从 RADIUS 服务器接收 DHCP 选项

RADIUS 来源的选项

订阅者管理（在路由器上）或 DHCP 管理（在交换机上）允许您在 RADIUS 服务器上集中配置 DHCP 选项，然后按订阅者或每个 DHCP 客户端分发选项。此方法生成源自 RADIUS 的 DHCP 选项 - DHCP 选项源自 RADIUS 服务器并发送到订阅者（或 DHCP 客户端）。这与配置 DHCP 选项的传统客户端源方法（也称为 DHCP 源）不同，在后者中，选项源自客户端并发送到 RADIUS 服务器。订阅者管理（DHCP 管理）RADIUS 源的 DHCP 选项也被视为 不透明，因为 DHCP 本地服务器在将选项传递给订阅者（DHCP 客户端）之前，会对 DHCP 选项字符串执行最少的处理和错误检查。

订阅者管理（或 DHCP 管理）使用瞻博网络 VSA 26-55 （DHCP-Options） 来分发源自 RADIUS 的 DHCP 选项。RADIUS 服务器在订阅者身份验证或 DHCP 客户端身份验证期间服务器返回的 Access-Accept 消息中包括 VSA 26-55。RADIUS 服务器将 Access-Accept 消息发送到 RADIUS 客户端，然后发送到 DHCP 本地服务器以返回给 DHCP 订阅者。RADIUS 服务器可以在单个 Access-Accept 消息中包含 VSA 26-55 的多个实例。RADIUS 客户端连接多个实例，并将结果用作单个实例。

启用订阅者管理（DHCP 管理）无需 CLI 配置即可使用集中配置的 DHCP 选项 — 该过程由 RADIUS 访问-接受消息中存在 VSA 26-55 触发。

为 DHCP 客户端构建提供数据包时，DHCP 本地服务器使用以下顺序：

1. 处理作为单独的 RADIUS 属性传递的任何 RADIUS 配置的参数;例如，RADIUS 属性 27（会话超时）。

2. 处理任何客户端来源的参数;例如，RADIUS 属性 53（DHCP 消息类型）和 54（服务器标识符）。

3. 追加（不执行任何处理）从 RADIUS 服务器接收的 VSA 26-55 中包含的不透明 DHCP 选项字符串。

客户端源选项配置

除了支持直接在 RADIUS 服务器上集中配置 DHCP 选项（RADIUS 源选项）之外，订阅者管理（DHCP 管理）还支持传统的客户端源选项配置，其中路由器（交换机的）DHCP 组件将选项发送到 RADIUS 服务器。DHCP 本地服务器和 DHCP 中继代理均支持客户端源的 DHCP 选项方法;但是，源自 RADIUS 的中央配置方法仅在 DHCP 本地服务器上受支持。RADIUS 源和客户端源方法均支持 DHCPv4 和 DHCPv6 订阅者（客户端）。

RADIUS 源 DHCP 选项的数据流

图 1 显示了订阅者管理（DHCP 管理）在为订阅者（DHCP 客户端）配置 DHCP 选项时使用的过程。

图 1：DHCP 选项数据流

以下常规顺序介绍了订阅者管理（DHCP 管理）使用源自 RADIUS 的 DHCP 选项和 VSA 26-55 配置 DHCP 订阅者（客户端）时的数据流：

1. 订阅者（DHCP 客户端）向 DHCP 本地服务器发送 DHCP 发现消息（或 DHCPv6 请求消息）。该消息包含客户端源的 DHCP 选项。

2. DHCP 本地服务器使用 Junos OS RADIUS 客户端启动身份验证。

3. RADIUS 客户端代表订阅者（DHCP 客户端）向外部 RADIUS 服务器发送 Access-Request 消息。该消息包含订阅者（DHCP 客户端的）客户端源 DHCP 选项。

4. 外部 RADIUS 服务器通过向 RADIUS 客户端发送 Access-Accept 消息来做出响应。Access-Accept 消息包括 VSA 26-55 中源自 RADIUS 的不透明 DHCP 选项。

5. RADIUS 客户端将 DHCP 选项字符串发送到 DHCP 本地服务器。如果有多个 VSA 26-55 实例，RADIUS 客户端会先将它们组合成一个选项字符串。

6. DHCP 本地服务器将所有选项处理到 DHCP 提供（或 DHCPv6 回复）消息中，但源自 RADIUS 的 VSA 26-55 DHCP 选项除外。处理完所有其他选项后，DHCP 本地服务器会将未修改的 VSA 26-55 DHCP 选项追加到消息，并将消息发送到订阅者（DHCP 客户端）。

7. 订阅者（DHCP 客户端）配置了 DHCP 选项。

8. 订阅者（DHCP 客户端）收到 DHCP 选项后，将进行以下操作：

   • 核算 — RADIUS 客户端向 RADIUS 服务器发送 Acct-Start 和 Interim-Accounting 请求，包括 VSA 26-55 中源自 RADIUS 的 DHCP 选项。默认情况下，DHCP 选项包含在计费请求中。

