[Comm] VPN + accounting

[Comm] VPN + accounting

[Alexey S. Kuznetsov]

Привет всем!
  Такой вопрос, настроил я наконец-то VPN(pptpd+freeradius).
  Но всё осталась проблема с mppe. Когда она required, то данные по
  туннелю вообще не идут.
  Как вы считаете безопастно ли использовать обычный туннельб без
  шифрования данных?

  В общем freeradius в mysql таблице radacct выводит информацию и
  сессии, после разрыва соединения. Но можно ли по ней считать трафик?
  Что с ним будет, если во время соединения зависнет сервер? Она не
  запишется в таблицу?

  Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
  несколько интефейсов ppp, то, он не запускается, потому что не все
  ppp интерфейсы подняты.
  NIBS не предлагайте.
  

-- 
Sincerely,
 Alexey S. Kuznetsov    
 AK2351-RIPE

[Comm] Re: VPN + accounting

[Konstantin A. Lepikhov]

Hi Alexey!

Wednesday 16, at 10:51:23 AM you wrote:

> Привет всем!
>   Такой вопрос, настроил я наконец-то VPN(pptpd+freeradius).
>   Но всё осталась проблема с mppe. Когда она required, то данные по
>   туннелю вообще не идут.
>   Как вы считаете безопастно ли использовать обычный туннельб без
>   шифрования данных?
В общем случае да. Даже если клиент захочет у другого пароль утянуть, то
не сможет.

> 
>   В общем freeradius в mysql таблице radacct выводит информацию и
>   сессии, после разрыва соединения. Но можно ли по ней считать трафик?
>   Что с ним будет, если во время соединения зависнет сервер? Она не
>   запишется в таблицу?
У radius есть один недостаток - он считает _суммарный_ трафик, если вы
предоставляете деление на локальный/зарубежный/etc, то считать через
radacct не получится. Насчет зависания - если у вас не используются
транкзанкции/либо запись start/stop sessions по разным базам, то получите
"зависшую" запись, которую можно только удалить.

> 
>   Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
>   несколько интефейсов ppp, то, он не запускается, потому что не все
>   ppp интерфейсы подняты.
Возьмите ipcad, поднимите на нем netflow и считайте, как вздумается.

>   NIBS не предлагайте.
а что, он так плох ? ;)

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] Re: VPN + accounting

[Alexey S. Kuznetsov]

Hello Konstantin,

Wednesday, June 16, 2004, 11:53:42 AM, you wrote:

KAL> Hi Alexey!

KAL> Wednesday 16, at 10:51:23 AM you wrote:

>> Привет всем!
>>   Такой вопрос, настроил я наконец-то VPN(pptpd+freeradius).
>>   Но всё осталась проблема с mppe. Когда она required, то данные по
>>   туннелю вообще не идут.
>>   Как вы считаете безопастно ли использовать обычный туннельб без
>>   шифрования данных?
KAL> В общем случае да. Даже если клиент захочет у другого пароль утянуть, то
KAL> не сможет.

>> 
>>   В общем freeradius в mysql таблице radacct выводит информацию и
>>   сессии, после разрыва соединения. Но можно ли по ней считать трафик?
>>   Что с ним будет, если во время соединения зависнет сервер? Она не
>>   запишется в таблицу?
KAL> У radius есть один недостаток - он считает _суммарный_ трафик, если вы
KAL> предоставляете деление на локальный/зарубежный/etc, то считать через
KAL> radacct не получится. Насчет зависания - если у вас не используются
KAL> транкзанкции/либо запись start/stop sessions по разным базам, то получите
KAL> "зависшую" запись, которую можно только удалить.
А нельзя лди сделать, чтобы данные о трафике и времени писались во
время сеанса, например раз в 5 минут?

>> 
>>   Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
>>   несколько интефейсов ppp, то, он не запускается, потому что не все
>>   ppp интерфейсы подняты.
KAL> Возьмите ipcad, поднимите на нем netflow и считайте, как вздумается.

можно подробнее?

