PPTPD+MYSQL+FREERADIUS+限速方案

admin

一、        软件需求：
! u( w( M8 {, T, y0 Jpptpd-1.3.4、ppp-2.4.4、Apache、MySQL、freeradius(freeradius.org)
, V& C4 j3 ?3 a  Q) [二、        安装PPTP
! b0 |/ W# v, b5 t, P1、操作系统使用RHEL5或者CENTOS5，内核版本为: 2.6.18-164.el5, 内核已支持MPPE,不用再安装。
使用RPM方式安装pptpd和pppd
7 @! {- R0 p7 [9 @* ?* ^& Lrpm -ivh pptpd-1.3.4-.rhel5.1.i386.rpm
rpm -ivh ppp-2.4.4-2.el5.1.i386.rpm
$ Z, G5 p8 h; _* i8 E, |2、修改/etc/pptpd.conf主配置文件：
debug                                                          开启debug，方便检查错误。
ppp  /usr/sbin/pppd                                pppd程序位置
3 Y) R: {2 e7 K  v8 Toption /etc/ppp/options.pptpd        pptpd的参数配置文件
# X# J3 _( C9 Y" k6 I3 k2 Zlocalip 172.16.10.1                                        服务器的IP地址
remoteip 172.16.10.2-150           分配给客户端的IP地址池
        3、修改/etc/ppp/options.pptpd
lock
debug
% S2 g$ |) b/ t( |9 ydump
5 q& {; J. q8 p: zlogfd 2
$ |+ R) n- }% D+ J' W9 W2 J$ q# B! mlogfile /var/log/pptpd.log
, `4 e+ E' z5 k4 R9 H3 Xname pptpd
) G8 @% s/ W2 ^1 W$ X5 nmtu 1450
+ Z# `2 i0 X6 f+ b- u, r* N, Smru 1450
4 e. t6 W+ V: k: P2 Tproxyarp
auth
plugin /usr/local/lib/pppd/2.4.4/radius.so     radius模块，若不需要radius可以注释掉
: G, z2 n" m0 B0 W0 mplugin /usr/local/lib/pppd/2.4.4/radattr.so     radius属性模块
6 p" f) O. [& j7 Snobsdcomp
; `3 `) }# W+ L4 b5 t4 eipcp-accept-local
  A  V/ }# c' a6 a4 K/ q' e1 Mipcp-accept-remote
lcp-echo-failure 3
* W6 v6 x2 Q( O: Y# ulcp-echo-interval 5
refuse-pap
3 a* X! p' S; c% a) Zrefuse-chap
1 b2 b1 [% K+ ?4 Y: Y5 u1 v/ Yrefuse-mschap
refuse-eap
require-mschap-v2
, w$ }: v- H0 Tmultilink
require-mppe
ms-dns 202.98.96.68                     客户端的DNS地址
  M& r+ M2 C- Zms-dns 61.139.2.69
$ s2 d7 q% e7 z% J4、启动PPTP
使用service pptpd start启动服务
使用chkconfig pptpd on 使重启生效
8 |6 `% z& C7 |2 Y: v$ S0 P1 o        5、添加测试用户/etc/ppp/chap-secrets
   
2 G2 o7 t+ ]2 k' b, k# Secrets for authentication using CHAP
! ^; d' L1 l  {# client        server  secret                  IP addresses
, L. l) t: g8 w3 Etest pptpd test *
( J( w" _, z0 d! r        6、客户端设置
3 C. Y9 u+ b  x9 U( u        在windows XP上创建vpn连接，并测试（略）：
! E: p- U9 ~( E5 [% ^三、        RADIUS与MYSQL安装：
1、        安装与配置MySQL
" A* o5 Z% o9 F3 h使用yum方式安装MYSQL、php、Apache
        启动MySQL：service mysqld start
更改MySQL的root用户的密码
# mysqladmin -u root -p password youpass
#mysql -uroot -p youpass
>create database radius;  创建一个名为radius的数据库
7 Q: `: o0 A1 T! n3 d" M/ A>exit
8 M! u- t. J6 V) K" g) [#chkconfig mysqld on 随系统启动
5 Z0 m4 J) f  g4 d9 V0 @4 o$ T2、        radius安装
# [6 M/ A% {4 N# E5 ]从http://freeradius.org/ 获取 freeradius-server-2.1.7.tar.bz2
- m0 V4 A, }! e$ H; x. R#tar -xvf freeradius-server-2.1.7.tar.bz2
