Konfigurieren von MS-MPC-basierten oder MX-SPC3-basierten konvergenten HTTP-Umleitungsdiensten
Sie können konvergierte HTTP-Umleitungsdienste auf MS-MPCs/MS-MICs konfigurieren. Ab Junos OS Version 19.3R1 können Sie auch die Bereitstellung konvergenter HTTP-Umleitungsdienste auf der MX-SPC3-Servicekarte konfigurieren, wenn Sie Next Gen Services auf dem Router der MX-Serie aktiviert haben.
Bei der konvergenten Servicebereitstellung wird die Servicedefinition von der Serviceinstanziierung getrennt. Nachdem ein Dienst definiert wurde, kann ein Dienst dynamisch bei der Abonnentenanmeldung oder mithilfe einer Autorisierungsänderung (CoA) während der Sitzung instanziiert werden. Bei der Dienstinstanziierung wird nur der Name des definierten Diensts verwendet, sodass alle Dienstdetails vor Systembetreibern verborgen werden. Die konvergente Servicebereitstellung unterstützt die Serviceparametrisierung, die dynamischen Variablen innerhalb dynamischer Profile entspricht.
Für konvergente HTTP-Umleitungsdienste bedeutet dies, dass Sie den Dienst und die Dienstregeln innerhalb eines dynamischen Profils definieren. Die CPCD-Serviceregeln werden dynamisch basierend auf den im dynamischen Profil konfigurierten Variablen erstellt.
Optional können Sie die Umleitungs-URL parametrisieren, indem Sie eine redirect-url Variable in das dynamische Profil aufnehmen. Der Wert der Variablen wird von einem RADIUS-VSA während des Abonnenten-Push-ups oder mit einer CoA-Meldung (Change of Authorization) bereitgestellt. Auf diese Weise können Sie die Umleitungs-URLs für jeden Abonnenten anpassen. Sie können einen Standardwert für die URL definieren, der verwendet wird, wenn kein Wert von RADIUS bereitgestellt wird.
Sie konfigurieren den Walled Garden als Firewall-Dienstfilter. Er filtert den Datenverkehr so, dass nur HTTP-Datenverkehr, der außerhalb des Walled Garden bestimmt ist, zur Verarbeitung an den dynamischen Dienst übergeben wird. Genau wie bei statischen HTTP-Umleitungsdiensten enthält ein Dienstprofil die Dienstregeln. Sie konfigurieren einen Servicesatz außerhalb des dynamischen Profils, um das CPCD-Serviceprofil einer bestimmten MS-Service-Schnittstelle auf einer MS-MPC/MS-MIC- oder einer vsp-Service-Schnittstelle auf einer MX-SPC3-Servicekarte zuzuordnen. Innerhalb des dynamischen Profils wenden Sie das Service-Set und den Walled-Garden-Service-Filter auf eine dynamische Schnittstelle an.
Konfigurieren eines Walled Garden als Firewall-Dienstfilter
Wenn Sie den Walled Garden als Firewalldienstfilter konfigurieren, wird der Datenverkehr, der für Server innerhalb des Walled Garden bestimmt ist, identifiziert und übersprungen. Da dieser Datenverkehr nicht zur Linecard fließt, werden die Anforderungen an die Handhabung reduziert.
Der gesamte andere HTTP-Datenverkehr ist für Adressen außerhalb des Walled Garden bestimmt. Da dieser Datenverkehr nicht mit den Filterbedingungen übereinstimmt, wird er zur Verarbeitung an die Linecard weitergeleitet.
Sie können den Dienstfilter so konfigurieren, dass der Walled Garden einen einzelnen Server als Captive Portal oder eine Liste von Servern enthält.
Konfigurieren Sie den Walled Garden mit einem einzigen Server als Captive Portal:
Erstellen Sie den Dienstfilter.
[edit] user@host# edit firewall family address-family service-filter filter-name
Definieren Sie einen Filterbegriff, um die Verarbeitung des Datenverkehrs zum Captive Portal zu identifizieren und zu überspringen.
Geben Sie Filterbedingungen für den Datenverkehr an, der für das Captive Portal bestimmt ist, indem Sie die Zieladresse des Captive Portals und den Zielport angeben.
[edit firewall family inet service-filter filter-name] user@host# set term name from destination-address ip-address user@host# set term name from destination-port port-number
Geben Sie an, dass der übereinstimmende Datenverkehr die Verarbeitung auf der Linecard überspringt.