-- 
Sincerely,
 Alexey S. Kuznetsov    
 AK2351-RIPE

Re[2]: [Comm] Re: VPN + accounting

[Alexey S. Kuznetsov]

Hello Nick,

Wednesday, June 16, 2004, 1:03:44 PM, you wrote:

>> >>   Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
>> >>   несколько интефейсов ppp, то, он не запускается, потому что не все
>> >>   ppp интерфейсы подняты.
>>
>> KAL> Возьмите ipcad, поднимите на нем netflow и считайте, как вздумается.
>>
>> можно подробнее?

NSG> ipcad сейчас попробую отправить в дедал. он умеет экспорт netflow (как
NSG> cisco-router), а дальше можно считать netams (он умеет забирать netflow).

я ничего не понял. Где читать?

-- 
Sincerely,
 Alexey S. Kuznetsov    
 AK2351-RIPE

Re: [Comm] Re: VPN + accounting

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 513 bytes --]

> >>   Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
> >>   несколько интефейсов ppp, то, он не запускается, потому что не все
> >>   ppp интерфейсы подняты.
>
> KAL> Возьмите ipcad, поднимите на нем netflow и считайте, как вздумается.
>
> можно подробнее?

ipcad сейчас попробую отправить в дедал. он умеет экспорт netflow (как 
cisco-router), а дальше можно считать netams (он умеет забирать netflow).

-- 
с уважением, 
Nick S. Grechukh

network administrator of
Refractory Trading House 

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Re: VPN + accounting

[Nick S. Grechukh]

[-- Attachment #1: Type: text/plain, Size: 833 bytes --]

В сообщении от Среда 16 Июнь 2004 12:57 Alexey S. Kuznetsov написал(a):
> Hello Nick,
>
> Wednesday, June 16, 2004, 1:03:44 PM, you wrote:
> >> >>   Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
> >> >>   несколько интефейсов ppp, то, он не запускается, потому что не все
> >> >>   ppp интерфейсы подняты.
> >>
> >> KAL> Возьмите ipcad, поднимите на нем netflow и считайте, как
> >> вздумается.
> >>
> >> можно подробнее?
>
> NSG> ipcad сейчас попробую отправить в дедал. он умеет экспорт netflow (как
> NSG> cisco-router), а дальше можно считать netams (он умеет забирать
> netflow).
>
> я ничего не понял. Где читать?
например здесь
http://www.netams.com/index-rus.html

а данные ему будет поставлять ipcad через netflow.

-- 
с уважением, 
Nick S. Grechukh

network administrator of
Refractory Trading House 

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] VPN + accounting

[Andy Gorev]

Alexey S. Kuznetsov wrote:
> Привет всем!
>   Такой вопрос, настроил я наконец-то VPN(pptpd+freeradius).
>   Но всё осталась проблема с mppe. Когда она required, то данные по
>   туннелю вообще не идут.
Должны идти. Уточните версию ядра, pptpd, ppp и его конфиг.

>   Как вы считаете безопастно ли использовать обычный туннельб без
>   шифрования данных?
> 
>   В общем freeradius в mysql таблице radacct выводит информацию и
>   сессии, после разрыва соединения. Но можно ли по ней считать трафик?
>   Что с ним будет, если во время соединения зависнет сервер? Она не
>   запишется в таблицу?
> 
>   Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
>   несколько интефейсов ppp, то, он не запускается, потому что не все
>   ppp интерфейсы подняты.
>   NIBS не предлагайте.
Ну и зря, он может именно то, что вам надо - сбрасывать алайвом в базу 
трафик каждые N минут и (уже) грамотно разруливает зависшие сессии.

