Zuordnen von Anwenderdomänen zu Zugriffs- und Sitzungsoptionen

So konfigurieren Sie eine Domänenzuordnung für die Verwaltung von Anwendern:

Die Abonnentenverwaltung unterstützt eine Platzhalterdomänenzuordnungsfunktion, mit der Sie eine Domänenzuordnung konfigurieren können, die auf einer teilweisen Platzhalterübereinstimmung basiert. Wenn es keine genaue Übereinstimmung zwischen dem Domänennamen des Anwenders und einer konfigurierten Domänenzuordnung gibt, sucht die Anwenderverwaltung als Nächstes nach einer teilweisen Übereinstimmung zwischen dem Domänennamen des Anwenders und einer Platzhalterdomänenzuordnung.

Um die Platzhalterdomänenzuordnung zu erstellen, fügen Sie das Sternchen ein, wenn Sie den Domänenzuordnungsnamen konfigurieren, domain map example*z. B. Sie können das Platzhalterzeichen an einer beliebigen Stelle in der Domänenzuordnung einfügen, und der Platzhalter kann null oder eine beliebige Anzahl von Zeichen darstellen. Das Sternchen ist das einzige unterstützte Platzhalterzeichen.

Die Konfigurationsanweisung domain map example*northern.com erstellt beispielsweise eine Platzhalterdomänenzuordnung, die eine teilweise Übereinstimmung für alle Domänennamen darstellt, die mit example beginnen und enden northern.com, z. B examplenorthern.com. , example-northern.comund example1234northern.com. Wenn Sie jedoch das Platzhalterzeichen im Domänenzuordnungsnamen nach domain map example-northern*.comverschieben, entsteht eine restriktivere Übereinstimmung, bei der die teilweise übereinstimmenden Domänennamen mit example-northernbeginnen müssen, z example-northern555.com . B. oder example-northern-alpha.com.

Die Platzhalterdomänenzuordnung ist auch nützlich, wenn die Anwenderverwaltung die Benutzernamen der Anwender von der DHCPv4-Agent-Remote-ID (Option 82, Unteroption 2) oder der DHCPv6-Remote-ID (Option 37) ableitet. In diesen Fällen hat der resultierende Benutzername das Format subscriberID|service-plan|accountID|unused; zum Beispiel EricSmith|premiumTier1|314159265|0000 (wobei das | Zeichen das Trennzeichen ist). In diesem Beispiel analysiert die Anwenderverwaltung den Benutzernamen von links nach rechts und identifiziert die Domäne des Anwenders als premiumTier1|314159265|0000. Um eine Platzhalterdomänenzuordnung zu erstellen, die für diesen Anwender verwendet wird, können domain map premiumTier1*Sie konfigurieren.

Im folgenden Beispiel wird beschrieben, wie vier Abonnenten verschiedenen Domänen zugeordnet werden.

In diesem Beispiel sind drei Domänenzuordnungen konfiguriert. die default Domänenzuordnung, eine Domänenzuordnung mit dem Namen example3000.com, und eine Platzhalterdomänenzuordnung mit dem Namen example*. Die Abonnenten werden wie in der folgenden Liste dargestellt zugeordnet:

• eric@example3000.com: Es gibt eine genaue Übereinstimmung in der Domänenzuordnung, sodass die Anwender der Domäne example3000.comzugeordnet wird.

• jack@example1001.com: Es gibt keine genaue Übereinstimmung, aber es gibt eine teilweise Übereinstimmung mit der Platzhalterdomäne, sodass die Anwender der Platzhalterdomäne example*zugeordnet wird.

• ginger@example-western.com: Es gibt keine genaue Übereinstimmung, aber es gibt eine teilweise Übereinstimmung mit der Platzhalterdomäne, sodass die Anwender auch der Platzhalterdomäne example*zugeordnet wird.

• sunshine@test.com: Es gibt keine genaue Übereinstimmung und auch keine teilweise Übereinstimmung mit der Platzhalterdomäne, sodass die Anwender der default Domäne zugeordnet wird.

So konfigurieren Sie eine Platzhalterdomänenzuordnung:

Mit Zugriffsprofilen geben Sie die Zugriffsregeln und -optionen (z. B. den RADIUS-Authentifizierungsserver und die Attribute) an, die der Router auf Anwender-Sitzungen anwendet. Mit der Domänenzuordnungsfunktion können Sie ein bestimmtes Zugriffsprofil für Abonnenten in einer bestimmten Domäne anwenden.

