Radius Accounting m. LANCOM L-54(a)g WLAN clients

Forum zu den aktuellen LANCOM Wireless Accesspoint Serien

Moderator: Lancom-Systems Moderatoren

Antworten
_Flo_
Beiträge: 108
Registriert: 29 Dez 2005, 15:38

Radius Accounting m. LANCOM L-54(a)g WLAN clients

Beitrag von _Flo_ »

Hi,

wir nutzen in unserem Netzwerk intensiv die im LANCOM L-54(a)g integrierte W-LAN RADIUS-Zugriffsprüfung (RADIUS Authentication/Authorization) und W-LAN RADIUS-Accounting.

Nach Ablauf der "Interim-Update-Periode" übermittelt der Access Point dabei auch die dem W-LAN Client zugewiesene IP-Adresse an den RADIUS-Server.

Das funktioniert mit nicht LANCOM W-LAN Clients einwandfrei, nur LANCOM L-54(a)g Clients übermitteln seltsamerweise solange die interne IP-Adresse (Einstellung aus TCP/IP, IP-Netzwerke, INTRANET), bis Datenverkehr von internen INTRANET Clients ins W-LAN fließt und ein Eintrag in die Masquerading Tabelle erfolgt.

Ist dies ein BUG oder Feature? 8)

Viele Grüße,
-Florian
Benutzeravatar
alf29
Moderator
Moderator
Beiträge: 6207
Registriert: 07 Nov 2004, 19:33
Wohnort: Aachen
Kontaktdaten:

Beitrag von alf29 »

Moin,

Der AP kann die IP-Adresse eines Clients letzten Endes nur 'raten', weil er selber
nur ein Layer2-Gerät ist und selber keine IP-Adressen zuweist (selbst wenn er selber
DHCP-Server ist, das ist ein ganz anderes Stück in der Software...). Die in der
WLAN-Stationstabelle angezeigte und per RADIUS übermittelte IP-Adresse kann
aus zwei Quellen kommen:

(1) bei der Anmeldung über eine Aironet-Erweiterung, die der Client in seinen
Association Request steckt
(2) Durch Mitlesen von vom Client kommenden IP-Paketen

LANCOM-Clients unterstützen ersteres, deshalb siehst Du in der Stationstabelle
direkt nach der Anmeldung die Adresse des Client-LANCOMs. In der Folge kann
sie durch IP-Pakete überschrieben werden, die z.B. von am Client-LANCOM
angeschlossenen Geräten kommen.

Bei einem solchen Szenario hat man aber grundsätzlich das Problem, daß auf der
'Client-Seite' mindestens zwei IP-Adressen existieren, nämlich die vom Client-LANCOM
und die vom dahinter angeschlossenen Gerät. Die kann man schwer in einem Feld
auf dem AP darstellen...es ist prinzipiell auch im Betrieb jederzeit möglich, daß die
vom AP angezeigte IP-Adresse zwischen den beiden Adressen hin- und herspringt,
wenn jemand z.B. zu Managementzwecken von der AP-Seite her aufs Client-LANCOM
zugreift. Der AP kann das nicht unterscheiden, für ihn sieht das wie ein Client aus,
der ständig seine IP-Adresse wechselt. Und wenn am Client-LANCOM mehr als
ein Rechner angeschlossen ist, dürfte die Sache noch chaotischer werden 8-)

Gruß Alfred
_Flo_
Beiträge: 108
Registriert: 29 Dez 2005, 15:38

Beitrag von _Flo_ »

Hallo Alfred,
LANCOM-Clients unterstützen ersteres, deshalb siehst Du in der Stationstabelle direkt nach der Anmeldung die Adresse des Client-LANCOMs. In der Folge kann sie durch IP-Pakete überschrieben werden, die z.B. von am Client-LANCOM angeschlossenen Geräten kommen.

Bei einem solchen Szenario hat man aber grundsätzlich das Problem, daß auf der 'Client-Seite' mindestens zwei IP-Adressen existieren
So ist es. Nur das der Client-LANCOM immer seine INTRANET IP-Adresse übermittelt, da das Gerät in diesem Modus bei uns fest als (NAT-)IP-Router konfiguriert ist (keine Wireless-Bridge). Also wenigstens kein Chaos ;-)

Ist es nicht möglich dem Client-LANCOM beizubringen, statt der INTRANET IP-Adresse die WAN IP-Adresse (welche auch auf'm W-LAN Interface konfiguriert ist) an den LANCOM-AP zu übermitteln?

Dann würde (1) auch gleich "die passende IP-Adresse" übermitteln und man muß nicht jedesmal erst aufwendig das gesamte Subnetz per nmap -sP abscannen, um durch (2) ein Update der IP-Adresse auf dem LANCOM-AP zu erzwingen.

Ciao,
-Florian
Benutzeravatar
alf29
Moderator
Moderator
Beiträge: 6207
Registriert: 07 Nov 2004, 19:33
Wohnort: Aachen
Kontaktdaten:

Beitrag von alf29 »

Moin,

bei exklusivem DSLoL wäre das in der Tat sinnvoll. Ob ich in jedem Fall die Adresse liefern kann,
kan ich noch nicht sagen. Speziell bei PPPoE oder DHCP auf der Verbindung bekommt man sie
ja erst als Teil der Verhandlung irgendwann nach dem WLAN-Verbindungsaufbau. In so einem Fall
sollte man eine 0.0.0.0 bei der Anmeldung übergeben. Das tun jedenfalls normale Clients, wenn sie
ihre Adresse hernach über DHCP beziehen...

Gruß Alfred
“There is no death, there is just a change of our cosmic address."
-- Edgar Froese, 1944 - 2015
_Flo_
Beiträge: 108
Registriert: 29 Dez 2005, 15:38

Beitrag von _Flo_ »

Hallo Alfred,
In so einem Fall sollte man eine 0.0.0.0 bei der Anmeldung übergeben. Das tun jedenfalls normale Clients, wenn sie ihre Adresse hernach über DHCP beziehen...
Eilt nicht; aber wenn's irgendwie mit vertretbarem Aufwand klappt wäre es schön so :-)

Ciao,
-Florian
Benutzeravatar
alf29
Moderator
Moderator
Beiträge: 6207
Registriert: 07 Nov 2004, 19:33
Wohnort: Aachen
Kontaktdaten:

Beitrag von alf29 »

Moin,

ich habe mal etwas daran gebastelt. Leider ist es so, daß der WAN-Stack im LANCOM die
Adresse erst aufs DSLoL-Interface bindet, sobald der Link oben ist - d.h. die Assoziation schon
durch ist. Von daher wird in dieser Situation zwar nicht mehr die Intranet-Adresse auftauchen,
aber statt der WAN-Adresse leider nur vier freundliche Nullen ;-)

Gruß Alfred
“There is no death, there is just a change of our cosmic address."
-- Edgar Froese, 1944 - 2015
_Flo_
Beiträge: 108
Registriert: 29 Dez 2005, 15:38

Beitrag von _Flo_ »

Hi,
Von daher wird in dieser Situation zwar nicht mehr die Intranet-Adresse auftauchen, aber statt der WAN-Adresse leider nur vier freundliche Nullen
DANKE, das ging ja flott :D
na dann bin ich auf die nächste FW-Release schon gespannt ;-)

Ciao,
-Florian
Antworten