[edit firewall family inet service-filter filter-name] user@host# set term name then skip
Definieren Sie einen Filterbegriff, um HTTP-Datenverkehr aus dem gesamten Datenverkehr zu identifizieren, der nicht mit dem vorherigen Begriff übereinstimmt, und senden Sie ihn zur Verarbeitung durch CPCD-Dienstregeln.
Geben Sie eine oder mehrere HTTP-Portnummern an, die dem übersprungenen HTTP-Datenverkehr entsprechen.
[edit firewall family inet service-filter filter-name] user@host# set term name from destination-port http-port-number
Geben Sie an, dass der übereinstimmende Datenverkehr von einem CPCD-Dienst verarbeitet wird.
[edit firewall family inet service-filter filter-name] user@host# set term name then service
Definieren Sie einen Filterbegriff, um weitere Aktionen für den verbleibenden Nicht-HTTP-Datenverkehr zu überspringen.
[edit firewall family inet service-filter filter-name] user@host# set term name then skip
Mit der folgenden Konfiguration wird beispielsweise ein Filter für IPv4-HTTP-Datenverkehr, walled-v4, mit dem Captive Portal auf 192.0.2.0 erstellt. Datenverkehr, der mit der Adresse übereinstimmt, wird übersprungen. Nicht übereinstimmender Datenverkehr wird an den Begriff http weitergeleitet, wobei HTTP-Datenverkehr aus dem gesamten übersprungenen Datenverkehr ausgewählt und zur Verarbeitung gemäß einem CPCD-Dienst gesendet wird. Schließlich bewirkt das Überspringen von Begriffen, dass der gesamte verbleibende Nicht-HTTP-Datenverkehr übersprungen wird.
[edit] user@host# edit firewall family inet service-filter walled-v4 [edit firewall family inet service-filter walled-v4] user@host# set term portal from destination-address 192.0.2.0 user@host# set term portal from destination-port 80 user@host# set term portal then skip user@host# set term http from destination-port 80 user@host# set term http then service user@host# set term skip then skip
Konfigurieren Sie den Walled Garden als Liste oder Subnetz von Servern.
Erstellen Sie den Dienstfilter.
[edit] user@host# edit firewall family address-family service-filter filter-name
Definieren Sie einen Filterbegriff.
Geben Sie Filterbedingungen an, um dem Datenverkehr zu entsprechen, der für einen beliebigen Server im Walled Garden bestimmt ist, indem Sie eine Zielpräfixliste von Servern angeben.
[edit firewall family inet service-filter filter-name] user@host# set term name from destination-prefix-list list-name user@host# set term name from destination-port port-number
Geben Sie an, dass der übereinstimmende Datenverkehr die Verarbeitung auf der Linecard überspringt.
[edit firewall family inet service-filter filter-name] user@host# set term name then skip
Definieren Sie einen Filterbegriff, um HTTP-Datenverkehr aus dem gesamten Datenverkehr zu identifizieren, der nicht mit dem vorherigen Begriff übereinstimmt, und senden Sie ihn zur Verarbeitung durch CPCD-Dienstregeln.
Geben Sie eine oder mehrere HTTP-Portnummern an, die dem übersprungenen HTTP-Datenverkehr entsprechen.
[edit firewall family inet service-filter filter-name] user@host# set term name from destination-port http-port-number
Geben Sie an, dass der übereinstimmende Datenverkehr von einem CPCD-Dienst verarbeitet wird.
[edit firewall family inet service-filter filter-name] user@host# set term name then service
Definieren Sie einen Filterbegriff, um weitere Aktionen für den verbleibenden Nicht-HTTP-Datenverkehr zu überspringen.
[edit firewall family inet service-filter filter-name] user@host# set term name then skip
(Optional) Definieren Sie eine Präfixliste, die Server innerhalb des Walled Garden angibt. Sie können ein Subnetz oder mehrere einzelne Adressen angeben.
[edit policy-options] user@host# set prefix-list list- name ip-address/mask user@host# set prefix-list list- name ip-address1 user@host# set prefix-list list- name ip-address2
Mit der folgenden Konfiguration wird z. B. ein Dienstfilter für IPv6-HTTP-Datenverkehr, walled-v6-list, mit einer Präfixliste, wg-list, erstellt, die zwei Server im Walled Garden angibt. Der Filterbegriff portal6 identifiziert IPv6-Datenverkehr, der für den Walled Garden bestimmt ist. Nicht übereinstimmender Datenverkehr wird an den Begriff http6 weitergeleitet, wobei der HTTP-Datenverkehr aus dem gesamten übersprungenen Datenverkehr ausgewählt und zur Verarbeitung gemäß einem CPCD-Dienst gesendet wird. Schließlich bewirkt das Überspringen von Begriffen, dass der gesamte verbleibende Nicht-HTTP-Datenverkehr übersprungen wird.
