DOKUMENTACJA TECHNICZNA DO PROJEKTU: SERWER AUTORYZUJĄCY + WYDAJNY ROUTER ISP Niniejszy podręcznik stanowi dokumentację techniczną do projektu umieszczonego pod adresem www.vberry.net i jest jego integralną częścią. 1. Czym różni się router i serwer autoryzujący w wykonaniu marki vberry.net od innych tego typu projektów? Zasadniczą różnicą jest podejście do zagadnienia z perspektywy średniego i dużego dostawcy usług internetowych (ISP). Router został zaprojektowany z myślą o uzyskaniu jak najwyższej wydajności w zadaniach kształtowania pasma ruchu użytkowników. Zastosowano technikę tablic mieszających (hash tables) oraz narzędzie list adresów (ipset), które pozwalają znacząco obniżyć zużycie procesora, co przekłada się na możliwość obsłużenia większej ilości klientów przez jeden router. Dodatkowo skonfigurowany serwer radius, pozwala zastosować autoryzację klientów pppoe na węzłach końcowych sieci szkieletowej w celu zabezpieczenia dostępu oraz rozłożenia obciążenia po wielu serwerach pppoe. Serwer radius skonfigurowany został również do autoryzacji klientów radiowych po adresie mac. Serwer został wyposażony w opcjonalny interfejs użytkownika LMS. 2. Założenia. Założenia użytkowe i techniczne dokonane na etapie projektowania systemu: Router wraz z serwerem autoryzującym radius instalowany jest na wersji netinstall systemu debian. Po instalacji router i serwer autoryzujący przyjmują domyślną konfigurację adresów i są natychmiast gotowe do użycia. Do użytkowania systemu nie są wymagane żadne umiejętności z zakresu obsługi systemu linux, wszystkie operacje związane z zarządzaniem klientami można wykonać z poziomu panelu www (LMS). Cała konfiguracja routera przechowywana jest w jednym katalogu /etc w postaci plików tekstowych. Projekt ten można bezproblemowo doinstalować do już istniejących instalacji. Na podstawie tekstowych plików konfiguracyjnych, przy użyciu skryptów generowane są pliki konfiguracyjne dla usług: freeradius (autoryzacja), bind (dns cache), dhcpd (automatyczny przydział adresów ip).
Wszystkie skrypty niezbędne do działania routera zostały napisane w języku powłoki systemowej bash, co zwiększa ich kompatybilność oraz prostotę w zarządzaniu lub ewentualnej modyfikacji. Na routerze domyślnie instalowany jest interfejs do zarządzania bazą klientów LMS (Lan Management System www.lms.org.pl), jednak jest to usługa opcjonalna, ponieważ konfiguracja niezbędna do działania routera i serwera autoryzującego znajduje się w plikach tekstowych. LMS został wyposażony w konfigurację, która w domyślnym ustawieniu umożliwia automatyczne generowanie plików konfiguracyjnych routera na podstawie danych pobranych z panelu LMS. Kod oraz struktura bazy LMS nie zostały w żaden sposób zmienione i są w 100% kompatybilne z oryginalną wersją projektu LMS. Router posiada dwa interfejsy sieciowe eth1 (dostęp do Internetu WAN) i eth0 (sieć szkieletowa operatora ISP). Na karcie sieciowej eth1 może znajdować się dowolny adres IP lub kilka przypisywany przez serwer dhpc lub wpisany statycznie. Na karcie sieciowej eth0 przypisane są statyczne adresy IP zdefiniowane w domyślnej konfiguracji. Po stronie interfejsu eth0 dopuszczalne są tylko podsieci z maską 255.255.255.0 (/24), ze względu na ograniczenia techniczne zastosowane w skryptach. Oznacza to, że w pliku konfiguracyjnym vberry_subnets wszystkie podsieci są traktowane z maską /24. 3. Domyślna konfiguracja. W panelu LMS skonfigurowane są trzy podsieci do wykorzystania dla klientów: Panel LMS oraz konsola SSH dostępne są pod adres IP routera 10.2.1.1 z poziomu podsieci technicznej, oraz od strony WAN pod adresem ip przypisanym przez usługę dhcp. Dostępność portów można zmienić w pliku vberry_local. Adres lms: http://10.2.1.1/lms, adres phpmyadmin: http://10.2.1.1/pma. Domyślny login i hasło do panelu LMS to admin/admin, natomiast do konsoli SSH taki jaki był ustawiony podczas instalacji systemu. KLIENCI1 10.1.1.0/24, KLIENCI2 10.1.2.0/24 klienci sieci z adresami niepublicznymi. KLIENCI_PUBLIC1 152.1.1.0/24 klienci z sieci z przedzielonymi adresami publicznymi (przykładowa podsieć, dla celów demonstracyjnych) Podsieć 10.0.0.1/24 nie jest widoczna w panelu LMS jest z założenia podsiecią do której przypisywani są klienci nie występujący w konfiguracji serwera DHCP (nie znani np. nowo podłączone komputery). Czas życia dzierżawy dla tej podsieci został ustawiony na 120 sekund, dzięki czemu po dodaniu nowego klienta i przeładowaniu konfiguracji bardzo szybko nowa stacja otrzyma prawidłowy adres IP umożliwiający dostęp do Internetu. NAS 10.2.1.0/24 jest to podsieć techniczna, w której znajdują się i komunikują urządzenia szkieletowe, stacje bazowy, itp.