-- 
С Уважением,
Андрей Горев

Re[2]: [Comm] VPN + accounting

[Alexey S. Kuznetsov]

Hello Andy,

Thursday, June 17, 2004, 11:24:12 AM, you wrote:

AG> Alexey S. Kuznetsov wrote:
>> Привет всем!
>>   Такой вопрос, настроил я наконец-то VPN(pptpd+freeradius).
>>   Но всё осталась проблема с mppe. Когда она required, то данные по
>>   туннелю вообще не идут.
AG> Должны идти. Уточните версию ядра, pptpd, ppp и его конфиг.
PoPToP v1.1.4-b3
pppd version 2.4.2
2.4.26-std-up-alt3
всё из сизифа:

[root@linuxbox root]# cat /etc/ppp/options.pptpd
lock
ipparam PoPToP
mtu 1490
mru 1490
debug
proxyarp
auth
asyncmap 0
-pap
-chap
-mschap
+mschap-v2
require-mppe #без него всё работает....а с ним сессия начинается, но данные кроме пингов и открытия сайта www.ya.ru ничего.
lcp-echo-failure 30
lcp-echo-interval 5
ipcp-accept-local
ipcp-accept-remote
ms-dns 213.179.255.225
plugin radius.so




>>   Как вы считаете безопастно ли использовать обычный туннельб без
>>   шифрования данных?
>> 
>>   В общем freeradius в mysql таблице radacct выводит информацию и
>>   сессии, после разрыва соединения. Но можно ли по ней считать трафик?
>>   Что с ним будет, если во время соединения зависнет сервер? Она не
>>   запишется в таблицу?
>> 
>>   Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
>>   несколько интефейсов ppp, то, он не запускается, потому что не все
>>   ppp интерфейсы подняты.
>>   NIBS не предлагайте.
AG> Ну и зря, он может именно то, что вам надо - сбрасывать алайвом в базу
AG> трафик каждые N минут и (уже) грамотно разруливает зависшие сессии.
 Я придумал другой способ

-- 
Sincerely,
 Alexey S. Kuznetsov    
 AK2351-RIPE

Re: [Comm] VPN + accounting

[Andy Gorev]

Alexey S. Kuznetsov wrote:
> Hello Andy,
> 
> Thursday, June 17, 2004, 11:24:12 AM, you wrote:
> 
> AG> Alexey S. Kuznetsov wrote:
> 
>>>Привет всем!
>>>  Такой вопрос, настроил я наконец-то VPN(pptpd+freeradius).
>>>  Но всё осталась проблема с mppe. Когда она required, то данные по
>>>  туннелю вообще не идут.
> 
> AG> Должны идти. Уточните версию ядра, pptpd, ppp и его конфиг.
> PoPToP v1.1.4-b3
> pppd version 2.4.2
> 2.4.26-std-up-alt3
> всё из сизифа:

Тогда стоило писать в сизиф, а не комьюнити.

> [root@linuxbox root]# cat /etc/ppp/options.pptpd
> lock
> ipparam PoPToP
> mtu 1490
> mru 1490

а должно быть
mtu 1480
mru 1480

> debug
> proxyarp
> auth
> asyncmap 0
> -pap
> -chap
> -mschap
> +mschap-v2

-pap
-chap
-mschap
+mschap-v2
+mppe
Рабочая конфигурация.

> require-mppe #без него всё работает....а с ним сессия начинается, но данные кроме пингов и открытия сайта www.ya.ru ничего.
У вас проблемы с MTU (см.выше)

> lcp-echo-failure 30
> lcp-echo-interval 5
> ipcp-accept-local
> ipcp-accept-remote
> ms-dns 213.179.255.225
> plugin radius.so
> 
> 
> 
> 
> 
>>>  Как вы считаете безопастно ли использовать обычный туннельб без
>>>  шифрования данных?
>>>
>>>  В общем freeradius в mysql таблице radacct выводит информацию и
>>>  сессии, после разрыва соединения. Но можно ли по ней считать трафик?
>>>  Что с ним будет, если во время соединения зависнет сервер? Она не
>>>  запишется в таблицу?
>>>
>>>  Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
>>>  несколько интефейсов ppp, то, он не запускается, потому что не все
>>>  ppp интерфейсы подняты.
>>>  NIBS не предлагайте.
> 
> AG> Ну и зря, он может именно то, что вам надо - сбрасывать алайвом в базу
> AG> трафик каждые N минут и (уже) грамотно разруливает зависшие сессии.
>  Я придумал другой способ
Используя netflow? Потом долго будете клиентам объяснять разницу между 
своими и их цифрами ;-)

