mpd5(pppoe)+radius+ng_car+Abiils

[schizoid]

дебаг в чем? если в радиусе. то стартани его с консоли , а не скриптом

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[server801]

я про мпд

[schizoid]

так в мпд и так довольно таки большой нормальный лог. а что у вас не работает?

[server801]

мне просто интересно как днбаг включается на мпд,поднималась тема,но никто внятно не ответил.

[babajan]

подскажите пожалуйста, или помогите перевести ipfw код представленный в этой статье http://www.lissyara.su/?id=1987 в скрип к ipfw.

и еще, что нужно добавить к этим правилам - если у меня собран сервер с такой конфигурацией:
1.mpd5(pppoe)+radius+ng_car+Abiils - только во внутреннюю сеть
2.web-server - смотрит в мир и в сеть
3.ftp - смотрит в мир и в сеть
3.ssh - смотрит в мир и в сеть

И возможно ли сделать что бы из мира заходить в админ часть абиллиса?

Сетевые адаптеры:
ral0 = DHCP - что смотрит к провайдеру
rl0 = 192.168.1.1
tun0 = DHCP pppoe

ядро собрано статически, как описано в статьи.
версия: freebsd 7.2 relies

заранее спасибо за ваши ответы (просто в фаерволах - ну вообще не бум )
а автору за проект и статьи огромный респект

[schizoid]

давайте завтра скину фаервол полностью. ну или в статье обновлю.

[babajan]

давайте завтра скину фаервол полностью. ну или в статье обновлю.

Я буду благодарен, вот моя аська если надо 261-601-339

[schizoid]

Код: Выделить всё

#!/bin/sh -

# Suck in the configuration variables.
if [ -z "${source_rc_confs_defined}" ]; then
        if [ -r /etc/defaults/rc.conf ]; then
                . /etc/defaults/rc.conf
                source_rc_confs
        elif [ -r /etc/rc.conf ]; then
                . /etc/rc.conf
        fi
fi

setup_loopback () {
        ############
        # Only in rare cases do you want to change these rules
        #
        ${fwcmd} add 100 pass all from any to any via lo0
        ${fwcmd} add 200 deny all from any to 127.0.0.0/8
        ${fwcmd} add 300 deny ip from 127.0.0.0/8 to any
}

if [ -n "${1}" ]; then
        firewall_type="${1}"
fi

############
# Set quiet mode if requested
#
case ${firewall_quiet} in
[Yy][Ee][Ss])
        fwcmd="/sbin/ipfw -q"
        ;;
*)
        fwcmd="/sbin/ipfw"
        ;;
esac

############
# Flush out the list before we begin.
#
${fwcmd} -f flush
#${fwcmd} -f pipe flush
#${fwcmd} -f queue flush
${fwcmd} table 1 flush
${fwcmd} table 5 flush

case ${firewall_type} in

[Ss][Ii][Mm][Pp][Ll][Ee])

        # set these to your inside interface network and netmask and ip
        iif="ste0"
        inet="192.168.2.0"
        imask="255.255.255.0"
        iip="192.168.2.3"

        sif="fxp0"
        snet="192.168.1.0"
        smask="255.255.255.0"
        sip="192.168.1.2"
        sgw="192.168.1.1"

        ${fwcmd} nat 100 config ip ${sip}

        ################## Tables ###############################

        # IP VPN
        ${fwcmd} table 1 add 10.10.10.0/24
        ${fwcmd} table 1 add 192.168.1.2

        # RFC1918
#       ${fwcmd} table 5 add 10.0.0.0/8
        ${fwcmd} table 5 add 172.16.0.0/12
        ${fwcmd} table 5 add 0.0.0.0/8
        ${fwcmd} table 5 add 169.254.0.0/16
        ${fwcmd} table 5 add 192.0.2.0/24
        ${fwcmd} table 5 add 224.0.0.0/4
        ${fwcmd} table 5 add 240.0.0.0/4

        setup_loopback

        ################## DENY ###########################


#       ${fwcmd} add check-state

        # Deny frag pacets
        ${fwcmd} add deny log all from any to any frag

        # Stop spoofing
        ${fwcmd} add deny log all from ${inet}:${imask} to any in via ${sif}
        ${fwcmd} add deny log all from ${snet}:${smask} to any in via ${iif}

