مشکل چگونگی چک کردن گروه کاربری یک کاربر در NTTack

[raha1356]

سلام به همگی
من نزدیک 4 ماهه که این سایت رو مطالعه می کنم و از همه اساتید برای اطلاعات مفیدی که در این سایت در اختیار می گذارند ممنونم

من بعد از کلی گرفتاری موفق شدم نرم افزار NTTack را برای Accounting در یک Lan راه اندازی کنم حالا مشکلی که دارم اینه که می خواهم برای کاربران یک گروه خاص از طریق Firewall محدودیت دسترسی و Download ایجاد کنم بنابراین مجبورم گروه کاربر رو در Firewall چک کنم. مشکل از جایی شروع مشه که باید گروه کاربر رو به Firewall به عنوان یک پارامتر پاس کنم تا بشه شرط مربوطه را چک کرد. من از یه Firewall سخت افزاری با مارک Bluecoat استفاده می کنم.
خواهش می کنم به من بگین چطور می تونم گروه کاربر را برای برقراری شرط در firewall چک کنم؟
با تشکر
رها

---

موضوعات مشابه:

• کیل کردن در nttack
• vps مناسب برای Nttack
• درخواست Nttack plus

---

[webgard3]

NTTacPlus یه دیتا بیس جدا داره که خودش با اون کار میکنه و ربطی به فایروال شما نداره. شما تنها کاری که میتونید انجام بدید اینه که یه ویژگی مشترک بین اون یوزرها که میخواین محدودیت ایجاد کنید پیدا کنید و یه رنج ip مشخص توسط ras server بهشون بدید. بعدش توی فایروال روی همون رنج محدودیت ایجاد کنید.

[raha1356]

با تشكر از اينكه اين حقير رو تحويل گرفتين و جواب دادين

راهنمايي تون خيلي بجا بود البته من از بس از ديدن جواب نا اميد بودم مطلب شما رو امروز ديدم. هفته پيش بعد از كلي سرو كله زدن با proxy server و پيدا كردن نحوه شناسايي att/value در اون اين مشكل رو حل كردم ( دقيقا همون طور كه شما گفتين)

حالا يه مشكل عجيب ديگه دارم
قبل از هر چيز بايد بگم به اندازه اي كه چشمام سياهي بره اين forum رو براي پيدا كردن راه حل گشتم ولي متاسفاده چيزي پيدا نكردم كه كمكم كنه. تو راهنماي nttac هم چيزي پيدا نكردم

مشكل از اين قراره
يوزهاي شبكه (LAN) به proxy وصل ميشن user و password از طريق nttac بررسي ميشه و پيغام accepted به proxy ارسال ميشه يوزر شروع به استفاده از اينترنت ميكنه ولي از اين مرحله به بعد نه تنها مشخصات يوزر تو پنجره active user در nttac ديده نميشه بلكه بعد از اينكه ديتا بيس رو هم بررسي كردم متوجه شدم هيچ اطلاعاتي براي accounting يوزر ثبت نميشه در نتيجه كاربر تا هر وقت كه بخواد بدون محدوديت از اينترنت استفاده مي كنه

بنظر مياد پيغام start و stop به nttac نمي رسه
اگه متونين كمكم كنين. ممنون ميشم

[raha1356]

با عرض پوزش

يه سوال ديگه هم هست. تو شبكه ما وضيتي مورد انتظاره كه هم زمان استفاده از اينترنت رو براي يه كاربر محدود كرد هم ميزان استفاده اون كاربر رو مشخص كرد. به عبارتي براي يك كاربر خاص هم محدوديت زماني هم محدوديت حجمي قرار بديم.
اينطور كه به نظر مياد در nttac در آن واحد فقط يكي از اين موارد رو ميشه براي كاربر تنظيم كرد ( البته از اونجايي كه accounting رو server در حال حاضر درست عمل نمي كنه نمي تونم با اطمينان بگم نمي شه.

مي خوام بدونم تا حالا كسي اين حالت رو براي يك كاربر استفاده كرده يا نه.
يه مورد ديگه هم هست وقتي گزينه use time out session را انتخاب مي كنم و بطور مثال سهم اعتبار روزانه را براي كاربر 7200 دقيقه تنظيم ميكنم به جاي اينكه وقتي 24 ساعت ميگذره اين سهميه reset بشه اگه كاربر روز قبل از سهميه خودش استفاده نكرده باشه اين سهمه به سهم روز بعد اضافه ميشه. آيا راهي هست كه سهم زماني استفاده كاربر هر 24 ساعت reset بشه و سهم روزهاي قبل سوخت بشه؟

قبلا از لطف كساني كه به اين شاگرد مبتدي كمك مي كنن متشكرم

[Hakimi]

سلام
شما روش نادرستی رو برای رفع مشکلتون انتخاب کردید، Proxy Server ها صرفا برای Authentication می توانند از Radius استفاده کنند و Accounting را با استفاده از Rasius Server انجام نمی دهند.
پس برای کنترل زمانی و حجمی نمی توانید از NTTacPlus و BlueCoat به صورتی که توضیح دادید استفاده کنید.

