Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

配置基于 MS-MPC 或基于 MX-SPC3 的静态 HTTP 重定向服务

注意：

从 Junos OS 19.3R2 版开始，如果您在 MX 系列路由器上启用了新一代服务，则基于 MX-SPC3 服务卡的强制门户也支持静态 MX 系列服务配置。

围墙花园是一组服务器，它们为订阅者提供对围墙花园内站点的访问权限，而无需通过强制门户重新授权。强制门户页面通常是订阅者登录到订阅者会话后看到的初始页面。

当用户尝试访问围墙花园外的站点时，HTTP 重定向服务会处理 IPv4 和 IPv6 HTTP 请求来管理该流量。不发往围墙花园的用户 HTTP 请求流量将发送到重定向服务器，重定向服务器通过重定向 URL 进行响应，该重定向 URL 将流量发送到强制门户而不是未经授权的外部站点。强制门户在授予重定向订阅者访问围墙花园之外受保护服务器的权限之前，为他们提供身份验证和授权服务。

重定向服务器可以是本地的或远程的：

  • 本地重定向服务器 — 驻留在路由器上，并将订阅者流量重定向到围墙花园内的强制门户。

  • 远程重定向服务器 — 驻留在路由器后面的围墙花园内的设备（例如策略服务器）上。订阅者 HTTP 流量的目标地址将重写为远程重定向服务器的地址。远程服务器将用户流量重定向到该围墙花园内的强制门户。

您可以将加墙花园配置为防火墙服务过滤器。服务过滤器连接到静态接口。CPCD服务通过服务集应用于服务接口（MS-MPC上的ms-或MX-SPC3服务卡上的vms-）;然后，服务集会连接到静态接口。

将加墙花园配置为防火墙服务过滤器

将围墙花园配置为防火墙服务过滤器时，将识别并跳过发往围墙花园内服务器的流量。由于此流量不会流向线卡，因此处理要求会降低。

所有其他 HTTP 流量都发往围墙花园之外的地址。由于此流量与过滤器条件不匹配，因此会流向线卡进行处理。

您可以配置服务过滤器，以便加墙花园包含作为强制门户的单个服务器或服务器列表。

  • 将加墙花园配置为单个服务器作为强制门户：

    1. 创建服务过滤器。

    2. 定义过滤器术语，用于标识和跳过对强制门户流量的处理。

      1. 通过指定强制门户的目的地址和目标端口，指定过滤条件以匹配发往强制门户的流量。

      2. 指定匹配流量跳过线卡上的处理。

    3. 定义过滤术语，以从与前一个术语不匹配的所有流量中识别 HTTP 流量，并将其发送以供 CPCD 服务规则处理。

      1. 指定一个或多个 HTTP 端口号以匹配跳过的 HTTP 流量。

      2. 指定匹配流量由 CPCD 服务处理。

    4. 定义过滤器术语以跳过对任何剩余非 HTTP 流量的进一步作。

    例如，以下配置使用 192.0.2.0 上的强制门户为 IPv4 HTTP 流量创建过滤器 walled-v4。与地址匹配的流量将被跳过。不匹配的流量进入术语 http，其中 HTTP 流量从所有跳过的流量中挑选出来，并发送以根据 CPCD 服务进行处理。最后，术语跳过会导致跳过所有剩余的非 HTTP 流量。

  • 将加墙花园配置为服务器列表或子网。

    1. 创建服务过滤器。

    2. 定义过滤器术语。

      1. 通过指定服务器的目标前缀列表，指定过滤器条件以匹配发往围墙花园中任何服务器的流量。

      2. 指定匹配流量跳过线卡上的处理。

    3. 定义过滤术语，以从与前一个术语不匹配的所有流量中识别 HTTP 流量，并将其发送以供 CPCD 服务规则处理。

      1. 指定一个或多个 HTTP 端口号以匹配跳过的 HTTP 流量。

      2. 指定匹配流量由 CPCD 服务处理。

    4. 定义过滤器术语以跳过对任何剩余非 HTTP 流量的进一步作。

    5. （选答）定义一个前缀列表，用于指定围墙花园中的服务器。您可以指定一个子网或多个单独的地址。

    例如，以下配置为 IPv6 HTTP 流量创建一个过滤器 walled-v6-list，其前缀列表为 wg-list，用于指定围墙花园中的两台服务器。过滤器术语 portal6 标识发往加墙花园的 IPv6 流量。不匹配的流量进入术语 http6，其中 HTTP 流量从所有跳过的流量中挑选出来，并发送以根据 CPCD 服务进行处理。最后，术语跳过会导致跳过所有剩余的非 HTTP 流量。

为本地和远程重定向服务器配置 HTTP 重定向

当对围墙花园外的站点发出 HTTP 请求时，CPCD 可以将流量重定向到强制门户以进行身份验证和授权。

配置 CPCD 服务规则，指定要对发往围墙花园外的流量执行的作。此流量由围墙花园服务过滤器识别并传递给服务。您配置的作取决于您使用的是本地还是远程 HTTP 重定向服务器：