#cd freeradius-server-2.1.7
' n3 d" m" I( F& X9 @4 L/ T/ Q/ C9 q#./configure
#make
#make install
#radiusd -X 使用debug模式运行radius
* q2 l( ^4 @/ [  r3 M/ y  ]如果看到 "Ready to process requests."表示安装成功。
3、修改freeradius支持MySQL。
#cd /usr/local/etc/raddb/sites-available
8 H! }$ U+ r, Q: K! \编辑default文件，把里面所有sql前面的#去掉。
# cd /usr/local/radius/etc/raddb/
! f3 q. ~- P1 u编辑radiusd.conf，去掉$INCLUDE sql.conf前面的#
编辑sql.conf,
$ V/ w" r& e  U( E% g: j) ^        # Connection info:
        server = "localhost"
3 p0 q( Q6 A8 s& o. O6 P% l4 ^        #port = 3306
, I/ W& i, V5 @2 C; J/ f        login = "root"
" U  a2 G. B7 D1 ?1 T: [; A        password = "youpass"
向mysql导入radius所需的数据库文件
#cd /usr/local/etc/raddb/sql/mysql
( u! M3 J8 v8 g& j# mysql -uroot -p radius < schema.sql
0 U3 Y* _. Z7 {9 ]+ e再用debug模式运行freeradius.
# /usr/local/sbin/radiusd -X
有可能会出现
/usr/local/etc/raddb/sites-enabled/default[159]: Failed to find module "sql".
radius没有找到驱动去连接mysql。
$ R1 X! S5 e+ y+ b3 e+ U编译rlm_sql_mysql.so驱动
8 }' b7 t, ?4 @" u, X- j4 m4 `: T! J#cd freeradius-server-2.1.7/src/modules/rlm_sql/drivers/rlm_sql_mysql
#./configure;make;make install
这个时候驱动会安装到/usr/local/lib目录下面,要把驱动复制到/usr/lib目录下
! v2 ?3 |- t- u) z; U0 P2 K#cp /usr/local/lib/rlm_sql_mysql* /usr/lib
接下来在数据库中添加测试用的用户
8 h) S$ m: ]) O) p8 ]- `2 n#mysql -uroot -p radius
* J7 D( V2 Y, t& K/ n& E( Y- C0 v1 B; b> INSERT INTO `radusergroup` (`username`,`groupname`,`priority`) VALUES ('','test',1);
2 N; v! Z' w3 w( Z> INSERT INTO `radusergroup` (`username`,`groupname`,`priority`) VALUES ('test','test',1);
> INSERT INTO `radcheck` (`id`,`username`,`attribute`,`op`,`value`) VALUES (1,'test','User-Password',':=','test');
. L, C6 f/ F. ^4 k" C- D2 n测试刚刚添加的用户能不能通过验证：
, G, T; w% U2 O同时开两个窗口，运行#radiusd -X
另一个窗口运行：#radtest freebsd freebsd localhost 0 testing123
7 I  o" t0 L) z3 _- ~) x如果看到:"rad_recv:Access-Accept packet from host 127.0.0.1 ……",就已经成功了。
4、        使用web界面管理radius用户
   #cp -R ~/freeradius-server-2.1.7/dialup_admin /usr/local/
   #ln -s /usr/local/dialup_admin /var/www/html/dialup_admin
  a# D! v8 a( R8 _  E# G   #cd /var/www/html/dialup_admin/conf
6 M! E4 i* j  l) `* C        编辑admin.conf，修改如下内容
" i0 k# b3 e& H6 f8 X   
general_encryption_method: clear
3 R$ m1 a5 A1 A& @! q( e+ usql_type: mysql
sql_server: localhost
sql_port: 3306
8 D0 H/ t% ~" zsql_username: root
, x& M* a. U% f+ z# T! i" l9 M: lsql_password: youpass
sql_database: radius
sql_usergroup_table: radusergroup
# sql_debug: true
配置Apache
- n, A4 h  b- ~9 H修改:/etc/httpd/conf.d/php.conf
AddHandler php5-script .php .php3
