Provisioning ενος FritzBox

[finos]

Τον τελευταίο καιρο διαβαζω (ισως παραπάνω απ οτι θα επρεπε :-D ) για τους ACS servers , το tr069 ως προτοκολο και πως το κανουν χρηση οι παροχοι ειτε στη χωρα μας ειτε γενικα .

καθως διαβαζα τις διάφορες μεθοδους πρόσεξα , κατι που ισως το γνωρίζαμε "απ εξω" ως θεατες , πως για να σου κατεβάσει τα setings στο CPE πρεπει να σε ταυτοποιήσει ποιος εισαι στο δυκτιο , μια απο τις
τεχνικές και μαλλον αυτη που εφαρμόζουν εδω ειναι μεσω του Σειριακου της συσκευης , που μπορουν πολυ ευκολα να ξερουν καθως αυτοι την στειλαν.

όταν κάποιος τελικος χρήστης , που θελει να αντικαταστήσει τον εξοπλισμό που του εδωσε ο παροχος, με κατι καλύτερο για τον ΧΥ(Εδω ξεκιναει και η ερώτηση μου) , προμηθεύετε ενα frizbox που λιγο πολυ υποστηρίζεται
απο 2/3 παροχους (εαν δε κανω λαθος δε παιζει σε nova , ακομη, ε; )

λιγο πολυ αυτο που κυκλοφορεί σε forums και σελιδες τεχνολογίας ειναι το "στα friz επιλεγεις το προφιλ του παρόχου σου και τραβαν μονα τους τα setings "
χωρις να πρεπει να βαλεις καπου τον S/N σου ή καποιο αλλο στοιχειο απο το Stock CPE (απ οτι καταλαβαίνω)

Εδω ομως δε καταλαβαίνω κατι , εαν συνδέσω ενα άκυρο fritz σε μια γραμμή πχ Cosmote , βαλω provider cosmote αυτό λογικα θα κατεβάσει τα "προσωπικά setings" (εαν δε εχει παρει το Upgrade σε tr369) προσωποποιημένα username@otenet.gr & κωδικοί VoBB , Πως ομως ο Server της Cosmote θα ξεχωρίσει τον συνδρομητή;

Στη αρχη σκέφτηκα ηταν πως στο DSL τον αναγνωρίζουν απο το ποια πορτα στο VDSL kv ειναι συνδεμένος & στο Gpon απο το ont ?

αλλα αυτο πως θα δούλευε αν ο συνδρομητής μας ηταν σε περιοχή αλλου παροχου , πχ να ειχε ρίξει ινες η vodafone ,

Απο τεχνικούς πεδίου ΟΤΕ γνωριζω πως δε εχουν πρόσβαση σε τιποτα , πρακτικά δε βλέπουν τον συνδρομητή εαν δε εχει τον εξοπλισμό τους επάνω .


Κανει κάποια αλλη μαγκιά το friz κατα το provisioning και συνδέεται ;

[netblues]

Δεν κανει καμμια μαγκια το fritz. Ολα τα router που μπαινουν επανω αναγνωριζονται με τον ιδιο τροπο.
Επειδη μπορει καποιος να παρει ενα router με voice και internet credentials και να το συνδεσει σε αλλη γραμμη cosmote, ε δεν θα δουλεψει.
Η απαντηση σε ολο αυτο λεγεται dslam pre authentication. Σε απλα λογια, το dslam που εχει τη φυσικη γραμμη αντικαθιστα το username & pass που στελνει το router με ενα προκαθορισμενο που εξαρταται απο την πορτα και μονο. Κατι αντιστοιχο γινεται και με το serial του gpon, το οποιο καθοριζει το συνδρομητη.
Αν και ειναι βεβαιο οτι αν παρουμε ενα ont στην ιδια πολυκατοικια και το παμε σε αλλο οροφο θα δουλεψει, αν το βαλουμε σε αλλη ινα σε αλλη γειτονια, δεν θα αναγνωρισθει.

Αφου γινει η αναγνωριση, το tr69 αναλαμβανει να περασει τους κωδικους στο router. Η αποστολη των credentials ειναι encrypted, ενω το device που ζηταει κωδικους πρεπει να εχει εγκατεστημενο καποιο certificate βασει του οποιου γινεται αποδεκτο το αιτημα για αποστολη των credentials. Με αλλα λογια, ακομα και αν o παροχος γνωριζει παντα ποιος συνδρομητης ειναι πισω απο καθε ont/dslam port, δεν θα στειλει username και passwords σε αγνωστα devices. Καπως ετσι, ακομα και οταν βαλουμε τα generic credentials, μας δινει προσβαση στο internet.
Βασει νομου, ο παροχος πρεπει να γνωριζει παντα ποιος συνδρομητης εχει προσβαση στο internet και με τι ip, σε περιπτωση που αυτο ζητηθεί απο τις εισαγγελικες αρχες.

