Аутентификация пользователей на pptp сервере из AD.

Есть задачка: есть линукс-сервер, раздает инет по средством VPN, нужно чтобы аутентификация производилась по данным из виндового AD, по схеме AD > LDAP > Radius > pppd, я добился чтобы при правильном вводе логина-пароля радиус отвечал Access-Accept, при неправильном соответственно Access-Reject. Вопрос - как сделать чтобы проводилась дополнительная проверка например по принадлежности юзверя к определенной группе, например если ползователь входит в группу Internet Access - пускать его, иначе Reject. Я так думаю что это связано с параметном access_attr в radiusd.conf, но подробного описания я нигде не нашел. Либо если по группам невозможно, то как присвоить польхователю в AD атрибут dialupAccess, который по-молчанию у access_attr?