Zugriffsprofile können auf verschiedene Arten angegeben oder geändert werden. Wenn Konflikte auftreten, wendet der Router die Zugriffsprofile basierend auf den in Tabelle 2 aufgeführten Rangfolgeregeln an.

So fügen Sie ein Zugriffsprofil in eine Domänenzuordnung ein:

Sie können die Domänenzuordnungsfunktion verwenden, um den Adresspool anzugeben, den der Router zum Zuweisen von Adressen für Anwendersitzungen verwendet. Der Adresspool kann sowohl IPv4- als auch IPv6-Adressbereiche enthalten.

Adresspools können auf verschiedene Arten angegeben oder geändert werden. Wenn Konflikte auftreten, wendet der Router den Adresspool basierend auf den in Tabelle 3 gezeigten Rangfolgeregeln an.

So geben Sie den für eine Domänenzuordnung verwendeten Adresspool an:

Ein dynamisches Profil definiert die Reihe von Merkmalen, die dynamischen Zugriff und Services für Anwender-Sitzungen bereitstellen (z. B. Class-of-Service, Protokolle und Schnittstellenunterstützung). Mit der Domänenzuordnungsfunktion können Sie ein bestimmtes dynamisches Profil basierend auf Anwenderdomänen anwenden.

Dynamische Profile werden in der [edit dynamic-profiles] Hierarchie konfiguriert und können auf verschiedene Weise angegeben oder geändert werden. Wenn Konflikte auftreten, wendet der Router die dynamischen Profile basierend auf den in Tabelle 4 aufgeführten Rangfolgeregeln an.

So fügen Sie ein dynamisches Profil in eine Domain-Map ein:

Standardmäßig verwendet eine Domänenzuordnung das logische System/die Routing-Instanz des Anwenders als Kontext, in dem der authd Daemon AAA-Authentifizierungs- und Kontoführungsanforderungen sendet. Sie können die Domänenzuordnung optional so konfigurieren, dass AAA-Anforderungen basierend auf dem Domänennamen des Anwenders an einen bestimmten Kontext weitergeleitet werden. Durch die Angabe eines nicht standardmäßigen AAA-Kontexts können Sie den Workflow und die Datenverkehrslast verwalten und effizient Änderungen für eine große Anzahl von Abonnenten vornehmen. Beispielsweise können Sie nach dem Upgrade Ihrer RADIUS-Services eine Domänenzuordnung konfigurieren, um anzugeben, dass alle Abonnenten in der Domäne example.com jetzt von einem RADIUS-Server in einem bestimmten AAA-Kontext authentifiziert werden.

So konfigurieren Sie den logischen System-/Routing-Instanzkontext, der für AAA-Anforderungen verwendet wird:

Standardmäßig platziert der Router einen Anwender im logischen System-/Routing-Instanzkontext der Schnittstelle, auf der die Anwender-Verhandlungen beginnen. Sie können später die Routinginstanz des Kontexts des Anwenders ändern, indem Sie entweder eine Domänenzuordnung oder den RADIUS-Authentifizierungsserver verwenden.

Die Abonnentenverwaltung wird nur im logischen Standardsystem unterstützt, Sie können die Domänenzuordnung jedoch für die Verwendung einer nicht standardmäßigen Routinginstanz konfigurieren. Wenn bereits eine nicht standardmäßige Routing-Instance konfiguriert ist, können Sie die Domänenzuordnung so konfigurieren, dass die Standard-Routing-Instance verwendet wird.

So konfigurieren Sie den logischen System-/Routing-Instanzkontext, der für die Schnittstelle eines Anwenders verwendet wird:

Tunnelprofile spezifizieren Tunnel-Definitionen (z. B. eine Reihe von L2TP-Tunneln und deren Attribute), die der Router auf Anwender-Sitzungen anwendet. Mit der Domänenzuordnungsfunktion können Sie ein bestimmtes Tunnelprofil auf Abonnenten in einer bestimmten Domäne anwenden.

