Как настроить FreeRADIUS + Mikrotik?

Question

[entermix]

Установил FreeRADIUS 3.0.12

Настроил связку с MYSQL, пробую авторизацию на DD-WRT:
pastebin.com/61ScJiQF

Mikrotik
pastebin.com/KzPCREeR

Как видно, mikrotik не проходит аккаунтинг, хотя с аутентификацией все ок, в чем может быть проблема? Куда копать?

UPD: Как выяснилось, проблема в том, что оба роутера имеют одинаковый внешний IP, т.е. в таблице nas поле nasname дублируется.

Если авторизоваться с одного роутера - не работает второй, и наоборот (после перезагрузки radius).

Answer 1

[Леонид]

в логах не видно Accounting-Request от mikrotik. Он его не делает или делает не на тот порт. raduis используется для hotspot? Если да, в /ip hotspot profile включен accounting?

Comments

[entermix]

Да, я вижу это, есть второй сервер с FreeRADIUS 2.2.7 и этот же роутер работает (pastebin.com/bu7FdYVG), а на 3.0.12 в логах mikrotik ошибка:
login failed: RADIUS server is not responding

Думаю может нужно какие-то дополнительные настройки radius именно под микротик? Я ничего не менял кроме подключения модуля mysql.

[Леонид]

entermix: сложно сказать. судя по логам, на FreeRADIUS тупо не приходит запрос на аккаунтинг. Копайте в эту сторону. MySQL тут ни при чем. Без полного конфига - гадание на кофейной гуще. Если вы уверены, что порты нигде не перепутаны, снифьте трафик и смотрите, чем отличаются пакетики при успешном и ошибочном запросе.

[entermix]

Леонид: я понимаю, что mysql не при чем, просто написал, что более ничего не менял в настройках radius, а может быть нужно было? Или по идее все должно работать со стандартными настройками/подключенными модулями?

Пробовал добавить строку: #$INCLUDE /usr/local/share/freeradius/dictionary.mikrotik в файле /usr/local/etc/raddb/dictionary - тоже не помогло.

Вот полный лог (radiusd -X): pastebin.com/iXmJmbFW

В консоли желтым цветом выделены сл. строки:
...
[/usr/local/etc/raddb/mods-config/attr_filter/access_reject]:11 Check item "FreeRADIUS-Response-Delay" found in filter list for realm "DEFAULT".
[/usr/local/etc/raddb/mods-config/attr_filter/access_reject]:11 Check item "FreeRADIUS-Response-Delay-USec" found in filter list for realm "DEFAULT".
...
Ignoring "ldap" (see raddb/mods-available/README.rst)
...
P.S. Сейчас я сознательно указал в файле /usr/local/etc/raddb/mods-available/sql driver = "rlm_sql_null", чтобы лог не был захламлен списком разрешенных устройств с таблицы nas, там их много и весь текст не помещается в консоль.

[Леонид]

entermix: а скиньте ещё с микротика /radius print detail

[entermix]

Леонид:

pastebin.com/Nk3nZ1E7

Потр (auth, acc) указан верно, IP, где находится radius - тоже, SECRET совпадает с тем, что указан на сервере.

[Леонид]

entermix: в таком случае я бы снифил трафик. Запустите tcpdump на сервере с freeRADIUS и ловите пакет с accounting-request. У меня связка mikrotik freeradius3 вполне работает.

[entermix]

Леонид: tcpdump udp port 1813 действительно не видит запросов со стороны mikrotik (другие видит) - то есть проблема 100% на стороне роутера?

[Леонид]

entermix: скорее всего. В ip hotspot profile аккаунтинг включён? На микротике тоже есть снифер, он пакет видит?

[entermix]

Леонид: как выяснилось, проблема в том, что оба роутера имеют одинаковый внешний IP, т.е. в таблице nas поле nasname дублируется.

Если авторизоваться с одного роутера - не работает второй, и наоборот (после перезагрузки radius).

Возможно, можете подсказать, в чем может быть проблема?