" p) W% Y+ i6 B+ s9 q3 F; E修改：/etc/httpd/conf/httpd.conf
<Directory "/var/www/html/dialup_admin/htdocs">
+ Y2 Q0 [) e6 d% T: o7 h2 [启动apache:
#service httpd start
8 }! f9 P/ \7 m" i  S#chkconfig httpd on
% s& ?( e, A, g3 \. P打开浏览器就可以管理radius的用户了。
四、        使用radius验证pptpd用户
使用radius验证用户，需要安装radius模块，
下载ppp-2.4.4.tar.gz源代码
# tar -xvf ppp-2.4.4.tar.gz
: J" H+ z. W! u! q  f* G5 V# cd ppp-2.4.4
: ]' S, @2 v( R0 K1 w0 S# C# ./configure     //注意不要在这个地方编译安装。
#cd pppd/plugins/radius  
#make
% ?* ~+ p7 |, _  {0 o2 Q9 k#make install
' e1 u. V5 P; a! f# a. l6 b% c* l# cp -R  etc   /usr/local/etc/radiusclient
下面选项在使用radius验证时开启.需要注释掉local
#vim /etc/ppp/options.pptpd
plugin /usr/local/lib/pppd/2.4.4/radius.so   //必须先加载radius验证模块，再加载radattr.so
& e( @' Q# \) M; m5 lplugin /usr/local/lib/pppd/2.4.4/radattr.so
#cd /usr/local/radiusclient
4 \% K1 P. _- k0 b# Y' e3 L8 s#vim radiusclient.conf  编辑如下两行
' r; c( @/ k/ W9 jauthserver      127.0.0.1:1812         //radius验证
acctserver      127.0.0.1:1813         //radius计费
6 \1 I' ^$ a+ w* X: Z& P1 z# vim servers
$ T, a& Y5 \1 Z" D2 G: [#Server Name or Client/Server pair              Key
. q( _$ |% e/ i7 _+ \#----------------                               ---------------
" e' c5 K; E7 W2 f1 G7 E#portmaster.elemental.net                       hardlyasecret
#portmaster2.elemental.net                      donttellanyone
127.0.0.1                        testing123
重启pptpd: service  pptpd restart
+ u7 P7 S+ a7 `五、带宽限制
使用radius传回限速信息对客户端限速
2 x; q) K' R% P. e+ h; C, |基本原理，radius根据数据库里面的限速字段的属性，下发给PPTP服务器，服务器再根据接收到的限速字段属性来限制用户带宽。
; |$ f' i2 D" o: g8 {' L3 h+ i" G由于Linux的PPTP 限速字段不在radius默认的列表中，需要手动添加该字段。
PPTP服务器：
7 V/ T; P* U, r/ V  k- X#cd /usr/local/etc/radiusclient
8 r% X( R2 t4 Z, T! L# V+ p#vim dictionary 添加如下两行
ATTRIBUTE       PPPD-Upstream-Speed-Limit       230     integer
3 E* f1 n: r1 v: B3 f& \: M0 `ATTRIBUTE       PPPD-Downstream-Speed-Limit     231     integer
9 U, k6 M  d3 M$ g9 y同样也需要在radius的dictionary中添加这两行。具体位置/usr/local/etc/raddb/
还需要在数据库中加入：
4 N( y, Z. k3 gINSERT INTO `radgroupreply` VALUES (8,'test','PPPD-Upstream-Speed-Limit','=','512');
3 l: E8 h. h; BINSERT INTO `radgroupreply` VALUES (9,'test','PPPD-Downstream-Speed-Limit','=','512');
512是限制的带宽，单位是kbps
最后需要在/etc/ppp/目录下添加一个本地脚本，用TC来限制带宽：
脚本内容如下：
0 h: w& K% r, c$ M  ^! O; P3 y#cat ip-up.local   //注意。该脚本必须要有可执行权限。
#!/bin/bash
PATH=/sbin:/usr/sbin:/bin:/usr/bin
( ~' C  M7 u) F- dexport PATH
# Get the attrbute from radius reply
if [ -f /var/run/radattr. $1 ]
1 W1 L: I6 z4 ?, pthen
' i  e! @0 E  C2 B) x1 W# a   DOWNSPEED=`/bin/awk  '/PPPD-Downstream-Speed-Limit/ {print $2}'  /var/run/radattr. $1`
