[modules]
path=/usr/local/lib64/accel-ppp
#Данный модуль предназначен для записи журнала событий в файл.
log_file
#Данный модуль записывает события в syslog.
#log_syslog

#Рабочие протоколы
pptp
l2tp

#Методы аутентификации
auth_mschap_v2
auth_mschap_v1
auth_chap
auth_pap
#модуль поддержки файла CHAP-secrets конфликтует с radius
#chap-secrets
#модуль поддержки файла RADIUS конфликтует с chap-secrets
radius

#Назначение IPv4 адреса из статического пула.
ippool
sigchld
#Данный модуль запускает скрипты ip-up/ip-down при старте сессии и обработки RADIUS CoA запрос.
#pppd_compat
#Модуль управления пропускной способностью.
shaper
#Модуль управления частотой подключений.
#connlimit

[core]
log-error=/var/log/accel-ppp/core.log
thread-count=4

[ppp]
verbose=0
min-mtu=1280
mtu=1480
mru=1480
#ccp=1
check-ip=1
#    Если эта опция управления отсутствует контроль количество сессий на пользователя выключен.
#    Если эта опция replace - accel-ррр прекращает первую сессию, когда вторая выполяет подключение.
#    Если эта опция deny accel-ррр будет сбрасывать попытки авторизации второй сессии
#single-session=replace
#Задаё политику шифрования MPPE (Microsoft Point-to-Point Encryption)
# prefer – Не разрывает соединение при отрицании шифрования клиентом
mppe=prefer
ipv4=prefer
#Если эта опция задана, и больше 0, то PPP модуль будет отправлять LCP пакеты эхо-запроса каждые n секунд.
lcp-echo-interval=300
#Определяет максимальное количество эхо-запросов без ответа, по достижению значения n сессия будет сброшена.
lcp-echo-failure=6

[dns]
dns1=8.8.8.8
dns2=8.8.4.4

[auth]
#any-login=0
#noauth=0

[pptp]
bind=ХХ.УУ.1.99
echo-interval=300
echo-failure=6
verbose=0

[l2tp]
bind=ХХ.УУ.1.99
#ppp-max-mtu=1300
dictionary=/usr/local/share/accel-ppp/l2tp/dictionary
hello-interval=300
#timeout=60
#rtimeout=5
retransmit=3
host-name=vpn.mydomain.ru
#dir300_quirk=1
#secret=
verbose=0

[radius]
dictionary=/usr/local/share/accel-ppp/radius/dictionary
nas-identifier=cisco
nas-ip-address=127.0.0.1
gw-ip-address=ХХ.УУ.1.99
auth-server=127.0.0.1:1812,Radius-Sicret
acct-server=127.0.0.1:1813,Radius-Sicret
server=127.0.0.1,Radius-Sicret,auth-port=1812,acct-port=1813,req-limit=0,fail-time=0
dae-server=127.0.0.1:3799,Radius-Sicret
timeout=5
max-try=3
acct-timeout=600
acct-delay-time=1
verbose=0

[shaper]
attr=Filter-Id
#down-burst-factor=1.0
#up-burst-factor=1.0
#latency=50
#mpu=0
#time-range=1,7:00-00:59
#time-range=2,1:00-3:59
#time-range=3,4:00-6:59
#leaf-qdisc=sfq perturb 10
up-limiter=htb
down-limiter=htb
cburst=1375000
ifb=ifb0
r2q=10
quantum=1500
verbose=0

# Указывает диапазон IP-адресов, с которых клиенты могут подключиться к серверу в виде: x.x.x.x/mask (for example 10.0.0.0/8)
[client-ip-range]
#192.168.0.0/18
disable

[log]
log-file=/var/log/accel-ppp/accel-ppp.log
log-emerg=/var/log/accel-ppp/emerg.log
log-fail-file=/var/log/accel-ppp/auth-fail.log
log-debug=/var/log/accel-ppp/debug.log
#syslog=accel-pppd,daemon
#log-tcp=127.0.0.1:3000
copy=1
color=1
#per-user-dir=per_user
#per-session-dir=per_session
#per-session=1
level=0

# Раскоментировать во время теста, пока не настроен радиус
#[chap-secrets]
#gw-ip-address=ХХ.УУ.1.99
#chap-secrets=/etc/ppp/chap-secrets

[ip-pool]
attr=Framed-Pool
gw-ip-address=ХХ.УУ.1.99
10.65.16.129-254,fullaccess
10.65.17.129-254,mobila
10.65.18.129-254,office

