Проблема не в том, что юзер часто подключается, а в том что он разрывает сессию до того, как придёт netflow по ней. И переподключается он снова уже минут через 10.
Но спасибо за совет
| forum.bitel.ru http://forum.bitel.ru/ |
|
| Проблема с короткими сессиями модуля Dialup http://forum.bitel.ru/viewtopic.php?f=5&t=4129 |
Страница 1 из 1 |
| Автор: | Andrey [ 04 июн 2010, 14:03 ] |
| Заголовок сообщения: | Проблема с короткими сессиями модуля Dialup |
Добрый день. Столкнулся с проблемой - сессии продолжительностью около минуты не тарифицируются, тоесть наработка в них нулевая по всем классам трафика(трафик считается по Netflow), в то время как по счётчикам радиус-аккаунтинга трафик есть. Собственно, обнаружил, что один из абонентов подключается по pppoe, начинает скачивать файл с локального платного сервера, через минуту разрывает подключение. Через 10 минут переодключается и продолжает закачку ещё минуту. Это продолжается, пока не скачает файл. В логах радиуса в Acct-Input-Octets и Acct-Output-Octets трафик есть. В логах ФТП сервера, откуда он качает - трафик есть. А в самой сессии - нет. Попробовал воспроизвести проблему на тестовом логине - удалось, вот connection.log по такой сессии: Код: 06-04/19:47:57 INFO [pool-2-thread-154] connections - [ VPN000131; test; 77851 ] DialUpNASConnection startConnection mode=1 06-04/19:47:57 INFO [pool-2-thread-154] connections - [ VPN000131; test; 77851 ] DialUpNASConnection set STATUS=1 06-04/19:47:57 INFO [pool-2-thread-154] connections - [ VPN000131; test; 77851 ] IP address register on collector 06-04/19:49:39 INFO [Thread-53] connections - [ VPN000131; test; 77851 ] IP address unregistred from collector 06-04/19:49:39 INFO [Thread-53] connections - [ VPN000131; test; 77851 ] DialUpNASConnection stoppingConnection 06-04/19:49:39 INFO [Thread-53] connections - [ VPN000131; test; 77851 ] DialUpNASConnection has stop Packet => true 06-04/19:49:39 INFO [Thread-53] connections - [ VPN000131; test; 77851 ] DialUpNASConnection set STATUS=3 06-04/19:49:39 INFO [Thread-53] connections - [ VPN000131; test; 77851 ] DialUpNASConnection sessionTime => 52 Решил что проблема в том, что netflow приходит уже после того как сессия исчезает с радиуса. Поставил минимальные таймауты отдачи netflow на железке, считающей трафик, и delay.stop=50 в конфиге Dialup модуля, но это не помогло. Версия сервера - 4.6 сборка 672 от 24.03.2010. Версия модуля Dialup - 4.6 сборка 216. Радиус - version 4.6 build 239 Подскажите, сталкивался ли кто-нибудь с этим? часть конфига Cisco 4506, отдающей netflow: Код: ip flow ingress ip flow ingress layer2-switched ip flow-egress input-interface ip flow-cache timeout inactive 10 ip flow-cache timeout active 1 ip flow-export source Vlan1 ip flow-export version 5 ip flow-export destination 172.18.1.1 9997 ip flow-export destination 172.24.149.41 9997 конфиг NASa Код: netflow.receive.from= netflow.receive.from= nas.port_time.default.*=36 nas.port_traffic.default.*=2:COLLECTOR;3:COLLECTOR;38:MAX(2,3);53:COLLECTOR;54:COLLECTOR;44:MAX(53,54);6:COLLECTOR;7:COLLECTOR;39:MAX(6,7);8:COLLECTOR;9:COLLECTOR;40:MAX(8,9);4:COLLECTOR;5:COLLECTOR;41:MAX(4,5);10:COLLECTOR;11:COLLECTOR;45:MAX(10,11);27:COLLECTOR;28:COLLECTOR;26:COLLECTOR;33:COLLECTOR;86:COLLECTOR;87:COLLECTOR;88:MAX(86,87) snmp.version=2 nas.inspector.class=bitel.billing.server.processor.SNMPNASConnectionInspectorType3 nas.inspector.snmp.kill.oid=1.3.6.1.4.1.9.9.150.1.1.3.1.5 nas.inspector.snmp.check.oid=1.3.6.1.4.1.9.9.150.1.1.3.1.5 nas.inspector.snmp.port=161 nas.inspector.snmp.community=1111 nas.inspector.sleep_time=120 nas.inspector.snmp.kill.max_messages=50 session.mode=hex12 drop.sleep.timeout=43200 ipn.module.id=5 ipn.source.id=3 month.break=1 Конфиг Dialup модуля Код: vendors=9=Cisco;2011=Huawei;2021=Unix PPP;529=Lucent;6618=Quintum;529=Ascend;311=Microsoft;12341=MPD
