مستندات فنی
RADIUS و AAA
احراز هویت، مجوز و حسابداری بلادرنگ.
احراز هویت، مجوز و حسابداری بلادرنگ.
01RADIUS اینجا چگونه کار می‌کند
RADIUS پروتکلی است که NAS شما (MikroTik یا دستگاه دسترسی دیگر) برای پرسیدن سه سؤال درباره هر اتصال مشترک از Daddy SAS استفاده می‌کند.
- احراز هویت — "آیا این اعتبارنامه‌ها معتبرند؟" NAS اعتبارنامه‌های مشترک را فوروارد می‌کند؛ Daddy SAS با Access-Accept یا Access-Reject پاسخ می‌دهد.
- مجوز — "این مشترک چه کاری می‌تواند انجام دهد؟" Access-Accept پروفایل سرویس را حمل می‌کند: محدودیت‌های نرخ، IP pool یا آدرس ثابت، تایم‌اوت‌های نشست و بی‌فعالیتی.
- حسابداری — "چه چیزی استفاده کردند؟" NAS شروع نشست، استفاده میان‌دوره و توقف را گزارش می‌دهد؛ Daddy SAS شمارنده‌هایی را ذخیره می‌کند که وضعیت آنلاین، گزارش‌های استفاده و صورتحساب را تغذیه می‌کنند.
02احراز هویت و مجوز
- روش‌های استاندارد احراز هویت: PAP، CHAP، MSCHAP و گونه‌های EAP (تأییدشده توسط مالک).
- انواع دسترسی: PPPoE، پورتال محدود Hotspot، IPoE/DHCP و حساب‌های آدرس MAC.
- سیاست‌ها و محدودیت‌های احراز هویت به‌ازای هر حساب و هر پروفایل.
- حالت‌های حساب (فعال، معلق، منقضی) مستقیماً تصمیم Access-Accept/Reject را تعیین می‌کنند.
03حسابداری و نشست‌ها
- حسابداری نشست بلادرنگ با رویدادهای start/stop و به‌روزرسانی‌های میان‌دوره.
- لیست نشست زنده نشان می‌دهد کدام مشترکین آنلاین هستند، روی کدام NAS و چقدر داده استفاده کرده‌اند.
- محدودیت‌های استفاده هم‌زمان تعداد نشست‌های هم‌زمان یک حساب را محدود می‌کند.
- رکوردهای حسابداری گمشده یا تأخیری می‌توانند نشست بسته را باز نشان دهند — به‌روزرسانی‌های میان‌دوره را روی NAS فعال کنید.
04کنترل نشست — CoA و Disconnect
- Change of Authorization (CoA) سرعت/سیاست جدید را روی نشست زنده اعمال می‌کند — بدون نیاز به قطع اتصال.
- Disconnect-Message نشست را فوراً از پنل خاتمه می‌دهد.
- نیازمند این است که NAS درخواست‌های مجوز دینامیک RADIUS را روی UDP 3799 بپذیرد (در MikroTik، "radius incoming" را فعال کنید).
05مرجع ویژگی‌ها
ویژگی‌های رایج در یک استقرار Daddy SAS. وجود یک ویژگی استاندارد به‌خودی‌خود پشتیبانی محصول را ثابت نمی‌کند — این جدول انواع دسترسی و سیاست‌های مستندشده را منعکس می‌کند.
| ویژگی | جهت | استفاده |
|---|---|---|
| User-Name | NAS → Server | هویت اعتبارنامه برای درخواست احراز هویت |
| NAS-IP-Address / NAS-Identifier | NAS → Server | مشخص می‌کند درخواست از کدام روتر آمده |
| Calling-Station-Id | NAS → Server | MAC کلاینت — برای اتصال MAC / حساب‌های MAC استفاده می‌شود |
| Service-Type | هر دو جهت | PPPoE، Hotspot و ورودهای مدیریتی را متمایز می‌کند |
| Framed-IP-Address / Framed-Pool | Server → NAS | تخصیص IP ثابت یا pool نام‌گذاری‌شده |
| Session-Timeout / Idle-Timeout | Server → NAS | حداکثر طول نشست / قطع بی‌فعالیتی |
| Mikrotik-Rate-Limit | Server → NAS | محدودیت‌های آپلود/دانلود به‌ازای هر مشترک |
| Acct-Status-Type | NAS → Server | رویدادهای حسابداری Start / Interim-Update / Stop |
| Acct-Input/Output-Octets (+Gigawords) | NAS → Server | شمارنده‌های استفاده → سهمیه‌ها، FUP، گزارش‌ها |
| Acct-Session-Id | NAS → Server | همه رکوردهای یک نشست را مرتبط می‌کند |
06قابلیت اطمینان و امنیت
- احراز هویت UDP 1812 · حسابداری UDP 1813 · مجوز دینامیک UDP 3799 روی NAS.
- اسرار مشترک ترافیک NAS↔server را احراز هویت می‌کنند — از یک راز تصادفی طولانی برای هر NAS استفاده کنید و RADIUS را در فایروال به آدرس‌های روتر محدود کنید.
- RADIUS استاندارد روی UDP اجرا می‌شود و به‌طور طراحی رمزگذاری نشده — NAS و سرور را در محیط‌های نامطمئن روی شبکه خصوصی یا VPN قرار دهید.
- رویدادهای احراز هویت و حسابداری ثبت می‌شوند و در گزارش‌ها ظاهر می‌شوند.
07بررسی‌های سریع عیب‌یابی
- درخواستی نمی‌رسد: IP NAS را در ورودی پنل، قوانین فایروال و این‌که روتر به IP/پورت‌های سرور اشاره می‌کند، تأیید کنید.
- Access-Reject برای اعتبارنامه‌های معتبر: وضعیت حساب (منقضی/معلق) و پروفایل سرویس را بررسی کنید.
- نشست‌ها گیرکرده آنلاین به‌نظر می‌رسند: رکوردهای Stop گمشده — فاصله interim-update روی NAS را بررسی کنید.
برای گردش کار تشخیصی کامل به صفحه عیب‌یابی مراجعه کنید.