将用户域映射到接入和会话选项

要为订阅者管理配置域映射：

订阅者管理支持通配符域映射功能，通过该功能，您可以配置基于部分通配符匹配的域映射。当用户域名和配置的域映射之间没有完全匹配时，订阅者管理接下来会查找订阅者域名与通配符域映射之间的部分匹配。

要创建通配符域映射，请在配置域映射名称时包含星号通配符，例如 domain map example*。可以将通配符插入域映射中的任何位置，通配符可以表示零个或任意数量的字符。星号是唯一受支持的通配符。

例如，配置语句 domain map example*northern.com 创建一个通配符域映射，该域映射与以 开 example 头和结 northern.com尾的所有域名进行部分匹配，例如 examplenorthern.com、 example-northern.com和 example1234northern.com。但是，如果将域名中的通配符移动到 domain map example-northern*.com，则会创建更严格的匹配，要求部分匹配的域名以 开头 example-northern，例如 example-northern555.com 或 example-northern-alpha.com。

当订阅者管理从 DHCPv4 代理远程 ID（选项 82，子选项 2）或 DHCPv6 远程 ID（选项 37）派生订阅者用户名时，通配符域映射也很有用。在这些情况下，生成的用户名格式 subscriberID|service-plan|accountID|unused为 ;例如， EricSmith|premiumTier1|314159265|0000 （其中 | 字符是分隔符）。在此示例中，订阅者管理从左到右解析用户名，并将订阅者的域标识为 premiumTier1|314159265|0000。要创建用于此订阅者的通配符域映射，您可以配置 domain map premiumTier1*。

以下示例介绍如何将四个订阅者映射到不同的域。

对于此示例，配置了三个域映射;域 default 映射、名为 example3000.com的域映射和名为 example*的通配符域映射。订阅者的映射如以下列表所示：

• eric@example3000.com — 存在完全匹配的域映射，因此用户将映射到域 example3000.com。

• jack@example1001.com — 没有完全匹配，但与通配符域存在部分匹配，因此订阅者将映射到通配符域 example*。

• ginger@example-western.com - 没有完全匹配，但与通配符域有部分匹配，因此订阅者也将映射到通配符域 example*。

• sunshine@test.com - 没有完全匹配，也没有与通配符域的部分匹配，因此订阅者将映射到域 default 。

要配置通配符域映射：

您可以使用访问配置文件指定路由器应用于订阅者会话的访问规则和选项（例如，RADIUS 身份验证服务器和属性）。域映射功能允许您为特定域中的订阅者应用特定的访问配置文件。

可以通过多种不同的方式指定或修改访问配置文件。如果发生冲突，路由器将根据 表 2 中所示的优先级规则应用访问配置文件。

要在域映射中包括访问配置文件，请执行以下作：

您可以使用域映射功能指定路由器用于为订阅者会话分配地址的地址池。地址池可以同时包含 IPv4 和 IPv6 地址范围。

地址池可以通过多种不同的方式指定或修改。如果发生冲突，路由器将根据 表 3 中所示的优先级规则应用地址池。

要指定用于域映射的地址池，请执行以下作：

动态配置文件定义为订阅者会话提供动态访问和服务的一组特征（例如服务等级、协议和接口支持）。域映射功能使您能够基于订阅者域应用特定的动态配置文件。

动态配置文件在层次结构中 [edit dynamic-profiles] 配置，可以通过多种不同的方式进行指定或修改。如果发生冲突，路由器将根据 表 4 中所示的优先级规则应用动态配置文件。

要在域映射中包括动态配置文件：

默认情况下，域映射使用用户逻辑系统/路由实例作为守护程序发送 AAA 身份验证和计费请求的上下文 authd 。您可以选择性地配置域映射，以根据订阅者域名将 AAA 请求定向到特定上下文。指定非默认 AAA 上下文可以让您管理工作流程和流量负载，并有效地对大量订阅者进行更改。例如，升级 RADIUS 服务后，您可以配置域映射，以指定域 example.com 中的所有订阅者现在都由特定 AAA 环境中的 RADIUS 服务器进行身份验证。

要配置用于 AAA 请求的逻辑系统/路由实例上下文：

默认情况下，路由器会将用户放置在开始用户协商的接口的逻辑系统/路由实例上下文中。稍后，您可以使用域映射或 RADIUS 身份验证服务器更改用户上下文的路由实例。

仅默认逻辑系统支持订阅者管理，但您可以将域映射配置为使用非默认路由实例。此外，如果已配置非默认路由实例，则可以将域映射配置为使用默认路由实例。

要配置用于用户接口的逻辑系统/路由实例上下文：

隧道配置文件指定路由器应用于订阅者会话的隧道定义（例如，一组 L2TP 隧道及其属性）。域映射功能允许您将特定的隧道配置文件应用于特定域中的用户。

要在域映射中包括隧道配置文件：

隧道交换机配置文件确定是否将来自 LAC 的 L2TP 用户会话中的数据包切换到具有不同目标 LNS 的另一个会话。隧道交换机配置文件还可以指定在将数据包切换到第二个隧道时如何处理某些 L2TP AVP。通过域映射功能，您可以将特定的隧道交换机配置文件应用到特定域中的用户。