min.password.length=4 max.password.length=40 showyears=2 xslt.1=dialup_login_sessions.xsl xslt.2=dialup_login_amount.xsl xslt.1.csv=dialup_login_sessions_csv.xsl xslt.2.csv=dialup_login_amount_csv.xsl show.sessions.on.page=100 top.nocard.login=25000 radius.manage= ############### опции RADIUS сервера ####################### check.service=0 card.module.id=2 killer.sleep=10 update.time=60 run.sleep=3 dialup.workmode=1 max.update.timeout=120 max.wait.timeout=120 mailer.period=1800 mailer.to= antispam.key.attributes=User-Name,Calling-Station-Id antispam.reject.count=20 antispam.reject.per.time=60 antispam.ban.time=450 delay.stop=50 |
|
| Автор: | Администратор [ 04 июн 2010, 14:57 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Ещё radius.log дайте по сессии, пожалуйста. |
|
| Автор: | Andrey [ 04 июн 2010, 15:11 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Вот radius.log: Код: 04 19:47:57
Type=AUTHENTICATION_REQUEST Attributes: User-Name=test NAS-Port-Id=0/0/1/0 CHAP-Password=\u1?????/_??Cm©Yb«? NAS-IP-Address=172.24.149.254 NAS-Port=1479093 Service-Type=2 Framed-Protocol=1 Calling-Station-Id=0023.5429.33f7 Acct-Session-Id=AC1895FEF0000000001691B5 NAS-Port-Type=5 cisco-NAS-Port=0/0/1/0 cisco-avpair=client-mac-address=0023.5429.33f7 04 19:47:57 Type=AUTHENTICATION_ACCEPT Process time auth: 42 init_tariff: 1; set_ip: 0; common_auth: 10 Attributes: Acct-Interim-Interval=60 Service-Type=2 Framed-Protocol=1 Framed-IP-Address=10.1.1.121 04 19:47:57 Type=ACCOUNTING_REQUEST Attributes: User-Name=test NAS-IP-Address=172.24.149.254 NAS-Port=1479093 Service-Type=2 Framed-Protocol=1 <AttrCode[196]>=undef Acct-Status-Type=1 Acct-Delay-Time=0 Acct-Session-Id=AC1895FEF0000000001691B5 Acct-Authentic=1 NAS-Port-Id=0/0/1/0 Calling-Station-Id=0023.5429.33f7 NAS-Port-Type=5 <AttrCode[151]>=undef cisco-NAS-Port=0/0/1/0 cisco-avpair=client-mac-address=0023.5429.33f7 cisco-avpair=connect-progress=Call Up 04 19:47:57 Type=ACCOUNTING_REQUEST Attributes: User-Name=test NAS-IP-Address=172.24.149.254 NAS-Port=1479093 Service-Type=2 Framed-Protocol=1 <AttrCode[197]>=undef Framed-IP-Address=10.1.1.121 <AttrCode[196]>=undef <AttrCode[198]>=undef <AttrCode[193]>=undef <AttrCode[192]>=undef <AttrCode[195]>=undef NAS-Port-Id=0/0/1/0 Calling-Station-Id=0023.5429.33f7 <AttrCode[151]>=undef Acct-Input-Octets=1156950 Acct-Output-Octets=78469285 Acct-Status-Type=2 Acct-Delay-Time=0 Acct-Session-Time=52 Acct-Input-Packets=27536 Acct-Session-Id=AC1895FEF0000000001691B5 Acct-Authentic=1 <AttrCode[255]>=undef Acct-Terminate-Cause=1 Acct-Output-Packets=53490 <AttrCode[190]>=undef <AttrCode[191]>=undef NAS-Port-Type=5 cisco-NAS-Port=0/0/1/0 cisco-avpair=client-mac-address=0023.5429.33f7 cisco-avpair=connect-progress=LAN Ses Up cisco-avpair=nas-tx-speed=1000000000 cisco-avpair=nas-rx-speed=1000000000 cisco-avpair=disc-cause-ext=PPP Receive Term |
|
| Автор: | snark [ 04 июн 2010, 18:13 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
как я понял у Вас РРРоЕ и для начала ограничте кол-во подключений с МАС ... вот так - сторго 1 раз в минуту можно подключаться Код: bba-group pppoe global | <name> sessions per-mac limit 1 sessions per-mac throttle 1 30 30 имеют значение вот эти параметры: Код: sessions per-mac throttle 1 XX YY поправьте XX и YY под свои нужды, чтобы часто не подключались и к вам успевал прилетать netflow |