Ακομα και οταν η συνδεση αφορα τριτο παροχο, o ιδιοκτητης του δικτυου, γνωριζει σε ποιο συνδρομητη του τριτου παροχου εχει δωσει ποια πορτα dslam, και αυτο το στελνει στο bras του τριτου παροχου για να τον ταυτοποιησει.

Αντιστοιχα πραγματα και με τα ont

[Iris07]

@ finos

Κατ' αρχάς υπάρχουν 3 περιπτώσεις όπως έχω δει..
λογικά αφού επιλέξεις προφιλ Cosmote κατά το setup ενός Fritz.

- Το Fritz να σεταριστεί για Internet & τηλεφωνία μόνο του.
- Το Fritz να σεταριστεί για Internet μόνο του αλλά για τηλεφωνία με τηλ. στην υποστήριξη Cosmote.
- Το Fritz να σεταριστεί για Internet μόνο του αλλά να μην μπορέσει για τηλεφωνία ούτε με τηλ. στην υποστήριξη Cosmote.

Εγώ είχα αγοράσει Fritz από την AMY με προφίλ Cosmote αλλά τελικά έπρεπε να πάω στην περίπτωση 2.
Τότε που το πήρα το OS είχε TR-069 που υποστηρίζει η Cosmote.

Κάποια στιγμή βγήκε το TR-369 και άρχισαν οι αναφορές για προβλήματα ακόμη και με τηλ στην υποστήριξη Cosmote.

Λογικά όταν επιλέγεις προφίλ Cosmote αυτό ενημερώνει το Fritz για τον ACS Server της Cosmote, (υπάρχει η καταχώρηση στο Security μενού)
οπότε λογικά έχοντας ο Server της Cosmote τις πληροφορίες που χρειάζονται το Fritz σετάρεται μόνο του μία χαρά.

Οπότε δεν κάνει κανένα μαγικό το Fritz!

Τώρα που κολλάει το πράγμα κάποιες φορές, όπως στην δική μου ποιός ξέρει..

[BillyVan]

Τα Frtiz οπως και ολα τα ρουτερ ή συσκευες δικτύου οταν "μιλησουν" με τον παροχο στελνουν το VID (vendor id)

Αν πχ στείλει για VID Draytek, Mikrotik ή οτιδηποτε άλλο και δεν υπαρχει στη βαση δεδομενων του παροχου δεν μπορει να παρει τις οποιες ρυθμισεις πουσαρουν.

Φυσικα θα πρεπει και στο δικο μας ρουτερ να υπαρχει τσεκ στο tr069.

Στο Fritz το εχει

Allow automatic configuration by the internet provider
This setting allows the internet provider the secure (encrypted) transfer of the internet account information and login data for internet telephony on this FRITZ!Box. Not every internet provider or internet telephony provider supports this function.

Οποτε λογικα εφοσον μας δει ο σερβερ οτι σαν συσκευη μας εχει και εχουμε αποδεχτει και το παραπανω λογικα γινονται ολα αυτοματα.

[dpap76]

Πάντα είχα και εγώ την απορία αυτή, με ποιον τρόπο/με ποιο πρωτόκολλο ο πάροχος αναγνωρίζει τον συνδρομητή ανεξαρτήτως του τι modem/router θα βάλει πάνω. Θυμάμαι στο vdsl είχα speedport απο τον οτε. Αγοράζω μόνος μου το 7530, το βάζω πάνω παρθένο, επιλέγω cosmote, βάζει βλέπω το otenet@otenet.gr και αφού συνδεθεί αμέσως είχε σεταριστεί με τα δικά μου pppoe credentials και VOIP με το νούμερο μου (2310xxxxx).

HOW THE FUCK το έκανε αυτό? μαύρη μαγεία? εκεί την ψιλιάστηκα οτι κάπως ξέρει ποιο κύκλωμα/συνδρομητής είμαι αλλά δεν το έψαξα ποτέ σοβαρά να μάθω πως γίνεται.

Προφανώς μιλάμε για βαθιά στο core/ΑΑΑ του ISP θέματα που λίγοι τα ξέρουν και τα έχουν δουλέψει εμένα πάντως ο netblues μ' έπεισε με την απάντηση του Το PPPoE Agent Remote-ID που ρουφιανεύει είτε το dslam είτε το OLT στον BRAS φροντίζει γι' αυτο https://content.cisco.com/chapter.sj...sl-xe.html.xml

