Freeradius и NAT?

Question

[nak-alexey]

Поднял Freeradius, в локальной сети все работает. На MikroTik пробросил порты 1812 и 1813 в сторону сервера но не работает. Даже tcpdump не фиксирует запросы от устройств из вне. Можно ли как то настроить?

Comments

[nak-alexey]

Стоит за NAT`ом сервер Freeradius, к нему нужно обратиться radius клиентам которые находятся за wan интерфейсом. Не знаю куда проще.

[Дмитрий]

DNAT

[nak-alexey]

Дмитрий, Ну это понятно что DNAT :D Он настроен, но не работает.

[Дмитрий]

nak-alexey, вам уже выше написали - детали давайте, конфиги, что есть, что не работает. мы почему из вас клещами все тащим?
Вот это показывайте как настроили
>> На MikroTik пробросил порты 1812 и 1813

[nak-alexey]

Дмитрий,
chain=srcnat action=masquerade log=no log-prefix=""
chain=dstnat action=dst-nat to-addresses=192.168.3.218 to-ports=1812 protocol=udp dst-port=1812 log=no log-prefix=""
chain=dstnat action=dst-nat to-addresses=192.168.3.218 to-ports=1813 protocol=udp dst-port=1813 log=no log-prefix="

192.168.3.218 это Freeradius

[nak-alexey]

Дмитрий, Если я обращаюсь к Freeradius из сети 192.168.3.0/24 то все работает.

[Дмитрий]

И теперь ещё сетевые настройки и маршруты с радиуса.

[nak-alexey]

Дмитрий,



Здесь все скромно.

[Дмитрий]

ок, я надеюсь микротик своим офисным портом торчит в ту же сеть? и они с радиусом друг друга взаимно видят?
давайте проверять ситуацию что микротик работает криво. первое - проверьте filter rules и chain FORWARD , убедитесь что прохождение пакетов из WAN в LAN разрешено. чтото типа

chain=forward action=accept dst-address=192.168.3.218 log=no log-prefix=""

еще предлагаю сделать следующее, в строчках с DSTNAT явным образом указать исходящий интерфейс , тоже в строчку с SRCNAT

[nak-alexey]

Дмитрий, Сервер и MT в одном broadcast домене, firewall отключали и на MT и на сервере, на MT кроме правил masquerade и проброса портов не чего не осталось. Не знаю уже куда копать. И да, явно уже указывали все что можно.

[Виктор Бельский]

Telnet из консоли МТ на порты радиуса проходит?

Answer 1

[hint000]

ip firewall filter export
Вангую, что там 1812/udp и 1813/udp могут быть не разрешены.

Comments

[nak-alexey]

[Дмитрий]

nak-alexey, ну верно, по моему таки нету разрешения для forward пакетов типа NEW и destination = 192.168.3.218

[hint000]

Дмитрий, хотя они и не запрещены, а политика по-умолчанию accept. Но кто его знает, может быть почему-то считается за invalid. Так что действительно лучше бы явно разрешить.

[Дмитрий]

а еще где то там тупо есть чекбокс запретить форвардинг, кто их знает, может и выключили

[nak-alexey]

hint000, firewall отключили и на MT и на сервере. Кстати если не забыли то сервер за NAT