   • 续订 — 订阅者（DHCP 客户端）续订时，将在 DHCP 续订（或 DHCPv6 ACK）消息中返回缓存的 DHCP 选项值。在续订周期内无法修改最初分配的 DHCP 选项。

   • 注销 — 当订阅者（DHCP 客户端）注销时，RADIUS 客户端会向 RADIUS 服务器发送 Acct-Stop 消息，包括来自 RADIUS 的 VSA 26-55。

多个 VSA 26-55 实例配置

VSA 26-55 支持的最大大小为 247 字节。如果 RADIUS 源的 DHCP 选项字段大于 247 字节，则必须将该字段分解并手动配置 VSA 26-55 的多个实例，以便 RADIUS 服务器返回。对选项字段使用多个实例时，必须按照 RADIUS 客户端重新组合分段的顺序将实例放置在数据包中。片段可以是 247 字节或更小的任何大小。

当 RADIUS 客户端在向 RADIUS 服务器的计费请求中返回重新组合的不透明选项字段时，客户端将使用 247 字节的分段。如果您最初创建的实例小于 247 字节，则返回的片段可能与您最初在 RADIUS 服务器上配置的片段不同。

无法集中配置的 DHCP 选项

表 1 显示了不得在 RADIUS 服务器上集中配置的 DHCP 选项。

通过 DHCPv6 Option 17 和 VSA 26-207 区分用户类别

从 Junos OS 18.3R1 版开始，您可以在 DHCPv6 中继身份验证期间使用 DHCPv6-Options VSA （26-207） 来区分不同类别的用户。例如，您可能希望为不同的订阅者类分配不同的 IPv6 前缀。

您必须将 RADIUS 服务器配置为在 VSA 中包含以下信息：

• 瞻博网络企业编号，2636

• 子选项 5，JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

您可以为要区分的每个类的子选项 5 设置不同的值。您可以开发自己的方案来确定值和类之间的映射。

VSA 26-207 在 DHCPv6 订阅者身份验证期间 RADIUS 服务器返回的访问-接受消息中传达订阅者类信息。VSA 的内容在会话数据库属性 SDB_SERVER_DHCPV6_OPTIONS 中从 AAA 进程传递到 DHCP 进程。DHCPv6 中继代理从 SDB 属性中提取信息，并将其放在 DHCPv6 选项 17 中。随后，中继代理会将选项 17 传递给 Relay-Forward 标头中的 DHCPv6 本地服务器。然后，本地服务器可以返回特定于相关订阅者类的中继代理配置和服务信息。

在早于 Junos OS 18.3R1 的版本中，只有 DHCP 本地服务器支持 VSA 26-207。仅支持子选项 1 （JDHCPD_VS_OPT_CODE_HOST_NAME） 和子选项 4 （JDHCPD_VS_OPT_CODE_LOCATION_NAME）。如果收到 SDB_SERVER_DHCPV6_OPTIONS 属性，DHCP 中继代理也会丢弃该属性。

从 RADIUS 收到的子选项的优先级高于本地配置的信息。例如，如果主机名和位置配置了 host-name 层次 [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] 结构级别的语句，并且在子选项 1 和 4 中从 RADIUS 接收，则使用 RADIUS 值。

从 RADIUS 消息中排除 VSA

您可以使用语句从发送 exclude 中排除任何这些 VSA，如以下示例所示：

客户端选项

可以在多个位置（如 DHCPv4 或 DHCPv6 服务器）或 RADIUS 服务器中配置客户端选项。如果客户端配置在多个位置可用，则可能会出现有关配置详细信息来源的冲突。如果发生此类冲突，将考虑以下优先顺序：

• 通过供应商特定属性 （VSA） 从 RADIUS 服务器接收的选项

• 通过相应会话数据库从 RADIUS 服务器接收的选项

• DHCP 本地配置中的选项，这些选项存在于 DHCP 服务器上

作为上述优先级的示例，请考虑 DHCPv4 租用时间的情况。 AUTHD_ATTR_SESSION_TIMEOUT 如果从 RADIUS 服务器返回选项（存储在 RADIUS 服务器中的 VSA），则会为其提供优先权。如果未返回此选项，则在相应的会话数据库中优先选择 DHCPv4 的选项 51。如果也未返回该选项，则该选项源自 DHCP 本地配置。

同样，对于 DHCPv6 租用时间，RADIUS 服务器中的 VSA 将获得优先权 AUTHD_ATTR_SESSION_TIMEOUT 。如果 AUTHD_ATTR_SESSION_TIMEOUT 不存在，则 RADIUS 源选项 valid-lifetime 或 preferred-lifetime 优先。如果这也不可用，则选项源自 DHCPv6 本地配置。

交换 DHCPv4 客户端、DHCPv4 服务器和来自 RADIUS 的选项

以下步骤说明了在 DHCPv4 客户端、DHCPv4 服务器和 RADIUS 服务器之间交换配置选项的过程：

• DHCPv4 服务器接收来自 DHCPv4 客户端的 发现 消息。

• DHCP 选项将保存到相应的会话数据库中。

  在 17.4R1 之前的 Junos OS 版本中，同一属性用于存储 DHCPv4 和 DHCPv6 选项。但是，由于支持单会话 DHCP 双协议栈，因此 DHCPv4 和 DHCPv6 具有单独的会话数据库属性。

