静态接口上的 JSRC 和订阅者

您可以将订阅者与静态配置的接口相关联，并为这些订阅者提供动态服务激活和停用。出现静态接口时，事件被视为订阅者登录。接口关闭时，将被视为订阅者退出。

您可以将静态订阅者配置为通过 RADIUS 进行验证和授权。在这种情况下，RADIUS 可以使用授权更改 （CoA） 消息激活和停用服务。但是，此配置不会阻止接口出现并转发流量。此外，授权参数不会强加于用户接口上。

或者，您可以使用 JSRC 为这些订阅者动态激活和停用服务。在会话数据库 （SDB） 中存在订阅者后，JSRC 可以向 SAE 报告订阅者，以便 SRC 软件随后可以管理订阅者。

以下准则适用于静态订阅者：

• 静态订阅者仅在以太网接口、静态多路分离接口和通过逻辑隧道 （PS/LT） 的伪线接口上受支持。在 Junos OS 18.3R1 版中引入的 PS/LT 支持可为静态配置订阅者实现完全订阅者管理（相当于动态订阅者），这些订阅者的流量通过 IP/MPLS 访问模型传输。

• 在给定接口上只能存在一个静态订阅者。

• 一个接口不能出现在多个组中。

• 静态订阅者不能通过动态接口创建。

静态订阅者旨在与 JSRC 配合使用。在 provisioning-order jsrc 层次结构级别包括语句 [edit access profile profile-name] ，使 JSRC 能够按 SRC 软件的方向处理订阅者。

如果静态订阅者的身份验证请求失败，则 60 分钟的不可配置计时器将开始倒数。计时器过期时将重新提出请求。只要接口正常运行，此操作将重复。

您可以通过发出 request services static-subscribers logout interface interface-name 命令强制退出静态订阅者。静态订阅者也可由 AAA 或外部策略管理器注销。在这两种情况下，在您通过发出 request services static-subscribers login interface interface-name 命令或重新启动路由器或进程来重置状态之前，不会在底层接口上进行后续登录。

您可以通过发出 request services static-subscriber logout group group-name 命令来退出接口组。随后，您可以通过发出 request services static-subscriber login group group-name 命令来登录一组接口。

为静态订阅者配置动态配置文件不需要新的 CLI 语句。动态配置文件可以非常简单;它在登录时激活，在退出时停用。如果未配置配置文件，则会自动激活 junos-default-配置文件 。

在 平滑路由引擎切换 （GRES） 事件期间，将恢复主动的静态订阅者，清理不活动的订阅者，并为正在退出的订阅者继续退出。

在 static-subscribers 层次结构级别包括语句 [edit system services] ，以配置静态订阅者。在 traceoptions 层次结构级别包括语句 [edit system processes static-subscribers] ，为静态订阅者配置跟踪操作。

您可以为所有静态订阅者或特定静态订阅者组配置访问配置文件、动态配置文件、服务配置文件和身份验证参数：

• 要配置访问配置文件，以便为所有静态订阅者的静态订阅者触发 AAA 服务，请在层次结构级别添加 access-profile 语句 [edit system services static-subscribers] 。或者，在层次结构级别包含此语句 [edit system services static-subscribers group group-name] ，以将配置文件应用到特定组并覆盖顶层配置。

• 要配置当静态订阅者登录时实例化的动态配置文件，请在层次结构级别添加语句dynamic-profile[edit system services static-subscribers]。或者，在层次结构级别包含此语句[edit system services static-subscribers group group-name]，以将配置文件应用到特定组并覆盖顶层配置。请勿指定用于创建动态接口的动态配置文件。

• 要为全局级别和组级别的所有静态订阅者配置服务配置文件，请将语句service-profile包含在 。[edit system services static-subscribers group group-name] hierarchy level

• 要配置用于为所有静态订阅者触发向 AAA 发送访问请求消息的身份验证参数，请在层次结构级别添加 authentication 语句 [edit system services static-subscribers] 。或者，在层次结构级别包含该语句 [edit system services static-subscribers group group-name] ，以配置特定组的身份验证并覆盖顶层配置。如果未配置身份验证，则默认情况下，接口名称将修改并用作订阅者会话和身份验证请求的默认用户名。

可配置的身份验证参数包括密码和用户名形成方式的详细信息。在 password 层次结构级别包括语句 [edit system services static-subscribers authentication] ，以为所有静态订阅者的身份验证密码配置。或者，在层次结构级别包含该语句 [edit system services static-subscribers group group-name authentication] ，以配置特定组的身份验证并覆盖顶层配置。

发送至 AAA 进行认证的用户名必须至少包含以下属性之一：

• 域名

• 用户前缀

• 接口名称

• 逻辑系统名称

• 路由实例名称

要配置如何为所有静态订阅者形成用户名，请在层次结构级别包括所需的语句 [edit system services static-subscribers authentication] ： domain-name、 user-prefix、 logical-system-name或 routing-instance-name。或者，在层次结构级别添加所需的语句 [edit system services static-subscribers group group-name authentication] ，以配置特定组的用户名并覆盖顶层配置。

如果更改现有组或全局静态订阅者的身份验证配置，则更改不会影响现有静态订阅者。这些更改只会应用于在您提交更改后尝试的任何新登录。

组配置必须指定您希望支持静态订阅者的所有接口。在 interface 层次结构级别包括语句 [edit system services static-subscribers group group-name] 以指定接口。您可以通过此语句指定单个接口或一系列接口。

您还必须静态配置这些接口，然后才能支持任何静态订阅者。您必须在与包括接口的组相同的逻辑系统和路由实例中配置静态接口。

如果更改包含在现有接口组中的接口，则现有静态订阅者会自动退出，然后在您提交更改时重新登录。但是，对接口本身配置所做的更改不会影响与该接口关联的静态订阅者的登录或注销状态。

默认情况下，同一 VLAN 逻辑接口不支持多个订阅者。如果您想支持此行为，则可以通过两种方式之一在单个逻辑接口上管理多个订阅者。您可以合并多个订阅者的防火墙过滤器和 CoS 属性等属性，也可以当新订阅者日志到底层 VLAN 逻辑接口时，将当前属性替换为新订阅者的属性。

• 要对所有静态接口启用属性合并，请将语句aggregate-clients merge[edit system services static-subscribers]包含在层次结构级别。或者，在[edit system services static-subscribers group group-name]层次结构级别包含此语句，以便为特定的静态接口组启用属性合并并覆盖顶层配置。

• 要对所有静态接口启用属性替换，请将语句aggregate-clients replace[edit system services static-subscribers]包含在层次结构级别。或者，在层次结构级别包含此语句[edit system services static-subscribers group group-name]，以启用特定静态接口组的属性替换并覆盖顶层配置。

此示例显示静态订阅者配置。

1. 配置要用于静态订阅者的访问配置文件。

2. 配置要用于静态订阅者的动态配置文件。

   如果未配置此配置文件，将使用默认配置文件 junos-default-profile。

3. 配置将静态订阅者分层的静态接口。

4. 配置全局应用于配置上下文中所有静态订阅者的参数。

5. 如果要覆盖某些静态订阅者的全局参数，请为这些订阅者创建一组静态接口，并配置要应用于该组的参数。根据需要为多个组重复这一步。

6. 为静态订阅者事件配置跟踪选项。