Добрый день.

Форум читал, много узнал и все же решил написать.

Что имем:

Есть база свитчей (3526), база пользователей (мак ip)

Задача.

"Правильным" пользователям (это у которых есть деньги, правильный ip и мак, порт) дать доступ везде.

Пользователям без денег, но с правильным мак и ip (и портом) дать доступ на статистику, разрешить пытаться подключиться по VPN ну и DNS естественно.

Пользователи из "правильного" диапазона ip но без правильного mac (или порта) при обращении к любому www попадают на страницу авторизации где по логин/паролю создают (автоматом) связку мак-ip в базе.

Пытаюсь найти оптимальное решение данной задачи.

Разделение на подсети у вас будет?
Уже наметили, чем будете создавать/удалять связки IP-MAC ? (snmp/telnet/ssh)
Неправильные пользователи (нет денег) должны будут попадать на VPN сервер, то как они будут подключаться, если они неправильные. Может быть им нужно дать доступ только на сервер статистики?

З.Ы. Заставить пользователя самим делать связки IP-MAC - это жестко, замучают, лучше на диспетчеров это переложить.

2 xmr > Вам нужно рассмотреть 802.1x + Guest VLAN.

_________________
С уважением,
Бигаров Руслан.

802.1x подразумевает специальную настройку клиента. это не подходит.
Какие операционки это поддерживают, а роутеры?


Вопрос - можно ли на 3525 организовать перенаправление? т.е. человек что бы не набрал (по 80 порту) все равно попал бы на нужную страницу.

Мысль какая.
DHCP все не известным макам выдает ip из определенного диапазона. Получив такой адрес клиент попадает на страницу авторизации и введя login/pass система обновит (создаст) запись о нем. т.е. пропишет мак ip порт.
После этого клиент делает renew (перегружается и т.д.) и получает уже свой адрес.

В свою очередь мы разрешаем некоторые хосты диапазону ip и даем полный доступ людям с положительным балансом.

Вот пока такие мысли

P.S.

Доступ до впн при отрицательном балансе нужен что бы пользователь получил 691, а не 800.
Сеть разбита на vlan (vlan=микрорайон, введем dhcp подробим и мельче)
Управление snmp.

Все Microsoft Windows. DI-524UP, DIR-120, DIR-320.



Это WAC технология.



Смотря как должен выходить клиент потом в Интернет, если клиент потом должен авторизоваться по PPTP или PPPoE - это одно, а если с помощью функционала коммутатора и Radius сервера, то это другое. Пожалуйста, распишите более подробно.

_________________
С уважением,
Бигаров Руслан.