|
| Автор: | Andrey [ 04 июн 2010, 18:46 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Проблема не в том, что юзер часто подключается, а в том что он разрывает сессию до того, как придёт netflow по ней. И переподключается он снова уже минут через 10. Но спасибо за совет
|
|
| Автор: | snark [ 04 июн 2010, 19:13 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
суть замута в том чтобы не дать юзер подключаться быстрее чем получим его netflow и использовать фишку БГБ с задержкой чтобы получить оный netflow когда юзер уже отключился ... я думаю как то можно это победить |
|
| Автор: | Andrey [ 07 июн 2010, 13:55 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Ограничение на 1 сессию с одного мака стоит. Сессия висит ещё 50 секунд после выхода, но netflow, видимо, так и не успевает придти. |
|
| Автор: | snark [ 07 июн 2010, 16:32 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
что-то не то у Вас с netflow раз оно быстро не приходит ... при большом кол-ве трафика netflow прилетает практически мгновенно, т.к. буфер для пакетов заполяется очень быстро и как только он заполняется кот выплевывает его содержимое в сторону коллектора, а у Вас либо агрегация netflow настроена либо еще что-то, что вызывает задержки в отправке пакетов |
|
| Автор: | Andrey [ 07 июн 2010, 17:37 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Железка, отдающая netflow - Cisco Catalyst 4506. Кусок конфига в начале выложил. Смотрел мануалы цисковские, поставил и так всё по минимуму, а проблему это так и не решило. |
|
| Автор: | Администратор [ 07 июн 2010, 18:04 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
У вас поток нагрузка большая идёт? Поставьте в log4j-radius.xml уровень логирования в конце в DEBUG и оцените, когда реально приходит последний трафик по NetFlow после стопа сессии. |
|
| Автор: | Andrey [ 09 июн 2010, 10:47 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Netflow приходит в среднем через 3-4 минуты после окончания короткой сессии, посмотрел это по логам netflow. Чем вызвана такая задержка - непонятно. Обновил радиус до последней версии на всякий случай - изменений в ситуации не заметил. Железка, отдающая netflow, вот что пишет: Код: cat4506#sh ip flow export Flow export v5 is enabled for main cache Exporting flows to 172.18.1.1 (9997) 172.24.149.41 (9997) Exporting using source interface Vlan1 Version 5 flow records 2888245541 flows exported in 382606005 udp datagrams 0 flows failed due to lack of export packet 0 export packets were sent up to process level 0 export packets were dropped due to no fib 0 export packets were dropped due to adjacency issues 0 export packets were dropped due to fragmentation failures 0 export packets were dropped due to encapsulation fixup failures Код: cat4506#sh ip cache flow
IP Flow Switching Cache, 17826816 bytes 259065 active, 3079 inactive, 1445454352 added 1528112462 ager polls, 0 flow alloc failures Active flows timeout in 1 minutes Inactive flows timeout in 10 seconds IP Sub Flow Cache, 1081480 bytes 0 active, 65536 inactive, 0 added, 0 added to flow 0 alloc failures, 0 force free 1 chunk, 1 chunk added last clearing of statistics never Protocol Total Flows Packets Bytes Packets Active(Sec) Idle(Sec) -------- Flows /Sec /Flow /Pkt /Sec /Flow /Flow TCP-Telnet 2373196 0.5 25 167 14.2 12.3 140.5 TCP-FTP 16001448 3.8 20 77 77.7 11.4 137.7 TCP-FTPD 13380817 3.1 3512 1170 11184.1 9.4 148.5 TCP-WWW 2859230188 680.2 26 687 18133.6 15.0 141.2 TCP-SMTP 86229141 20.5 7 113 147.9 8.3 145.4 