Фильрация при VPN подключении

[drongo]

А как из radius получить пользователя?

[Chupaka]

Что значит "получить пользователя"? Вы же его получаете, пользователь - это логин, с которым происходит подключение.

[drongo]

Микротик об этом пользователе ничего не знает. Он пересылает запрос к radius серверу, и тот уже отвечает что пользователь верный

[Chupaka]

Да, всё так и есть. А в чём вопрос-то?

[drongo]

Будет примерно 15-20 пользователей, которые будут удаленно подключаться по vpn к микротику и иметь доступ к общим ресурсам в локальной сети. Например подключилось 3 юзера, в сети к примеру 3 сервера. Юзер1 должен иметь доступ к серверу1 на котором расположены документы и больше ничего не видеть. Юзер2 должен видеть сервер1 и сервер2, а юзер3 должен иметь доступ ко всей сети.
На микротике же по пулу адресов я могу разрешить доступ к определенному серверу, либо ко всей сети. А мне надо в идеале сделать так, чтобы правило в микротике было по юзеру

[Chupaka]

Так а чем принципиально "по юзеру" отличается от "по адрес-листу"? По идее, Mikrotik-Address-List можно указывать несколько раз - пользователя закинет во все списки. Тогда делаем, например, правила для списков "allow-server-1", "allow-server-2" с разрешённым доступом к соответствующим серверам - и соответствующие атрибуты навешиваем нужным пользователям.

З.Ы. Нет, в правилах файрвола нельзя напрямую указать какое-нибудь "имя пользователя".

[drongo]

Разница в том, что любому пользователю может быть выдан любой ip адрес. Например юзер3 подключается, ему выдан адрес, этот адрес я в адрес лист пихаю и создаю правило что этому адресу можно ходить куда угодно. Через некоторое время подключается другой юзер, которому должен быть сильно ограничен доступ. Подключается, получает адрес. Как микротику сказать, чтобы этот адрес для этого пользователя не попал в адрес лист, по которому все будет разрешено?

[Chupaka]

Перечитайте то, что я написал выше. Юзер 3 подключается, RADIUS передаёт микротику для него Mikrotik-Address-List := allow-server-1 - и микротик добавляет выданный пользователю адрес в адрес-лист allow-server-1. Пользователь отключается - адрес из листа автомагически удаляется. Если подключается другой юзер, которому не нужны особые разрешения - RADIUS не передаёт никаких атрибутов Mikrotik-Address-List, микротик никуда адрес не добавляет.

[drongo]

я не совсем понимаю, как микротику перехватить от radius имя пользователя

[Chupaka]

Где вы в моём сообщении увидели имя пользователя? Перечитайте, пожалуйста, моё сообщение и подтвердите, что вы всё в нём понимаете. Если не понимаете какую-то часть - процитируйте её и поясните, почему не понимаете, какие противоречия в ней видите.

[drongo]

Добрый день. Мне не совсем понятен вопрос с тем, как Mikrotik "поймет" что для этого юзера нужно внести его адрес в allow list. Ведь mikrotik не знает пользователя, который к нему подключается, а узнает пользователя только после того, как локальный radius вернет mikrotik'у имя пользователя, тогда на основании какого-то правила, или алгоритма mikrotik добавляет или не добавляет ip в свой allow list.

[Sir_Prikol]

Всё просто
При авторизации клиента на Mikrotik, он формирует Radius-запрос к радиуссерверу в котором передаёт User-Name и User-Password в каком-то виде. радиуссервер (при успешной авторизации) поднимает у себя сесию и отправляет Radius-ответ в котором могут быть указаны
IP-Address, который нужно выдать клиенту (если у сервера доступа есть привязка к IP Pool, то IP выдастся из этого пула)
Mikrotik-Address-List для шейпера и маскарада.

Так-же можно передать DNS сервера и прочее, что описано в вики https://wiki.mikrotik.com/wiki/Manual:RADIUS_Client

[drongo]

Как сравнить пользователя? Как мне условия задать чтобы только определенного пользователя адрес записывался?

[Chupaka]

Вам надо в вашем RADIUS прописать для конкретного пользователя возврат нужных атрибутов Mikrotik-Address-List. Микротик их прочитает из ответа и выполнит. По настройкам вашего радиуса ищите ответы отдельно. Вас даже направить некуда, поскольку вы не сказали, какой именно используете.

[Sir_Prikol]

гуглим по словам "микротик+freeradius+биллинг", читаем, наслаждаемся пониманием