Ce module est présent et activé par défaut dans freeradius depuis la version 1.1.0. Il permet de définir une durée maximale de connexion pour un utilisateur donné, en se basant sur les valeurs stockées dans la table radacct (Accounting) pour chaque session.

On trouvera le fichier de configuration du module dans /etc/freeradius/sql/mysql/counter.conf

Il est possible de définir une période de rafraîchissement pour laquelle la durée autorisée est réinitialisée à intervalle régulier. On pourra par exemple accorder x minutes par jour ou par mois en utilisant les scénarios prédéfinis daily et monthly de counter.conf, ou en écrivant son propre sqlcounter.

On trouve aussi dans counter.conf, le sqlcounter noresetcounter, permettant de définir une durée maximale unique pour l’utilisateur qu’il pourra utiliser sur une ou plusieurs sessions:

sqlcounter noresetcounter {
counter-name = Max-All-Session-Time
check-name = Max-All-Session
sqlmod-inst = sql
key = User-Name
reset = never
query = "SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='%{%k}'"
}

Le fichier de conf est assez bien commenté et on trouvera une doc complète de mise en place sur http://wiki.freeradius.org/Rlm_sqlcounter

Une fois activée, à chaque Access-Request, freeradius va consulter le module rlm_sqlcounter qui va calculer le temps de connexion passé en additionnant les AcctSessionTime des sessions précédentes, et le comparer avec la valeur de l”attribut Max-All-Session (placé dans radcheck ou radgroupcheck).

Si Max-All-Session > SUM(AcctSessionTime) alors freeradius va renvoyer un Access-Accept avec un attribut Session-Timeout = Max-All-Session – SUM(AcctSessionTime), sinon il envoie un Access-Reject.

Exemple avec un utilisateur min5 (avec un Max-All-Session de 5min, ayant déjà consommé 124s de connexion) envoyant un Access-Request (logs crachés par un freeradius lancé avec l’option -X):

[...]
rlm_sqlcounter: Entering module authorize code
sqlcounter_expand:  'SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='%{User-Name}''
[noresetcounter]     expand: SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='%{User-Name}' -> SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'
sqlcounter_expand:  '%{sql:SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'}'
[noresetcounter] sql_xlat
[noresetcounter]     expand: %{User-Name} -> min5
[noresetcounter] sql_set_user escaped user --> 'min5'
[noresetcounter]     expand: SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5' -> SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'
rlm_sql (sql): Reserving sql socket id: 1
[noresetcounter] sql_xlat finished
rlm_sql (sql): Released sql socket id: 1
[noresetcounter]     expand: %{sql:SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'} -> 124
rlm_sqlcounter: Check item is greater than query result
rlm_sqlcounter: Authorized user min5, check_item=300, counter=124
rlm_sqlcounter: Sent Reply-Item for user min5, Type=Session-Timeout, value=176
++[noresetcounter] returns ok
 
Sending Access-Accept of id 85 to 78.114.63.174 port 53158
Session-Timeout == 176
[...]

Si Max-All-Session < SUM(AcctSessionTime) alors on aura:

[...]
rlm_sqlcounter: Entering module authorize code
sqlcounter_expand:  'SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='%{User-Name}''
[noresetcounter]     expand: SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='%{User-Name}' -> SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'
sqlcounter_expand:  '%{sql:SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'}'
[noresetcounter] sql_xlat
[noresetcounter]     expand: %{User-Name} -> min5
[noresetcounter] sql_set_user escaped user --> 'min5'
[noresetcounter]     expand: SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5' -> SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'
rlm_sql (sql): Reserving sql socket id: 1
[noresetcounter] sql_xlat finished
rlm_sql (sql): Released sql socket id: 1
[noresetcounter]     expand: %{sql:SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'} -> 301
rlm_sqlcounter: (Check item - counter) is less than zero
rlm_sqlcounter: Rejected user min5, check_item=300, counter=301
++[noresetcounter] returns reject
 
Sending Access-Reject of id 124 to 78.114.63.174 port 51651
Reply-Message = "Your maximum never usage time has been reached"
[...]

Néanmoins, que se passe t’il lors de la première connexion de l’utilisateur, alors qu’il n’y a aucune durée de connexion loggée dans la table radacct ?

[...]
rlm_sqlcounter: Entering module authorize code
sqlcounter_expand:  'SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='%{User-Name}''
[noresetcounter]     expand: SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='%{User-Name}' -> SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'
sqlcounter_expand:  '%{sql:SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'}'
[noresetcounter] sql_xlat
[noresetcounter]     expand: %{User-Name} -> min5
[noresetcounter] sql_set_user escaped user --> 'min5'
[noresetcounter]     expand: SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5' -> SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'
rlm_sql (sql): Reserving sql socket id: 1
[noresetcounter] row[0] returned NULL
rlm_sql (sql): Released sql socket id: 1
[noresetcounter]     expand: %{sql:SELECT SUM(AcctSessionTime) FROM radacct WHERE UserName='min5'} ->
rlm_sqlcounter: No integer found in string ""
++[noresetcounter] returns noop
 
Sending Access-Accept of id 81 to 78.114.63.174 port 57171
[...]

