[inet-admins] tac+ia (disc-cause=9)

[Andrew Lun <lunix@artelecom.ru>]

Привет,

Есть tac+ (tac+ia-0.96pre9.3) с настройками для клиента:

group = dflgroup {
 default service = deny
 acct_start "/var/ibs/ibsdbagent/bin/acct_start.pl"
 acct_stop "/var/ibs/ibsdbagent/bin/acct_stop.pl"
 login = extern "/var/ibs/ibsdbagent/bin/ibsdbaa.pl $user $address"
 pap = extern "/var/ibs/ibsdbagent/bin/ibsdbaa.pl $user $address"
 after authorization "/var/ibs/ibsdbagent/bin/after_auth.pl $user $address"
 service = ppp protocol = ip { addr-pool = public }
 service = exec { priv-lvl = 1 }
 service = ppp protocol = multilink {}
 cmd = ppp      { permit .* }
 cmd = connect  { permit .* }
 cmd = telnet { permit .* }
}

На AS5300 (ios 12.1(3)) прется клиент с PAP-authorization.

Кусок конфина кошки:
aaa new-model
aaa authentication login default local group tacacs+
aaa authentication ppp default if-needed group tacacs+
aaa authorization exec default group tacacs+ local
aaa authorization commands 1 default group tacacs+ local
aaa authorization commands 15 default local
aaa authorization network default group tac+
aaa accounting suppress null-username
aaa accounting network default wait-start group tacacs+
aaa accounting connection default wait-start group tacacs+

Происходит следующее: в течении первых 3-х секунд проходит
аутентификация, потом секунд 30!!! авторизация. После чего все
разваливается. Клиенту выдается 645 ошибка (винда) в acctlog tac+ идет
запись с disc-cause=9 и disc-cause-ext=1040 (LCP timeout). Убираем
after authorization - летает как птичка.
Отдельно проверили работу /var/ibs/ibsdbagent/bin/after_auth.pl $user
$address, время выполнения не превышает 3-х секунд.
Такое осуссение, что tac+ просто складывает запросы в некий мешок и
нехотя потом их оттуда достает.

--
Best regards, Andrew Lun
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
O.J.S.C. Artelecom, Arkhangelsk                   http://www.atnet.ru/


=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on http://info.east.ru/rus/inetadm.html