تکنیکی دستاویزات
RADIUS اور AAA
Authentication، authorization اور ریئل ٹائم accounting۔
Authentication، authorization اور ریئل ٹائم accounting۔
01RADIUS یہاں کیسے کام کرتا ہے
RADIUS وہ پروٹوکول ہے جو آپ کا NAS (MikroTik یا کوئی اور access ڈیوائس) ہر سبسکرائبر کنکشن کے بارے میں Daddy SAS سے تین سوالات پوچھنے کے لیے استعمال کرتا ہے۔
- Authentication — "کیا یہ credentials درست ہیں؟" NAS سبسکرائبر کی credentials فارورڈ کرتا ہے؛ Daddy SAS Access-Accept یا Access-Reject سے جواب دیتا ہے۔
- Authorization — "اس سبسکرائبر کو کیا کرنے کی اجازت ہے؟" Access-Accept سروس پروفائل لے کر آتا ہے: rate limits، IP pool یا static ایڈریس، session اور idle timeouts۔
- Accounting — "انہوں نے کیا استعمال کیا؟" NAS سیشن شروع، interim استعمال اور stop رپورٹ کرتا ہے؛ Daddy SAS وہ counters محفوظ کرتا ہے جو آن لائن اسٹیٹس، usage رپورٹس اور بلنگ کو چلاتے ہیں۔
02Authentication اور authorization
- معیاری authentication طریقے: PAP، CHAP، MSCHAP اور EAP ورینٹس (مالک تصدیق شدہ)۔
- ایکسیس کی اقسام: PPPoE، Hotspot captive portal، IPoE/DHCP اور MAC ایڈریس اکاؤنٹس۔
- فی اکاؤنٹ اور فی پروفائل authentication پالیسیاں اور پابندیاں۔
- اکاؤنٹ اسٹیٹس (فعال، معطل، ختم شدہ) براہ راست Access-Accept/Reject فیصلہ چلاتی ہیں۔
03Accounting اور سیشنز
- Start/Stop ایونٹس اور interim اپڈیٹس کے ساتھ ریئل ٹائم سیشن accounting۔
- لائیو سیشن لسٹ دکھاتی ہے کون سے سبسکرائبرز آن لائن ہیں، کس NAS پر، اور کتنا ڈیٹا استعمال کیا۔
- Simultaneous-use لمیٹس محدود کرتی ہیں ایک اکاؤنٹ کتنے متوازی سیشن رکھ سکتا ہے۔
- غائب یا تاخیر شدہ accounting ریکارڈز بند سیشن کو کھلا دکھا سکتے ہیں — NAS پر interim updates فعال کریں۔
04سیشن کنٹرول — CoA اور Disconnect
- Change of Authorization (CoA) لائیو سیشن پر نئی رفتار/پالیسی اپلائی کرتا ہے — ڈس کنیکٹ کی ضرورت نہیں۔
- Disconnect-Message پینل سے سیشن فوری ختم کرتا ہے۔
- NAS کو UDP 3799 پر RADIUS dynamic-authorization درخواستیں قبول کرنی ہوں گی (MikroTik پر "radius incoming" فعال کریں)۔
05Attribute حوالہ
Daddy SAS تعیناتی میں شامل عام attributes۔ کوئی معیاری attribute موجود ہونا بذات خود پروڈکٹ سپورٹ ثابت نہیں کرتا — یہ جدول دستاویزی access اقسام اور پالیسیوں کی عکاسی کرتا ہے۔
| Attribute | سمت | استعمال |
|---|---|---|
| User-Name | NAS → Server | Auth درخواست کے لیے credential شناخت |
| NAS-IP-Address / NAS-Identifier | NAS → Server | بتاتا ہے درخواست کس روٹر سے آئی |
| Calling-Station-Id | NAS → Server | کلائنٹ MAC — MAC بائنڈنگ / MAC اکاؤنٹس کے لیے |
| Service-Type | دونوں سمتیں | PPPoE، Hotspot اور ایڈمن لاگ اِن الگ کرتا ہے |
| Framed-IP-Address / Framed-Pool | Server → NAS | Static IP یا named pool اسائنمنٹ |
| Session-Timeout / Idle-Timeout | Server → NAS | زیادہ سے زیادہ سیشن دورانیہ / idle ڈس کنیکٹ |
| Mikrotik-Rate-Limit | Server → NAS | فی سبسکرائبر اپ لوڈ/ڈاؤن لوڈ لمیٹس |
| Acct-Status-Type | NAS → Server | Start / Interim-Update / Stop accounting ایونٹس |
| Acct-Input/Output-Octets (+Gigawords) | NAS → Server | Usage counters → کوٹاز، FUP، رپورٹس |
| Acct-Session-Id | NAS → Server | ایک سیشن کے تمام ریکارڈز جوڑتا ہے |
06اعتماد اور سیکیورٹی
- Authentication UDP 1812 · Accounting UDP 1813 · NAS پر dynamic authorization UDP 3799۔
- Shared secrets NAS↔server ٹریفک کی تصدیق کرتے ہیں — ہر NAS کے لیے لمبا رینڈم سیکرٹ استعمال کریں اور فائر وال میں RADIUS کو روٹر ایڈریسز تک محدود کریں۔
- معیاری RADIUS UDP پر چلتا ہے اور ڈیزائن سے انکرپٹڈ نہیں — غیر محفوظ لنکس پر NAS اور سرور کو پرائیویٹ نیٹ ورک یا VPN پر رکھیں۔
- Authentication اور accounting ایونٹس لاگ ہوتے ہیں اور رپورٹس میں آتے ہیں۔
07ٹربل شوٹنگ فوری چیکس
- کوئی درخواست نہیں آ رہی: پینل انٹری میں NAS IP، فائر وال رولز، اور یہ کہ روٹر سرور IP/پورٹس کی طرف اشارہ کر رہا ہے، تصدیق کریں۔
- درست credentials پر Access-Reject: اکاؤنٹ اسٹیٹ (ختم/معطل) اور سروس پروفائل چیک کریں۔
- سیشنز اٹکے آن لائن لگتے ہیں: Stop ریکارڈز غائب — NAS پر interim-update انٹروول چیک کریں۔
مکمل تشخیصی ورک فلو کے لیے ٹربل شوٹنگ صفحہ دیکھیں۔