Hlavní navigace

TACACS (5)

Milan Gigel

V predchádzajúcich častiach seriálu o tacacsi sme prebrali základnú problematiku daemonu tacacs a konfigurovanie routerov Cisco pre spoluprácu s ním. Aktivovali sme účtovací systém, takže dnes sa pozrieme bližšie na obsah účtovacieho súboru, a ukážeme si, ako jednoduchým spôsobom môžeme získať cenné prehľady o authentikáciách vo forme mesačných sumárnych reportov a mesačných reportov za jednotlivé kontá.

Účtovací súbor sa štandardne nachádza v závislosti na direktíve accounting file konfiguračného súboru tacacs na /var/log/tac_­plus.log

    accounting file = /var/log/tac_plus.log

Účtovací súbor je klasický textový súbor, kde každý účtovací záznam tvorí jednotlivý riadok, v ktorom sa nachádza jedna z nasledujúcich účtovacích položiek:

„unknown“
„service“
„start_time“
„port“
„elapsed time“
„status“
„priv_level“
„cmd“
„protocol“
„cmd-arg“
„bytes_in“
„bytes_out“
„paks_in“
„paks_out“
„address“
„callback-dialstring“
„nocallback-verify“
„callback-line“
„callback-rotary“
„task_id“

Pred jednotlivými účtovacími sa nachádza informácia o čase, dns názov routera, rozhranie a názov konta.

Ukážeme si teda na príkladoch, ako z týchto informácií prostredníctvom skriptu napísaného v perle ako .cgi skript, môžeme tieto informácie sumarizovať podľa nami určených podmienok.

Prvým príkladom je tvorba podrobného mesačného výpisu pre jednotlivé dialup konto. Vyfiltrujeme si teda záznamy ktoré obsahujú reťazec /async/, ktorý nám určuje, že sa jedná o účtovný záznam asynchrónneho portu routera a /service=ppp/, ktorý nám vyberie iba záznamy služby ppp. Účtovná položka /elapsed_time=/ nám určuje, akú dĺžku dané spojenie malo. Prenesený objem dát sa nachádza v položkách bytes_in a bytes_out.

Použijeme teda ukážkový skript kontologin.cgi, ktorý môžete nájsť na ftp.compclub.sk/pub/kon­tologin.cgi. Skript je spúštaný cez web rozhranie ako cgi, takže je potrebné, aby bol príslušnými právami zabezpečený prístup na čítanie k súboru /var/log/tac_­plus.log. Po uploadnutí na webserver do adresára cgi-bin si môžme otestovať funkčnost.

Ako vstupné parametre sa používajú nasledovné

konto – obsahuje názov konta napr. nr-pokus
MESIAC – obsahuje trojpísmennu skratku anglického názvu mesiaca s prvým začiatočným písmenom, teda napr. Jan, May, Oct…
ROK – obsahuje číselné označenie roku, napr. 2001

Výsledok po spustení skritpu napríklad

http://moj.web­.sk/cgi-bin/kontologin­.cgi?konto=nr-pokus&MESIAC=Au­g&ROK=2001

môže vyzerať nasledovne:

tacacs konto

Druhý príklad nám demonštruje celkový mesačný výpis pripojení dialup užívateľov a celkový sumár. Princíp je totožný s predchádzajúcim príkladom.

Použijeme teda ukážkový skript kontomesiac.cgi, ktorý môžete nájsť na ftp.compclub.sk/pub/kon­tomesiac.cgi.

Ako vstupné parametre sa používajú nasledovné

MESIAC – obsahuje trojpísmennu skratku anglického názvu mesiaca s prvým začiatočným písmenom, teda napr. Jan, May, Oct…
ROK – obsahuje číselné označenie roku, napr. 2001

Výsledok po spustení skritpu napríklad

http://moj.web­.sk/cgi-bin/kontomesi­ac.cgi?MESIAC=Au­g&ROK=2001

môže vyzerať nasledovne:

tacacs mesiac

Ako vidíme, výstupné reporty môžeme použiť na mesačné vyúčtovanie dialup kont či už podľa času pripojení, alebo v závislosti na objeme prenesených dát, ako aj na podrobné výpisy pripojení. Skript odlišuje silnú a slabú prevádzku, takže podľa týchto údajov je možné odhadnúť účet za telefón.

Jednoduchým spôsobom si môžme k týmto skriptom vytvoriť rozhranie s použitím webovských formulárov a po pridaní authentikácie sprístupniť užívateľom, aby si prostredníctvom svojho internetového prehliadača mohli sami pristupovať k informáciám. Takisto je možné dávkové spracovanie a v určitých časových intervaloch zasielať klientom tieto výpisy prostredníctvom emailu.

Našli jste v článku chybu?
6. 9. 2001 8:57
Milan Gigel (neregistrovaný)

potom mam este jeden tip, ako obist prostredie verejneho internetu. Modem na console port, modem v admin masine a cez terminal vytocit cislo a operovat takto

4. 9. 2001 20:00
Michal Bartolomej (neregistrovaný)

To je naozaj jedina moznost ? No, nezda sa mi to velmi priamociare t.j. ku kazdemu routru mat este pripojene PCcko