Recebendo opções de DHCP de um servidor RADIUS

Opções de origem RADIUS

O gerenciamento de assinantes (nos roteadores) ou o gerenciamento DHCP (nos switches) permite que você configure centralmente as opções de DHCP em um servidor RADIUS e, em seguida, distribua as opções por assinante ou por DHCP-cliente. Esse método resulta em opções DHCP de origem RADIUS— as opções DHCP se originam no servidor RADIUS e são enviadas ao assinante (ou cliente DHCP). Isso difere do método tradicional de origem do cliente (também chamado de DHCP-sourced) de configurar opções DHCP, nas quais as opções se originam no cliente e são enviadas para o servidor RADIUS. As opções de DHCP de gerenciamento de assinantes (gerenciamento DHCP) de origem RADIUS também são consideradas opacas, porque o servidor local DHCP executa processamento mínimo e verificação de erro para a cadeia de opções DHCP antes de passar as opções para o assinante (cliente DHCP).

O gerenciamento de assinantes (ou gerenciamento DHCP) usa o Juniper Networks VSA 26-55 (DHCP-Options) para distribuir as opções DHCP de origem RADIUS. O servidor RADIUS inclui VSA 26-55 na mensagem Access-Accept de que o servidor retorna durante a autenticação de assinantes ou autenticação do cliente DHCP. O servidor RADIUS envia a mensagem de aceitação de acesso ao cliente RADIUS e, em seguida, para o servidor local DHCP para retorno ao assinante DHCP. O servidor RADIUS pode incluir várias instâncias do VSA 26-55 em uma única mensagem de aceitação de acesso. O cliente RADIUS concatena as múltiplas instâncias e usa o resultado como uma única instância.

Não há nenhuma configuração de CLI necessária para permitir que o gerenciamento de assinantes (gerenciamento DHCP) use as opções DHCP configuradas centralmente — o procedimento é desencadeado pela presença do VSA 26-55 na mensagem RADIUS Access-Accept.

Ao construir o pacote de oferta para o cliente DHCP, o servidor local DHCP usa a sequência a seguir:

1. Processa quaisquer parâmetros configurados por RADIUS que sejam passados como atributos RADIUS separados; por exemplo, atributo RADIUS 27 (Tempo de sessão).

2. Processa quaisquer parâmetros de origem cliente; por exemplo, atributos RADIUS 53 (Tipo de Mensagem DHCP) e 54 (Identificador de servidor).

3. Apêndice (sem realizar nenhum processamento) a seqüência opaca de opções DHCP contida no VSA 26-55 recebido do servidor RADIUS.

Configuração de opções de origem do cliente

Além de dar suporte à configuração central das opções DHCP diretamente no servidor RADIUS (opções de origem RADIUS), o gerenciamento de assinantes (gerenciamento DHCP) também oferece suporte à configuração tradicional de opções de origem cliente, na qual o componente DHCP do roteador (switch) envia as opções para o servidor RADIUS. O método de opções DHCP de origem cliente é suportado tanto para servidor local DHCP quanto agente de retransmissão DHCP; no entanto, o método de configuração central de origem RADIUS é suportado apenas no servidor local DHCP. Os métodos de origem RADIUS e de origem cliente oferecem suporte a assinantes DHCPv4 e DHCPv6 (clientes).

Fluxo de dados para opções DHCP de origem RADIUS

A Figura 1 mostra o procedimento que o gerenciamento de assinantes (gerenciamento DHCP) usa ao configurar opções DHCP para assinantes (clientes DHCP).

Figura 1: Fluxo de dados de opções DHCP

A sequência geral a seguir descreve o fluxo de dados quando o gerenciamento de assinantes (gerenciamento DHCP) usa opções DHCP de origem RADIUS e VSA 26-55 para configurar um assinante DHCP (cliente):

1. O assinante (cliente DHCP) envia uma mensagem de descoberta DHCP (ou mensagem de solicitação DHCPv6) para o servidor local DHCP. A mensagem inclui opções de DHCP de origem cliente.

2. O servidor local DHCP inicia a autenticação com o cliente Junos OS RADIUS.

3. O cliente RADIUS envia uma mensagem de solicitação de acesso em nome do assinante (cliente DHCP) para o servidor RADIUS externo. A mensagem inclui as opções DHCP de origem cliente do assinante (DHCP).

