Recebendo opções de DHCP de um servidor RADIUS

Opções de origem RADIUS

O gerenciamento de assinantes (nos roteadores) ou o gerenciamento de DHCP (nos switches) permite que você configure centralmente as opções de DHCP em um servidor RADIUS e, em seguida, distribua as opções por assinante ou por cliente DHCP. Esse método resulta em opções DHCP de origem RADIUS — as opções DHCP se originam no servidor RADIUS e são enviadas ao assinante (ou cliente DHCP). Isso difere do método tradicional de origem do cliente (também chamado de fonte DHCP) de configuração de opções DHCP, no qual as opções se originam no cliente e são enviadas para o servidor RADIUS. As opções de DHCP de origem RADIUS de gerenciamento de assinantes (gerenciamento DHCP) também são consideradas opacas, pois o servidor local DHCP executa processamento mínimo e verificação de erros para a cadeia de opções DHCP antes de passar as opções para o assinante (cliente DHCP).

O gerenciamento de assinantes (ou gerenciamento DHCP) usa o Juniper Networks VSA 26-55 (DHCP-Options) para distribuir as opções de DHCP de origem RADIUS. O servidor RADIUS inclui VSA 26-55 na mensagem Access-Accept que o servidor retorna durante a autenticação do assinante ou a autenticação do cliente DHCP. O servidor RADIUS envia a mensagem Access-Accept para o cliente RADIUS e, em seguida, para o servidor local DHCP para retornar ao assinante DHCP. O servidor RADIUS pode incluir várias instâncias do VSA 26-55 em uma única mensagem de aceitação de acesso. O cliente RADIUS concatena as várias instâncias e usa o resultado como uma única instância.

Não há nenhuma configuração de CLI necessária para permitir que o gerenciamento de assinantes (gerenciamento DHCP) use as opções de DHCP configuradas centralmente — o procedimento é acionado pela presença de VSA 26-55 na mensagem de aceitação de acesso RADIUS.

Ao criar o pacote de oferta para o cliente DHCP, o servidor local DHCP usa a seguinte sequência:

1. Processa quaisquer parâmetros configurados no RADIUS que são passados como atributos RADIUS separados; por exemplo, o atributo RADIUS 27 (Tempo limite da sessão).

2. Processa quaisquer parâmetros fornecidos pelo cliente; por exemplo, os atributos RADIUS 53 (Tipo de Mensagem DHCP) e 54 (Identificador de Servidor).

3. Acrescenta (sem realizar nenhum processamento) a string de opções DHCP opaca contida no VSA 26-55 recebida do servidor RADIUS.

Configuração de opções de origem do cliente

Além de oferecer suporte à configuração central de opções de DHCP diretamente no servidor RADIUS (opções de origem RADIUS), o gerenciamento de assinantes (gerenciamento de DHCP) também oferece suporte à configuração tradicional de opções de origem de cliente, na qual o componente DHCP do roteador (switch) envia as opções para o servidor RADIUS. O método de opções DHCP de origem do cliente tem suporte para servidor local DHCP e agente de retransmissão DHCP; no entanto, o método de configuração central de origem RADIUS é suportado apenas no servidor local DHCP. Os métodos de origem RADIUS e de origem de cliente oferecem suporte a assinantes (clientes) DHCPv4 e DHCPv6.

Fluxo de dados para opções de DHCP de origem RADIUS

A Figura 1 mostra o procedimento que o gerenciamento de assinantes (gerenciamento DHCP) usa ao configurar opções de DHCP para assinantes (clientes DHCP).

Figura 1: Fluxo de dados de opções de DHCP

A sequência geral a seguir descreve o fluxo de dados quando o gerenciamento de assinantes (gerenciamento DHCP) usa opções DHCP de origem RADIUS e VSA 26-55 para configurar um assinante DHCP (cliente):

1. O assinante (cliente DHCP) envia uma mensagem de descoberta DHCP (ou mensagem de solicitação DHCPv6) para o servidor local DHCP. A mensagem inclui opções de DHCP de origem do cliente.

2. O servidor local DHCP inicia a autenticação com o cliente Junos OS RADIUS.

3. O cliente RADIUS envia uma mensagem de solicitação de acesso em nome do assinante (cliente DHCP) para o servidor RADIUS externo. A mensagem inclui as opções DHCP de origem do cliente do assinante (cliente DHCP).

4. O servidor RADIUS externo responde enviando uma mensagem de aceitação de acesso ao cliente RADIUS. A mensagem Access-Accept inclui as opções DHCP opacas de origem RADIUS no VSA 26-55.