-- 
С Уважением,
Андрей Горев

Re[2]: [Comm] VPN + accounting

[Alexey S. Kuznetsov]

Hello Andy,

Thursday, June 17, 2004, 7:20:09 PM, you wrote:

AG> Alexey S. Kuznetsov wrote:
>> Hello Andy,
>> 
>> Thursday, June 17, 2004, 11:24:12 AM, you wrote:
>> 
>> AG> Alexey S. Kuznetsov wrote:
>> 
>>>>Привет всем!
>>>>  Такой вопрос, настроил я наконец-то VPN(pptpd+freeradius).
>>>>  Но всё осталась проблема с mppe. Когда она required, то данные по
>>>>  туннелю вообще не идут.
>> 
>> AG> Должны идти. Уточните версию ядра, pptpd, ppp и его конфиг.
>> PoPToP v1.1.4-b3
>> pppd version 2.4.2
>> 2.4.26-std-up-alt3
>> всё из сизифа:

AG> Тогда стоило писать в сизиф, а не комьюнити.

>> [root@linuxbox root]# cat /etc/ppp/options.pptpd
>> lock
>> ipparam PoPToP
>> mtu 1490
>> mru 1490

AG> а должно быть
AG> mtu 1480
AG> mru 1480
всё равно...некоторые сайты грузит, некоторые нет...например
google.com открывает, а yahoo.com - нет (




-- 
Sincerely,
 Alexey S. Kuznetsov    
 AK2351-RIPE

[Comm] Re: VPN + accounting

[Konstantin A. Lepikhov]

Hi Andy!

Thursday 17, at 12:24:12 PM you wrote:

> >  Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
> >  несколько интефейсов ppp, то, он не запускается, потому что не все
> >  ppp интерфейсы подняты.
> >  NIBS не предлагайте.
> Ну и зря, он может именно то, что вам надо - сбрасывать алайвом в базу 
> трафик каждые N минут и (уже) грамотно разруливает зависшие сессии.
И при этом умеет отделять тип этого трафика? А также "бить" по протоколам
и портам?

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] VPN + accounting

[Andy Gorev]

Alexey S. Kuznetsov wrote:

> AG> а должно быть
> AG> mtu 1480
> AG> mru 1480
> всё равно...некоторые сайты грузит, некоторые нет...например
> google.com открывает, а yahoo.com - нет (

Пробуйте последовательно сначала 1476, потом 1472. Возможно ваш трафик 
где-то еще туннелируется или используется sat.

-- 
С Уважением,
Андрей Горев

Re: [Comm] Re: VPN + accounting

[Andy Gorev]

Konstantin A. Lepikhov wrote:
> Hi Andy!
> 
> Thursday 17, at 12:24:12 PM you wrote:
> 
> 
>>> Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
>>> несколько интефейсов ppp, то, он не запускается, потому что не все
>>> ppp интерфейсы подняты.
>>> NIBS не предлагайте.
>>
>>Ну и зря, он может именно то, что вам надо - сбрасывать алайвом в базу 
>>трафик каждые N минут и (уже) грамотно разруливает зависшие сессии.
> 
> И при этом умеет отделять тип этого трафика? А также "бить" по протоколам
> и портам?

AFAIK нет. Типы там только входящий, исходящий и суммарный. И проблема 
это не нибса, а радиусклиента. А так-ли важен биллинг по портам? Если 
нужен аккаунтинг по типам и портам, используйте ipac.

-- 
С Уважением,
Андрей Горев

[Comm] Re: VPN + accounting

[Konstantin A. Lepikhov]

Hi Andy!

