Aufsteigende Datenfilter-Richtlinien für das Anwendermanagement – Übersicht
Das Anwendermanagement ermöglicht ihnen die Verwendung von Ascend-Data-Filtern, um Richtlinien für den Abonnentendatenverkehr zu erstellen. Ein Ascend-Data-Filter ist ein binärer Wert, der auf dem RADIUS-Server konfiguriert wird. Der Filter enthält Regeln, die Übereinstimmungsbedingungen für den Datenverkehr angeben, und eine Aktion, die der Router ausführen soll (z. B. den Datenverkehr akzeptieren oder verwerfen). Die Übereinstimmungsbedingungen können die Quell- und Ziel-IP-Adresse oder den Port, das Protokoll, die Filterrichtung, die Datenverkehrsklasse und Policer-Informationen umfassen.
Die Anwenderverwaltung verwendet ein dynamisches Profil, um das Ascend-Data-Filter-Attribut (RADIUS-Attribut 242) vom RADIUS-Server zu erhalten und die Richtlinie auf eine Abonnentensitzung anzuwenden. Dynamische Profile unterstützen Aufsteigen-Daten-Filter für inet und inet6 Familientypen, und beide Familien können in einem dynamischen Profil angezeigt werden. Sie fügen vordefinierte Junos OS-Variablen in die dynamischen Profile ein – $junos-adf-rule-v4 für Familie inet und $junos-adf-rule-v6 für inet6. Das Ascend-Data-Filter-Attribut kann Regeln für beide Adressfamilien enthalten. Die vordefinierten Variablen ordnen die Ascend-Data-Filter-Regeln für die jeweilige Familie dem Junos OS Firewall-Filterprozess zu. Ein Firewall-Filter wird erstellt und an die logische Schnittstelle des Anwenders angefügt.
Sie können auch einen statischen Ascend-Data-Filter konfigurieren, indem Sie die erforderlichen Binärdaten manuell als hexadezimale Zeichenfolge in ein dynamisches Profil eingeben. Ein statisch konfigurierter Ascend-Data-Filter in einem dynamischen Profil hat Vorrang vor einem Ascend-Data-Filter-Attribut, das von RADIUS empfangen wird. Die statische Methode ist zeitaufwendig zu konfigurieren. es wird in der Regel nur zu Testzwecken verwendet.
Das Ascend-Data-Filter-Attribut wird in RADIUS Access-Accept and Change of Authorization (CoA)-Nachrichten unterstützt.
CoA aktualisiert vorhandene Filter basierend auf dem Feld "Ascend-Data-Filter Type", wie in der folgenden Liste dargestellt:
Wenn das Feld Typ 1 ist, werden IPv4-Regeln aktualisiert und IPv6-Regeln bleiben unverändert. Das Gegenteil ist der Fall, wenn das Feld Typ 3 ist.
Wenn sowohl Typ 1 als auch 3 angegeben sind, werden alle Regeln aktualisiert.
Wenn die CoA keine Ascend-Data-Filter-Regeln hat, bleiben die bestehenden Regeln unverändert.
Filterbenennungskonventionen
Jeder Ascend-Data-Filter hat einen eindeutigen Namen, der durch den dynamischen Firewall-Prozess dfwd zugewiesen wird. Die zugewiesenen Namen werden in den Ergebnissen der show subscriber extensive Befehle angezeigt show firewall . Aufsteigende Datenfilter verwenden die folgende Namenskonvention:
__junos_adf_session#-interfacename-family-direction
Zum Beispiel:
__junos_adf_33847-ge/1/0/4.53-init-in
Jede Aufsteigende Datenfilter-Regel wird einem einzelnen Begriff zugeschrieben, und die Namen des Begriffs lauten einfach t0, t1... tn Wenn Sie die counter Option konfigurieren, fügt der Router jedem erstellten Begriff eine Zähleraktion hinzu. Die Zählernamen sind eine Kombination aus den Begriffsnamen mit -cnt Anhang. Zum Beispiel t0-cnt und t1-cnt.
Verwendung mehrerer Sitzungen mit Aufsteigen-Datenfiltern auf einer Schnittstelle
Eine Schnittstelle kann mehrere Abonnentensitzungen haben, wobei jede Sitzung ihre eigenen Ascend-Data-Filter-Regeln verwendet. Wenn ein Ascend-Data-Filter auf eine Abonnentensitzung angewendet wird, werden die Regeln unabhängig von anderen Filtern erstellt und zur Liste der Schnittstellenfilter hinzugefügt. Die Ascend-Data-Filter-Regeln für die anderen Sitzungen auf derselben Schnittstelle werden ebenfalls zur Filterliste hinzugefügt. Alle Pakete, die für die Schnittstelle verarbeitet werden, müssen alle Filter durchlaufen, und die Filter werden entsprechend der von Ihnen festgelegten Rangfolge angewendet.
Da die Filterliste eine Kombination aus mehreren Regeln sein kann, müssen Sie berücksichtigen, wie mehrere Filter koexistieren. Sie müssen sicherstellen, dass die Filter richtig entwickelt und angewendet werden, um die gewünschte Filterung und die daraus resultierende Aktion bereitzustellen. Beispielsweise kann eine Sitzung über einen Filter verfügen, der Datenverkehr von Abonnenten-A akzeptiert und den gesamten anderen Datenverkehr verwirft. Eine zweite Sitzung auf derselben Schnittstelle kann jedoch über einen Filter verfügen, der nur Datenverkehr von Abonnenten-B akzeptiert und anderen Datenverkehr verwirft. Wenn die beiden Filter in der Filterliste kombiniert werden, wird der Datenverkehr von Subscriber-B durch den ersten Filter verworfen, und der Datenverkehr von Abonnenten-A wird durch den zweiten Filter verworfen. Infolgedessen wird auf der Schnittstelle kein Datenverkehr akzeptiert, da sich die beiden Filter im Wesentlichen gegenseitig abbrechen und den gesamten Datenverkehr verwerfen.
Optionale ADF-Filteranforderung für einige Abonnenten
Wenn Sie eine der vordefinierten Variablen –$junos-adf-rule-v4 oder $junos-adf-rule-v6– in das dynamische Profil einschließen, muss die RADIUS-Antwortnachricht standardmäßig das Ascend-Data-Filter-Attribut (RADIUS-Attribut 242) für jeden Abonnenten enthalten. Wenn das Attribut nicht enthalten ist, meldet der Router einen Fehler.
Ein Service Provider kann dasselbe dynamische Profil auf einen gemischten Pool von Abonnenten anwenden, sodass das Attribut für einige der Abonnenten in RADIUS enthalten ist und für andere nicht enthalten ist. Standardmäßig gibt der Router für jeden Abonnenten ohne das Attribut einen Fehler aus, der Systemressourcen verbraucht. Sie können das dynamische Profil so konfigurieren, dass es einer solchen Mischung von Abonnenten gerecht wird, indem Sie die Attributanforderung optional machen. Um dies zu tun und die Meldung von Attributfehlern zu unterdrücken, geben Sie die nicht obligatorische Option mit der adf Anweisung auf Hierarchieebene [edit dynamic-profiles profile-name interfaces interface-name unit logical-unit-number family family filter] an. Bei dieser Konfiguration wird der Ascend-Data-Filter einfach nicht erstellt, wenn das Ascend-Data-Filter-Attribut nicht vorhanden ist.