5. O cliente RADIUS envia a string de opções DHCP para o servidor local DHCP. Se houver várias instâncias VSA 26-55, o cliente RADIUS primeiro as montará em uma única string de opções.

6. O servidor local DHCP processa todas as opções na mensagem de oferta DHCP (ou resposta DHCPv6), exceto as opções DHCP VSA 26-55 de origem RADIUS. Depois de processar todas as outras opções, o servidor local DHCP anexa as opções DHCP VSA 26-55 não modificadas à mensagem e envia a mensagem ao assinante (cliente DHCP).

7. O assinante (cliente DHCP) é configurado com as opções de DHCP.

8. As seguintes operações ocorrem depois que o assinante (cliente DHCP) recebe as opções DHCP:

   • Contabilidade — O cliente RADIUS envia solicitações Acct-Start e Interim-Accounting para o servidor RADIUS, incluindo as opções DHCP de origem RADIUS no VSA 26-55. Por padrão, as opções de DHCP são incluídas nas solicitações de contabilidade.

   • Renovação — Quando o assinante (cliente DHCP) renova, o valor das opções DHCP armazenadas em cache é retornado na mensagem de renovação DHCP (ou DHCPv6 ACK). As opções de DHCP originalmente atribuídas não podem ser modificadas durante um ciclo de renovação.

   • Logout — Quando o assinante (cliente DHCP) faz logout, o cliente RADIUS envia uma mensagem Acct-Stop para o servidor RADIUS, incluindo o VSA 26-55 de origem RADIUS.

Configuração de várias instâncias VSA 26-55

O VSA 26-55 oferece suporte a um tamanho máximo de 247 bytes. Se o campo de opções DHCP de origem RADIUS for maior que 247 bytes, você deverá dividir o campo e configurar manualmente várias instâncias do VSA 26-55 para que o servidor RADIUS retorne. Ao usar várias instâncias para um campo de opções, você deve colocar as instâncias no pacote na ordem em que os fragmentos devem ser remontados pelo cliente RADIUS. Os fragmentos podem ter qualquer tamanho de 247 bytes ou menos.

Quando o cliente RADIUS retorna um campo de opções opacas remontado em uma solicitação de contabilidade para o servidor RADIUS, o cliente usa fragmentos de 247 bytes. Se você tiver criado originalmente instâncias com menos de 247 bytes, os fragmentos retornados podem não ser os mesmos que você configurou originalmente no servidor RADIUS.

Opções de DHCP que não podem ser configuradas centralmente

A Tabela 1 mostra as opções de DHCP que você não deve configurar centralmente no servidor RADIUS.

Diferenciando classes de assinantes com a opção 17 do DHCPv6 e o VSA 26-207

A partir do Junos OS Release 18.3R1, você pode usar o DHCPv6-Options VSA (26-207) para diferenciar entre diferentes classes de assinantes durante a autenticação de retransmissão DHCPv6. Por exemplo, talvez você queira atribuir diferentes prefixos IPv6 a diferentes classes de assinantes.

Você deve configurar seu servidor RADIUS para incluir as seguintes informações no VSA:

• Número da empresa da Juniper Networks, 2636

• Subopção 5, JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

Você define um valor diferente para a subopção 5 para cada classe que deseja diferenciar. Você desenvolve seu próprio esquema para determinar o mapeamento entre valor e classe.

O VSA 26-207 transmite as informações de classe do assinante na mensagem Access-Accept retornada pelo servidor RADIUS durante a autenticação do assinante DHCPv6. O conteúdo do VSA é passado do processo AAA para o processo DHCP no atributo de banco de dados de sessão, SDB_SERVER_DHCPV6_OPTIONS. O agente de transmissão DHCPv6 extrai as informações do atributo SDB e as coloca na opção 17 do DHCPv6. O agente de retransmissão subsequentemente passa a opção 17 para o servidor local DHCPv6 no cabeçalho Relay-Forward. O servidor local pode então retornar a configuração do agente de retransmissão e as informações de serviço específicas para as classes de assinante relevantes.

Em versões anteriores ao Junos OS 18.3R1, apenas o servidor local DHCP oferece suporte ao VSA 26-207. Apenas a subopção 1 (JDHCPD_VS_OPT_CODE_HOST_NAME) e a subopção 4 (JDHCPD_VS_OPT_CODE_LOCATION_NAME) são suportadas. O agente de retransmissão DHCP também descarta o atributo SDB_SERVER_DHCPV6_OPTIONS se ele for recebido.

