вылетать, а должно возвращать NACK (Не подтверждено) с ошибкой 404 (Неверный запрос). Похоже, MT просто закодировали части RFC, которые им нужны, и остальное проигнорировали. Теперь это можно считать багом, IMHO. Избавьте меня от пота в это ужасное лето, чтобы не сидеть и потеть в серверной, ковыряясь с Mikrotik и Radius. Просто на всякий случай, если MT не заметит этого на форуме, может, лучше написать в поддержку support@mt, хотя я уверен, что от MT скоро будет ответ здесь.
03.02.2006 21:34:00, savage.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300583 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300583 Fri, 03 Feb 2006 21:34:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
Брутальный, спасибо за всю эту информацию. Мне удалось обрушить слушателя неверными данными. Отключил слушателя и снова включил, и он заработал.
03.02.2006 21:30:00, sublimespot.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300582 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300582 Fri, 03 Feb 2006 21:30:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
Судя по его предыдущему посту, где он смог вызвать сбой Radius Listener, я бы сказал, что у Radius Listener есть проблемы… Быстрый просмотр его поста позволяет мне рискнуть и предположить, что MT не реализовал RFC полностью или даже не реализовал его вовсе. Однако это легко проверить. Попробую поиграть с этим на выходных и, возможно, отправлю MT подробный отчет об ошибке, чтобы они исправили это в следующей версии. Учитывая, что Radius Listener падает при получении невалидных запросов, у меня уже возникают тревоги по поводу переполнения буфера. Похоже, здесь задействованы в основном три проблемы: 1 - MT принимает невалидные запросы. Согласно RFC, при получении невалидного запроса необходимо возвращать код ошибки 404. MT, в RFC есть целый ряд кодов возврата ошибок, я не знаю, что происходит в коде, но пожалуйста, посмотрите на него. 2 - Я почти уверен, что когда DM не выполняется должным образом, это связано с двумя проблемами: 2.1 - MT получает невалидный DM (например, пакет DM, не содержащий всей необходимой информации), или 2.2 - MT не обрабатывает отключение / завершение работы интерфейса должным образом (сейчас я ставлю на обе эти проблемы). Нужно помнить, что MT должен найти интерфейс для отключения, основываясь на предоставленной вами информации! Если вы предоставите неверную информацию, он не отключит правильный интерфейс (если вообще отключит какой-либо). Если вы не предоставите достаточно информации, он не сможет найти интерфейс для отключения или, что еще хуже, отключит не тот интерфейс. Чем больше информации вы ему предоставите, тем больше шансов, что MT найдет интерфейс и отключит его должным образом. Я здесь никого не нападаю (по крайней мере, я надеюсь, что MT так не подумает), но если это можно сделать, исправить и признать стабильным (чего я в настоящее время не вижу), то это будет отличная функция. В настоящее время я крайне нехочу её использовать из-за таких проблем. RFC довольно скудный, эта «функция» относительно новая (дата публикации июль 2003 г.), и поддержки, а также информации о ней не так много, потому что она такая новая… Со временем все, должно быть, наладится. Если кто-то запускает это и хочет попробовать… Посмотрите мой предыдущий пост и попробуйте DM с правильно отформатированным запросом, предоставив как можно больше информации. Я бы сказал, постарайтесь включить все атрибуты в session-identification, которые MT поддерживает.
03.02.2006 21:04:00, savage.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300581 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300581 Fri, 03 Feb 2006 21:04:00 -0500 RouterOS Радиус отключен. RouterOS в форуме RouterOS.
Я включил Radius с помощью команды /radius incoming set accept=yes. Попробовал выполнить (Disconnect-Message) через командную строку: echo 'User-Name = 00:00:00:00:00:00' | radclient 192.168.10.10:1700 “disconnect” radpasswd Mikrotik. Лог выдает "Radius disconnect with no ip provided". Как можно отключить пользователя по MAC-адресу?
03.02.2006 19:11:00, sublimespot.]]> http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300580 http://mikrotik.moscow/forum/forum57/74253-radius-otklyuchen./message300580 Fri, 03 Feb 2006 19:11:00 -0500 RouterOS