Configuração de serviços de redirecionamento HTTP estático baseados em MS-MPC ou MX-SPC3
A partir do Junos OS Release 19.3R2, o provisionamento de serviços de redirecionamento HTTP estático também é suportado para portais cativos baseados em placa de serviços MX-SPC3, se você tiver habilitado os serviços de próxima geração no roteador da Série MX.
Um jardim murado é um grupo de servidores que fornece acesso de assinante a sites dentro do jardim murado sem exigir reautorização por meio de um portal cativo. A página do portal cativo é normalmente a página inicial que um assinante vê após fazer login em uma sessão de assinante.
Quando os assinantes tentam acessar sites fora do jardim murado, os serviços de redirecionamento HTTP processam solicitações HTTP IPv4 e IPv6 para gerenciar esse tráfego. O tráfego de solicitação HTTP do assinante que não é destinado ao jardim murado é enviado para o servidor de redirecionamento, que responde com uma URL de redirecionamento que envia tráfego para um portal cativo em vez de para o site externo não autorizado. O portal cativo fornece serviços de autenticação e autorização para os assinantes redirecionados antes de conceder a eles acesso a servidores protegidos fora do jardim murado.
O servidor de redirecionamento pode ser local ou remoto:
Servidor de redirecionamento local — Reside no roteador e redireciona o tráfego do assinante para um portal cativo dentro de um jardim murado.
Servidor de redirecionamento remoto — reside em um dispositivo como um servidor de política dentro de um jardim murado atrás do roteador. O endereço de destino do tráfego HTTP do assinante é regravado para o endereço do servidor de redirecionamento remoto. O servidor remoto redireciona o tráfego do assinante para um portal cativo dentro desse jardim murado.
Você configura o jardim murado como um filtro de serviço de firewall. O filtro de serviço é anexado a uma interface estática. O serviço CPCD é aplicado a uma interface de serviço (ms- no MS-MPC ou vms- na placa de serviços MX-SPC3) por meio de um conjunto de serviços; O conjunto de serviços é então anexado a uma interface estática.
Configurando um jardim murado como um filtro de serviço de firewall
Quando você configura o jardim murado como um filtro de serviço de firewall, o tráfego destinado a servidores dentro do jardim murado é identificado e ignorado. Como esse tráfego não flui para a placa de linha, os requisitos de manuseio são reduzidos.
Todos os outros tráfegos HTTP são destinados a endereços fora do jardim murado. Como esse tráfego não corresponde às condições de filtro, ele flui para a placa de linha para manipulação.
Você pode configurar o filtro de serviço para que o jardim murado contenha um único servidor como o portal cativo ou uma lista de servidores.
Configure o jardim murado com um único servidor como o portal cativo:
Crie o filtro de serviço.
[edit] user@host# edit firewall family address-family service-filter filter-name
Defina um termo de filtro para identificar e ignorar o processamento de tráfego para o portal cativo.
Especifique as condições de filtro para corresponder ao tráfego destinado ao portal cativo, especificando o endereço de destino do portal cativo e a porta de destino.
[edit firewall family inet service-filter filter-name] user@host# set term name from destination-address ip-address user@host# set term name from destination-port port-number
Especifique que o tráfego correspondente ignora o processamento na placa de linha.
[edit firewall family inet service-filter filter-name] user@host# set term name then skip
Defina um termo de filtro para identificar o tráfego HTTP de todo o tráfego que não correspondeu ao termo anterior e envie-o para processamento por regras de serviço CPCD.
Especifique um ou mais números de porta HTTP para corresponder ao tráfego HTTP ignorado.
[edit firewall family inet service-filter filter-name] user@host# set term name from destination-port http-port-number
Especifique que o tráfego correspondente é processado por um serviço CPCD.
[edit firewall family inet service-filter filter-name] user@host# set term name then service
Defina um termo de filtro para ignorar ações adicionais para qualquer tráfego não HTTP restante.
[edit firewall family inet service-filter filter-name] user@host# set term name then skip
Por exemplo, a configuração a seguir cria um filtro para o tráfego HTTP IPv4, walled-v4, com o portal cativo em 192.0.2.0. O tráfego correspondente ao endereço é ignorado. O tráfego não correspondente vai para o termo http, em que o tráfego HTTP é escolhido de todo o tráfego ignorado e enviado para ser processado de acordo com um serviço CPCD. Por fim, o salto de termo faz com que todo o tráfego não HTTP restante seja ignorado.
