Настройка PPPoE и команды

Статья в блоге: PPPoE: особенности настройки, преимущества и отличия от других протоколов соединения Обзор L2 PPPoE Mode:

Включение поддержки PPPoE

Активировать BRAS. Подробнее.

Настроить параметры в fastdpi.conf:

bras_pppoe_enable=1 — включить PPPoE.

bras_pppoe_session=10000 — задать максимальное число PPPoE-сессий. Рекомендуемое значение: в 1,5-2 раза больше числа PPPoE-абонентов.

Если не используется Роутер, то обязательно должны быть заданы IP и MAC-адреса шлюза/бордера, расположенного за СКАТ (абонент → СКАТ → бордер/шлюз):

bras_gateway_ip=192.168.0.1 bras_gateway_mac=aa:bb:cc:dd:ee:ff

Настройка авторизации

Список разрешенных протоколов авторизации задается параметром bras_ppp_auth_list в fastdpi.conf.
Возможные значения:

1 — PAP (не рекомендуется к использованию)

2 — CHAP-MD5

3 — MS-CHAPv2

Протоколы в списке значений параметра располагаются в порядке предпочтения: первый является самым предпочтительным.
Значение по умолчанию: bras_ppp_auth_list=2,3.

Если в fastdpi.conf указано bras_ppp_mac_auth=1, возможна авторизация по MAC-адресу абонента. Применяется в случае, если сторонам не удалось договориться о протоколе авторизации.

Авторизация PPPoE-сессий на Radius-сервере

Обработка ARP в PPPoE

В сетях с PPPoE-соединениями (тип "точка-точка") отправка ARP-запросов со стороны абонентов не имеет практического смысла. Абонент может передавать пакеты только на адрес PPPoE-сервера, MAC-адрес которого известен абоненту в рамках установленного PPPoE-соединения.

На стороне WAN СКАТ осуществляет обработку всех ARP-запросов вида “Who is IP=x.x.x.x?”, если IP-адрес x.x.x.x соответствует активной PPPoE-сессии. В ответ на такие запросы СКАТ возвращает значение параметра bras_arp_mac. Таким образом, СКАТ откликается на ARP-запросы, направленные к IP-адресам текущих PPPoE-абонентов.

Если для PPPoE-абонента активирована услуга NAT, ARP-запросы со стороны WAN к соответствующим PPPoE-сессиям не обрабатываются.

Для PPPoE-сессий реализована поддержка следующих функций уровня BRAS:

IP Source Guard

Замыкание локального трафика, включая трафик между различными типами сегментов (например, между PPPoE- и DHCP-сетями)

Восстановление PPPoE-сессий при рестарте СКАТ

При запуске fastDPI осуществляет попытку восстановления PPPoE-сессий абонентов на основе информации, сохраненной в UDR. Это позволяет обеспечить прозрачность кратковременного рестарта сервиса для абонентов.

Однако автоматическое восстановление PPPoE-сессий может привести к рассогласованию состояния между системой биллинга и СКАТ, особенно в случаях с динамической раздачей IP-адресов. Такая ситуация возможна, если биллинг ожидает последовательность сообщений Access-Request → Acct-Start, в то время как при восстановлении сессии передается только Acct-Start.

Параметр конфигурации bras_pppoe_restore_on_startup позволяет отключить автоматическое восстановление PPPoE-сессий при старте.
Возможные значения:

1 — включено (значение по умолчанию).

0 — отключено. Абоненты будут инициировать новые PPPoE-сессии.

В случае, если восстановление отключено:

Абоненту потребуется инициировать новую PPPoE-сессию и пройти повторную авторизацию;

При попытке продолжить использование старой сессии СКАТ отправит абоненту PADT (PPP Active Discovery Terminate) для завершения сессии.

Дополнительные настройки PPPoE

bras_pppoed_timeout — Задает тайм-аут установки PPPoE-сессии в секундах.
Так как протокол PPPoE Discovery подвержен DOS-атакам, данный параметр призван ограничить использование внутренних ресурсов при PPPoE DOS-атаке. Значение по умолчанию: 2 секунды.

Параметры CLI

pppoe term — закрытие всех PPPoE-сессий. Есть возможность указать параметры ip, mac, subs_id, login или all:

pppoe term [hard] [ip=X | mac=X | subs_id=X | login=X | all]

Для PPPoE-сессий туннельного IP нет (tunnel-IP=0).
CLI-команды, принимающие в качестве ключа subs_id (subs prop show, l2tp show session, l2tp term и пр.) могут возвратить несколько записей с одинаковым l2subs_id.