TCP-X 1351076 0.3 3 423 1.0 4.3 154.6 TCP-BGP 974935 0.2 12 66 2.8 51.8 87.6 TCP-NNTP 228695 0.0 97 866 5.3 23.6 134.8 TCP-Frag 5866 0.0 3384 24 4.7 42.4 64.8 TCP-other 1151028850 273.8 167 998 45853.9 24.6 125.8 UDP-DNS 207648630 49.4 2 65 121.0 9.9 151.0 UDP-NTP 4966711 1.1 7 76 9.0 68.5 62.2 UDP-TFTP 3929 0.0 2 76 0.0 8.6 144.8 UDP-Frag 538489 0.1 376 442 48.2 40.1 91.4 UDP-other 1257061347 299.0 33 208 9985.3 19.3 128.4 ICMP 135464152 32.2 4 91 150.1 30.3 116.7 IGMP 281204 0.0 4 33 0.2 39.8 103.9 IPINIP 16 0.0 1 89 0.0 0.0 170.2 IPv6INIP 404031 0.0 5 87 0.5 47.9 69.1 GRE 354411 0.0 196 217 16.5 123.8 16.9 IP-other 1478202 0.3 1464 839 514.9 105.0 46.3 Total: 5739005334 1365.4 63 856 86271.9 18.0 135.0 |
|
| Автор: | snark [ 10 июн 2010, 01:18 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
кажись я знаю в чем Ваша трабла ... а ну-ка показывайте вывод: Код: show ip cache flow aggregation но больше всего интересуют выводы: Код: show ip cache flow aggregation prefix Код: show ip cache flow aggregation destination-prefix Код: show ip cache flow aggregation source-prefix зачем? затем что: Cisco писал(а): The minimum prefix mask specifies the shortest subnet mask that is used for aggregating flows within one of the IP-address based aggregation caches (e.g. source-prefix, destination-prefix, prefix). In these caches, flows are aggregated based upon the IP address (source, destination, or both, respectively) and masked by the longer of the Minimum Prefix mask and the subnet mask of the route to the source/destination host of the flow (as found in the switch routing table). но самое главное: Cisco писал(а): The default value of the minimum mask is zero. а Вам, для пущей детальности трафика, по-хорошему надо бы чтоб маска была 32 ... правда я могу ошибаться, но это вроде оно |
|
| Автор: | Andrey [ 10 июн 2010, 08:57 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Странно, нет таких команд. версия IOS: Код: cat4506#sh version
Cisco IOS Software, Catalyst 4500 L3 Switch Software (cat4500-ENTSERVICES-M), Version 12.2(37)SG, RELEASE SOFTWARE (fc1) |
|
| Автор: | snark [ 10 июн 2010, 09:51 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
в любом случае - копайте в сторону настроек вашего netflow, т.к. при нормальном трафике пакеты прилетают практически с нулевой задержкой, а когда трафика мало (например тест 1 машины) с минимальной задержкой = ip flow-cache timeout active |
|
| Автор: | Andrey [ 10 июн 2010, 12:47 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Тоесть попробовать другую версию IOS, чтобы появились дополнительные настройки netflow? Примерно - какую ветку IOSов смотреть? |
|
| Автор: | Феанор [ 10 июн 2010, 12:53 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Попробуйте на циско фича навигаторе посмотреть http://tools.cisco.com/ITDIT/CFN/ |
|
| Автор: | snark [ 10 июн 2010, 13:53 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
в любом случае перебирать иос придется чтоб найти тот который будет более-менее точно отдавать netflow ... почему "более-менее"? дело в том что это же свич, там часть пакетов, ЕМНИМС, идет мимо netflow карты (названия супа и карты, кстати, Вы не указали) ... |
|
| Автор: | Andrey [ 10 июн 2010, 15:22 ] |
| Заголовок сообщения: | Re: Проблема с короткими сессиями модуля Dialup |
Железка рабочая и единственная, поэтому буду думать, как подбирать IOS... Суп стоит V-10GE, отдельной netflow карточки нет. |
|
| Страница 1 из 1 | Часовой пояс: UTC + 5 часов [ Летнее время ] |
| Powered by phpBB® Forum Software © phpBB Group http://www.phpbb.com/ |
|