[edit] user@host# edit firewall family inet service-filter walled-v4 [edit firewall family inet service-filter walled-v4] user@host# set term portal from destination-address 192.0.2.0 user@host# set term portal from destination-port 80 user@host# set term portal then skip user@host# set term http from destination-port 80 user@host# set term http then service user@host# set term skip then skip
Configure o jardim murado como uma lista ou sub-rede de servidores.
Crie o filtro de serviço.
[edit] user@host# edit firewall family address-family service-filter filter-name
Defina um termo de filtro.
Especifique as condições de filtro para corresponder ao tráfego destinado a qualquer servidor no jardim murado, especificando uma lista de prefixos de destino de servidores.
[edit firewall family inet service-filter filter-name] user@host# set term name from destination-prefix-list list-name user@host# set term name from destination-port port-number
Especifique que o tráfego correspondente ignora o processamento na placa de linha.
[edit firewall family inet service-filter filter-name] user@host# set term name then skip
Defina um termo de filtro para identificar o tráfego HTTP de todo o tráfego que não correspondeu ao termo anterior e envie-o para processamento por regras de serviço CPCD.
Especifique um ou mais números de porta HTTP para corresponder ao tráfego HTTP ignorado.
[edit firewall family inet service-filter filter-name] user@host# set term name from destination-port http-port-number
Especifique que o tráfego correspondente é processado por um serviço CPCD.
[edit firewall family inet service-filter filter-name] user@host# set term name then service
Defina um termo de filtro para ignorar ações adicionais para qualquer tráfego não HTTP restante.
[edit firewall family inet service-filter filter-name] user@host# set term name then skip
(Opcional) Defina uma lista de prefixos que especifique os servidores dentro do jardim murado. Você pode especificar uma sub-rede ou vários endereços individuais.
[edit policy-options] user@host# set prefix-list list- name ip-address/mask user@host# set prefix-list list- name ip-address1 user@host# set prefix-list list- name ip-address2
Por exemplo, a configuração a seguir cria um filtro para o tráfego HTTP IPv6, walled-v6-list, com uma lista de prefixos, wg-list, que especifica dois servidores no jardim murado. O termo de filtro portal6 identifica o tráfego IPv6 destinado ao jardim murado. O tráfego não correspondente vai para o termo http6, em que o tráfego HTTP é escolhido de todo o tráfego ignorado e enviado para ser processado de acordo com um serviço CPCD. Por fim, o salto de termo faz com que todo o tráfego não HTTP restante seja ignorado.
[edit] user@host# edit firewall family inet6 service-filter walled-v6-list user@host# set term portal6 from destination-prefix-list wg-list user@host# set term portal6 then skip user@host# set term http6 from destination-port [80 8080] user@host# set term http6 then service user@host# set term skip6 then skip [edit policy-options] user@host# set prefix-list wg-list 2001:db8::10.10 user@host# set prefix-list wg-list 2001:db8::10.22
Configurando o redirecionamento HTTP para servidores de redirecionamento locais e remotos
Quando solicitações HTTP são feitas para sites fora do jardim murado, o CPCD pode redirecionar o tráfego para um portal cativo para autenticação e autorização.
Configure uma regra de serviço CPCD que especifique a ação a ser tomada para o tráfego destinado fora do jardim murado. Esse tráfego foi identificado pelo filtro de serviço de jardim murado e repassado para o serviço. A ação que você configura depende se você está usando um servidor de redirecionamento HTTP local ou remoto:
Se você estiver usando um servidor de redirecionamento HTTP local no roteador, especifique a ação de redirecionamento.
Se você estiver usando um servidor de redirecionamento HTTP remoto, que reside em um jardim murado atrás do roteador, não poderá simplesmente especificar uma URL de redirecionamento. Nesse caso, a regra de serviço deve reescrever o endereço IP de destino para o tráfego. O novo endereço de destino é o endereço do servidor de redirecionamento HTTP remoto. Em seguida, o servidor remoto fornece uma URL de redirecionamento para enviar o tráfego para um portal cativo.
O serviço CPCD é associado a uma interface de serviço por um conjunto de serviços. O conjunto de serviços e o filtro de serviço de jardim murado são aplicados a uma interface configurada estaticamente.
