ACL группы и списки

Ключ
Эта строка удалена.
Это слово было удалено. Это слово было добавлено.
Эта строка добавлена.

Изменения (29)

просмотр истории страницы
...
ACL созданы для выгрузки на оборудования - обычно их используют чтобы дать абонентам доступ на некоторые сайты при отрицательном балансе или блокировке. Например, сайт онлайн-банка или платежной системы, чтобы абонент мог оплатить задолженность.

h1. Как формировать списки

# Для создания новой группы перейдите в раздел "Справочники" - "ACL-группы" и нажмите "Добавить". \\ \\
!Выделение_006.png|border=0,width=800! \\ \\
\\
\\ !Выделение_006.png|border=0,width=800!\\
\\
# Заполните следующие поля:
#* *Name*: имя группы ACL в настройках биллинга, можно написать краткий комментарий (например, "доступно заблокированным).
#* *ACL Name*: название списка на оборудовании (например, ACL_BLOCKED_TRUSTED). \\ \\
!Выделение_007.png|border=0,width=700! \\ \\
#* *ACL Name*: название списка на оборудовании (например, *ACL_BLOCKED_TRUSTED* для Cisco/Redback или *crb_trust_blocked_list* для Mikrotik).
\\
\\ !Выделение_007.png|border=0,width=700!\\
\\
# Кнопка "*Сохранить*" сохранит новый список.
# После этого нужно перейти в соседний раздел слева "ACL списки разрешенных сайтов", в нем появится вкладка группы, созданной в предыдущем пункте. Чтобы добавить адрес, нажмите кнопку "Добавить": \\
\\
#* *Группа*: к какой группе ACL относится сайт (например, разрешен при отрицательном балансе)
#* *Адрес*: адрес сайта, например carbonsoft.ru
#* *Комментарий*: текстовый комментарий к записи, например "Сайт Карбон-Софт"
#* *Включен*: флаг, активирующий правило. \\ \\
!Выделение_008.png|border=0,width=700! \\
\\
\\ !Выделение_008.png|border=0,width=700!\\

h1. Как выгрузить на оборудование

h2. Cisco ISG и RedBack SE
h2. Cisco ISG, RedBack SE, Microtik RouterOS

Затем в разделе "Оборудование" нужно выбрать NAS, на который будет загружен список ACL, перейти на вкладку "Управление" и выбрать пункт rtsh acl upload под заголовком "Дополнительные команды":

# Зайдите в настройки NAS на вкладку "Управление" \\ \\
!Выделение_009.png|border=0,width=500! \\ \\
\\
\\ !Выделение_009.png|border=0,width=500!\\
\\
# Нажмите кнопку *rtsh acl upload* в разделе "Дополнительные параметры" \\ \\
\\
\\ !Выделение_010.png|border=0,width=500!

h2. Mikrotik Router OS
h2. Mikrotik Router OS, дополнительные списки

На текущий момент выгрузка этих списков на Router OS не реализована.
В схеме Mikrotik Simple Вы можете указать дополнительные ACL в файле [firewall.ini|https://docs.carbonsoft.ru/pages/viewpage.action?pageId=52789376#iniфайлыmikrotik-firewall.ini], подготовленные, например, для маршрутизаторов Cisco или Redback.
Для этого заполните следующие параметры:
* *negbal_acl_groups* \- ID списков, доступных при отрицательном балансе.
* *blocked_acl_groups* \- ID списков, доступных заблокированным администратором

В [стандартных схемах интеграции|CarbonBilling:Стандартные схемы] на оборудовании Mikrotik списки нужно пополнять вручную:
* *crb_trust_negbal_list* для абонентов заблокированных по недостатку средств (отрицательному балансу)
* *crb_trust_blocked_list* для абонентов заблокированных администратором
Можно указать несколько списков через прямую черту "\|".

Заводить можно *IP-адреса*, *подсети* и *доменные имена*.
Например:
- ACL
\\
\\ !Mikrotik, выгрузка дополнительных ACL.png|border=0,width=600!\\
\\
- firewall.ini
{code}
negbal_acl_groups='1|2|3|5'
blocked_acl_groups='2|3'
{code}

h3. Winbox

В [Winbox|https://wiki.mikrotik.com/wiki/Manual:Winbox] откройте раздел IP -> Firewall, вкладку Address List и добавьте нужный адрес

!mikrotik_winbox_acl.png|border=0,width=700!

h3. Терминал

{code:title=Лист заблокированных по балансу}/ip firewall address-list add list=crb_trust_negbal_list address=online.sberbank.ru{code}
{code:title=Лист заблокированных по администратором}/ip firewall address-list add list=crb_trust_blocked_list address=online.sberbank.ru{code}
В этом примере, при блокировке по балансу будут дополнительно доступны все списки со скриншота, а при блокировке админитратором - списки "Социальный интенет" и стандартный список биллинга "trusted_blocked", подготовленный для Cisco.