        # Stop RFC1918 nets on the outside interface
        ${fwcmd} add deny log all from any to 'table(5)' via ${sif}

        ${fwcmd} add deny log ip from ${inet}:${imask} to ${inet}:${imask} via ${sif}

        # For scanners of OS detecting
#       ${fwcmd} add deny log tcp from any to me in tcpflags syn,fin,\!ack
#       ${fwcmd} add deny log tcp from any to me in tcpflags syn,fin,urg,psh,\!ack
#       ${fwcmd} add deny log tcp from any to me in tcpflags fin,urg,psh,\!ack
#       ${fwcmd} add deny log tcp from any to me in tcpflags fin,\!ack
#       ${fwcmd} add deny log tcp from any to me in tcpflags urg,\!ack
#       ${fwcmd} add deny log tcp from any to me in tcpflags psh,\!ack


        ######################### ALLOW ############################

        ${fwcmd} add allow icmp from me to ${inet}:${imask} via ng*
        ${fwcmd} add allow ip from ${inet}:${imask} to ${inet}:${imask} via ${iif}
        ${fwcmd} add allow ip from ${inet}:${imask} to ${inet}:${imask} via ng*
        ${fwcmd} add allow icmp from ${inet}:${imask} to any in via ${iif}
        ${fwcmd} add allow ip from 'table(1)' to 'table(1)'

        # NAT
        ${fwcmd} add nat 100 ip from 'table(1)' to any
        ${fwcmd} add nat 100 ip from any to ${sip}

        ${fwcmd} add check-state

        # Allow gre
        ${fwcmd} add allow gre from any to any

        # Stop RFC1918 nets on the outside interface (10.50.9.0/24 - телекомовская сетка, для трассы)
        ${fwcmd} add deny log all from 'table(5)' to any via ${sif}

        # Allow TCP through if setup succeeded
        ${fwcmd} add pass tcp from any to any established

        # Allow IP fragments to pass through
        ${fwcmd} add pass all from any to any frag

        # Allow access to our DNS
        ${fwcmd} add pass udp from any to any 53
        ${fwcmd} add pass udp from any 53 to any

        # Allow access to our WWW
        ${fwcmd} add pass tcp from any to ${sip} 80 in via ${sif} setup

        # Allow to me ssh
        ${fwcmd} add pass tcp from any to ${sip} 22 keep-state

        # NTP
        ${fwcmd} add pass udp from any to any 123 via ${sif}

        # Everything else is denied by default, unless the
        # IPFIREWALL_DEFAULT_TO_ACCEPT option is set in your kernel
        # config file.
        ${fwcmd} add allow all from any to any via ${iif} limit src-addr 40

        ${fwcmd} add allow icmp from any to any icmptype 0,3,4,8,11,12
        ${fwcmd} add deny log ip from any to any
        ;;

[Cc][Ll][Oo][Ss][Ee][Dd])
        setup_loopback
        ;;
[Uu][Nn][Kk][Nn][Oo][Ww][Nn])
        ;;
*)
        if [ -r "${firewall_type}" ]; then
                ${fwcmd} ${firewall_flags} ${firewall_type}
        fi
        ;;
esac

где iif="ste0" - сетевушка, смотрящая внутрь локальной сети
sif="fxp0" - сетевушка , смотрящая в мир

ну и в rc.conf

Код: Выделить всё

firewall_enable="YES"
firewall_type="SIMPLE"

так-то так

[schizoid]

кто и зачем переместил тему?

[schizoid]

аха. вижу кто. а зочем?

[babajan]

Спасибо больше, человеческое спасибо тебе за даный пример С меня как бы причитается

только вот, объясни, как мне вот тут то поступить:

где iif="ste0" - сетевушка, смотрящая внутрь локальной сети
sif="fxp0" - сетевушка , смотрящая в мир

если у меня поднимается pppoe, я так понял заместь fxp0, нужно ставить мой tun0, a у него то ip-шник динамический , а в переменных присуцтвует:
snet="192.168.1.0"
smask="255.255.255.0"
где мне их взять статически? или же каждый раз переназначать???
или же ставить не pppoe а реальную железку, типа ral0? хотя это тоже получиться локалка провайдера, и денамическим ip

[schizoid]

можно при поднятии туннеля передергивать фаервол. а в нем уже скриптом узнавать нужные параметры.

[babajan]

можно при поднятии туннеля передергивать фаервол. а в нем уже скриптом узнавать нужные параметры.