Przeznaczenie każdej z podsieci zostało oznaczone w panelu LMS przy pomocy wpisu w polu domena. Na tej podstawie generator plików konfiguracyjnych (lmsd), rozpoznaje przeznaczenie poszczególnych podsieci. 4. Pliki konfiguracyjne routera /etc/www_vberry_net. a. Skrypty wykonywalne: FW_RELOAD główny skrypt służący do przeładowania konfiguracji. Wywołuje wygenerowanie nowej konfiguracji z bazy lms (jeśli wybrano opcję pracy z panelem LMS), po czy sprawdza, które pliki konfiguracyjne zostały zmienione i przeładowuje odpowiednie usługi. Dzięki temu nie jest konieczne przeładowanie całości konfiguracji przy każdej zmianie. Dodatkowo skrypt po przeładowaniu archiwizuje poprzednio działającą konfigurację w katalogu /etc/www_vberry_net/_configurations_/previous. Aktualnie uruchomioną konfigurację skrypt kopiuje do katalogu /etc/www_vberry_net/_configurations_/current. rc.deny skrypt odpowiedzialny za dodawanie adresów ip do listy ipset, klientów którzy mają zablokowany (ograniczony) internet. rc.deny_unlock skrypt odblokowujący dostęp do Internetu. Wywoływany jest przez serwer www w momencie kiedy klient ma zdjętą blokadę Internetu, a mimo to jego adres widnieje na liście ipset klientów zablokowanych. Wtedy umożliwia to odblokowanie użytkownikowi dostępu zanim nastąpi przeładowanie cykliczne konfiguracji. rc.dhcp generuje pliki konfiguracyjne dla serwera dhcpd. rc.firewall głowny skrypt firewalla iptables. rc.iparp skrypt tworzący listę powiązań adresów ip z adresami mac tworzy odpowiedni zestaw ipset. rc.lmsd skrypt wywołujący demona lmsd (jeden raz, opcja q), co powoduje wygenerowanie konfiguracji na podstawie danych znalezionych w bazie mysql. Zdjęcie praw do wykonywania dla tego skryptu umożliwia pracę systemu, bez korzystania z panelu www. rc.qos skrypt Quality of Service tworzący zestaw kolejek na interfejsie od strony Internetu (WAN) w celu zapewnienia lepszej jakości usług na przeciążonych łączach. Skrypt posiada zaimplementowany algorytm drzewka, co oznacza, że nowe połączenie jest przydzielane do klasy o najwyższym priorytecie, następnie po przesłaniu 5MB przesuwane jest do klasy o priorytecie -1, następnie po przesłaniu 50MB ponownie przesuwane jest do klasy -1, następnie tak samo dla 500MB. Pakiety udp długości < niż 500 bajtów trafiają do oddzielnej klasy priorytetowej wraz z pakietami ack oraz icmp. Jest to prosty algorytm zapewniający płynne działanie usługą www (wraz z https), email, telefonii voip, grą online. Jeśli posiadasz dużo pasma, polecam wyłączyć skrypt rc.qos całkowicie, jeśli jest nie potrzebny. Odpowiednia ilość pasma jest najlepszym warrantem jakości usług! rc.speed skrypt tworzy kolejki i filtry dla ograniczania prędkości klientów do wartości ustalonej w abonamentach (taryfach). Wykorzystuje on wydajny mechanizm
hashtables (tablice mieszające), dzięki czemu opóźnienia pakietów są dużo niższy, a interaktywność usług większa w przypadku dużej ilości klientów. Każda podsieć /24 to jest regułka w firewallu (iptables), a nie tak jak w przypadku klasycznego rozwiązania 254 regułki. rc.warning działanie takie jak w przypadku rc.deny, tylko że tym razem załączane jest wyświetlanie komunikatu informacyjnego. rc.warning_unlock skrypt uruchamiany przez serwer www w chwili kliknięcia przez użytkownika przycisku odblokuj na stronie z komunikatem. Powoduje usunięcie adresu klienta z listy ipset odpowiadającej za wyświetlanie komunikatu. b. Pliki konfiguracyjne: vberry_all jest to plik zawierający listę wszystkich komputerów klienckich w sieci i ich