το ποιος είναι ο πάροχος του φορέα (καλώδιο ή οπτική) με το ποιος είναι ο ISP δεν έχει σημασία αφού το dslam/olt μιλάει με όλους τους παρόχους που έχουν μπει στο VPU/VLU σχήμα στα κατάλληλα vlans (ή virtual circuits τα ονομάζουν? tunnels? δεν θυμάμαι την ορολογία) και τερματίζει τον συνδρομητή εκεί που πρέπει, στον BRAS του παρόχου που πρέπει δηλαδή. Για την ακρίβεια υποθέτω οτι ακόμα και ο ίδιος να είναι ο πάροχος καλωδιου/οπτικής και ο πάροχος ISP (πχ οτε καλώδιο/οτε isp), πάλι στο vlan/VC του οτε θα στείλει την κίνηση το dslam/olt και δεν γίνεται κάτι άλλο/ιδιαίτερο επειδή είναι ο ίδιος πάροχος-φορέας με τον πάροχο της υπηρεσίας.

Θα με ενδιέφερε πολύ netblues από εγκυκλοπαιδική περιέργεια αν έχεις κάποιο λινκ που να περιγράφει τις λεπτομέρειες πριν χαθούμε στα άδυτα του dsl-forum και τα χιλιάδες στανταρτς και οδηγούς που έχουν βγάλει όλα αυτά τα χρόνια .. Εξάλλου νομίζω οτι τέτοιες λεπτομέρειες δεν είναι και πολύ έυκολα διαθέσιμες για το ευρυ κοινό? ή οχι? να ψάξω wikipedia μήπως?

τα υπόλοιπα με το tr069 είναι εύκολα πλέον εφόσον έχει γίνει η ταυτοποίηση γραμμής και συνδρομητή και γίνει η ανταλλαγή των credentials για τον tr069 (AX_xxxxxxxxxx usernames) ώστε να έρθουν μετά άλλες εφαρμογές και να κάνουν τα δήθεν μαγικά τους πχ αυτόματο σετάρισμα του voip, portals διαχείρισης του εξοπλισμού, remote access και παραμετροποίηση απο το support του παρόχου του wifi και λοιπές τέτοιες σαλτσες για την ευκολία είτε του χρήστη είτε του support τμήματος του ISP.

O πάροχος θέλει να είναι σίγουρος πρίν στείλει το μπιλιετακι με τον λογαριασμό τηλεφωνίας που δείχνει εκαντοντάδες κλήσεις στις μπαχάμες με κόστος χιλιάδες ευρώ οτι αυτός που τις έκανε, είναι πράγματι αυτός που έχει στα κιτάπια του και δεν θα εμπιστευτεί κανένα tr069, κανένα modem/router που έστειλε ή βάλαμε εμείς, κανένα serial number εξοπλισμού που έστειλε και έχει καταγραφεί στο SAP τους, κανένα checkbox και ρύθμιση τύπου username/password παρά μόνο τον ρουφιάνο που λέγεται agent remote id που συνδέει την φυσική παροχή -καλώδιο ή ίνα- με τον συνδρομητή που έχει συνάψει συμβόλαιο.

Να σημειωθεί οτι ο ρουφιάνος αυτός βρίσκεται στις ρυθμίσεις του dslam/olt οπότε κανένας δεν μπορεί με καμία χακεριά/κολπάκι/ρύθμιση/bug exploit να αλλάξει/τροποποιήσει καθώς βρίσκεται απομονωμένος είτε σε φυσικό επίπεδο είτε σε λογικό μακριά από τον συνδρομητή ή κακόβουλο χρήστη. Αλίμονο αν εμπιστευόταν ο πάροχος τα πειραγμένα modem/router μας και OΝΤ και spoofed SN που του παρουσιάζουμε για να ταυτοποιήσει την υπηρεσία με τον συνδρομητή που τελικά θα πληρώσει το μάρμαρο.

Οι παλιές αθώες εποχές του Phreaking στην αναλογική τηλεφωνία ή στις dialup internet συνδέσεις που αναγνώριζαν οι ISP τους χρήστες από το username και το password που έδιναν έχουν περάσει εδώ και καιρό

Iris για το tr369 νομίζω το έχουμε ξανασυζητήσει σε διπλανά threads. το οτι αρχισε η υποστήριξη του tr369 απο την avm και τα fritz δεν αλλάζει κάτι στο tr069 που ζει και βασιλεύει ακόμα σε όλα τα fritz και αμφιβάλω πολύ αν θα καταργηθεί ούτε σε 10 χρόνια. Είναι άλλο το ένα, άλλο το άλλο Δεν είναι απλώς ένα version upgrade του tr069 να το πω απλά. Ναι, μπορεί να έχει κάποια θέματα τα fritz με το tr069 στα τελευταία firmware αλλά δεν είναι η εμφάνιση του tr369 ο ένοχος Η avm απλώς προετοιμάζεται ώστε όποτε είναι έτοιμοι οι πάροχοι και θέλουν να το χρησιμοποιήσουν να είναι διαθέσιμο στα CPE τους και το πρωτόκολλο αυτό πέρα από το tr069 το οποίο το έχει ακόμα φυσικά στα fritz και αποκλείεται να το εξαφανίσει σύντομα.