все, окончательно запутался
быть может возможно сделать без этого?
можно это как то все по подробнее, и можно ли этот скрипт автоматизировать

[schizoid]

давайте в аську. быстрее будет

[Paltish]

господа помогите с конфигом для связки ng_car+Abiils чтоб управлял шлюзом на отдельной тачке, vpn не нужен достаточно ограничений в ipfw по ip на юзера.

[Mobilesfinks]

Настраиваю связку по статье.
Apache22 не стартует. В логах апача ошибка:

Код: Выделить всё

[warn] Init: Session Cache is not configured [hint: SSLSessionCache]

Чего подкрутить?

[Mobilesfinks]

Настраиваю связку по статье.
Apache22 не стартует. В логах апача ошибка:

Код: Выделить всё

[warn] Init: Session Cache is not configured [hint: SSLSessionCache]

Чего подкрутить?

Сори затупил. Там просто ServerHostname криво указан был, не туда глянул. Вопрос другого плана созрел. Запустил апачу, захожу на страничку, запрашивает логин и пароль. Какой логин и пароль вводить? тот что забивали в БД мускуля?

[Mobilesfinks]

Настраиваю связку по статье.
Apache22 не стартует. В логах апача ошибка:

Код: Выделить всё

[warn] Init: Session Cache is not configured [hint: SSLSessionCache]

Чего подкрутить?

Сори затупил. Там просто ServerHostname криво указан был, не туда глянул. Вопрос другого плана созрел. Запустил апачу, захожу на страничку, запрашивает логин и пароль. Какой логин и пароль вводить? тот что забивали в БД мускуля?

В БД добавляли abills/abills (логин/пасс) не обратил внимания, тупо скопипастил.

[Гость]

хватит устраивать соревнования по оверквотингу с сами собой

[Mobilesfinks]

Соревнования не устраиваю, а просто ищу иголку в стоге сена. Заодно учусь. Это всё флуд...
Есть такая ситуация. Запустил апач, биллинг. Зашёл в ВэбМорду админа и вообще там не увидел в разделе "Система" пункта "Интернет", т.е. не могу добавить тарифы - нету такой возможности. Кто нибудь сталкивался?
Доп Инфа. Ставил Абиллс из портов версия 0.41.

[schizoid]

Правим /usr/local/abills/libexec/config.pl
#DB configuration
$conf{dbhost}='localhost';
$conf{dbname}='abills';
$conf{dbuser}='abills';
$conf{dbpasswd}='sqlpassword';
$conf{ADMIN_MAIL}='info@your.domain';
$conf{USERS_MAIL_DOMAIN}="your.domain";
# используется для шифрования паролей администраторов и пользователей.
$conf{secretkey}="test12345678901234567890";

ключевое слово Правим, а не создаем файлик /usr/local/abills/libexec/config.pl

[stels]

Помогите пожалуйста! никак не получается авторизовать пользователя через PPPoE !!!

Система FreeBSD 8.0

Устанавил Abills, MPD5, FreeRadius,
действовал строго по статье. Пересобрал ядро с поддержкой всех перечисленных опций!
Все запустилось и все работает!
только вот:
в админке Abills создал пользователя, т/план и тд и тп!

А он не авторизовывается!!!

Код: Выделить всё

2010-02-04 20:54:28 LOG_WARNING: AUTH [stels] REJECT Wrong password CID 001966f3c035

Логин/пароль - естественно правильные!!
через radtest выдает ip/mask и тд.

Непойму в чем дело!!! помогите пож!!!
Трое суток уже нэт юзаю!!! - ничего все конфиги перетряхнул - ничего!!!
ОШИБКА 691 - неверный логин, пароль!!! и все тут!

Такое ошущение как будто RADIUS неправильно раскодирует пароль (MD5)!!
Потому что если с консоли вводить пароль в открытом виде - пропускает!
А если пароль получен от Windows - не пропускает!

P.S. А может это Windows не правильно кодирует?!?

Подскажите хоть что нибудь плиз - я уже не знаю что делать!!!

[stels]

Всем спасибо как говориться ....

Сам разобрался - на 4 сутки без сна!

Весь косяк был в кривой установке модуля PERL - Digest::MD5!!!
- я же говорил.

Просто я так понял лучше устанавливать через пакеты, чем через cpan!!! - в пакетах ошибки пишутся, а в спан нет!
В общем переустановил модуль и все пошло!!!