[cli]
telnet=127.0.0.1:2000
tcp=127.0.0.1:2001
#password=123

#[connlimit]
#limit=10/min
#burst=3
#timeout=60

# ipsec.conf - strongSwan IPsec configuration file

config setup
  # Нужно ли требовать неистекший лист отзывов для проведения аутентификации клиента
        strictcrlpolicy=no
  include /var/lib/strongswan/ipsec.conf.inc

conn %default
        ikelifetime=1440m
        keylife=60m
        rekeymargin=3m
        keyingtries=1
        keyexchange=ikev1
        authby=xauthpsk
  # включает механизм Dead Peer Detection (DPD) и указывает, что нужно забывать о клиенте, если он не отзывался дольше таймаута
  dpdaction=clear
  # задержка до включения DPD
  # dpddelay=35s
  # таймаут для DPD
  # dpdtimeout=300s
  #включение внутренней фрагментации пакетов. Позволяет использовать IPsec с провайдерами, у которых сломана IP-фрагментация пакетов
  fragmentation=yes
  # выключение инициации смены ключей со стороны сервера. Windows это не любит.
  rekey=no
  # перечень ciphersuites для использования с IKE
  ike=aes256gcm16-aes256gcm12-aes128gcm16-aes128gcm12-aesxcbc-sha256-sha1-modp4096-modp2048-modp1024,aes256-aes128-sha256-sha1-modp4096-modp2048-modp1024!
  # перечень ciphersuites для шифрования трафика
  esp=aes128gcm12-aes128gcm16-aes256gcm12-aes256gcm16-modp4096-modp2048-modp1024,aes128-aes256-sha1-sha256-modp4096-modp2048-modp1024,aes128-sha1-modp1024,aes128-sha1!

conn L2TP_Accel-PPP
        authby=psk
        rekey=no
        type=transport
        esp=aes128-sha1,null-sha1,md5
        ike=aes128-sha-modp1024,null-sha1,md5
        left=194.135.1.99
        leftprotoport=17/%any # при 1701 не пашет на iOS
        right=%any
        rightprotoport=17/%any
        rightsubnetwithin=0.0.0.0/0
        auto=add
        compress=no
        dpddelay=30
        dpdtimeout=120
        dpdaction=clear
        forceencaps=yes

conn IPsec
  authby=secret
  rekeymargin=3m
  keyingtries=1
  keyexchange=ikev1
  leftfirewall=yes
  rekey=no
  left=XX.YY.1.99
  leftsubnet=0.0.0.0/0
  leftauth=psk
  rightsourceip=%radius
  rightdns=8.8.8.8
  right=%any
  rightauth=psk
  rightauth2=xauth-radius
  dpdaction=clear
  dpdtimeout = 5s
  auto=add

eap-radius {
    accounting = yes
    load = yes
    nas_identifier = StrongSwan
    #Наш секрет для Radius
    secret = Radius-Sicret
    server = 127.0.0.1
    dae {
        enable = yes
        listen = 127.0.0.1
        port = 3799
        secret = Radius-Sicret
    }
    forward {
    }
    servers {
    }
    xauth {
    }
}

authorize {
	preprocess
	chap
	mschap
	ldap
#	ntlm_auth
	digest
	suffix
	eap {
		ok = return
	}
	files
	expiration
	logintime
	pap
}
authenticate {
	Auth-Type PAP {
		pap
	}
	Auth-Type CHAP {
		chap
	}
	Auth-Type MS-CHAP {
		mschap
	}
	Auth-Type LDAP {
		ldap
        }

#    	Auth-Type ntlm_auth {
#        	ntlm_auth
#    	}
	digest
	unix
	eap
}
preacct {
	preprocess
	acct_unique
	suffix
	files
}
accounting {
	detail
	unix
	radutmp
	exec
	attr_filter.accounting_response
}
session {
	radutmp
}
post-auth {
	exec
	Post-Auth-Type REJECT {
		attr_filter.access_reject
	}
}
pre-proxy {
}
post-proxy {
	eap
}

#Указываем что пользователь берется из локального файла, его имя и пароль, 
# можно откртым текстом либо зашифровать через 
#perl -e 'print(crypt("testpassword","abrakadabra")."\n");'
#Тогда указываем сразу зашифрованно
#testuser Crypt-Password := "abA5hjwYqm1.I"

testuser  Cleartext-Password := "testpassword" , MS-CHAP-Use-NTLM-Auth := 0
        Service-Type = Framed-User,
        Framed-Protocol = PPP,
# Можно не указывать конкретный IP, тогда он возьмется автоматически из пула, переданного в Framed-Pool
        Framed-IP-Address = 10.65.18.12,
        Framed-IP-Netmask = 255.255.255.255,
# Пул из которого берем адреса для клиентов, описан в секции ip-pool конфига accel-ppp
        Framed-Pool = "office",
# Скорость шейпера в килобитах на пользователя.
        Filter-Id = "100000/100000",
# В ответе указываем что авторизация взята из локального файла, удобно для тестов
        Reply-Message = "Accepted from local file"
# Можно указать дополнительно любые другие параметры соединения
# такие как Idle-Timeout, Acct-Interim-Interval и т.п.