4. O servidor RADIUS externo responde enviando uma mensagem de aceitação de acesso ao cliente RADIUS. A mensagem de aceitação de acesso inclui as opções DHCP opacas de origem RADIUS no VSA 26-55.

5. O cliente RADIUS envia a cadeia de opções DHCP para o servidor local DHCP. Se houver várias instâncias VSA 26-55, o cliente RADIUS primeiro as montará em uma única cadeia de opções.

6. O servidor local DHCP processa todas as opções na mensagem de oferta DHCP (ou resposta DHCPv6), com exceção das opções VSA 26-55 DHCP de origem RADIUS. Depois de processar todas as outras opções, o servidor local DHCP então aplica as opções de DHCP VSA 26-55 nãomodificadas para a mensagem e envia a mensagem ao assinante (cliente DHCP).

7. O assinante (cliente DHCP) está configurado com as opções DHCP.

8. As operações a seguir ocorrem após o assinante (cliente DHCP) receber as opções DHCP:

   • Contabilidade — O cliente RADIUS envia solicitações de acct-start e contabilidade intermediária para o servidor RADIUS, incluindo as opções DHCP de origem RADIUS no VSA 26-55. Por padrão, as opções DHCP estão incluídas em solicitações de contabilidade.

   • Renovação — Quando o assinante (cliente DHCP) renova, o valor das opções DHCP em cache é devolvido na mensagem DHCP renew (ou DHCPv6 ACK). As opções DHCP originalmente atribuídas não podem ser modificadas durante um ciclo de renovação.

   • Logout — Quando o assinante (cliente DHCP) faz logon, o cliente RADIUS envia uma mensagem Acct-Stop ao servidor RADIUS, incluindo o VSA 26-55 de origem RADIUS.

Configuração de várias instâncias VSA 26-55

O VSA 26-55 oferece suporte a um tamanho máximo de 247 bytes. Se seu campo de opções DHCP de origem RADIUS for superior a 247 bytes, você deve quebrar o campo e configurar manualmente várias instâncias do VSA 26-55 para que o servidor RADIUS retorne. Ao usar várias instâncias para um campo de opções, você deve colocar as instâncias no pacote na ordem em que os fragmentos devem ser remontados pelo cliente RADIUS. Os fragmentos podem ser de qualquer tamanho de 247 bytes ou menos.

Quando o cliente RADIUS retorna um campo de opções opacas remontado em uma solicitação de contabilidade ao servidor RADIUS, o cliente usa fragmentos de 247 byte. Se você tivesse criado originalmente instâncias de menos de 247 bytes, os fragmentos devolvidos poderiam não ser os mesmos que você configurou originalmente no servidor RADIUS.

Opções de DHCP que não podem ser configuradas centralmente

A Tabela 1 mostra as opções DHCP que você não deve configurar centralmente no servidor RADIUS.

Diferenciação de classes de assinantes com DHCPv6 Option 17 e VSA 26-207

A partir do Junos OS Release 18.3R1, você pode usar o DHCPv6-Options VSA (26-207) para diferenciar diferentes classes de assinantes durante a autenticação do revezamento DHCPv6. Por exemplo, você pode querer atribuir diferentes prefixos IPv6 a diferentes classes de assinantes.

Você deve configurar seu servidor RADIUS para incluir as seguintes informações no VSA:

• Número empresarial da Juniper Networks, 2636

• Subopção 5, JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

Você define um valor diferente para a subopção 5 para cada classe que deseja diferenciar. Você desenvolve seu próprio esquema para determinar o mapeamento entre valor e classe.

O VSA 26-207 transmite as informações da classe de assinantes na mensagem Access-Accept devolvida pelo servidor RADIUS durante a autenticação do assinante DHCPv6. O conteúdo do VSA é passado do processo AAA para o processo DHCP no atributo do banco de dados de sessão, SDB_SERVER_DHCPV6_OPTIONS. O agente de retransmissão DHCPv6 extrai as informações do atributo SDB e as coloca na opção DHCPv6 17. Posteriormente, o agente de relé passa a opção 17 para o servidor local DHCPv6 no cabeçalho Relay-Forward. O servidor local pode então devolver a configuração do agente de retransmissão e as informações de serviço específicas para as classes de assinantes relevantes.

Em lançamentos anteriores ao Junos OS 18.3R1, apenas o servidor local DHCP oferece suporte ao VSA 26-207. Apenas a subopção 1 (JDHCPD_VS_OPT_CODE_HOST_NAME) e a subopção 4 (JDHCPD_VS_OPT_CODE_LOCATION_NAME) são suportadas. O agente de relé DHCP também descarta o atributo SDB_SERVER_DHCPV6_OPTIONS se for recebido.