As subopções recebidas do RADIUS têm uma precedência maior do que as informações configuradas localmente. Por exemplo, se o nome do host e o local forem configurados com a host-name instrução no [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] nível de hierarquia e forem recebidos nas subopções 1 e 4 de RADIUS, os valores de RADIUS serão usados.

Excluindo os VSAs das mensagens RADIUS

Você pode excluir qualquer um desses VSAs do envio usando a instrução, exclude conforme mostrado no exemplo a seguir:

Opções do cliente

As opções de cliente podem ser configuradas em vários locais, como servidores DHCPv4 ou DHCPv6, ou no servidor RADIUS. Se a configuração do cliente estiver disponível em vários locais, poderá surgir um conflito em relação à origem dos detalhes de configuração. No caso de tais conflitos, considera-se a seguinte ordem de preferência:

• Opções recebidas do servidor RADIUS por meio de atributos específicos do fornecedor (VSAs)

• Opções recebidas do servidor RADIUS por meio dos respectivos bancos de dados de sessão

• Opções da configuração local DHCP, que estão presentes no servidor DHCP

Como exemplo da preferência mencionada acima, considere o caso do tempo de locação do DHCPv4. Se a AUTHD_ATTR_SESSION_TIMEOUT opção, que é um VSA armazenado no servidor RADIUS, for retornada do servidor RADIUS, a preferência será dada a ela. Se essa opção não for retornada, a preferência será dada à opção 51 no respectivo banco de dados de sessão para DHCPv4. Se essa opção também não for retornada, a opção será originada da configuração local do DHCP.

Da mesma forma, para o AUTHD_ATTR_SESSION_TIMEOUT tempo de concessão do DHCPv6, a primeira preferência é dada ao VSA do servidor RADIUS. Se AUTHD_ATTR_SESSION_TIMEOUT não estiver presente, a opção valid-lifetime de origem RADIUS ou preferred-lifetime terá precedência. Se isso também não estiver disponível, a opção será originada da configuração local do DHCPv6.

Troca de cliente DHCPv4, servidor DHCPv4 e opções de origem RADIUS

As etapas a seguir ilustram o processo de troca de opções de configuração entre um cliente DHCPv4, um servidor DHCPv4 e o servidor RADIUS:

• Uma mensagem de descoberta de um cliente DHCPv4 é recebida pelo servidor DHCPv4.

• A opção DHCP é salva no respectivo banco de dados de sessão.

  Nas versões do Junos OS anteriores à 17.4R1, o mesmo atributo é usado para armazenar as opções DHCPv4 e DHCPv6. No entanto, com o suporte para pilha dupla DHCP de sessão única, há atributos de banco de dados de sessão separados para DHCPv4 e DHCPv6.

• As informações do cabeçalho DHCP são salvas no banco de dados da sessão.

  Um novo atributo de banco de dados de sessão é adicionado para armazenar as informações de cabeçalho e essas informações são enviadas ao servidor RADIUS para autenticação.

• Uma mensagem de solicitação de acesso é enviada do servidor DHCPv4 para o servidor RADIUS e, quando uma mensagem de aceitação de acesso é recebida do servidor RADIUS, as opções DHCPv4 são salvas nos respectivos atributos do banco de dados de sessão e enviadas ao cliente.

• As opções específicas do servidor DHCPv4 são adicionadas ao pacote.

  Observação:

  O servidor DHCPv4 pode originar opções solicitadas e não solicitadas da configuração local. Assim, é importante evitar a duplicação enquanto as opções são adicionadas.

• As informações de concessão do DHCPv4 são extraídas da opção 51 do DHCP de origem RADIUS.

  O respectivo atributo de banco de dados de sessão é usado para verificar se a opção 51 (tempo de concessão) é originada pelo RADIUS. Se for, o valor do atributo será extraído e salvo na estrutura de dados do cliente. Se não for originado pelo RADIUS, o valor do atributo será obtido da configuração do pool local ou da configuração do atributo DHCPv4, que é uma funcionalidade existente. Uma verificação semelhante é realizada para a opção 58 (tempo de renovação (T1)) e a opção 59 (tempo de religação (T2)).

• Uma mensagem de oferta é enviada do servidor DHCPv4 para o cliente DHCPv4.