要在域映射中包括隧道交换机配置文件：

您可以配置路由器如何确定用于域映射功能的域名。在全局级别，您可以指定用于域映射的规则。通过全局规则，您可以指定路由器可以识别为域或域名称分隔符的其他字符，并指定路由器用于解析域或域名称的方向。解析域或域名的目的是识别路由器用作订阅者域名的单个唯一名称，无论名称的来源是采用典型的域名格式 （joseph@example.com） 还是域名称格式 （example.com\marilyn）。路由器使用生成的域名进行域映射查找和处理等作。在域映射级别，您还可以启用域名剥离。域名剥离指定路由器在对域映射执行任何其他处理之前，先从订阅者用户名中移除解析的域或领域名称。

要配置域映射的域名使用规则：

分隔符是将订阅者用户名与域或领域名称分隔开来的字符。分隔符通常用于域或域名称解析或域名剥离。您最多可以指定八个分隔符，路由器用于识别域映射的域或域名称。如果未配置任何分隔符，则路由器默认使用该 @ 字符作为域名。领域名称没有默认分隔符。

例如，您的网络可能包括订阅者 bob@test.com、 和 pete!example.comtest.net\maria。在这种情况下，您可以将路由器配置为识别字符@!并将其识别为域名分隔符，并将\字符识别为领域名称分隔符。

指定分隔符时，请记住以下准则：

• 不能使用分号 （;) 作为分隔符。

• 如果配置可选域名分隔符，如果要继续将其用作分隔符，还必须指定 @ 字符（默认分隔符）。

• 如果配置可选域名分隔符，然后取消配置，则路由器会将域映射分隔符设置回默认 @ 字符。

要为域映射配置域和域名称分隔符：

该路由器解析用户名域或领域名称，以识别路由器用作订阅者域名的单个唯一名称，无论名称来源是采用典型域名格式 （joseph@example.com） 还是领域名称格式 （example.com\marilyn）。您可以指定路由器是先在订阅者用户名中搜索域名还是领域名称。如果路由器找不到指定的名称（例如，您指定 realm-first 了用户名中没有领域名称），则路由器将搜索第二种类型的名称（在本例中为域名）。如果路由器未找到领域名称或域名，则没有可用于域映射作的域。

要配置域映射的域名解析方向：

您可以指定路由器执行用于识别域映射的用户域或域名称的解析作的方向。在解析作期间，路由器会搜索用户名，直到识别出分隔符。然后，它将分隔符右侧的任何内容视为域。默认情况下，路由器从右到左解析，从用户名中最右侧的字符开始。

路由器使用用户的域名来执行域映射查找和处理作。您可以配置当用户名以传统域名格式或领域名称显示时，路由器如何识别唯一域名。在传统域名格式中，用户名后面跟着域名;例如，joe@example.com。在领域名称格式中，用户名前面有域名，称为领域名称;例如，example.com@joe。解析域或领域名称的目的是识别路由器用作订阅者域名的单个名称，无论该名称的来源是用户的原始域名还是领域名称。路由器使用生成的域名进行域映射查找和处理等作。在域映射级别，您还可以启用域名剥离。

当存在嵌套域名时，您使用的域解析方向很重要。例如，对于用户名 user1@test.com@example.com，从右到左解析会产生一个域名 example.com。对于同一用户名，从左到右解析会产生一个域名 test.com@example.com。

要配置域映射的域名解析方向：

您可以将路由器配置为在使用任何 AAA 服务之前从用户名中去除域名。域名剥离是针对域映射完成的。路由器使用您全局配置的分隔符和解析方向来确定要删除的域名。例如，如果路由器使用默认的分隔符和解析方向 right-to-left，则用户名 user1@example.com 将被剥离为 user1。

要将路由器配置为从域映射中的用户名中去除域名，请执行以下作：

对于某些用例，您可能希望从路由器机箱外配置 L2TP LAC 订阅者用户名和身份验证密码。您可以去除用户名的用户部分并覆盖用户密码。

您可以配置当用户名以传统域名格式或领域名称格式显示时，路由器如何识别要去除的用户部分。在传统域名格式中，用户名后面跟着域名;例如，joe@example.com。在领域名称格式中，用户名前面有域名，称为领域名称;例如，example.com@joe。

您可以指定路由器执行用于识别用户名部分的解析作的方向。在解析作期间，路由器会搜索用户名，直到识别出分隔符。默认情况下，路由器从左到右解析，从用户名中最左侧的字符开始。分隔符左侧的所有内容都是用户部分。这个方向适用于传统的域名格式。使用此配置，路由器 可识别 Joe 并将其从 joe@example.com 中剥离出来。

对于领域名称格式的用户名，您需要将解析方向更改为 right-to-left。路由器从右到左解析，从用户名中最右边的字符开始。当路由器识别出分隔符时，它会将分隔符右侧的任何内容视为用户部分。使用此配置，路由器标识 joe 并将其从 example.com@joe 中剥离。

要配置要从与域映射关联的所有用户名中去除的用户部分：

指定您希望路由器使用的解析方向：

• 当用户名采用典型的域名格式（其中域名跟在用户名后面）时使用 left-to-right 。

• 当用户名采用领域名称格式（其中领域名称位于用户名之前）时使用 right-to-left 。

您可以指定新密码来覆盖用于对与域映射关联的任何订阅者进行身份验证的现有密码。要覆盖密码：

• 指定 PAP 身份验证的覆盖密码。

• 指定 CHAP 身份验证的覆盖密码。