数据包触发的用户服务上的 IP 多路解用接口

阅读本主题可了解 Junos 中提供的数据包触发订阅者功能以及如何对其进行配置。数据包触发的用户功能在从具有预分配 IP 地址的客户端接收数据包时创建 IP 多路分离接口（IP 多路分离 IFL）。

数据包触发的用户服务上的 IP 多路解用接口概述

数据包触发的用户功能在从具有预分配 IP 地址的客户端接收数据包时创建 IP 多路分离接口（IP 多路分离 IFL）。在收到第一个数据包时，控制平面会检查 IP 地址。如果源 IP 地址与其中一个配置的 IP 地址范围匹配，则使用身份验证服务器对订阅服务器进行身份验证。身份验证成功后，将使用 CLI 中指定的动态配置文件创建 IP 多路分离 IFL。IP 多路分离 IFL 使用身份验证服务器传递的掩码为订阅者添加成帧路由和多路分离源。如果验证服务器未发送掩码，则使用 CLI 中指定的掩码安装接入和多路分离路由。

对于住宅 IPv4 用户，来自单个家庭的所有流量通常具有相同的源 IPv4 地址。因此，对于每个家庭，只会创建一个具有单个 IPv4 地址的 IP 多路复用 IFL。对于商业 IPv4 用户，可以使用成帧路由分配多个 IPv4 地址，从而产生一个 IP 多路复用 IFL，代表多个 IPv4 地址。对于 IPv6，来自同一家庭或企业的流量源地址不同，因为每个设备都有单独的 IPv6 地址。在这种情况下，家庭或企业的最佳表示形式包括一个带有 IPv6 前缀的 IP 多路分离 IFL，代表家庭/企业中的所有 IPv6 地址。

注意：

在创建 IP 多路分离 IFL 期间，如果身份验证失败，IP 多路分离 IFL 仍会创建，但此类 IP 多路分离 IFL 无法转发任何流量。关联订阅者的任何接收流量都将被丢弃。所有此类被拒绝的 IP 多路分离 IFL 都保持配置状态，称为已配置订阅者。即使身份验证失败，创建 IP 多路分离 IFL 也将避免中断，因为后续数据包将被丢弃在 PFE 上，并且不会被发送到 RE。所有处于“已配置”状态的订阅者都将定期删除。删除这些订阅者后，从同一来源收到的任何新数据包都会被发送到 RE。

注意：

数据包触发订阅者支持要求连接设备的 MAC 地址在订阅者会话期间保持不变。如果在用户登录且会话已启动后，数据包触发用户的 MAC 地址发生变化，则用户将无法从具有相同 IP 地址的新设备连接。您可以通过设置一个时间段来监视会话的订阅者活动，从而避免出现这种情况。 client-idle-timeout 在 [edit access profile profile-name session-options ] 层次结构级别使用选项。超时到期时，订阅者将正常注销。然后，订阅者可以从第二台设备成功登录。请参阅配置订阅者会话超时选项。

IP 多路解用接口对数据包触发用户服务的好处

如果家庭或企业中的设备已经通过其他方式（例如静态分配）或通过电缆调制解调器终端系统（CMTS）分配了 IPv4/IPv6 地址，则允许用户管理和动态用户接口配置。
支持使用 RADIUS 服务器身份验证和服务选择来触发数据包的用户，并且每个底层 IFL 允许最多 16 个 IPv4 和 16 个 IPv6 地址范围。
允许身份验证服务器传入要使用的动态配置文件。当身份验证服务器传递这些值时，它们优先于通过 CLI 配置的值。
提供限制机制来减轻类似 DoS 的攻击，并限制发送到 RE 以进行 IP 多路分离身份验证和创建的异常数据包的速率。节流机制使用现有的 DDoS 机制。
请参阅多路分离接口概述

在动态配置文件中使用 IP 多路分离接口配置数据包触发的订阅者

您可以为 IPv4 和 IPv6 地址的多路分离接口配置数据包触发订阅者。数据包触发的用户功能在从具有预分配 IP 地址的客户端接收数据包时创建 IP 多路复用 IFL。创建 IP 多路分离后，系统将使用身份验证服务器传递的掩码为订阅者添加帧路由和多路分离源。

要启用数据包触发的订阅者功能，请在动态配置文件中配置多路分离选项。通过动态配置文件，可以将配置的值动态应用到动态接口，使其更易于管理。

开始之前：

配置动态配置文件。

请参阅配置基本动态配置文件。

配置动态配置文件后，配置从多路分离接口开始的数据包触发的用户接口：

指定要配置接口的内容demux。

为多路分离接口配置家族。
1. 指定要配置家族。
  对于 IPv4：
  对于 IPv6：
  注意：
  其余步骤都显示家庭 inet，但对任何一个家庭都是相同的。

指定要基于源地址的多路分离地址类型。

配置家族的自动配置详细信息。

开始特定数据包触发的用户配置。

在地址范围下，配置以下内容：
1. 动态配置文件包括网络地址的详细信息，以及该系列的多路分离接口的范围。
2. 身份验证包括要包含的密码的详细信息以及用户名配置文件，例如分隔符、域名、接口名称、身份验证服务器、源地址和系列多路分离接口的用户前缀。
  静态 VLAN 订阅者支持数据包触发恢复（MX240、MX304、MX480、MX960、MX2010、MX2020、MX10004 和 MX10008）
  
  支持在 MX 系列设备上基于以下线卡的数据包触发功能：
  - MX304 和其他带有 MPC10 线卡（ZT ASIC）的 MX 系列设备
  - MX10K-LC9600 线卡（YT ASIC）
  数据包触发功能支持静态 IP 分配订阅者，包括支持：
  - 带和不带 VLAN 的订阅者。
  - 使用 IPv4 和 IPv6 数据包的订阅者。
  - 每个 IPv4 或 IPv6 地址一个 IP 多路分离连接。
  - 使用 RADIUS 服务器和 SRC 进行身份验证和服务选择来触发数据包的用户。
  - 在订阅者级别支持 CoS。
  - 节流机制，可减轻类似 DOS 的攻击。
  - 在一定可配置持续时间内未看到任何活动时，删除 IP 多路分离接口。
  要为底层接口上的数据包触发配置启用订阅者管理服务，请使用 enable force 下 [edit system services hierarchy] 的命令或使用 set system services subscriber-management enable force 命令。

本页内容

数据包触发的用户服务上的 IP 多路解用接口