[Iris07]

Αν και απ' ότι έχω καταλάβει το TR-369 είναι συμβατό προς τα πίσω με το TR-069,

σαφώς δεν εννοώ ότι υπάρχει πρόβλημα από την πλευρά του Fritz και της AVM..
αλλά ίσως από την πλευρά της Cosmote, βάση όσων έχω ακούσει εδώ..

Μίλησα και με το 13788 όπου με διαβεβαίωσαν ότι από την στιγμή που το router έχει IP μπορούν να μπούν με TR-069 και να το παραμετροποιήσουν αυτοί.

Προσοχή: δεν υποστηρίζουν ακόμα TR-369 (νομίζω στο FW 7.50 έχει μονο TR-369, δεν είμαι σίγουρος)

Πληθαίνουν οι αναφορές τελευταία με αποτυχημένες προσπάθειες αυτόματης ενεργοποίησης της τηλεφωνίας με επιλογή του προφίλ της Cosmote στα Fritz.
Υποπτεύομαι ότι κάτι έχουν τροποποιήσει στο τελευταίο firmware και δεν παίζει σωστά το TR069 ενώ η AVM έχει παρουσιάσει παράλληλα και το νεότερο TR369.

What is TR-369? An overview of the TR-369 protocol

https://www.avsystem.com/blog/TR-369/

[netblues]

Και τι μας νοιαζει το tr-369? Tο οτι το fritz εχει bugs δεν ειναι καινούργιο. Ομως οι παροχοι ΔΕΝ προκειται να αλλαξουν το tr69 τωρα κοντα, ούτε και στο απωτερο μελλον.

[Iris07]

Ναι, πάλι το Fritz και η AVM φταίει!

Το ότι τα πράγματα και τα πρωτόκολλα εξελίσσονται, όπως λέει το άρθρο πιο πάνω,
θα έπρεπε η AVM να κοιτάξει τι κάνει η Cosmote..

- - - Updated - - -

Are you interested in enhancing your understanding of the User Services Platform (USP) and the TR-369 protocol? Don’t miss out on the Broadband Forum’s inaugural TR-369 USP Summit!
From September 11-12, 2023, the Broadband Forum will host the summit at the University of New Hampshire InterOperability Laboratory in Durham, NH, US.

Developed by the Broadband Forum, the User Services Platform (TR-369) has transformed device management and customer support in the broadband industry,
offering real-time device data and control for service providers.
...

Rounding out the Summit, we have organized a roundtable discussion that brings together service providers from around the globe.
Speakers include Mark Kopeck from TELUS, Stephen Kelly from Liberty Global, and Volker Effelsberg from Deutsche Telekom.

https://www.broadband-forum.org/even...t-and-plugfest

Να πάρει ο OTE την μαμά του τηλέφωνο να του πει τι να κάνει!

[netblues]

Αγνοεις βασικα πραγματα περι protocol compatibility.

To πρωτοκολο παραμενει το tr69. Η cosmote (που προφανως δεν γραφει ουτε πειραζει πρωτοκολλα) δεν αλλαξε κατι, η avm ομως?

Αν "σκασει" το tr69 στη cosmote πιστεψε με εχει πολυ πιο σοβαρα προβληματα να λυσει απο το να ασχοληθει με τα ελαχιστα fritzbox (σε σχεση με το συνολο της εγκατεστημενης βασης των router που εχει και υποστηριζει με tr69)

To ποτε και εαν θα κανει deploy το tr369 ειναι παντελως ασχετο

[Iris07]

Εγώ το ότι πιστεύω ότι το TR-369 είναι συμβατό προς τα πίσω με το TR-069 το ανέφερα..

Επίσης το ότι επί εποχής TR-069 ένα νέο Fritz μπορούσε να σεταριστεί στην Α γραμμή,
ενώ ένα άλλο Fritz δεν μπορούσε να σεταριστεί στην B γραμμή, δείχνει σαφώς ότι το πρόβλημα δεν ήταν στα Fritz αλλά κάπου αλλού.

[SfH]

Πάντα είχα και εγώ την απορία αυτή, με ποιον τρόπο/με ποιο πρωτόκολλο ο πάροχος αναγνωρίζει τον συνδρομητή ανεξαρτήτως του τι modem/router θα βάλει πάνω. Θυμάμαι στο vdsl είχα speedport απο τον οτε. Αγοράζω μόνος μου το 7530, το βάζω πάνω παρθένο, επιλέγω cosmote, βάζει βλέπω το otenet@otenet.gr και αφού συνδεθεί αμέσως είχε σεταριστεί με τα δικά μου pppoe credentials και VOIP με το νούμερο μου (2310xxxxx).

