Dynamische Profile für die Abonnentenverwaltung

Dynamische Client-Profile und dynamische Serviceprofile

Die Hauptunterschiede zwischen dynamischen Client- und dynamischen Serviceprofilen sind die folgenden:

• Ein dynamisches Clientprofil wird bereitgestellt und auf die Clientanwendungskonfiguration angewendet. zum Beispiel DHCP, DHCPv6, L2TP LNS, PPPoE, statische Teilnehmer und VLANs. Der Inhalt des Profils wird auf die logische Schnittstelle für die Anwender-Sitzung angewendet. In den meisten Fällen ermöglichen dynamische Clientprofile die dynamische Instanziierung logischer Schnittstellen, auf die das Profil angewendet wird, aber Clientprofile können auch auf statische logische Schnittstellen von Anwendern angewendet werden.

  Ein dynamisches Clientprofil kann jede der Zeilengruppen unter [edit dynamic-profiles profile-name]enthalten, mit Ausnahme von variables variable-name.

• Dynamische Serviceprofile enthalten nur servicebezogene Konfigurationen, die eine Teilmenge der in dynamischen Clientprofilen verfügbaren Konfigurationen darstellen. Sie enthalten keine anderen Konfigurationsattribute für eine Anwender-Sitzung. Sie können ein Dienstprofil nicht verwenden, um eine logische Schnittstelle zu erstellen oder zu ändern. Ein dynamisches Serviceprofil fungiert als Ergänzung zu dynamischen Client-Profilen, die nach dem Anlegen logischer Schnittstellen verwendet werden.

  Ein dynamisches Serviceprofil kann die folgenden Zeilengruppen unter [edit dynamic-profiles profile-name]: class-of-service, firewall, protocols, servicesund variablesenthalten.

Dynamische Clientprofile und dynamische Serviceprofile unterscheiden sich auch in den Arten von Variablen, die sie verwenden können:

• Dynamische Clientprofile können predefined-variable-defaults enthalten, die Standardwerte für von Juniper Networks vordefinierte Variablen definieren, die im Profil enthalten sind. Die Standardwerte im Profil werden verwendet, wenn RADIUS keinen Wert für die Variable zurückgibt. Informationen zu vordefinierten Variablen finden Sie unter Übersicht über dynamische Variablen und Standardwerte für vordefinierte Variablen in einem dynamischen Profil konfigurieren .

• Dynamische Serviceprofile können benutzerdefinierte Variablen enthalten, die wie Parameter in einem Funktionsaufruf wirken. Die Variablenwerte können vom RADIUS-Server bereitgestellt werden, um speziellere Anpassungen pro Anwender zu unterstützen. Sie können auch Standardwerte für diese Variablen festlegen, die verwendet werden sollen, wenn RADIUS den Wert nicht bereitstellt. Weitere Informationen zu benutzerdefinierten Variablen finden Sie unter Benutzerdefinierte Variablen in dynamischen Profilen .

• Dynamische Clientprofile enthalten keine benutzerdefinierten Variablen. Dynamische Serviceprofile enthalten keine Standardwerte für vordefinierte Variablen.

Tabelle 1 listet die Variablentypen auf, die von Zugriffsprofilen und Serviceprofilen unterstützt werden.

Tabelle 2 listet die Standardwerte, Ausdrücke und eindeutigen Bezeichner auf, die von Zugriffsprofilen und Dienstprofilen unterstützt werden.

Dynamisches Anwenden von Services auf Abonnentensitzungen

Sie können Services für die Anwendung auf Anwendersitzungen auf verschiedene Arten konfigurieren:

• Fügen Sie Dienstkonfigurationen für die Anwendersitzung in ein dynamisches Clientprofil ein. So können Sie beispielsweise Layer-2-Services wie Class-of-Service (CoS) und Layer-3-Services wie dynamische Firewall-Filter konfigurieren. Layer-3-Services werden für die ausgehandelte Adressfamilie für DHCP-, DHCPv6- und PPPoE-Abonnenten angewendet. Siehe Übersicht über Ändern von CoS-Services.

  Hinweis:

  Ein dynamisches Clientprofil kann nicht auf ein dynamisches Dienstprofil verweisen. Es kann nur Servicekonfigurationen direkt enthalten.

• Wenden Sie ein dynamisches Serviceprofil mithilfe Ihrer RADIUS-Konfiguration an. Der Juniper Networks Activate-Service VSA (26-65), der in der RADIUS Access-Accept-Nachricht zurückgegeben wird, wenn sich der Anwender authentifiziert, kann auf ein dynamisches Serviceprofil verweisen und optional zusätzliche Parameter für den Service übergeben. Für DHCP- und PPPoE-Sitzungen wird dieses Dienstprofil angewendet, wenn die Adressfamilie der Sitzung aktiviert ist. Siehe Dynamisches Servicemanagement mit RADIUS.

  Sie können einen anderen VSA von Juniper Networks, Deactivate-Service (26-66), verwenden, um Services in der Access Accept-Nachricht zu deaktivieren.

• Wenden Sie ein Serviceprofil mit einem Juniper Networks VSA in einer RADIUS-CoA-Nachricht (Change of Authorization) an. Sie können eine CoA-Nachricht verwenden, um Services zu aktivieren (VSA 26-65) oder zu deaktivieren (VSA 26-66). Beispielsweise kann ein Anwender einen Dienst an- oder abmelden, nachdem die Sitzung eingerichtet wurde. Weitere Informationen finden Sie unter Übersicht über die von RADIUS initiierte Änderung der Autorisierung (Change of Authorization, CoA).