" {$ ?" G4 v+ ^' w8 B   UPSPEED=`/bin/awk  '/PPPD-Upstream-Speed-Limit/ {print $2}'  /var/run/radattr. $1`
fi
# End
4 p6 Q* \  r9 H" C# Start Bandwidth Limit
   /sbin/tc qdisc del dev $1 root    > /dev/null
* j* `9 U& Z& y   /sbin/tc qdisc del dev $1 ingress > /dev/null
##### speed server->client
  if [ "$DOWNSPEED" != "0" ] ;
  then
: `  @8 a2 n7 Y5 _* a/ N    /sbin/tc qdisc add dev $1 root handle 1: htb default 20 r2q 1
    /sbin/tc class add dev $1 parent 1: classid 1:1 htb rate ${DOWNSPEED}kbit burst 4k
    /sbin/tc class add dev $1 parent 1:1 classid 1:10 htb rate ${DOWNSPEED}kbit burst 4k prio 1
    /sbin/tc class add dev $1 parent 1:1 classid 1:20 htb rate ${DOWNSPEED}kbit burst 4k prio 2
5 N* [3 q  o6 O    /sbin/tc qdisc add dev $1 parent 1:10 handle 10: sfq perturb 10 quantum 1500
2 `2 y1 z- }9 M8 l    /sbin/tc qdisc add dev $1 parent 1:20 handle 20: sfq perturb 10 quantum 1500
- G8 C( j* _8 O. t7 k" T    /sbin/tc filter add dev $1 parent 1:0 protocol ip prio 10 u32 match ip tos 0x10 0xff flowid 1:10
    /sbin/tc filter add dev $1 parent 1:0 protocol ip prio 10 u32 match ip protocol 1 0xff flowid 1:10
  _' ]- n; u, h    /sbin/tc filter add dev $1 parent 1: protocol ip prio 10 u32 match ip protocol 6 0xff match u8 0x05 0x0f at 0 match u160x0000 0xffc0 at 2 match u8 0x10
  d( ~% v- b$ T$ a0xff at 33 flowid 1:10
0 G) @; U7 w7 }. l5 S; b5 {* f  fi
##### speed client->server
  if [ "$UPSPEED" != "0" ] ;
  then
    /sbin/tc qdisc add dev $1 handle ffff: ingress
    /sbin/tc filter add dev $1 parent ffff: protocol ip prio 50 u32 match ip src 0.0.0.0/0 police rate ${UPSPEED}kbit burst 12k drop flowid :1
  fi
6 k' M6 D& `" {+ \# End
! T# X# r! y, G9 w0 ?六、        系统优化
0 m9 x% ^' N. ?6 q$ g/ g最后再做一些简单的系统优化,以满足较大的网络流量
/ A: @; u) Y- q  m% T. d1 @net.ipv4.ip_forward = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.default.accept_source_route = 0
kernel.sysrq = 0
kernel.core_uses_pid = 1
+ M4 b. c  f& |, [0 y) H3 b- K) gnet.ipv4.tcp_syncookies = 1
kernel.msgmnb = 65536
kernel.msgmax = 65536
* X' y/ `! i4 H4 }" Kkernel.shmmax = 4294967295
) W! Y  D- P# ~7 pkernel.shmall = 268435456
' }7 V4 i" v& N! |2 w% _2 ynet.core.rmem_max = 12582912
; r  B1 h# s# X9 Rnet.core.rmem_max = 12582912
( H0 c0 i, k- J; B& ?net.ipv4.tcp_rmem = 10240 87380 12582912
net.ipv4.tcp_wmem = 10240 87380 12582912
. M4 s6 R+ t, r2 M! T! V# j& ]net.ipv4.tcp_no_metrics_save = 1
net.core.netdev_max_backlog = 5000
: `) W/ B7 H# [0 m  G+ h如果想要对拨入用户做NAT，可以使用IPTABLES做
#iptables -t nat -A POSTROUTING  -j MASQUERADE

! h, U1 K4 @' K2 r+ u$ u




6 i" O% h% j: G5 [