[edit] user@host# edit firewall family inet6 service-filter walled-v6-list user@host# set term portal6 from destination-prefix-list wg-list user@host# set term portal6 then skip user@host# set term http6 from destination-port [80 8080] user@host# set term http6 then service user@host# set term skip6 then skip [edit policy-options] user@host# set prefix-list wg-list 2001:db8::10.10 user@host# set prefix-list wg-list 2001:db8::10.22
Konfigurieren der HTTP-Umleitung für lokale und Remote-Umleitungsserver
Wenn HTTP-Anforderungen für Websites außerhalb des Walled Garden gestellt werden, kann CPCD den Datenverkehr zur Authentifizierung und Autorisierung an ein Captive Portal umleiten.
Konfigurieren Sie eine CPCD-Dienstregel, die die Aktion angibt, die für den HTTP-Datenverkehr ausgeführt werden soll, der vom Walled Garden-Dienstfilter identifiziert und an den Dienst übergeben wird. Welche Aktion Sie konfigurieren, hängt davon ab, ob Sie einen lokalen oder einen Remote-HTTP-Umleitungsserver verwenden:
Wenn Sie einen lokalen HTTP-Umleitungsserver auf dem Router verwenden, geben Sie die Umleitungsaktion an.
Wenn Sie einen Remote-HTTP-Umleitungsserver verwenden, der sich in einem Walled Garden hinter dem Router befindet, können Sie nicht einfach eine Umleitungs-URL angeben. In diesem Fall muss die Dienstregel die IP-Zieladresse für den Datenverkehr neu schreiben. Die neue Zieladresse ist die Adresse des Remote-HTTP-Umleitungsservers. Der Remote-Server stellt dann eine Umleitungs-URL bereit, um den Datenverkehr an ein Captive Portal zu senden.
In der folgenden Konfiguration für einen lokalen Server enthält das dynamische Profil http-redir-converged beispielsweise die CPCD-Dienstregel redir-svc. Die Regel leitet den Datenverkehr an ein Captive Portal, http://www.portal.example.com. Die ursprüngliche, vom Abonnenten eingegebene URL wird an die Umleitungs-URL angehängt. Das CPCD-Dienstprofil redir-prof enthält die Regel und wird später von einem Dienstsatz auf eine Dienstschnittstelle angewendet.
user@host# edit dynamic-profiles http-redir-converged user@host# edit services captive-portal-content-delivery user@host# edit rule redir-svc user@host# set match-direction input user@host# set term redir1 then redirect http://www.portal.example.com/url=%dest-url%
In der folgenden Konfiguration für einen Remoteserver wird die CPCD-Dienstregel rewr-svc erstellt, die die ursprüngliche Zieladresse in die Adresse des Remoteservers 192.0.2.230 umschreibt.
user@host# edit dynamic-profiles http-redir-converged user@host# edit services captive-portal-content-delivery user@host# edit rule rewr-svc user@host# set match-direction input user@host# set term rewr1 then rewrite destination-address 192.0.2.230
Parametrisierung für die Umleitungs-URL konfigurieren
Optional können Sie die Umleitungs-URL und die Adresse des Umschreibungsziels parametrisieren, indem Sie benutzerdefinierte Variablen im dynamischen Profil angeben. Parametrisierung bedeutet, dass URL oder Adresse zu einer dynamischen Variablen wird. Der Wert wird von RADIUS bereitgestellt, wenn der Abonnent authentifiziert wird oder wenn ein CoA empfangen wird. Folglich können Sie die RADIUS-Attribute verwenden, um unterschiedliche URLs oder Zieladressen für verschiedene Abonnenten bereitzustellen.
Die folgende Konfiguration zeigt z. B. zwei benutzerdefinierte Variablen, redirect-url und rewrite-da, die extern bereitgestellte Werte erfordern, wenn sie instanziiert werden. Die CPCD-Dienstregel redir1 gibt an, dass Datenverkehr an $redirect-URL umgeleitet wird. Die CPCD-Dienstregel rewr1 gibt an, dass die Zieladresse für den Datenverkehr in $rewrite-da umgeschrieben wird.
user@host# edit dynamic-profiles http-redir-converged user@host# edit variables user@host# set redirect-url mandatory user@host# set rewrite-da mandatory user@host# edit services captive-portal-content-delivery user@host# edit rule redir-svc user@host# set match-direction input user@host# set term redir1 then redirect $redirect-url user@host# edit rule rewr-svc user@host# set match-direction input user@host# set term rewr1 then rewrite $rewrite-da
Konfigurieren des Service-Sets zum Verknüpfen des Service-Profils mit einer Service-Schnittstelle
Service-Sets definieren einen oder mehrere Services, die vom MS-MPC/MS-MIC oder von der MX-SPC3-Services-Karte ausgeführt werden sollen, wenn Sie Next Gen Services auf dem Router der MX-Serie aktiviert haben. Für HTTP-Umleitungsdienste definieren Sie ein CPCD-Dienstprofil, das CPCD-Regeln enthält. Das Service Set wendet das CPCD-Serviceprofil auf eine bestimmte Serviceschnittstelle an.