Troca de cliente DHCPv6, servidor DHCPv6 e opções de origem RADIUS

As etapas a seguir ilustram o processo de troca de opções de configuração entre um cliente DHCPv6, um servidor DHCPv6 e o servidor RADIUS:

• Uma mensagem de solicitação de um cliente DHCP é recebida pelo servidor DHCPv6.

• As opções DHCPv6 são salvas no banco de dados de sessão do servidor DHCPv6.

  Nas versões do Junos OS anteriores à 17.4R1, as opções DHCPv6 são salvas no respectivo atributo de banco de dados de sessão. Devido ao suporte atual de pilha dupla DHCP de sessão única, é necessário ter atributos de banco de dados de sessão separados para salvar as opções DHCPv4 e DHCPv6. Se o cliente fizer parte de uma configuração de pilha dupla de sessão única, o respectivo atributo de banco de dados de sessão de opções DHCPv6 será usado. As opções DHCPv6 são copiadas diretamente para o banco de dados de sessão sem nenhuma alteração e, em seguida, enviadas para o servidor RADIUS.

  Observação:

  O DHCPv6 auth-option (opção 11) também faz parte dessas opções.

• Um cabeçalho de mensagem DHCPv6 é salvo no banco de dados da sessão.

  Um novo atributo de banco de dados de sessão é adicionado para copiar o cabeçalho da mensagem DHCPv6.

• Uma mensagem de solicitação de acesso é enviada do servidor DHCPv6, que, por sua vez, recebe uma mensagem de aceitação de acesso do servidor RADIUS. Essa mensagem contém opções DHCPv6 de origem RADIUS que são armazenadas em um novo atributo de banco de dados de sessão.

• As informações de concessão do DHCPv6 são extraídas da opção DHCPv6 de origem RADIUS.

  No caso do DHCPv6, o tempo de concessão é incorporado nas opções OPTION_IA_NA e OPTION_IA_PD. O tempo de concessão do cliente começa com esses valores do servidor RADIUS. Se a IA_ADDRESSopção , IA_PREFIX, IA_NA, ou IA_PD não for originada do RADIUS, essas opções serão obtidas do pool local e da configuração do pool delegado.

• As opções específicas do servidor DHCPV6 são adicionadas ao pacote.

  Observação:

  Um servidor DHCPv6 pode originar opções solicitadas e não solicitadas da configuração local. Assim, é importante evitar a duplicação enquanto as opções são adicionadas.

• Uma mensagem de anúncio é enviada do servidor DHCPv6 para o cliente DHCPv6.

Finalidade

Veja informações sobre as opções de DHCP que são configuradas centralmente em um servidor RADIUS e que são distribuídas usando o Juniper Networks VSA 26-55 (DHCP-Options).

Ação

Para exibir informações para opções de DHCP opacas:

Significado

A saída de opções DHCP fornece as seguintes informações:

• O len campo é o número total de valores hexadecimais na mensagem.

• Os valores hexadecimais especificam o tipo, o comprimento e o valor (TLV) das opções DHCP e são convertidos em decimal para identificar as opções DHCP, conforme definido no RFC 2132.

O número de valores hexadecimais que compõem uma opção DHCP específica varia, dependendo do comprimento da opção. Por exemplo, a primeira opção DHCP especificada na saída inclui três conjuntos de valores hexadecimais (35 01 01). O primeiro valor hexadecimal (35) identifica o tipo de opção, o segundo valor (01) indica o comprimento da entrada do valor, que é este caso é um conjunto de valores hexadecimais. O terceiro valor hexadecimal (01) especifica o valor da opção DHCP.

Na segunda especificação de opção DHCP (39 02 02 40), o valor 39 hexadecimal é o tipo e o comprimento de 02 especifica que dois conjuntos de entradas hexadecimais compõem o valor da opção. Portanto, essa especificação de opção usa quatro conjuntos de entradas hexadecimais; um para o tipo (39), um para especificar o comprimento (02) e dois para o valor da opção (02 40).

A terceira opção DHCP é especificada pelos valores 3d 07 01 00 10 94 00 00 08hexadecimais. O valor 3d hexadecimal é o tipo, seguido pelo comprimento (07), que especifica que os próximos sete conjuntos de entradas hexadecimais compõem o valor da opção. Portanto, essa especificação de opção usa um total de nove conjuntos de entradas hexadecimais; um para o tipo (3d), um para especificar o comprimento (07) e sete para o valor da opção DHCP (01 00 10 94 00 00 08).

A Tabela 2 descreve as duas primeiras opções com mais detalhes.