Blokiranje IP adrese nakon 30 dana?

IZBORI: NAJFORUMAŠ I NAJFORUMAŠICA GODINE
AKCIJA: SVI UŽIČANI NA JEDNOM MESTU! Za užičke nekomercijalne organizacije i ustanove besplatno...

[majsta]

Poz
Potrebno je da se nakon 30 dana blokira odredjena IP adresa, a sve u cilju blokiranja pristupa internetu poslije tih 30 dana. Da li je to moguce uraditi pomoci firewalla ili neceg drugog. Da li mora da se koristi hotspot i radius ili je moguce to uraditi na neki drugi nacin? Sadasnja mreza je zasnovana na statickim adresama i djelomicno na DHCP-u pa bi prelazak na hotspot bio problem. Da li je moguce to uraditi pomocu neke skripte i sl?

[Pedja]

Najprimitivnije je da ubacis IP adrese u Address list sa istekom od 30 dana, pa ce one automatski biti obrisane iz liste kada im istekne vreme. U ruteru podesis da dozvoljava izlazak na internet samo ako je ip adresa na listi.

Ako ti je to nesto za obracun i naplatu pristupa internetu onda je svakako bolje resenej da namestis radius i takve stvari kontrolises preko njega.

[majsta]

Puno hvala na odgovoru, citao sam dosta vasih tekstova i neke sam stvari primjenjivao nadogradjivao i sl. Posebno mi se svidjeo tekst za "primoravanje" ljudi da se kace na DC da bi imali ostale mrezne servise. Ovo sam dosta i unaprijedio
Ali, naime ganjam ovo za obracun, znaci da se gasi nakon isteka 30 dana. E sad gledam da to radim preko hotspota, ali sta ja u stvari dobijam sa hotspotom sto vec nemam sa dhcp om u koji su upleteni gateway i dns, ja ne primjecujem da ista dobijam
Radius mogu da povezem i sa dhcp om i to upravo sad radim ali ne dobijam web login stranicu kao kad ga povezem sa hotspotom (mozda je u tome tajna). Da li vrijedi cemu usermanager iz mikrotika posto mi nikako nije u interesu da moram jos jedan racunar koristiti za administraciju radiusa. Sve u svemu ja to sve podesim ali nista ne radi. Preko hotspota se pojavi web stranica za login i sve fercera kako treba ali preko dhcp-a nece. Mozda ja ne shvatam koncept ovog svega.
Naime, proteklih godina mreza je radila po principu dhcp-a koji je djeljen na wlan i ether mrezama. Spojena su i dva mkt-a wireless linkom. Sve je to ok i rutirano i sve radi perfekt ali primjecujem da svi koriste hotspot i radius a i muka mi je od rucnog gasenja korisnika u dato vrijeme. Takodje tu je bio probelm i sa ip adresama kloniranjem ip i mac adresa i sl. Sa hotspotom bi recimo mogao da idem sa dinamickim adresama gde bi svako znao svoj user i pas i bio bi zasticen tako. Kako se hotspot ponasa prilikom povezivanja 2 mkt-a? Moze li u par recenica sta ja dobijam sa hotspotom sto ne mogu ovako da dobijem?

[Pedja]

Stvar je  utome za sta korsitis mrezu. DHCP je sasvim ok i najpogodnije resenje ako radis wireless community gde je potrebno da konekcije izmejdu korisnika idu nesmetano.

Ako radis internet provajding onda je bolje da korsitis hotspot ili da se korsitnici povezuju preko pppoe (ili pptp) jer je tako mreza bezbednija. Na hotspot-u, korisnik mora da se uloguje (da ukuca korisnicko ime i lozinku) sto obezbeduje da pouzdano znas ko je ko na mrezi (na DHCP to ne znas, jer niej tesko promeniti MAC adresu na koju se DHCP oslanja). Dalje, hotspot izoluje korisnike tako da ne mogu da prave konekcije direktno jedni izmejdu drugih, vec sve mora da ide preko rutera, sto ti omogucava mnogo bolju kontrolu tih konekcija, ztim, hotpsot moze korisniku d apokaze neku tvoju web stanicu re nego sto korisnika pust na mrezu, pa da forsira IP korisniku cak i ako ovaj fiksno namesti pogresnu IP adresu na svom racunaru i sve tako nesto.

No, Radious mozes daupotrebis i bez hotspot-a, Radiusu moze da posluzi kao baza za DHCP, tako da na taj nacin mozes da centralizovano administriras korisnike.

Pretpostavljam da ti korinsicima naplacujes pristup mrezi mesecno (sto spada u komericjalno korsicenje mreze, a moras imati razumevanja da nismo radi da bespaltno pomazemo administraciju takvih mreza) i da ti vise odgovara da mozes negde da "otvoris" nalog korisniku i da mu mreza sama sve ostalo zavrsi oko pristupa, a ne da moras rucno sve da podesavas. Ako koristis Radius, onda on moze da dodeljuje korisnicima IP adrese preko DHCP-a, a opet, nekom skriptom mozes da povremeno proveravas DHCP i da za sve adrese koje su dodeljene preko radiusa podesavas timeout u vec pomenutoj address list. Tako mozes imati sitem koji ti omogucava da na jednom mestu (radius) otvoris nalog, a da mreza sve ostalo sama zavrsi oko prava pristupa.