آیا شبکه شما تحت Active Directory است؟ آیا کاربران با Username های تعریف شده در Domain بر روی سیستم های خود Login می کنند؟

[SaeedAlkhamiss]

سلام
يوزهاي شبكه (LAN) به proxy وصل ميشن user و password از طريق nttac بررسي ميشه و پيغام accepted به proxy ارسال ميشه يوزر شروع به استفاده از اينترنت ميكنه ولي از اين مرحله به بعد نه تنها مشخصات يوزر تو پنجره active user در nttac ديده نميشه بلكه بعد از اينكه ديتا بيس رو هم بررسي كردم متوجه شدم هيچ اطلاعاتي براي accounting يوزر ثبت نميشه در نتيجه كاربر تا هر وقت كه بخواد بدون محدوديت از اينترنت استفاده مي كنه
من هم همين مشکل رو دارم چا ره چيه اگه بخو ام از NTTACواسه Accountingواسه user های Web Proxyاستفاده کنم

آيا راهی هست

[Hakimi]

فکر می کنم من همین موضوع را در نوشته پیشین پاسخ دادم. با Proxy Server به این صورت این کار امکان پذیر نیست.

[raha1356]

سلام آقاي حكيمي
از توجه شما و وقتي كه گذاشتيد واقعا ممنون

شبكه تحت Active directory مي باشد و كاربران با User/password درج شده در Active directory روي سيستم login مي كنند

بنظر شما آيا لازمه كه از يك روتر بجاي proxy server استفاده كنم؟
منظورم اينه كه روتر براي اجازه دسترسي IP سيستم را به proxy ارسال كنه و براي Accounting از Nttac استفاده كنه

[webgard3]

شما چرا از proxy استفاده میکنید؟ اینجوری هم برای کلاینت دردسر داره هم خودتون که باید توی همه نرم افزارها پروکسی رو ست کنید. راحت یه vpn server با MikroTik راه بندازید یوزرهاتونو هم با همون با اکانتینگ جدا یا با مال خود MikroTik کنترل کنید.

[Hakimi]

دو روش:
روش اول (شبیه آن چیزی که شاهین توضیح داد):
استفاده از VPN Server و مجبور کردن کاربران به برقراری ارتباط VPN برای دسترسی به اینترنت
من این روش را نمی پسندم. در محیط های بزرگ مدیریت چنین سیستمی خیلی راحت نیست. آموزش کاربران برای برقرار کردن اتصال VPN و دردسر قطع کردن و اتصال مجدد و رفع مشکلات آنها فشار و بار زیادی بر گروه Helpdesk وارد خواهد کرد. به نظر من باید به دنبال روشی بود که کمترین درگیری و سطح تماس را با کاربر داشته باشد. سیستمی Transparent

پیشنهاد اول من:
استفاده از نرم افزاری نظیر SurfControl به گونه ای که بدون نیاز به هرگونه برخوردی با کاربر، به صورت کاملا نامحسوس به محاسبه میزان کارکرد پرداخته و به محض پایان حجم یا زمان مجاز، دسترسی او را محدود کند.
SurfControl چند شیوه عملکرد دارد که یکی از انواع آن می تواند روی Span Port یا در یک HUB با مسیر اصلی ارتباط کاربران با اینترنت قرار گیرد و بدون ایجاد هرگونه Bottleneck به بررسی بسته ها بپردازد.
برای شناسایی کاربران نیز دو روش موجود است. یکی استفاده از Security Event های موجود در Active Directory و دیگری استفاده از یک Logon Script که در لحظه ورود کاربر را به سیستم معرفی کند که توصیه من بر استفاده همزمان از دو روش برای به حداقل رساندن اشتباه در شناسایی کاربران است.

پیشنهاد دوم من:
استفاده از Microsoft ISA Server برای دسترسی به اینترنت و در کنار آن به صورت Integrated استفاده از SurfControl و Bandwidth Splitter برای کنترل دسترسی و کنترل پهنای باند کاربران است.

[raha1356]

آقا شاهين از پيشنهاد شما ممنون ولي هم به دلايلي كه آقاي حكيمي گفت هم به دلايل خاصي كه در شركت ما وجود دارد راه اندازي VPN server مد نظر ما نيست گرچه من به شخصه ارتباط VPN را بيشتر مي پسندم

هر دو پيشنهاد شما آقاي حكيمي بنظرم عملي مي رسه و با امكانات و شرايط شبكه ما سازگاري داره هر دو را امتحان مي كنم اگر به مشكلي بر خوردم همين جا از اساتيد محترم مي پرسم
بازم از پاسخ هر دو استاد عزيز تشكر مي كنم
پيروز باشيد
رها

[webgard3]

یه راه دیگه هم همین الان به نظرم رسید به نظر خوب میاد اگه جواب بده باید تست کنم.
راه اندازی HOTSPOT . با یه دونه access point که راحت جواب میده. با میکروتیک میشه مثلا یه ap رو باهاش hotspot راه انداخت ولی توی lan رو نمیدونم. اگه اینجوری بشه راحته. اکانتینگشو میزاریم با یه چیزی مثل nttac هر کس که یه وب خواست باز کنه authenticate میشه بعدش اینترنتشو کار میکنه.
چک می کنم تا فردا خبرشو میدم.