التوثيق التقني
RADIUS و AAA
المصادقة والتفويض والمحاسبة الفورية.
المصادقة والتفويض والمحاسبة الفورية.
01كيف يعمل RADIUS هنا
RADIUS هو البروتوكول الذي يستخدمه جهاز NAS (راوتر MikroTik أو غيره) ليسأل Daddy SAS ثلاثة أسئلة عن كل اتصال مشترك.
- المصادقة — "هل بيانات الاعتماد صالحة؟" يرسل NAS بيانات المشترك؛ يجيب Daddy SAS بـ Access-Accept أو Access-Reject.
- التفويض — "ماذا يُسمح لهذا المشترك؟" يحمل Access-Accept ملف الخدمة: حدود السرعة، IP pool أو عنوان ثابت، مهلات الجلسة والخمول.
- المحاسبة — "ماذا استخدم؟" يُبلغ NAS عن بدء الجلسة والاستخدام الدوري والإنهاء؛ يخزّن Daddy SAS العدادات التي تغذي حالة الاتصال وتقارير الاستخدام والفوترة.
02المصادقة والتفويض
- طرق مصادقة قياسية: PAP وCHAP وMSCHAP ومتغيرات EAP (مؤكد من المالك).
- أنواع الوصول: PPPoE، بوابة هوتسبوت، IPoE/DHCP وحسابات MAC.
- سياسات وقيود مصادقة لكل حساب ولكل ملف.
- حالات الحساب (نشط، معلّق، منتهي) تحدد مباشرة قرار Access-Accept/Reject.
03المحاسبة والجلسات
- محاسبة جلسات فورية مع أحداث start/stop وتحديثات interim.
- قائمة جلسات حية تعرض المشتركين المتصلين وعلى أي NAS وكم استخدموا.
- حدود الاستخدام المتزامن تقيّد عدد الجلسات المتزامنة للحساب الواحد.
- سجلات المحاسبة المفقودة أو المتأخرة قد تجعل جلسة مغلقة تبدو مفتوحة — فعّل interim updates على NAS.
04التحكم في الجلسات — CoA وDisconnect
- Change of Authorization (CoA) يطبق سرعة/سياسة جديدة على جلسة حية — دون قطع الاتصال.
- Disconnect-Message ينهي الجلسة من اللوحة فوراً.
- يتطلب أن يقبل NAS طلبات التفويض الديناميكي على UDP 3799 (في MikroTik فعّل "radius incoming").
05مرجع السمات (Attributes)
السمات الشائعة في نشر Daddy SAS. وجود السمة في معيار RADIUS لا يثبت وحده دعم المنتج — الجدول يعكس أنواع الوصول والسياسات الموثقة.
| السمة | الاتجاه | الاستخدام |
|---|---|---|
| User-Name | NAS → Server | هوية بيانات الاعتماد لطلب المصادقة |
| NAS-IP-Address / NAS-Identifier | NAS → Server | تحديد الراوتر الذي جاء منه الطلب |
| Calling-Station-Id | NAS → Server | MAC العميل — يُستخدم لربط MAC / حسابات MAC |
| Service-Type | الاتجاهان | تمييز PPPoE وهوتسبوت وتسجيلات الإدارة |
| Framed-IP-Address / Framed-Pool | Server → NAS | تعيين IP ثابت أو pool مسمّى |
| Session-Timeout / Idle-Timeout | Server → NAS | أقصى مدة جلسة / قطع الخمول |
| Mikrotik-Rate-Limit | Server → NAS | حدود رفع/تحميل لكل مشترك |
| Acct-Status-Type | NAS → Server | أحداث محاسبة Start / Interim-Update / Stop |
| Acct-Input/Output-Octets (+Gigawords) | NAS → Server | عدادات الاستخدام → الحصص، FUP، التقارير |
| Acct-Session-Id | NAS → Server | ربط كل سجلات جلسة واحدة |
06الموثوقية والأمان
- المصادقة UDP 1812 · المحاسبة UDP 1813 · التفويض الديناميكي UDP 3799 على NAS.
- الأسرار المشتركة (shared secrets) تصادق تبادل NAS↔server — استخدم سراً عشوائياً طويلاً لكل NAS وقيّد RADIUS على عناوين الراوترات في الجدار الناري.
- RADIUS القياسي يعمل عبر UDP وغير مشفّر بالتصميم — ضع NAS والسيرفر على شبكة خاصة أو VPN في البيئات غير الموثوقة.
- أحداث المصادقة والمحاسبة مسجلة وتظهر في التقارير.
07فحوصات سريعة لحل المشاكل
- لا تصل طلبات: تحقق من IP الـNAS في إدخال اللوحة، قواعد الجدار الناري، وأن الراوتر يشير لعنوان/بورتات السيرفر.
- Access-Reject لبيانات صالحة: افحص حالة الحساب (منتهي/معلّق) وملف الخدمة.
- جلسات تبدو عالقة متصلة: سجلات Stop مفقودة — افحص فاصل interim-update على NAS.
للتدفق التشخيصي الكامل راجع صفحة حل المشاكل.