HOW THE FUCK το έκανε αυτό? μαύρη μαγεία? εκεί την ψιλιάστηκα οτι κάπως ξέρει ποιο κύκλωμα/συνδρομητής είμαι αλλά δεν το έψαξα ποτέ σοβαρά να μάθω πως γίνεται.

Προφανώς μιλάμε για βαθιά στο core/ΑΑΑ του ISP θέματα που λίγοι τα ξέρουν και τα έχουν δουλέψει εμένα πάντως ο netblues μ' έπεισε με την απάντηση του Το PPPoE Agent Remote-ID που ρουφιανεύει είτε το dslam είτε το OLT στον BRAS φροντίζει γι' αυτο https://content.cisco.com/chapter.sj...sl-xe.html.xml

το ποιος είναι ο πάροχος του φορέα (καλώδιο ή οπτική) με το ποιος είναι ο ISP δεν έχει σημασία αφού το dslam/olt μιλάει με όλους τους παρόχους που έχουν μπει στο VPU/VLU σχήμα στα κατάλληλα vlans (ή virtual circuits τα ονομάζουν? tunnels? δεν θυμάμαι την ορολογία) και τερματίζει τον συνδρομητή εκεί που πρέπει, στον BRAS του παρόχου που πρέπει δηλαδή. Για την ακρίβεια υποθέτω οτι ακόμα και ο ίδιος να είναι ο πάροχος καλωδιου/οπτικής και ο πάροχος ISP (πχ οτε καλώδιο/οτε isp), πάλι στο vlan/VC του οτε θα στείλει την κίνηση το dslam/olt και δεν γίνεται κάτι άλλο/ιδιαίτερο επειδή είναι ο ίδιος πάροχος-φορέας με τον πάροχο της υπηρεσίας.

Θα με ενδιέφερε πολύ netblues από εγκυκλοπαιδική περιέργεια αν έχεις κάποιο λινκ που να περιγράφει τις λεπτομέρειες πριν χαθούμε στα άδυτα του dsl-forum και τα χιλιάδες στανταρτς και οδηγούς που έχουν βγάλει όλα αυτά τα χρόνια .. Εξάλλου νομίζω οτι τέτοιες λεπτομέρειες δεν είναι και πολύ έυκολα διαθέσιμες για το ευρυ κοινό? ή οχι? να ψάξω wikipedia μήπως?

τα υπόλοιπα με το tr069 είναι εύκολα πλέον εφόσον έχει γίνει η ταυτοποίηση γραμμής και συνδρομητή και γίνει η ανταλλαγή των credentials για τον tr069 (AX_xxxxxxxxxx usernames) ώστε να έρθουν μετά άλλες εφαρμογές και να κάνουν τα δήθεν μαγικά τους πχ αυτόματο σετάρισμα του voip, portals διαχείρισης του εξοπλισμού, remote access και παραμετροποίηση απο το support του παρόχου του wifi και λοιπές τέτοιες σαλτσες για την ευκολία είτε του χρήστη είτε του support τμήματος του ISP.

O πάροχος θέλει να είναι σίγουρος πρίν στείλει το μπιλιετακι με τον λογαριασμό τηλεφωνίας που δείχνει εκαντοντάδες κλήσεις στις μπαχάμες με κόστος χιλιάδες ευρώ οτι αυτός που τις έκανε, είναι πράγματι αυτός που έχει στα κιτάπια του και δεν θα εμπιστευτεί κανένα tr069, κανένα modem/router που έστειλε ή βάλαμε εμείς, κανένα serial number εξοπλισμού που έστειλε και έχει καταγραφεί στο SAP τους, κανένα checkbox και ρύθμιση τύπου username/password παρά μόνο τον ρουφιάνο που λέγεται agent remote id που συνδέει την φυσική παροχή -καλώδιο ή ίνα- με τον συνδρομητή που έχει συνάψει συμβόλαιο.

Να σημειωθεί οτι ο ρουφιάνος αυτός βρίσκεται στις ρυθμίσεις του dslam/olt οπότε κανένας δεν μπορεί με καμία χακεριά/κολπάκι/ρύθμιση/bug exploit να αλλάξει/τροποποιήσει καθώς βρίσκεται απομονωμένος είτε σε φυσικό επίπεδο είτε σε λογικό μακριά από τον συνδρομητή ή κακόβουλο χρήστη. Αλίμονο αν εμπιστευόταν ο πάροχος τα πειραγμένα modem/router μας και OΝΤ και spoofed SN που του παρουσιάζουμε για να ταυτοποιήσει την υπηρεσία με τον συνδρομητή που τελικά θα πληρώσει το μάρμαρο.