Por exemplo, na configuração a seguir para um servidor local, a regra de serviço CPCD redir-svc redireciona o tráfego para um portal cativo, http://www.portal.example.com. A URL original inserida pelo assinante é anexada à URL de redirecionamento.
user@host# edit services captive-portal-content-delivery user@host# edit rule redir-svc user@host# set match-direction input user@host# set term redir1 then redirect http://www.portal.example.com/url=%dest-url%
A configuração a seguir para um servidor remoto cria a regra de serviço CPCD rewr-svc que regrava o endereço de destino original no endereço do servidor remoto, 192.0.2.230.
user@host# edit services captive-portal-content-delivery user@host# edit rule rewr-svc user@host# set match-direction input user@host# set term rewr1 then rewrite destination-address 192.0.2.230
Configurando o perfil de serviço e o conjunto de serviços para associar o perfil de serviço a uma interface de serviço
Os conjuntos de serviços definem um ou mais serviços a serem executados pelo MS-MPC/MS-MIC ou pela placa de serviços MX-SPC3 se você tiver habilitado os serviços de próxima geração no roteador da Série MX. Para serviços de redirecionamento HTTP, você define um perfil de serviço CPCD que inclui regras CPCD. O conjunto de serviços aplica o perfil de serviço CPCD a uma interface de serviço específica.
Por exemplo, a configuração a seguir cria o perfil de serviço CPCD redir-prof, que faz referência à regra CPCD redir-svc. O conjunto de serviços ss2 associa o perfil de serviço CPCD redir-prof à interface de serviço ms-5/0/0.
[edit services captive-portal-content-delivery] user@host# edit profile redir-prof user@host# set cpcd-rules redir-svc [edit services] user@host# edit service-set sset2 user@host# set captive-portal-content-delivery-profile redir-prof user@host# set interface-service-service-interface ms-5/0/0
Anexando um conjunto de serviços CPCD e um filtro de serviço a uma interface lógica
Para usar os serviços de redirecionamento HTTP, você deve anexar o conjunto de serviços CPCD a uma interface lógica. Se o jardim murado estiver configurado como um filtro de serviço, você deverá anexá-lo à mesma interface que o conjunto de serviços. O tráfego que entra e sai dessa interface é filtrado pelo filtro de serviço. O tráfego identificado para manutenção é enviado para o MS-MPC ou para a placa de serviços MX-SPC3 se você tiver habilitado os serviços de próxima geração no roteador da Série MX e o perfil CPCD for aplicado na interface de serviço.
Por exemplo, a configuração a seguir anexa o conjunto de serviços sset2 e o filtro de serviço walled-v4 a ge-2/0/1.0 para a família de endereços IPv4. Ele atribui um endereço à interface lógica. O conjunto de serviços e o filtro são aplicados à entrada e saída da interface.
user@host# edit interfaces ge-2/0/1 unit 0 family inet user@host# set address 203.0.113.5 user@host# set service input service-set sset2 service-filter walled-v4 user@host# set service output service-set sset2 service-filter walled-v4
Instalando um pacote de serviço para o serviço CPCD
Para usar serviços CPCD em um MS-MPC/MS-MIC ou em uma placa de serviços MX-SPC3, se você tiver habilitado os serviços de próxima geração no roteador da Série MX, configure uma interface de serviço no MS-MIC ou MX-SPC3. Você deve instalar o pacote de serviços necessário em cada MS-MIC que tenha uma interface de serviço ou na placa de serviços MX-SPC3.
Por exemplo, a configuração a seguir carrega o pacote de serviços CPCD no MS-MPC no slot 1 do chassi e o MS-MIC no slot 0 do MPC. As mensagens de log do sistema são geradas para qualquer daemon e para aplicativos externos locais em todos os níveis de gravidade.
user@host# edit chassis fpc 1 pic 0 adaptive-services service-package [edit chassis fpc 1 pic 0 adaptive-services service-package] user@host# set extension-provider package jservices-cpcd [edit chassis fpc 1 pic 0 adaptive-services service-package] user@host# set extension-provider syslog daemon any user@host# set extension-provider syslog external any
Tabela de histórico de alterações
A compatibilidade com recursos é determinada pela plataforma e versão utilizada. Use o Explorador de recursos para determinar se um recurso é compatível com sua plataforma.