Я устал от зоопарка?). Или на чем поднять радиус?

Question

[Сергей]

У клиентОВ целая кипа разного ДЕШЕВОГО сетевого оборудования. Всех мастей. Надоело лазить по вебмордам и забивать учетки. Смотреть логи. Решил поднять радиус сервер. Но какой? Задачи следующие:
1. Ограничение на использования учетных записей с устройства. Например клиент принадлежит к группе которая может пользоваться вафлей только с устройства тплинк по адресу такому-то.
2. Импорт учёток с АД
3. Ограничение по времени активности учёток(день ночь отсыпной выходной)
4. Удобный сислог сервер

Идеи как все это реализовать есть? ) желательно что-то простенькое и информативное. Чтоб запилить на малинке к примеру

Comments

[Anton_Shevtsov]

SecretServer от https://thycotic.ru/ тебе надо)

Answer 1

[Валентин]

1) Дешевые устройства в подавляющем случае не поддерживают ни RADIUS, ни удаленный syslog. Но можно прошить wrt. Но наверно проще запилить скрипт для настройки через веб-интерфейс.
2) Первый вопрос вообще не понятен... Учетных записей для чего? Для доступа в интернет по вай-фай по пользовательской учетной записи? А как сейчас это делается? Или для доступа в админку устройств?
3) Второй вопрос - freeradius можно интегрировать с LDAP, радиус на виндоус интергирован в LDAP сразу.
4) Третий вопрос решается скриптами (под линукс скрипт в кронтаб)
5) Сислог вообще никак с радиусом не связан. Совершенно отдельная служба, есть и на вин, и на никс.

Или на чем поднять радиус

Если я правильно понимаю цели, то проще на Linux freeradius, так как он более кастомизируемый.

Чтоб запилить на малинке к примеру

Это не комплекс для минипк. Замучаетесь искать сборки для ARM, делать обновления.

Comments

[Сергей]

Учетных записей для вафли в первую очередь. Так как связка пароль логин выписывается на каждого лично, а эта личность не работает во всех фирмах ... тут и надо ограничение групп пользователей на устройство с которого идёт запрос. Меня в первую очередь и интересует такое.

Сислог просто как бонус. Чтоб смотреть логи авторизации и логи с устройств.

И кстати. Тплинк поддерживает все вышеперечисленное

[Сергей]

Главная проблема именно привязка учетных записей к определенным роутерам. Не ясно как такое реализовать

[Валентин]

Сергей: Я писал об этом в одной из статей. Вкратце - включайте авторизацию WPA2-EAP, freeradius все поддерживает. Будет небольшой геморрой с сертификатами, но все решаемо.

[Сергей]

Валентин: хоть убей но я не вижу решения задачи типо:

Вася работает в детском саде солнышко. Получает связку логин пароль на местный роутер

Федя админ и получает активную связку логин пароль на все устройства.

Маша получает доступ до всех гостевых сетей у всех наших клиентов.

[Сергей]

Причём Вася прийдя со своим паролем в Детский сад Аленький пупсик .... должен обломаться с такой же сетью как и у него в садике ... так как у него не проходит его связка с этого роутера

[Сергей]

А вот директор может передвигаться по всем садикам с работающим вай-фаем. Но у неё не будет работать Ее связка в коммерческой фирме рога и копыта. Но она получит там гостевой доступ от другого директора.

[Сергей]

Вы масштабы бедствия уже представляете? 400 учёток к примеру и 60 роутеров. 30 групп устройств разнесенных по разным организациям

[Сергей]

Причём радиус должен сам принимать решение ... может ли данная учётка выйти с этого устройства в интернет

[Валентин]

Сергей: радиус ориентируется по записям в бд, в этой же бд есть возможность ограничения по agentid (читай точки доступа) для конкретного пользователя.
Масштабами пользователей можете хвастаться начиная с 10-15k с учетом уволившихся сотрудников, правда с этими объемами уже обычно идут к интегратору за платным решением

Answer 2

[Владимир Дубровин]

Если у вас уже есть AD и вы не любите зоопарки, то логичней использовать NPS
https://msdn.microsoft.com/en-us/library/cc732912(...

Comments

[Сергей]

Уже весь во внимании и начал про это читать)

Answer 3

[Алексей Черемисин]

А чем freeradius не годится? Подключаете его к SQL серверу, и натравливаете модуль wiki.freeradius.org/modules/Rlm_sqlcounter
Ну а в нем sql-запросами разруливаете все что нужно.