Pedro . meu amigo de um tempo para ca alguns clientes que usam o mka-uth des de a verção 4.80 tem me relatado uns prloblemas .. tipo hoje com a 4.90
quem ja tinha as regras no mangle e nat e o mk-auth manda dinamicamente pra a addreslist e tal tava tudo direitinho entao as mesmas regras com o simples questao de ter formatado e instalado um novo mk-auth ja nao funciona nas os clientes nao recebem tela de block nem nada
dai fiz umas verificações e ssh normal . radius normal e etc . nem cliente pppoe nem hotspot todos mesmo problema
tb tive uns problemas de clientes nao autenticar e dar uma mensagem no hotspot de erro de pool tela block algo desse tipo ....
se possivel manda as regras para o mikrotik de block aviso e etc ... funcionais com a ultima iso do mka-uth e seu ultimo update. ainda roda alguma coisa de api no mk-auth atual ? ta trabalhando com icoming ? ou algum outra forma se sim informa tb ?
Para adicionar comentários, você deve ser membro de MK-AUTH.
Respostas
se vc usa a pagina de corte por radius, uma forma de vc saber se seu cliente realmente esta bloqueado no radius e clica no link informações que tem abaixo do nome do cliente e na janela que abre na parte de radius veja se tem os parametros Mikrotik-Mark-Id ou Framed-Pool (clientes hotspot) ou Mikrotik-Address-List (clientes pppoe) como na imagem abaixo, se tem então o erro com certeza é no mikrotik por isso depois do login, veja se o cliente bloqueado aparece no mangle do mikrotik (hotspot) ou veja se o ip do cliente bloqueado entra no address-list do mikrotik (pppoe):
se vc usa a pagina de corte por ssh, uma forma de vc saber se seu cliente realmente esta bloqueado é ver se na address-list o ip do cliente aparece, se não aparece veja se não é falha na comunicação ssh, clique no link informações da pagina de ramais mikrotik e veja se aparece os dados como na imagem abaixo, caso os dados sejam mostrados com sucesso então a razão do bloqueio por ssh não funcionar é pq o cliente não tem um ip definido no cadastro dele ou nunca tenha se conectado ao provedor.
nas duas formas de bloqueio é preciso colocar a regra de redirecionamento para pagina de corte acima da regra de nat para o proxy no nat do mikrotik e nas configurações de profile de hotspot do mikrotik é preciso deixar a opção transparet proxydesativada.
veja abaixo as regras atuais para exibir a pagina de corte com radius ou ssh:
Para todos os clientes:
/ip firewall nat
add action=dst-nat dst-address=!172.31.255.2 chain=dstnat comment="PG CORTE" disabled=no protocol=tcp src-address-list=pgcorte to-addresses=172.31.255.2 to-ports=85
Para hotspot com radius (pool):
/ip pool
add name=pgcorte ranges=10.3.0.2-10.3.3.254
/ip address
add address=10.3.0.1/22 broadcast=10.3.3.255 network=10.3.0.0 interface=Placa do clientes
/ip firewall nat
add action=dst-nat dst-address=!172.31.255.2 chain=dstnat comment="PG CORTE" disabled=no protocol=tcp src-address=10.3.0.2-10.3.3.254 to-addresses=172.31.255.2 to-ports=85
Para hotspot com radius (mangle):
/ip firewall mangle
add chain=prerouting action=jump comment="PG CORTE" jump-target=hotspot
/ip firewall nat
add chain=hotspot comment="PG CORTE" packet-mark=bloqueado protocol=tcp action=dst-nat to-addresses=172.31.255.2 to-ports=85
valeu meu amigo . vou passar isso para o pessoal tb que entrou em contato . ando viajando bastante e preso com projetos de iptv meu sem tempo de dar atenção merecida aos parceiros e clientes com duvidas sobre isso. mas com essa mastigada que vc deu vai ajudar a todos
No caso de os clientes pegarem ip por DHCP como que fica essa regra, pq testei aqui por ssh ele fica na address list, e este cliente desliga a antena logo o ip dele fica livre para outro usuario dai quando esse outro pega este ip na address list ele nao navega fica bloqueado.
alguma solução para este tipo de problema, e ainda a pagina de bloqueio não abre so da erro na pagina.
é melhor usar o bloqueio por radius, assim o sistema coloca na address-list no momento do login...
Alexandre Leite disse: