[Sysadmins] Radius: привязка пользователя к клиенту

[Sysadmins] Radius: привязка пользователя к клиенту

[Michael A. Kangin]

Добрый день.

Есть радиус-сервер (freeradius).
Есть несколько серверов без возможностей дополнительных настроек, каждый 
выступает как отдельный клиент.
Есть многопользователей, некоторым нужен доступ на все сервера, а 
некоторым - только на какие-то.

При попытке входа пользователя на сервер я вижу только такую информацию 
у радиус-сервера:
rad_recv: Access-Request packet from host 192.168.2.2 port 1257, id=131, 
length=84
User-Name = "user1"
User-Password = "mypassword"
NAS-IP-Address = 127.0.0.1
NAS-Identifier = "webauthradius"
NAS-Port = 232
NAS-Port-Type = Virtual
Service-Type = Authenticate-Only

т.е. сервера отличаются только хостом, с которого идёт запрос, а все 
AV-пары одинаковые.

Можно как-нибудь в таких условиях сделать так, чтобы какой-то 
пользователь мог входить только с определенного сервера (клиента)?



-- 
Michael A. Kangin

Re: [Sysadmins] Radius: привязка пользователя к клиенту

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "Michael A. Kangin" <mak@complife.ru>
> Кому: "ALT Linux sysadmins' discussion" <sysadmins@lists.altlinux.org>
> Отправленные: Пятница, 9 Сентябрь 2011 г 16:23:52
> Тема: [Sysadmins] Radius: привязка пользователя к клиенту
> 
> Добрый день.
> 
> Есть радиус-сервер (freeradius).
> Есть несколько серверов без возможностей дополнительных настроек,
> каждый
> выступает как отдельный клиент.
> Есть многопользователей, некоторым нужен доступ на все сервера, а
> некоторым - только на какие-то.
> 
> При попытке входа пользователя на сервер я вижу только такую
> информацию
> у радиус-сервера:
> rad_recv: Access-Request packet from host 192.168.2.2 port 1257,
> id=131,
> length=84
> User-Name = "user1"
> User-Password = "mypassword"
> NAS-IP-Address = 127.0.0.1
> NAS-Identifier = "webauthradius"
> NAS-Port = 232
> NAS-Port-Type = Virtual
> Service-Type = Authenticate-Only
> 
> т.е. сервера отличаются только хостом, с которого идёт запрос, а все
> AV-пары одинаковые.
> 
> Можно как-нибудь в таких условиях сделать так, чтобы какой-то
> пользователь мог входить только с определенного сервера (клиента)?

по-идее через huntgroups можно сделать привязку по адресам NAS'ов, а потом уже с этими группами делать все, что захочется

Re: [Sysadmins] Radius: привязка пользователя к клиенту

[Michael A. Kangin]

09.09.2011 11:35, Alexei Takaseev пишет:

>>  rad_recv: Access-Request packet from host 192.168.2.2 port 1257,
>>  id=131, length=84
...
>>  NAS-IP-Address = 127.0.0.1
...
>>  т.е. сервера отличаются только хостом, с которого идёт запрос, а все
>>  AV-пары одинаковые.
>>
>>  Можно как-нибудь в таких условиях сделать так, чтобы какой-то
>>  пользователь мог входить только с определенного сервера (клиента)?
>
> по-идее через huntgroups можно сделать привязку по адресам NAS'ов, а потом уже с этими группами делать все, что захочется

А то, что все эти NASы представляются адресом 127.0.0.1, не помешает 
привязке?
А реальный адрес виден только в отладочной строке подключения, и 
значением атрибута, судя по всему, не является...


-- 
Michael A. Kangin

Re: [Sysadmins] Radius: привязка пользователя к клиенту

[Sergey]

On Friday, September 09, 2011, Michael A. Kangin wrote:

> А то, что все эти NASы представляются адресом 127.0.0.1, не помешает 
> привязке?
 
Хм. А вот это неправильно. Почему они так представляются ? Вообще, по
идее, NAS-IP-Address должен формироваться Radius-сервером, а IP браться
из прилетающего пакета...

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] Radius: привязка пользователя к клиенту

[Michael A. Kangin]

09.09.2011 11:54, Sergey пишет:

>>  А то, что все эти NASы представляются адресом 127.0.0.1, не помешает
>>  привязке?
>
> Хм. А вот это неправильно. Почему они так представляются ?

Потому что козлы^W тупые уроды^W^W криворукие проприетарщики.

> Вообще, по
> идее, NAS-IP-Address должен формироваться Radius-сервером, а IP браться
> из прилетающего пакета...

Нет, NAS-IP-Address шлётся радиус-клиентом.

------<rfc2865>-----
Either NAS-IP-Address or NAS-Identifier MUST be present in an 
Access-Request packet.
--------------------


Но меня спас виртуальный атрибут Packet-Src-IP-Address.


-- 
Michael A. Kangin

Re: [Sysadmins] Radius: привязка пользователя к клиенту

[Sergey]

On Friday, September 09, 2011, Michael A. Kangin wrote:

> Можно как-нибудь в таких условиях сделать так, чтобы какой-то 
> пользователь мог входить только с определенного сервера (клиента)?
 
Можно. Например, если авторизация через SQL, то в SQL-запросе можно
использовать любые параметры. Точных советов не дам, я FreeRadius один
раз смотрел, но принципиальных ограничений не увидел с этой стороны.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] Radius: привязка пользователя к клиенту

[Михаил Плужников]

В сообщении от 9 сентября 2011 11:23:52 автор Michael A. Kangin написал:
> Добрый день.
> 
> Есть радиус-сервер (freeradius).
> Есть несколько серверов без возможностей дополнительных настроек, каждый
> выступает как отдельный клиент.
> Есть многопользователей, некоторым нужен доступ на все сервера, а
> некоторым - только на какие-то.
> 
> При попытке входа пользователя на сервер я вижу только такую информацию
> у радиус-сервера:
> rad_recv: Access-Request packet from host 192.168.2.2 port 1257, id=131,
> length=84
> User-Name = "user1"
> User-Password = "mypassword"
> NAS-IP-Address = 127.0.0.1
> NAS-Identifier = "webauthradius"
> NAS-Port = 232
> NAS-Port-Type = Virtual
> Service-Type = Authenticate-Only
> 
> т.е. сервера отличаются только хостом, с которого идёт запрос, а все
> AV-пары одинаковые.
> 
> Можно как-нибудь в таких условиях сделать так, чтобы какой-то
> пользователь мог входить только с определенного сервера (клиента)?
Добейтесь так, что бы можно было хотябы указать для каждого сервера свой уникальный NAS. 
Вы у автомобиля колёса открутите и спросите можно ли не прикручивая их обратно 
использовать как средство передвижения.

Вы сами подуймайте, в таких условиях вы только и сможете надеяться на IP NAS-а. Этого мало 
и не надёжно.