# Описываем привязку к различным группам LDAP, например привязываем доменную группу 
# remote-connection к группе office, описанной в секции ip-pool конфига accel-ppp
DEFAULT Ldap-Group == "remote-connection"
        Service-Type = Framed-User,
        Framed-Protocol = PPP,
        Framed-Pool = "office",
        Filter-Id = "100000/100000"

# Остальные группы по аналогии
DEFAULT Ldap-Group == "full-access"
        Service-Type = Framed-User,
        Framed-Protocol = PPP,
        Framed-Pool = "fullaccess"
# Админская группа уберем для нее шейпер
#        Filter-Id = "100000/100000"

DEFAULT Ldap-Group == "mobile-access"
        Service-Type = Framed-User,
        Framed-Protocol = PPP,
        Framed-Pool = "mobila",
        Filter-Id = "100000/100000"

ldap {
        server = "10.13.205.7"   #свой контроллер
        identity = "sf-test@KR.LOC"   #своя учетка
        password = "987654321"   # свой пароль
        basedn = "dc=KR,dc=LOC"   # свой домен
        filter = "(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}})"
         ldap_connections_number = 5
        max_uses = 0
        #port = 389
        timeout = 4
        timelimit = 3
        net_timeout = 1

        tls {
                start_tls = no
        }
        dictionary_mapping = ${confdir}/ldap.attrmap
        password_attribute = userPassword
        edir_account_policy_check = no

        groupname_attribute = cn
        groupmembership_filter = "(|(&(objectClass=GroupOfNames)(member=%{control:Ldap-UserDn}))(&(objectClass=GroupOfUniqueNames)(uniquemember=%{control:Ldap-UserDn})))"
        groupmembership_attribute = memberOf

        access_attr_used_for_allow = yes

        chase_referrals = yes
        rebind = yes
        # set_auth_type = yes

        keepalive {
                idle = 60
                probes = 3
                interval = 3
        }
}

[global]
     obey pam restrictions = Yes
     log file = /var/log/samba/log.%m
     log level = 1
     socket options = TCP_NODELAY SO_SNDBUF=8192 SO_RCVBUF=8192

     encrypt passwords = yes

     idmap config * : range = 10000-20000
     idmap config * : backend = tdb

     auth methods = winbind
     name resolve order = hosts bcast lmhosts

     case sensitive = no
     dns proxy = no
     netbios name = SAMBA
     server string = %v samba
     password server = DC02.KR.LOC

     # обязательно указывать имя домена в верхнем регистре
     realm = KR.LOC
     client use spnego = yes
     client signing = yes
     local master = no
     domain master = no
     preferred master = no
     workgroup = KR
     debug level = 2

    # ads указывает что авторизация проходит на уровне домена
     security = ads
     unix charset = UTF-8
     dos charset = 866
     max log size = 50
     os level = 0
     follow symlinks = yes

     winbind uid = 10000-20000
     winbind gid = 10000-20000
     winbind enum groups = yes
     winbind enum users = yes

    [logging]
    default = FILE:/var/log/krb5.log
    kdc = FILE:/var/log/krb5kdc.log

    [libdefaults]
    default_realm = KR.LOC

    clockskew = 500
    dns_lookup_realm = false
    dns_lookup_kdc = true
    ticket_lifetime = 324000

    [realms]
    KR.LOC = {
    kdc = DC02.KR.LOC
    admin_server = DC02.KR.LOC
    default_domain = KR.LOC
    }

    [domain_realm]
    .kr.loc = KR.LOC

    [login]
    krb4_convert = true
    krb4_get_tickets = false

conn juniper
        forceencaps=yes
        dpddelay=30 # Dead peer detection - 30 секунд - интервал между keep-alive пакетами
        dpdtimeout=120 # dpd таймаут 120 секунд, после которого хост будет объявлен недоступным
        # IKE alg 3DES - HASH sha1 - DH group 2 (1024)
        ike=3des-sha1-modp1024
        # IKE lifetime 86400 seconds (24 hours)
        ikelifetime=86400s
        # IKE auth method Pre-Shared Key (PSK secret)
        authby=secret
        # IPSec type tunnel
        type=tunnel # режим - туннель
        #left side (myside)
        left=ХХ.УУ.1.99 # OpenSWAN side
        leftsubnet=10.65.0.0/16 #наши локальные сети, которые мы экспортируем удаленному маршрутизатору
        right=ХХ.УУ.116.5 #Удаленный маршрутизатор
        rightsubnet=192.168.105.0/24 #Сети с удаленного маршрутизатора, которые доступны пользователям нашего VPN
        auto=start
	esp=3des-sha1,3des-md5
	keyexchange=ikev1