Mit der folgenden Konfiguration wird z. B. das CPCD-Dienstprofil redir-pran erstellt, das auf die CPCD-Regel redir-svc verweist. Das Service-Set cvgd ordnet das CPCD-Serviceprofil rewr-prof dem Service-Interface ms-2/0/0 zu.
[edit services captive-portal-content-delivery] user@host# edit profile redir-prof user@host# set cpcd-rules redir-svc user@host# set dynamic [edit services] user@host# edit service-set cvgd user@host# set captive-portal-content-delivery-profile redir-prof user@host# set interface-service service-interface ms-2/0/0
Anhängen eines CPCD-Service-Sets und eines Service-Filters an eine dynamische logische Schnittstelle
Um die HTTP-Umleitungsdienste verwenden zu können, müssen Sie die CPCD-Service-Gruppe an eine logische Schnittstelle anhängen. Da der Walled Garden als Dienstfilter konfiguriert ist, müssen Sie ihn an dieselbe Schnittstelle wie den Dienstsatz anfügen. Der Datenverkehr, der auf dieser Schnittstelle ein- und ausgeht, wird durch den Dienstfilter gefiltert. Datenverkehr, der für die Wartung identifiziert wurde, wird an die MS-MPC- oder MX-SPC3-Dienstschnittstelle gesendet, auf die das CPCD-Profil angewendet wird.
In diesem Verfahren werden nur Elemente der dynamischen Profilkonfiguration angezeigt, die für die Konfiguration konvergenter Dienste spezifisch sind. Das vollständige dynamische Profil hängt von Ihrem Anwendungsfall ab.
Mit der folgenden Konfiguration wird z. B. das dynamische Profil http-redir-converged erstellt. Sie spezifiziert vordefinierte Variablen zum Erstellen der dynamischen physischen und logischen Schnittstellen in der IPv4-Adressfamilie. Das Profil fügt den Dienstsatz cvgd und den Dienstfilter walled-v4 an die dynamische logische Schnittstelle an, wenn diese bei der Abonnentenanmeldung erstellt wird. Sowohl der Servicesatz als auch der Filter werden auf den Schnittstelleneingang und -ausgang angewendet.
user@host# edit dynamic-profiles http-redir-converged user@host# edit interfaces $junos-interface-ifd-name user@host# edit unit $junos-underlying-interface-unit user@host# edit family inet user@host# set service input service-set cvgd service-filter walled-v4 user@host# set service output service-set cvgd service-filter walled-v4
Installieren eines Servicepakets für den CPCD-Service
Um CPCD-Services auf einem MS-MPC/MS-MIC oder auf einer MX-SPC3-Services-Karte zu verwenden, wenn Sie USF auf dem Router der MX-Serie aktiviert haben, konfigurieren Sie eine Serviceschnittstelle auf dem MS-MIC oder MX-SPC3. Sie müssen die erforderlichen Servicepakete auf jedem MS-MIC installieren, das über eine Serviceschnittstelle verfügt, oder auf einem MX-SPC3.
Mit der folgenden Konfiguration werden z. B. das CPCD-Servicepaket und das Mobile Subscriber Services-Paket auf die MS-MPC in Chassis-Steckplatz 1 und das MS-MIC in Steckplatz 0 der MPC geladen. Systemprotokollmeldungen werden für jeden Daemon und für lokale externe Anwendungen in allen Schweregraden generiert.
user@host# edit chassis fpc 1 pic 0 adaptive-services service-package [edit chassis fpc 1 pic 0 adaptive-services service-package] user@host# set extension-provider package jservices-cpcd,jservices-mss [edit chassis fpc 1 pic 0 adaptive-services service-package] user@host# set extension-provider syslog daemon any user@host# set extension-provider syslog external any
Tabelle "Änderungshistorie"
Die Funktionsunterstützung hängt von der Plattform und der Version ab, die Sie verwenden. Verwenden Sie den Feature-Explorer , um festzustellen, ob ein Feature auf Ihrer Plattform unterstützt wird.