As subopções recebidas do RADIUS têm uma precedência maior do que as informações configuradas localmente. Por exemplo, se o nome do host e o local estiverem configurados com a host-name declaração no nível da [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] hierarquia e forem recebidos em subopções 1 e 4 do RADIUS, os valores RADIUS serão usados.

Excluindo os VSAs das mensagens RADIUS

Você pode excluir qualquer um desses VSAs de ser enviado usando a exclude declaração conforme mostrado no exemplo a seguir:

Opções de cliente

As opções de cliente podem ser configuradas em vários locais, como servidores DHCPv4 ou DHCPv6, ou no servidor RADIUS. Se a configuração do cliente estiver disponível em vários locais, um conflito pode surgir sobre a origem dos detalhes da configuração. Em caso de tais conflitos, considera-se a seguinte ordem de preferência:

• Opções recebidas do servidor RADIUS por meio de atributos específicos do fornecedor (VSAs)

• Opções recebidas do servidor RADIUS pelos respectivos bancos de dados de sessão

• Opções da configuração local DHCP, que estão presentes no servidor DHCP

Como exemplo da preferência acima mencionada, considere o caso do tempo de locação DHCPv4. Se a opção AUTHD_ATTR_SESSION_TIMEOUT , que é um VSA armazenado no servidor RADIUS, for devolvida do servidor RADIUS, a preferência será dada a ele. Se essa opção não for devolvida, a preferência é dada à opção 51 no respectivo banco de dados de sessão para DHCPv4. Se essa opção também não for devolvida, a opção será proveniente da configuração local do DHCP.

Da mesma forma, para o tempo de locação DHCPv6, a primeira preferência é dada ao AUTHD_ATTR_SESSION_TIMEOUT VSA do servidor RADIUS. Se AUTHD_ATTR_SESSION_TIMEOUT não estiver presente, a opção de origem valid-lifetime RADIUS ou preferred-lifetime prevalecer. Se isso também não estiver disponível, a opção será originada na configuração local DHCPv6.

Troca de clientes DHCPv4, servidor DHCPv4 e opções de origem RADIUS

As etapas a seguir ilustram o processo de troca de opções de configuração entre um cliente DHCPv4, um servidor DHCPv4 e o servidor RADIUS:

• Uma mensagem de descoberta de um cliente DHCPv4 é recebida pelo servidor DHCPv4.

• A opção DHCP é salva no respectivo banco de dados de sessão.

  Nas versões do Junos OS antes do 17.4R1, o mesmo atributo é usado para armazenar opções DHCPv4 e DHCPv6. No entanto, com o suporte para uma pilha dupla DHCP de sessão única, existem atributos de banco de dados de sessão separados para DHCPv4 e DHCPv6.

• As informações do cabeçalho DHCP são salvas no banco de dados da sessão.

  Um novo atributo de banco de dados de sessão é adicionado para armazenar as informações do cabeçalho, e essas informações são enviadas ao servidor RADIUS para autenticação.

• Uma mensagem de solicitação de acesso é enviada do servidor DHCPv4 para o servidor RADIUS e, quando uma mensagem de aceitação de acesso é recebida do servidor RADIUS, as opções DHCPv4 são salvas para os respectivos atributos do banco de dados de sessão e enviadas ao cliente.

• Opções específicas do servidor DHCPv4 são adicionadas ao pacote.

  Nota:

  O servidor DHCPv4 pode obter opções solicitadas e não solicitadas a partir da configuração local. Assim, é importante evitar a duplicação enquanto as opções são adicionadas.

• As informações de locação DHCPv4 são extraídas da opção DHCP de origem RADIUS 51.

  O respectivo atributo do banco de dados de sessão é usado para verificar se a opção 51 (tempo de locação) é originada pelo RADIUS. Se for, então o valor do atributo é extraído e economizado na estrutura de dados do cliente. Se não for originado pelo RADIUS, o valor do atributo é retirado da configuração do pool local ou da configuração do atributo DHCPv4, que é uma funcionalidade existente. Uma verificação semelhante é realizada para a opção 58 (tempo de renovação (T1)) e a opção 59 (tempo de rebinagem (T2)).

• Uma mensagem de oferta é enviada do servidor DHCPv4 para o cliente DHCPv4.