ВЫВОД:
- на FreeBSD 8.0 ставить можно - работает!
- не знаю точно нужно ли компилить ядро - пока мыкался пересобрал

БАГИ из статьи с которыми столкнулся:
- если после добавления в httpd.conf, apache не запускается надо создать директорию /var/log/httpd/ - это для логов Abills
- модули Perl которые нужны надо установить ДО установки Abills
- все конфиги для MPD5 и Radius'а есть в пакете Abills в директории misc (различаются по типу соединения)

ну вот как то так.

[stels]

Помогите пожалуйста настроить IPFW + NAT!!

Руководствуясь статьей я настроил apfw + nat, но почему то инет не в какую не идет к подключившимся через PPPoE юзерам! Я новичок в рабате с Firewall'ом - поэтому не могу свободно составить правила для него которые бы работали как мне надо!

Если у кого есть опыт в таких делах - оч прошу помогите!

Код: Выделить всё

#!/bin/sh

FwCMD="ipfw -cq"
LanOut="rl0"    # внешняя сетевуха
LanIn="nfe0"    # внутренняя сетевуха
IpOut="10.10.10.2"   # внешний IP
IpIn="192.168.1.1"    # внутренний IP
NetOut="10.10.10.0/29"    # внешняя сеть
NetIn="192.168.1.0/24"     # внутренняя сеть

ipfw -f flush
ipfw -f table 1 flush

${FwCMD} table 1 add 192.168.0.0/24

${FwCMD} add check-state
${FwCMD} add allow ip from any to any via lo0
${FwCMD} add deny ip from any to 127.0.0.0/8
${FwCMD} add deny ip from 127.0.0.0/8 to any

${FwCMD} nat 100 config if ${LanOut} allow ip from any to any via lo0
${FwCMD} add allow ip from ${NetIn} to ${NetIn} via ${LanIn}
${FwCMD} add allow ip from 'table(1)' to 'table(1)'
${FwCMD} add nat 100 ip from 'table(1)' to any
${FwCMD} add nat 100 ip from any to ${IpOut}
${FwCMD} table 1 add 192.168.0.0/24

${FwCMD} add 65535 deny ip from any to any

Инет доступен серверу через шлюз 10.10.10.1
route_enable="YES"
Firewall, NAT и ng_car собраны в ядре.

Буду очень признателен если укажите на ошибки и/или дополнения!!!
Заранее спасибо!

[chocopie]

устанавливал связку по статье щизоида и мануалам на abills.ua.
МПД радиусу передает запрос на авторизацию. А дальше какие то проблемы. Веб-интерфейс работает по адресу https://yourhost:9433/admin/.
Лог radiusd -X в момент аутентификации:

Код: Выделить всё

rad_recv: Access-Request packet from host 127.0.0.1 port 48279, id=152, length=64
        User-Name = "abills"
        User-Password = "abills"
        NAS-IP-Address = 127.0.0.1
        NAS-Port = 0
        Framed-Protocol = PPP
+- entering group authorize {...}
++[preprocess] returns ok
Use of uninitialized value $conf{"dbtype"} in concatenation (.) or string at /usr/local/abills/libexec/rauth.pl line 16.
Use of uninitialized value $sql_type in concatenation (.) or string at /usr/local/abills/libexec/..//Abills/SQL.pm line 25.
Can't locate object method "connect" via package "main" at /usr/local/abills/libexec/..//Abills/SQL.pm line 28.
Exec-Program output: Module '' not supported yet
Exec-Program-Wait: plaintext: Module '' not supported yet
Exec-Program: returned: 2
++[abills_preauth] returns fail
Invalid user: [abills/abills] (from client localhost port 0)
Using Post-Auth-Type Reject
+- entering group REJECT {...}
Use of uninitialized value $conf{"dbtype"} in concatenation (.) or string at /usr/local/abills/libexec/rauth.pl line 16.
Use of uninitialized value $sql_type in concatenation (.) or string at /usr/local/abills/libexec/..//Abills/SQL.pm line 25.
Can't locate object method "connect" via package "main" at /usr/local/abills/libexec/..//Abills/SQL.pm line 28.
Exec-Program output: Module '' not supported yet
Exec-Program-Wait: plaintext: Module '' not supported yet
Exec-Program: returned: 2
++[abills_postauth] returns fail
Delaying reject of request 1 for 1 seconds
Going to the next request
Waking up in 0.7 seconds.
Sending delayed reject for request 1
Sending Access-Reject of id 152 to 127.0.0.1 port 48279
Waking up in 4.9 seconds.
Cleaning up request 1 ID 152 with timestamp +2060

В чем проблема-то?