  • 如果在路由器上使用本地 HTTP 重定向服务器，请指定重定向作。

  • 如果您使用的是位于路由器后面的围墙花园中的远程 HTTP 重定向服务器，则不能简单地指定重定向 URL。在这种情况下，服务规则必须重写流量的 IP 目的地址。新的目标地址是远程 HTTP 重定向服务器的地址。然后，远程服务器提供重定向 URL，以便将流量发送到强制门户。

CPCD 服务通过服务集与服务接口相关联。服务集和加墙花园服务过滤器都应用于静态配置的接口。

  1. 访问 CPCD 服务配置级别。
  2. 创建要应用于发往围墙花园之外的交通的规则。
  3. 指定该规则应用于传入流量。
  4. 为 CPCD 定义一个规则术语，以便将作应用于 HTTP 流量。由于围墙花园配置为服务过滤器，因此流量在发送到服务之前已被过滤为 HTTP 流量。

    • 对于本地 HTTP 重定向服务器，请提供重定向 URL，即附加原始 URL（围墙花园外部）的强制门户的 URL：

    • 对于远程 HTTP 重定向服务器，请提供远程服务器的目标地址：

例如，在本地服务器的以下配置中，CPCD 服务规则 redir-svc 将流量重定向到强制门户 http://www.portal.example.com。订阅者输入的原始 URL 将附加到重定向 URL 中。

以下远程服务器配置创建 CPCD 服务规则 rewr-svc，该规则将原始目标地址重写为远程服务器的地址 192.0.2.230。

配置服务配置文件和服务集，以便将服务配置文件与服务接口相关联

服务集定义要由 MS-MPC/MS-MIC 或 MX-SPC3 服务卡（如果在 MX 系列路由器上启用了新一代服务）执行的一个或多个服务。对于 HTTP 重定向服务，您可以定义一个包含 CPCD 规则的 CPCD 服务配置文件。服务集将 CPCD 服务配置文件应用于特定的服务接口。

  1. 创建服务配置文件。
  2. 为服务配置文件指定一个或多个 CPCD 规则。
  3. 创建服务集。
  4. 指定 CPCD 服务配置文件。
  5. 指定服务接口。

例如，以下配置创建 CPCD 服务配置文件 redir-prof，它引用 CPCD 规则 redir-svc。服务集 ss2 将 CPCD 服务配置文件 redir-prof 与服务接口 ms-5/0/0 相关联。

将 CPCD 服务集和服务过滤器连接到逻辑接口

要使用 HTTP 重定向服务，您必须将 CPCD 服务集连接到逻辑接口。如果将加墙花园配置为服务过滤器，则必须将其连接到与服务集相同的接口。到达和离开该接口的流量将由服务过滤器过滤。如果在 MX 系列 路由器上启用了新一代服务，则标识为要进行服务的流量将发送至 MS-MPC 或 MX-SPC3 服务卡，并且 CPCD 配置文件将在服务接口上应用。

  1. 配置逻辑接口。
  2. 配置地址族。
  3. 配置接口地址。
  4. 将服务集和服务过滤器连接到接口。

例如，以下配置将服务集 sset2 和服务过滤器 walled-v4 连接到 IPv4 地址族的 ge-2/0/1.0。它为逻辑接口分配地址。服务集和过滤器均应用于接口输入和输出。

为 CPCD 服务安装服务包

要在 MS-MPC/MS-MIC 上使用 CPCD 服务，或者在 MX-SPC3 服务卡上使用MX 系列路由器上启用了新一代服务，请在 MS-MIC 或 MX-SPC3 上配置服务接口。您必须在具有服务接口的每个 MS-MIC 上或 MX-SPC3 服务卡上安装所需的服务包。

  1. 配置 Junos OS，以支持带有 MS-MPC 或 MX-SPC3 服务卡的 MX 系列 5G 通用路由平台上的服务接口上的服务包。
  2. 将CPCD服务包配置为在PIC上运行。首次配置语句时 extension-provider ，PIC 会重新启动。
    注意：

    基于静态 MS-MPC 或基于 MX-SPC3 服务卡的 CPCD 需要 CPCD 服务包 （jservices-cpcd）。
  3. （可选）启用 PIC 系统日志记录以在 PIC 上记录或查看系统日志消息。您可以指定一个或多个设施点，每个设施点都有可配置的严重性级别。

例如，以下配置将 CPCD 服务包加载到机箱插槽 1 中的 MS-MPC 和 MPC 插槽 0 中的 MS-MIC 上。系统日志消息将为所有严重级别的任何守护程序和本地外部应用程序生成。

相关文档

变更历史表

是否支持某项功能取决于您使用的平台和版本。使用 功能资源管理器 确定您的平台是否支持某个功能。

发布
描述
19.3R1
从 Junos OS 19.3R2 版开始，如果您在 MX 系列路由器上启用了新一代服务，则基于 MX-SPC3 服务卡的强制门户也支持静态 MX 系列服务配置。