Οι παλιές αθώες εποχές του Phreaking στην αναλογική τηλεφωνία ή στις dialup internet συνδέσεις που αναγνώριζαν οι ISP τους χρήστες από το username και το password που έδιναν έχουν περάσει εδώ και καιρό

Iris για το tr369 νομίζω το έχουμε ξανασυζητήσει σε διπλανά threads. το οτι αρχισε η υποστήριξη του tr369 απο την avm και τα fritz δεν αλλάζει κάτι στο tr069 που ζει και βασιλεύει ακόμα σε όλα τα fritz και αμφιβάλω πολύ αν θα καταργηθεί ούτε σε 10 χρόνια. Είναι άλλο το ένα, άλλο το άλλο Δεν είναι απλώς ένα version upgrade του tr069 να το πω απλά. Ναι, μπορεί να έχει κάποια θέματα τα fritz με το tr069 στα τελευταία firmware αλλά δεν είναι η εμφάνιση του tr369 ο ένοχος Η avm απλώς προετοιμάζεται ώστε όποτε είναι έτοιμοι οι πάροχοι και θέλουν να το χρησιμοποιήσουν να είναι διαθέσιμο στα CPE τους και το πρωτόκολλο αυτό πέρα από το tr069 το οποίο το έχει ακόμα φυσικά στα fritz και αποκλείεται να το εξαφανίσει σύντομα.

Πάει καιρός από όταν διάβαζα/ασχολούμουν με BRAS/BNG, αλλά ο κύριος τρόπος να μαντέψεις τον συνδρομητή σε pppoe επίπεδο κάποια fields που έκανε inject το DSLAM/MSAN ( νομίζω nas-id και παρεμφερή - αλλά δεν παίρνω όρκο! ) και πρακτικά σου έλεγαν σε ποιο port ποιου dslam είναι ο συνδρομητής. Αυτά τα έπαιρνε ο BRAS/BNG και τα πέρναγε στο request που έφτιαχνε προς τον radius. Με τον ίδιο τρόπο, κάποιοι πάροχοι έκαναν bypass και την ανάγκη για authentication στο δικό τους εξοπλισμό.

Η "μαγεία" στην περίπτωση σου θαρρώ είναι σε 2 κομμάτια. Αφενώς το Fritz γνωρίζει από το εργοστάσιο τις CWMP παραμέτρους για την cosmote. Αφετέρου κάποια διεργασία συνδέει το router με εσένα, για να μπορέσει να πάρει το cwmp σωστά στοιχεία. Μπορεί να είναι απλά κάτι που τρέχει μετά το authentication με τα στοιχεία που έλαβε παραπάνω. Μπορεί να είναι κάτι πιο χαζό ( π.χ. , από τα τάδε MAC ranges που ξέρω ότι είναι vendors που υποστηρίζω, έχω μάθει την τάδε mac πίσω από την πόρτα του τάδε συνδρομητή ? ). Το CWMP μπορεί να στέιλει πληθώρα στοιχείων για το CPE. Έπειτα απλά το CPE απλά πρέπει να μιλήσει με την TR069 υποδομή και παίρνει ότι στοιχεία θέλει.


Το πιο πιθανό είναι να είναι κάτι ελαφρύ και - κατά το εφικτό - event driven. Γενικά αυτό το κομμάτι συνήθως είναι αρκετά custom σε κάθε πάροχο για να καλύψει συγκεκριμένες ανάγκες - και θέλει προσοχή, γιατί μικρές αλλαγές μπορούν να κάνουν το load του radius είτε να ανεβεί εκθετικά ή να καθυστερούν τόσο πολύ το login που προκαλούνται προβλήματα, κτλ. Δεν είναι απίθανο σε τέτοιες υποδομές να μην έχει δοκιμαστεί κάτι σωστά, να δουλεύει υπό κανονικές συνθήκες και κάποτε, όταν μια άσχετη βλάβη ρίξει ένα μεγάλο αριθμό συνδρομητών ταυτόχρονα, να μη μπορεί να ανταπεξέλθει σωστά στον όγκο των requests.

[Iris07]

Και όπως λέει το άρθρο πιο πάνω για το TR-369..

Design overhaul

The principal difference between the two protocols is that instead of clients that communicate with auto configuration servers, you now have agents and controllers.
It may seem like a gimmicky change in nomenclature, but in fact agents and controllers operate on a different principle. Whereas with CWMP there is only one ACS per client,
with TR-369 protocol multiple controllers with different permission settings can be subscribed to an agent.

This opens a new door for multiple providers, vendors and even end users to interact with the devices.
With such flexibility, both application and network service providers can manage their respective services for the same devices at the same time, which fosters provider partnerships.

Light as a feather

This need to be responsive requires TR-369 to be lightweight in return.
The amount of overhead was indeed significantly reduced compared to its precursor.
For instance, the open sessions mentioned above removed the need for repeated connection requests that generated a lot of unnecessary handshaking. Improvements like this are particularly important for IoT deployments that rely on low data consumption, however they cannot be underestimated by telecoms either.