powiązanie z loginem. vberry_classid2speed jest to plik przypisujący prędkości abonamentowe kolejką htb do których następnie przydzielany jest ruch od hostów danego klienta. vberry_ip2classid jest to plik wiążący adresy ip hostów danego klienta z odpowiednią klasą htb. Razem z plikiem vberry_classid2speed stanowią kompletną informację o tym, które adresy ip przydzielić do jakich kolejek htb/hfsc i jakie im nadać prędkości. vberry_conf jest to główny plik konfiguracyjny zawierający ustawienia prędkości łącza WAN i LAN, prędkości zarezerwowane dla kolejek priorytetowych, nazwy interfejsów WAN i LAN, ograniczenie ilości połączeń per adres ip. Można ustawić czy do ograniczania taryf/abonamentów stosować mechanizm htb czy hfsc (htb domyślnie). Prędkość LAN zalecamy ustawić na wartość zgodną z fizyczną przepływnością karty sieciowej w routerze. Wartość WAN ustawić równą prędkości łącza do Internetu jeśli opóźnienia (latency) są niestabilne można obniżyć tą wartość o wartość od 1-10% całej wykupionej przepływności. vberry_deny lista komputerów, które nie mają dostępu do Internetu jest ograniczony. vberry_local dostęp do portów lokalnych serwera. Definiuje reguły dla polityki wejściowej (INPUT) routera, czyli pozwala odblokować port dla usług uruchomionych lokalnie (na routerze). vberry_mac plik zawiera powiązanie par ip-mac w celu filtracji błędnych adresów ip. vberry_nas plik zawierający listę urządzeń NAS (network access server), czyli koncentratorów pppoe, stacji bazowych WiFi wszystkich urządzeń, które mają mieć dostęp do lokalnego serwera radius. Domyślnie wszystkie hosty z podsieci sprzętowej (10.1.2.0/24) mają dostęp do serwera radius z hasłem: NAS_ALL. Z tego względu nie jest konieczne definiowanie wszystkich urządzeń nas w panelu lms. Jeśli chcemy, aby każde urządzenie NAS posiadało swoje hasło dostępu do serwera radius, należy zdefiniować odpowiednie urządzenia i ich dane logowania. vberry_speed plik zawierający powiązania ip prędkość abonamentowa, ale w postaci jeden adres ip jedna kolejka. Jest on wykorzystywany przez serwer pppoe w
przypadku ograniczania pasma na serwerze pppoe (np. Mikrotik). Wtedy prędkość abonamentowa jest dzielona przez ilość hostów jakie posiada klient. vberry_subnet lista podsieci jakie obsługuje router. Odpowiednie adresy ip na interfejsie LAN muszą być dodane ręcznie. vberry_warning lista adresów ip, którym należy wyświetlić komunikat z wiadomością. 5. Zarządzanie przy pomocy panelu www (LMS) lub bez użycia panelu. a. Przy pomocy LMS. Konfiguracja sprawdzana jest co 3 minuty czas domyślny po instalacji. Czas ten można zmienić w pliku /etc/cron.d/lmsd (podmieniamy wpis */3 na wybraną wartość < 60). Skrypt FW_RELOAD sprawdzi co się zmieniło w konfiguracji i w razie potrzeby przeładuje tylko te usługi/skrypty których zmiany dotyczą. Ręczne przeładowanie konfiguracji można uruchomić poprzez uruchomienie skryptu: /etc/www_vberry_net/fw_reload b. Bez użycia panelu LMS, z poziomu plików tekstowych. Aby korzystać z routera w tym trybie należy wyłączyć generowanie konfiguracji przez demona lmsd. W tym celu należy z konta root wydać komendę: chmod x /etc/www_vberry_net/rc.lmsd Ponowne włączenie lmsd następuje po wydaniu komendy: chmod +x /etc/www_vberry_net/rc.lmsd Ręczne przeładowanie konfiguracji można uruchomić poprzez uruchomienie skryptu: /etc/www_vberry_net/fw_reload Plik, które należy edytować znajdują się w katalogu: /etc/www_vberry_net Wszystkie inne pliki znajdujące się w podkatalogach generowane są automatycznie na ich podstawie.