Friday 18, at 12:32:12 PM you wrote:

<skip>
> >И при этом умеет отделять тип этого трафика? А также "бить" по протоколам
> >и портам?
> 
> AFAIK нет. Типы там только входящий, исходящий и суммарный. И проблема 
> это не нибса, а радиусклиента. А так-ли важен биллинг по портам? Если 
это-то я знаю. Это в принципе невозможно :)

> нужен аккаунтинг по типам и портам, используйте ipac.
ну вот опять какая-то программулька, которая закидывает данные в другую
прграммульку, поскольку нормально отдать их в виде удобном для биллинга
виде не может. Чем это хуже netflow?

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] VPN + accounting

[Andrei M. Laptev]

Alexey S. Kuznetsov пишет:

> всё равно...некоторые сайты грузит, некоторые нет...например
> google.com открывает, а yahoo.com - нет (
> 
А эти симптомы очень похожи на проблему уже обсуждавшуюся:
http://lists.altlinux.ru/pipermail/community/2003-December/107733.html
там же и решение:
http://lists.altlinux.ru/pipermail/community/2003-December/107759.html


Кстати, а чем всетаки нибс не угодил ?
-- 
С уважением,
Лаптев Андрей

Re[2]: [Comm] Re: VPN + accounting

[Alexey S. Kuznetsov]

Hello Andy,

Friday, June 18, 2004, 11:32:12 AM, you wrote:

AG> Konstantin A. Lepikhov wrote:
>> Hi Andy!
>> 
>> Thursday 17, at 12:24:12 PM you wrote:
>> 
>> 
>>>> Хотел считать netacct-mysql, но когда прописываешь в конфиге сразу
>>>> несколько интефейсов ppp, то, он не запускается, потому что не все
>>>> ppp интерфейсы подняты.
>>>> NIBS не предлагайте.
>>>
>>>Ну и зря, он может именно то, что вам надо - сбрасывать алайвом в базу
>>>трафик каждые N минут и (уже) грамотно разруливает зависшие сессии.
>> 
>> И при этом умеет отделять тип этого трафика? А также "бить" по протоколам
>> и портам?

AG> AFAIK нет. Типы там только входящий, исходящий и суммарный. И проблема
AG> это не нибса, а радиусклиента. А так-ли важен биллинг по портам? Если
AG> нужен аккаунтинг по типам и портам, используйте ipac.

да я вообще буду netacct использовать, ИМХО лучшее решение.

-- 
Sincerely,
 Alexey S. Kuznetsov    
 AK2351-RIPE

Re[2]: [Comm] VPN + accounting

[Alexey S. Kuznetsov]

Hello Andrei,

Friday, June 18, 2004, 1:37:56 PM, you wrote:

AML> Alexey S. Kuznetsov пишет:

>> всё равно...некоторые сайты грузит, некоторые нет...например
>> google.com открывает, а yahoo.com - нет (
>> 
AML> А эти симптомы очень похожи на проблему уже обсуждавшуюся:
AML> http://lists.altlinux.ru/pipermail/community/2003-December/107733.html
AML> там же и решение:
AML> http://lists.altlinux.ru/pipermail/community/2003-December/107759.html


AML> Кстати, а чем всетаки нибс не угодил ?

та собрать не получается

-- 
Sincerely,
 Alexey S. Kuznetsov    
 AK2351-RIPE

Re[2]: [Comm] VPN + accounting

[Alexey S. Kuznetsov]

Hello Andrei,

Friday, June 18, 2004, 1:37:56 PM, you wrote:

AML> Alexey S. Kuznetsov пишет:

>> всё равно...некоторые сайты грузит, некоторые нет...например
>> google.com открывает, а yahoo.com - нет (

AML> там же и решение:
AML> http://lists.altlinux.ru/pipermail/community/2003-December/107759.html

iptables -A FORWARD -i ppp+ -o eth0  -p tcp --tcp-flags SYN,RST SYN -j TCPMSS
--set-mss 1024

а такое можно прописать с помощью ipchains?

-- 
Sincerely,
 Alexey S. Kuznetsov    
 AK2351-RIPE