Operators previously had to balance the gains of frequent device monitoring with the impact it had on the network. Because TR-369 protocol is so efficient,
it allows for more frequent and precise monitoring of the device, effectively ensuring better quality of service for the customer.

[netblues]

Πάει καιρός από όταν διάβαζα/ασχολούμουν με BRAS/BNG, αλλά ο κύριος τρόπος να μαντέψεις τον συνδρομητή σε pppoe επίπεδο κάποια fields που έκανε inject το DSLAM/MSAN ( νομίζω nas-id και παρεμφερή - αλλά δεν παίρνω όρκο! ) και πρακτικά σου έλεγαν σε ποιο port ποιου dslam είναι ο συνδρομητής. Αυτά τα έπαιρνε ο BRAS/BNG και τα πέρναγε στο request που έφτιαχνε προς τον radius. Με τον ίδιο τρόπο, κάποιοι πάροχοι έκαναν bypass και την ανάγκη για authentication στο δικό τους εξοπλισμό.

Η "μαγεία" στην περίπτωση σου θαρρώ είναι σε 2 κομμάτια. Αφενώς το Fritz γνωρίζει από το εργοστάσιο τις CWMP παραμέτρους για την cosmote. Αφετέρου κάποια διεργασία συνδέει το router με εσένα, για να μπορέσει να πάρει το cwmp σωστά στοιχεία. Μπορεί να είναι απλά κάτι που τρέχει μετά το authentication με τα στοιχεία που έλαβε παραπάνω. Μπορεί να είναι κάτι πιο χαζό ( π.χ. , από τα τάδε MAC ranges που ξέρω ότι είναι vendors που υποστηρίζω, έχω μάθει την τάδε mac πίσω από την πόρτα του τάδε συνδρομητή ? ). Το CWMP μπορεί να στέιλει πληθώρα στοιχείων για το CPE. Έπειτα απλά το CPE απλά πρέπει να μιλήσει με την TR069 υποδομή και παίρνει ότι στοιχεία θέλει.


Το πιο πιθανό είναι να είναι κάτι ελαφρύ και - κατά το εφικτό - event driven. Γενικά αυτό το κομμάτι συνήθως είναι αρκετά custom σε κάθε πάροχο για να καλύψει συγκεκριμένες ανάγκες - και θέλει προσοχή, γιατί μικρές αλλαγές μπορούν να κάνουν το load του radius είτε να ανεβεί εκθετικά ή να καθυστερούν τόσο πολύ το login που προκαλούνται προβλήματα, κτλ. Δεν είναι απίθανο σε τέτοιες υποδομές να μην έχει δοκιμαστεί κάτι σωστά, να δουλεύει υπό κανονικές συνθήκες και κάποτε, όταν μια άσχετη βλάβη ρίξει ένα μεγάλο αριθμό συνδρομητών ταυτόχρονα, να μη μπορεί να ανταπεξέλθει σωστά στον όγκο των requests.

mac addresses σε pppoe connections? Δεν νομιζω οτι φτανει ποτε κατι τετοιο στο dslam, ποσο μαλλον στο bras/radius..
Οπως το ειπες γινεται. Το dslam κανει inject στοιχεια σχτεικα με τη πορτα που ερχοταν το pppoe auth request., και τα υπολοιπα ειναι radius/tr69 magic.

[Iris07]

dpap76 για σένα!

ISP broadband user Authentication
https://superuser.com/questions/9132...authentication

[dpap76]

thanks Iris ενδιαφέρον το link αλλά εγώ θα τα πώ όπως πάντα λίγο πιο... "σεντονάτα"

Η βίβλος του συγκεκριμένου θέματος που πιάσαμε είναι τα TR-101 για το VDSL και το TR-156 για τo FTTH

Απο το TR-101:


O PPPoE Intermediate Agent που τρέχει σε κάθε dslam εισάγει σε κάθε PPPoE sessions που δημιουργείται μεταξύ BRAS και CPE πελάτη τρία extra tags:

- το ένα ονομάζεται Agent Circuit ID που περιγράφει που ακριβώς στο distribution network (px dslam/rack/frame/slot/port/sub-port) βρίσκεται αυτό το PPPoE session και συνήθως είναι auto-generated απο το dslam.