• DHCP 标头信息保存在会话数据库中。

  将添加新的会话数据库属性来存储标头信息，并将此信息发送到 RADIUS 服务器进行身份验证。

• 访问请求消息从 DHCPv4 服务器发送到 RADIUS 服务器，当从 RADIUS 服务器收到访问接受消息时，DHCPv4 选项将保存到相应的会话数据库属性并发送到客户端。

• 特定于 DHCPv4 服务器的选项将添加到数据包中。

  注意：

  DHCPv4 服务器可以从本地配置获取请求和未经请求的选项。因此，在添加选项时防止重复非常重要。

• DHCPv4 租用信息是从 RADIUS 源的 DHCP option 51 中提取的。

  相应的会话数据库属性用于检查选项 51（租用时间）是否来自 RADIUS。如果是，则提取属性值并将其保存在客户端数据结构中。如果属性值不是由 RADIUS 获取的，则属性值取自本地池配置或 DHCPv4 属性配置，这是一项现有功能。对选项 58（续订时间 （T1））和选项 59（重新绑定时间 （T2））执行类似的检查。

• 提供消息从 DHCPv4 服务器发送到 DHCPv4 客户端。

交换 DHCPv6 客户端、DHCPv6 服务器和 RADIUS 源选项

以下步骤说明了 DHCPv6 客户端、DHCPv6 服务器和 RADIUS 服务器之间交换配置选项的过程：

• DHCPv6 服务器接收来自 DHCP 客户端 的请求 消息。

• DHCPv6 选项保存在 DHCPv6 服务器的会话数据库中。

  在 17.4R1 之前的 Junos OS 版本中，DHCPv6 选项保存在相应的会话数据库属性中。由于当前支持单会话 DHCP 双协议栈，因此需要有单独的会话数据库属性来保存 DHCPv4 和 DHCPv6 选项。如果客户端是单会话双堆栈配置的一部分，则使用相应的 DHCPv6 选项会话数据库属性。DHCPv6 选项将直接复制到会话数据库，不作任何更改，然后发送到 RADIUS 服务器。

  注意：

  DHCPv6 auth-option （选项 11）也是这些选项的一部分。

• DHCPv6 消息标头将保存到会话数据库中。

  添加了新的会话数据库属性以复制 DHCPv6 消息标头。

• 从 DHCPv6 服务器发送 访问请求 消息，而 DHCPv6 服务器又从 RADIUS 服务器接收 访问接受 消息。此消息包含存储在新会话数据库属性中的源自 RADIUS 的 DHCPv6 选项。

• DHCPv6 租约信息是从 RADIUS 源的 DHCPv6 选项中提取的。

  如果是 DHCPv6，则租期嵌入在选项OPTION_IA_NA和 OPTION_IA_PD中。客户端租用时间从 RADIUS 服务器中的这些值开始。如果、IA_PREFIX、IA_NA或IA_PD选项IA_ADDRESS不是源自 RADIUS，则这些选项取自本地池和委托池配置。

• 特定于 DHCPV6 服务器的选项将添加到数据包中。

  注意：

  DHCPv6 服务器可以从本地配置获取请求和未经请求的选项。因此，在添加选项时防止重复非常重要。

• 播 发 消息从 DHCPv6 服务器发送到 DHCPv6 客户端。

目的

查看在 RADIUS 服务器上集中配置并使用瞻博网络 VSA 26-55 （DHCP-Options） 分发的 DHCP 选项的信息。

行动

要显示不透明 DHCP 选项的信息，请执行以下操作：

意义

DHCP 选项输出提供以下信息：

• 该 len 字段是消息中十六进制值的总数。

• 十六进制值指定 DHCP 选项的类型、长度和值 （TLV），并转换为十进制以标识 DHCP 选项，如 RFC 2132 中所定义。

组成特定 DHCP 选项的十六进制值的数量各不相同，具体取决于选项的长度。例如，输出中指定的第一个 DHCP 选项包括三组十六进制值 （35 01 01）。第一个十六进制值 （35） 表示选项类型，第二个值 （01） 表示值条目的长度，在这种情况下是一组十六进制值。第三个十六进制值 （01） 指定 DHCP 选项的值。

在第二个 DHCP 选项规范 （39 02 02 40） 中，十六进制值 39 是类型，长度 02 指定两组十六进制条目组成选项的值。因此，此选项规范使用四组十六进制条目;一个用于类型 （39），一个用于指定长度 （02），两个用于选项值 （02 40）。

第三个 DHCP 选项由 十六进制值 3d 07 01 00 10 94 00 00 08指定。十六进制值 3d 是类型，后跟长度 （07），它指定接下来的七组十六进制条目组成选项的值。因此，此选项规范总共使用了九组十六进制条目;1 表示类型 （3d），1 表示指定长度 （07），7 表示 DHCP 选项 （01 00 10 94 00 00 08） 的值。

表 2 更详细地描述了前两个选项。