[majsta]

Znam da ste vi neprofitna organizacija i meni je to sve na pocetku bio cilj ali kako sam ulozio za mene ogromnu kolicinu para i kako zbog svog hobija vec 4 ipo godine ulazem sve skoro sam moram na neki nacin da dodjem do para koje iskoristavam za daljnje sirenje mreze...
Ok, danas sam podesio hotspot i radius i userman to sve radi kako treba, medjutim ne uspjevam da povezem dhcp radius i userman. Negdje grijesim, a ako bi ovo uradio hotspot mi i ne treba. Koliko sam shvatio kada kreiram dhcp on mi dodjeljuje ip adresu koju pod lease podesim kao staticku, zatim povezem dhcp sa radiusom na kojem podesim da koristi dhcp, zatim usrman sa radiusom. U principu slicna procedura kao i sa hotspot-radius. To sve uradim ali nece. Moze li samo u par recenica gdje grijesim.

[Pedja]

Tu ti ne mogu pomoci, nisam koristio takvu konfiguraciju.

Kada korsitis radus za DHCP onda kao username treba da stavis MAC adresu korisnika, a u DHCP-u treba dapodesis da korsiti radius u NE SMES u DHCP-u imati podesene IP adrese za neke korsinike, jer DHCP prvo proverava lokalan podesavanja pa tek ako ne nadje kod sebe lease za MAC adresu, onda se obrati Radius serveru.

[majsta]

Jeste jeste, u pravu si sad kad se sjetim upravo sam to citao, moja greska je bila sto sam stavljao staticku, tj. vezao mac za odredjeni ip u lease, pa se onda on zbunjivao sa radiusom. A user sam stavljao mac, ajde probacu sad pa cemo da vidimo. Hvala puno

[majsta]

Da, to sad radi ali opet problem za problemom. Znaci adressa se dodjeli, moguce je i da se ogranici vrijeme i brzina, ali sta sprjecava korisnika da sam unese staticku adresu i da opet izadje na mrezu i intenet. Tu ne vidim rjesenje jer masquerade je upaljen za taj rang. Hm, ganjacu jos...

[Pedja]

Maskaradu namesti da radi samo za adrese koje su navedene u listi tako da im je dozvoljen prolaz na Internet.

Problem sa korisnicima koji sami nameste staticke IP adrese je tesko resiv preko DHCP-a. Upravo za to i sluze hotspot ili konekcije preko VPN.

Ono sto mozes da uradis to je da korsitis staticku ARP listu i tako onemogucis pristup mrezi korisnicima kojima to nije unapred dozvoljeno. Kako se to podesava naci ces u uputstvu Mikrotika. Medjutim i to nije sasvim pouzdano resenje, da se zeznuti ako korisnik zna strukturu mreze i ume da lazira MAC adrese. Dodatno je problem ako korsinici za povezivanje koriste AP klijente, jer neki klijenti maskiraju MAC tako da nastaju problemi ako se koristi staticni ARP.

[majsta]

Da, upravo to sada i radi na mrezi, znaci lista prolazi kroz masquerade, arp je upaljen, a znam i za problem sa ap om i mac adresom iza njega. Ali kazem ti opet kad stavim masqueade da cita sa liste ip adrese koje mogu da prodju opet moram imati listu i opet moram rucno disejblovati korisnike kad im istekne uplaceni period. Jer bez obzira sto sve ide preko radiusa i dhcpa opet se kontaktira lista i cak ako istekne vrijeme za odredjenu ip zadatu od radiusa tu je ista ip adresa na listi i korisnik opet moze dodati sam tu staticku adresu i proci ce. U tome je problem. Meni se sve cini da sam ja ovo puno zakomplikovao, mozgam non stop a milim da idem pogresnim putem da to ljudi rade totalno drugacije...

[Pedja]

U address list treba IP-ove dodajes kao dinamicke slogove kojima je podeseno vreme kada bivaju automatski izbrisani sa liste. Tako ti IP-ovi nece ostajati u listi.

U listu ih mozes dodavati nekom skriptom koja ce pronaci IP-ove korisnika kojima je pristup dozvoljen u radiusu.

Recimo, stavi da IP-ovi u address listi ostaju najduze 10 mionuta a napravi skriptu koja ce svakih 5 minuta da da pregleda DHCP lease tabelu i izdvoji sve IP-ove koji su dodeljeni od strane Radiusa ( koliko sam video u uputstvu za MT, u DHCP su posebno oznaceni IP-ovi koje je dodelio Radius) i dodaje ih u adress list. Tako ce, kada nekome u radiusu istekne nalog, najdalje za 10 minuta taj IP biti obrisan sa liste.

[majsta]

uh to je sve previse komplikovao icicu drugim putem pa cu ti javiti sta sam napravio.
rercimo http://wiki.mikrotik.com/wiki/AutomatedBilling
al ovo je za verziju 3.0 mozda postoje neke prepravke za starije verzije.