Troca de clientes DHCPv6, servidor DHCPv6 e opções de origem RADIUS

As etapas a seguir ilustram o processo de troca de opções de configuração entre um cliente DHCPv6, um servidor DHCPv6 e o servidor RADIUS:

• Uma mensagem de solicitação de um cliente DHCP é recebida pelo servidor DHCPv6.

• As opções DHCPv6 são salvas no banco de dados de sessão do servidor DHCPv6.

  Nas versões do Junos OS antes do 17.4R1, as opções DHCPv6 são salvas no respectivo atributo de banco de dados de sessão. Devido ao atual suporte de pilha dupla DHCP de sessão única, é necessário ter atributos de banco de dados de sessão separados para salvar opções DHCPv4 e DHCPv6. Se o cliente fizer parte de uma configuração de pilha dupla de sessão única, o respectivo atributo de banco de dados de sessão de opções DHCPv6 é usado. As opções DHCPv6 são copiadas diretamente para o banco de dados de sessão sem alterações e depois enviadas ao servidor RADIUS.

  Nota:

  O DHCPv6 auth-option (opção 11) também faz parte dessas opções.

• Um cabeçalho de mensagem DHCPv6 é salvo no banco de dados da sessão.

  Um novo atributo de banco de dados de sessão é adicionado para copiar o cabeçalho de mensagem DHCPv6.

• Uma mensagem de solicitação de acesso é enviada do servidor DHCPv6, que por sua vez recebe uma mensagem de aceitação de acesso do servidor RADIUS. Esta mensagem contém opções DHCPv6 de origem RADIUS armazenadas em um novo atributo de banco de dados de sessão.

• As informações de locação DHCPv6 são extraídas da opção DHCPv6 de origem RADIUS.

  No caso do DHCPv6, o tempo de locação é incorporado dentro das opções OPTION_IA_NA e OPTION_IA_PD. O tempo de locação do cliente começa com esses valores do RADIUS Server. Se a IA_ADDRESSopção , IA_PREFIXou IA_PD IA_NAa opção não for originada do RADIUS, essas opções serão retiradas do pool local e da configuração do pool delegado.

• Opções específicas do servidor DHCPV6 são adicionadas ao pacote.

  Nota:

  Um servidor DHCPv6 pode obter opções solicitadas e não solicitadas a partir da configuração local. Assim, é importante evitar a duplicação enquanto as opções são adicionadas.

• Uma mensagem de anúncio é enviada do servidor DHCPv6 para o cliente DHCPv6.

Propósito

Veja informações para opções DHCP que estão configuradas centralmente em um servidor RADIUS e que são distribuídas usando o Juniper Networks VSA 26-55 (DHCP-Options).

Ação

Para exibir informações para opções opacas de DHCP:

Significado

A saída de opções DHCP fornece as seguintes informações:

• O len campo é o número total de valores hex na mensagem.

• Os valores de hex especificam o tipo, comprimento e valor (TLV) das opções DHCP, e são convertidos em decimais para identificar as opções DHCP, conforme definido no RFC 2132.

O número de valores hex que compõem uma determinada opção DHCP varia, dependendo do tempo da opção. Por exemplo, a primeira opção DHCP especificada na saída inclui três conjuntos de valores hex (35 01 01). O primeiro valor hex (35) identifica o tipo de opção, o segundo valor (01) indica o comprimento da entrada de valor, que é este caso um conjunto de valores hex. O terceiro valor hex (01) especifica o valor para a opção DHCP.

Na segunda especificação de opção DHCP (39 02 02 40), o valor 39 hex é do tipo, e o comprimento 02 especifica que dois conjuntos de entradas hex compõem o valor para a opção. Portanto, essa especificação de opção usa quatro conjuntos de entradas hex; um para o tipo (39), um para especificar o comprimento (02) e dois para o valor da opção (02 40).

A terceira opção DHCP é especificada pelos valores 3d 07 01 00 10 94 00 00 08hex. O valor 3d hex é do tipo, seguido pelo comprimento (07), que especifica que os próximos sete conjuntos de entradas hex compõem o valor para a opção. Portanto, essa especificação de opção usa um total de nove conjuntos de entradas hex; um para o tipo (3d), um para especificar o comprimento (07) e sete para o valor da opção DHCP (01 00 10 94 00 00 08).

A Tabela 2 descreve as duas primeiras opções com mais detalhes.