(μην σας μπερδεύει το ONU που γράφει πάνω - δεν είναι το ONU του FTTH που ξέρουμε στις οπτικές δηλαδή το ONT. το ONU εδώ είναι το dslam κοιτώντας το από την μεριά του οπτικού δικτίου του παρόχου και οχι απο τη μεριά του χαλκού)

- το δεύτερο ονομάζεται Agent Remote ID:


εδώ προφανώς ο ISP κατά το provisioning βάζει κάτι unique για κάθε συνδρομητή πχ το νούμερο μας ή τον αριθμό κυκλώματος που βλέπουμε στους λογαριασμούς ΟΤΕ

- το τρίτο ρουφιανεύει στον BRAS τα "Access Loop Characteristics", δηλαδή σε τί ταχύτητα έγινε το sync και οχι μόνο


Όλα τα παραπάνω ο BRAS έχει στη συνέχεια την δυνατότητα να τα στείλει σε κάποιο άλλο radius/AAA σύστημα και προφανώς και προς τον ACS/CWMP server του παρόχου όπου εκεί μετά αναλαμβάνει το tr069 να κάνει τα μαγικά του.


Ο ACS/CWMP βλέπει IP από το οποίο του έρχεται το request και ρωτώντας τον ΑΑΑ server ξέρει αμέσως απο όλα τα Circuit/Agent ID που έχουν συνδεθεί στο δίκτυο με PPPoE ποιος είσαι και σου δίνει τα απαραίτητα μέσω tr069

Από τα λίγα που είχα διαβάσει για το TR-069:

Την πρώτη φορά που μιλάει το CPE με τον ACS server (με τα default credentials και στο default URL που είναι φυτεμένα στο CPE μέσω των προφιλ (πχ Cosmote profile, Vodafone profile στα fritz), το CPE παρουσιάζει το CWMP ID του που είναι μοναδικό για κάθε CPE και αν δεν το έχει στην database του ο CWMP/ACS server, σου ανοίγει λογαριασμό στη βάση του και σου δίνει τα tr069 username/password (ΑΧ_xxxxxxxxxxxx).

Το CPE κατόπιν κάνει login με αυτά και παίρνει τις τελικές ρυθμίσεις (pppoe credentials, voip credentials). Όλα αυτά με απλό http/https και SOAP. Με αυτά τα credentials στη συνέχει επικοινωνεί κάθε 6 ώρες με τον CWMP για να κάνει report στατιστικά ή να ενημερωθεί για αλλαγές στις ρυθμίσεις (πχ νέος VOIP κωδικός), να κάνει fw upgrade κλπ.

Έτσι παντρεύονται CPE και CWMP server.

Αν κάνεις factory reset το modem, τότε το CPE θα κάνει πάλι auto-config με τον ACS ο οποίος θα δεί το CWMP ID, θα δεί οτι το έχει στην DB και απλώς θα σου ξαναδώσει τα tr069 credentials και θα ξαναπάρεις τις ρυθμίσεις

Αν βάλεις άλλο CPE, απλώς θα ακολουθήσει την διαδικασία του registration από την αρχή και θα σου φτιάξει νέα tr069 credentials. Νο big deal, τζάμπα είναι

Σε αυτό το σημείο, για την ασφάλεια του VOIP, o CWMP server βλέπει οτι ο συγκεκριμένος πελάτης (μέσω του agent remote id προφανώς) έχει ήδη λογαριασμό στην βάση του άλλα άλλαξε το CPE του. Εδώ πιθανόν ακυρώνει τους παλιούς VOIP κωδικούς και εκδίδει νέους απο τον SIP server και τους μοιράζει στο νέο CPE ωστε το παλιό CPE αν ποτέ αναστηθεί και ξαναμπεί στο δίκτυο (πχ να συνδεθεί σε κάποιο άλλο σημείο του δικτύου ή το ποιο απλό: να συνδεθεί πίσω απο το νέο CPE του πελάτη και μέσω NAT να μιλάει και αυτό με την ίδια IP ) να μην μπορεί να μιλήσει σε καμία περίπτωση με τον SIP server.

Το τι θα γίνει η παλιά καρτέλα/λογαριασμός του παλιού CPE στο tr069 μου είναι άγνωστο. Πιθανόν να την ακυρώνει άμεσα ή αλλιώς θα μείνει εκεί για καμιά 10αρια χρόνια μέχρι κάποιος να βάλει σκούπα

Σίγουρα κάτι έχουν προβλέψει στο broadband forum για αυτή την περίπτωση και όποιος θέλει να το ψάξει ας δεί το https://wiki.broadband-forum.org/dis...shed+Resources

Για τα OLT/ΟΝΤ και το FTTH, το TR-156 υιοθετεί την ίδια διαδικασία:
R-125 The OLT MUST create the Agent Circuit ID and Remote ID as described in TR-101.


Τέλος, ένα extra bonus απο το TR-156 για την διαδικασία του registration των ONT/ONU σχετικά με το "Registration ID" πεδίο που έχουν και τα fritz οταν πάς να σετάρεις την οπτική (δεν χρησιμοποιείται από cosmote/vodafone/nova)


Αυτά τα ολίγα