Rlm_sqlcounter n’est pas capable d’effectuer sa requête puisqu’il n’y a pas de session antérieure concernant le nouvel utilisateur. Il est échoue et freeradius renvoie un Access-Accept, sans Session-Timeout, donc sans aucune restriction concernant la durée de connexion !

Il faut préalablement définir pour l’utilisateur (table radreply) ou un groupe d’utilisateur (table radgroupreply) un Session-Timeout correspondant au Max-All-Session, afin qu’il soit utilisé lors de la première connexion. Pour les futures connexions, le module Rlm_sqlcounter génèrera un Session-Timeout que freeradius utilisera à la place de la valeur configurée par défaut.

Il y a pas mal d’articles sur le sujet en fait, mais un petit memo perso fait pas de mal:

• Plug du téléphone en usb, avec mon samsung F480 j’obtiens ô joie un joli /dev/ttyACM0:

  usb 4-1: new full speed USB device using uhci_hcd and address 4
  usb 4-1: configuration #1 chosen from 1 choice
  cdc_acm 4-1:1.0: ttyACM0: USB ACM device

• Lancement de pppd (Le tout sur une seule ligne.):

  pppd connect '/usr/sbin/chat -v ABORT "NO CARRIER" "" "AT&F" OK "AT+CGDCONT=1,\"IP\",\"sl2sfr\",\"0.0.0.0\",0,0" OK "ATDT *99#" CONNECT' disconnect '/usr/sbin/chat -v ABORT "BUSY" "" "\K" "" "+++ATH"' /dev/ttyACM0 defaultroute noauth asyncmap 0 mtu 1500 mru 1500 noipdefault usepeerdns idle 600

  En fait vous avez plusieurs choix pour la chaine “AT+CGDCONT=1,\”IP\”,\”sl2sfr\”,\”0.0.0.0\”,0,0″ :
  - Vous avez débloqué l’option iphone chez SFR pour avoir accès directement à l’IMAP(s)/SMTP/POP : sl2sfr
  - Vous n’avez pas débloqué cette option: wapsfr
  - Vous voulez payer la connexion ou vous n’avez pas de forfait illimythics: websfr

• On regarde dans /var/log/messages en même temps et on constate que ça marche !

   pppd[31007]: pppd 2.4.4 started by root, uid 0
  chat[31008]: abort on (NO CARRIER)
  chat[31008]: send (AT&F^M)
  chat[31008]: expect (OK)
  chat[31008]: AT&F^M^M
  chat[31008]: OK
  chat[31008]:  -- got it
  chat[31008]: send (AT+CGDCONT=1,"IP","sl2sfr","0.0.0.0",0,0^M)
  chat[31008]: expect (OK)
  chat[31008]: ^M
  chat[31008]: AT+CGDCONT=1,"IP","sl2sfr","0.0.0.0",0,0^M^M
  chat[31008]: OK
  chat[31008]:  -- got it
  chat[31008]: send (ATDT *99#^M)
  chat[31008]: expect (CONNECT)
  chat[31008]: ^M
  chat[31008]: ATDT *99#^M^M
  chat[31008]: CONNECT
  chat[31008]:  -- got it
  pppd[31007]: Serial connection established.
  pppd[31007]: Using interface ppp0
  pppd[31007]: Connect: ppp0 <--> /dev/ttyACM0
  pppd[31007]: Could not determine remote IP address: defaulting to 10.64.64.64
  pppd[31007]: local  IP address 10.X.X.X
  pppd[31007]: remote IP address 10.64.64.64
  pppd[31007]: primary   DNS address 172.20.2.39
  pppd[31007]: secondary DNS address 172.20.2.10

• On configure le proxy qui va bien dans firefox (ou autre) dans edition/preferences/réseau/paramètres: 195.115.25.129:8080 pour http et https.

Le proxy SFR  ne laisse passer que les user agent de navigateur de téléphone portable. Il faut donc changer la variable general.useragent.extra.firefox en par exemple Samsung-SGH-F480-Vodafone/F480AEHH2 SHP/VPP/R5 NetFront/3.4 Qtv5.3 SMM-MMS/1.2.0 profile/MIDP-2.0 configuration/CLDC-1.1 et voilà, une connexion de dépannage “illimité” et “gratuite” pour votre lappy  :-p

NB: Il sera plus pratique d’utiliser les plugins firefox User Agent Switcher et SwitchProxy Tool pour gérer les deux derniers points.

#blogdump est un énième “technoblog” portant principalement sur le monde du libre comme on en voit maintenant beaucoup sur le net, un carnet de note personnel un peu bric-à-brac, tutoriaux, projets, expérimentations dangereuses (ou pas) etc…

Je remercie Evolix, SSLL où j’ai effectué mon stage de fin de 2eme année d’école d’informatique, qui a la gentillesse d’héberger gracieusement ce weblog.