6. Przeładowanie konfiguracji. Konfiguracja przechowywana jest w katalogu /etc/www_vberry_net, a przeładowanie następuje po uruchomieniu skryptu FW_RELOAD. Skrypt ten jest regularnie uruchamiany przez usługę cron (domyślnie co 3 minuty), czas ten możemy zmienić w pliku /etc/cron.d/lmsd. Jeśli nie korzystamy z panelu lms i zdjęliśmy prawa wykonywania z pliku /etc/www_vberry_net/rc.lmsd, wtedy skrypt FW_RELOAD nie będzie uruchamiany automatycznie przez usługę cron, wymagane jest aby administrator uruchamiał go ręcznie po dokonaniu zmian w plikach konfiguracyjnych, co jest naturalnym działaniem. Administrator decyduje w takim przypadku o momencie wprowadzenia w życie nowej konfiguracji. Aktualnie działają na routerze konfiguracja znajduje się w katalogu /etc/www_vberry_net/_configurations_/current i umożliwia poprzez ręczne skopiowanie do katalogu /etc/www_vberry_net/ cofnięcie zmian wprowadzonych do plików konfiguracyjnych, a jeszcze nie wprowadzonych w życie. Każde przeładowanie konfiguracji, w przypadku wykrycia zmiany powoduje automatyczne wykonanie kopii bezpieczeństwa aktualnie pracującej konfiguracji do katalogu /etc/www_vberry_net/_configurations_/previous. 7. Serwer radius (freeradius). Usługa radius umożliwia centralizację bazy danych użytkowników, w celu autoryzacji dostępu oraz przydzielania ograniczeń pasma przez urządzenia dostępowe NAS (Network Access Server), takie jak stacje bazowe WiFi, czy serwery PPPoE. Jest to niezmiernie wygodne narzędzie w przypadku dużych sieci. W założeniu tego projektu urządzenia dostępowe NAS znajdują się w podsieci technicznej 10.2.1.1. Sewer radius został skonfigurowany tak, że zawiera kilka instancji (równocześnie działających serwerów radius) w zależności od zastosowania. Każdy serwer pracuje na innym porcie: Port 1712 serwer autoryzujący klientów radiowych. Klienci będący w bazie (plik /etc/www_vberry_net/vberry_mac). Port 1812 autoryzacja połączeń PPPoE, bez ograniczania prędkości. Port 1912 autoryzacja połączeń PPPoE, do wartości prędkości abonamentowej/ilość hostów klienta. Serwer radius został przetestowany do pracy z oprogramowaniem Mikrotik, jeśli posiadasz urządzenia innego producenta, dla wsparcie chciałbyś dodać, a niniejsza konfiguracja nie działa napisz na forum (forum.vberry.net). Możliwe jest dodawanie każdego urządzenia NAS z oddzielnymi danymi logowania, lub skorzystanie z domyślnego wpisu, który pozwala wszystkim hostom z podsieci 10.2.10/24 na dostęp do serwera radius. Domyślne hasło do serwera radius brzmi w tym przypadku: NAS_ALL, a adres to 10.2.1.1. Jest to rozwiązanie wygodne i szybkie, gdyż nie wymaga dopisywania każdego urządzenia NAS oddzielnie. W przypadku sieci radiowych może okazać
się bardzo pożytecznym rozwiązaniem (autoryzacja mac na wielu rozproszonych punktach bazowych). 8. Uwagi. Wszelkie uwagi dotyczące niniejszej dokumentacji proszę kierować na forum.vberry.net. Postaram się je uwzględniać w miarę możliwości.