• Wenden Sie ein dynamisches Dienstprofil an, indem Sie die service-profile Anweisung, auf das Profil zu verweisen, in die Konfigurationen für DHCP Local Server, DHCP Relay Agent, L2TP oder statische Abonnenten aufnehmen. Siehe Angeben des Serviceprofils für statische Anwendergruppen, Konfigurieren einer L2TP-Tunnelgruppe für LNS-Sitzungen mit Inline-Serviceschnittstellen und Konfigurieren eines L2TP-Zugriffsprofils auf dem LNS.

Dynamische Profilüberschreibungen

Ab Junos OS Version 14.1 können Sie ein anderes dynamisches Profil in der RADIUS Client-Profile-Name VSA [26-174] angeben, damit RADIUS ein konfiguriertes dynamisches Clientprofil überschreibt. RADIUS gibt diesen VSA mit anderen Clientsitzungsattributen in der Access-Accept-Nachricht an AAA zurück. AAA überschreibt anschließend das entsprechende Profilnamenattribut im Sitzungsdatenbankeintrag für den Client, und dieses neue Profil wird anstelle des ursprünglich konfigurierten Profils instanziiert.

Dynamische Profilversionserstellung

Sie können neue Versionen von dynamischen Profilen erstellen, die derzeit von Abonnenten verwendet werden. Die dynamische Profilversionserstellung ist auf Hierarchieebene [edit system] aktiviert. Wenn diese Option aktiviert ist, können Sie mehrere Versionen beliebiger dynamischer Profile auf dem Router erstellen. Jeder Anwender, der sich nach einer Änderung des dynamischen Profils anmeldet, verwendet die neueste Version des dynamischen Profils. Abonnenten, die bereits aktiv sind, verwenden weiterhin die ältere Version des dynamischen Profils, bis sie sich abmelden oder ihre Sitzung beendet wird.

Beachten Sie beim Erstellen von Versionen dynamischer Profile Folgendes:

• Sie müssen die Erstellung dynamischer Profilversionen aktivieren oder deaktivieren, bevor Sie dynamische Profile auf dem Router erstellen oder verwenden. Das Aktivieren oder Deaktivieren der Erstellung dynamischer Profilversionen nach der Konfiguration dynamischer Profile wird nicht unterstützt.

  Hinweis:

  Bevor Sie die Erstellung dynamischer Profilversionen für einen Router aktivieren oder deaktivieren, auf dem dynamische Profile konfiguriert sind, müssen Sie zunächst alle dynamischen Profile aus der Router-Konfiguration entfernen.

• Jede Version eines dynamischen Profils wird in der Profildatenbank als neues Profil gespeichert.

• Der Name der neuen Profilversion wird abgeleitet, indem eine Zeichenfolge an den ursprünglichen dynamischen Basisprofilnamen angehängt wird. Diese Zeichenfolge enthält zwei Dollarzeichen ($), um das Versionsfeld des Profilnamens zu identifizieren. Auf diese beiden Zeichen folgen numerische Zeichen, die die "Versionsnummer" des dynamischen Profils darstellen (z. B. 01).

• Die Versionsnummer des dynamischen Profils wird automatisch vom System generiert.

• Das dynamische Profil, das Sie ändern, wird immer in der neuesten Version gespeichert. Sie können kein geändertes dynamisches Profil erstellen und als frühere Version speichern. Wenn Sie z. B. Version 3 eines dynamischen Profils ändern, während es verwendet wird, wird das dynamische Profil als Version vier gespeichert.

• Sie können nur die neueste Version eines dynamischen Profils ändern.

• Der Maximalwert für die Versionsnummer ist 99999. Für jedes Profil werden jedoch jeweils nur 10 aktive Versionen unterstützt.

• Wenn die dynamische Profilversion, die Sie ändern, von keinem Anwender verwendet wird, wird das Profil mit festgeschriebenen Änderungen überschrieben, ohne dass eine neue Version erstellt wird.

• Nach Erreichen der 99999. geänderten Version eines dynamischen Profils führen alle weiteren Änderungen am dynamischen Profil zum Überschreiben dieser endgültigen Version. Wenn die endgültige Version verwendet wird, schlagen alle Änderungsversuche beim Commit fehl.

• Sie können ein dynamisches Profil nur löschen, wenn keine seiner Versionen verwendet wird.

• Die dynamische Profilversion unterstützt einen ordnungsgemäßen Neustart und eine einheitliche ISSU.

Dynamische semantische Profilprüfung

Variablen werden dynamisch auf dynamische Profile angewendet und können nicht mit vorhandenen CLI-Befehlen überprüft werden. Die semantische Prüfung validiert einige Variablen in dynamischen Profilen, um potenzielle Konfigurationsfehler zu identifizieren.

Semantische Prüfungen werden während des Commits und während der Profilinstanziierung durchgeführt. Commit-Time-Prüfungen stellen sicher, dass Variablen an der richtigen Stelle im dynamischen Profil angezeigt werden. Prüfungen, die vor der Profilinstanziierung durchgeführt werden, stellen sicher, dass die Werte, die die Variablen ersetzen, korrekt sind. Die für die Werte durchgeführten Prüfungen umfassen Folgendes:

• Bereichsvalidierung

• Validierung des Variablentyps

• Vorhandensein von Variablen, sofern obligatorisch

• Variablenabgleich mit regulären Ausdrücken

Ein Fehler bei der Commitzeitüberprüfung führt dazu, dass eine Fehlermeldung angezeigt und in der /var/log/messages Datei protokolliert wird und der Commit fehlschlägt. Ein Instanziierungsfehler führt dazu, dass ein Fehler in der /var/log/messages Datei protokolliert wird und die Profilinstanziierung fehlschlägt.