So fügen Sie ein Tunnel-Profil in eine Domänenzuordnung ein:

Tunnel-Switch-Profile bestimmen, ob Pakete in einer L2TP-Anwender-Sitzung aus einer LAC zu einer anderen Sitzung mit einem anderen Ziel-LNS gewechselt werden. Das Tunnel-Switch-Profil kann auch angeben, wie bestimmte L2TP-AVPs behandelt werden, wenn die Pakete in einen zweiten Tunnel umgeschaltet werden. Mit der Domänenzuordnungsfunktion können Sie ein bestimmtes Tunnel-Switch-Profil auf Abonnenten in einer bestimmten Domäne anwenden.

So schließen Sie ein Tunnel-Switch-Profil in eine Domänenzuordnung ein:

Sie können konfigurieren, wie der Router die Domänennamen bestimmt, die für die Domänenzuordnungsfunktion verwendet werden. Auf globaler Ebene können Sie Regeln angeben, die für Domänenzuordnungen verwendet werden. Mit den globalen Regeln können Sie zusätzliche Zeichen angeben, die der Router als Trennzeichen für Domänen- oder Bereichsnamen erkennen kann, sowie die Richtung angeben, die der Router zum Analysieren von Domänen- oder Bereichsnamen verwendet. Der Zweck der Analyse eines Domänen- oder Bereichnamens besteht darin, einen einzelnen, eindeutigen Namen zu identifizieren, den der Router als Domänennamen des Anwender verwendet, unabhängig davon, ob die Quelle des Namens im typischen Domänennamenformat (joseph@example.com) oder im Bereichsnamenformat (example.com\marilyn) vorliegt. Der Router verwendet den resultierenden Domänennamen für Vorgänge wie die Suche und Verarbeitung von Domänenzuordnungen. Auf Domänenzuordnungsebene können Sie auch das Entfernen von Domänennamen aktivieren. Das Entfernen von Domänennamen gibt an, dass der Router den analysierten Domänen- oder Bereichsnamen aus dem Benutzernamen des Anwenders entfernt, bevor eine zusätzliche Verarbeitung für die Domänenzuordnung durchgeführt wird.

So konfigurieren Sie Regeln für die Verwendung von Domänennamen für Domänenzuordnungen:

Ein Trennzeichen ist das Zeichen, das den Benutzernamen eines Anwenders vom Domänen- oder Bereichsnamen trennt. Trennzeichen werden häufig für das Parsen von Domänen- oder Bereichsnamen oder das Entfernen von Domänennamen verwendet. Sie können maximal acht Trennzeichen angeben, die der Router verwendet, um Domänen- oder Bereichsnamen für eine Domänenzuordnung zu erkennen. Wenn Sie keine Trennzeichen konfigurieren, verwendet der Router standardmäßig das @ Zeichen für Domänennamen. Es gibt kein Standardtrennzeichen für Bereichsnamen.

Ihr Netzwerk könnte zum Beispiel die Abonnenten bob@test.com, pete!example.comund test.net\mariaenthalten. In diesem Fall konfigurieren Sie den Router so, dass er die Zeichen @ und ! als Trennzeichen für Domänennamen und das \ Zeichen als Trennzeichen für Bereichsnamen erkennt.

Beachten Sie beim Angeben von Trennzeichen die folgenden Richtlinien:

• Sie können das Semikolon (;) nicht als Trennzeichen verwenden.

• Wenn Sie optionale Trennzeichen für Domänennamen konfigurieren, müssen Sie auch das @ Zeichen (das Standardtrennzeichen) angeben, wenn Sie es weiterhin als Trennzeichen verwenden möchten.

• Wenn Sie optionale Trennzeichen für Domänennamen konfigurieren und dann die Konfiguration aufheben, setzt der Router das Trennzeichen für die Domänenzuordnung auf das Standardzeichen @ zurück.

So konfigurieren Sie Domänen- und Bereichsnamentrennzeichen für Domänenzuordnungen:

Die Router analysiert den Benutzernamen oder den Bereichsnamen, um einen einzelnen, eindeutigen Namen zu identifizieren, den der Router als Domänennamen des Anwender verwendet, unabhängig davon, ob die Quelle des Namens im typischen Domänennamenformat (joseph@example.com) oder im Bereichsnamenformat (example.com\marilyn) vorliegt. Sie können angeben, ob der Router zuerst den Benutzernamen des Anwenders nach einem Domänennamen oder nach einem Bereichsnamen durchsuchen soll. Wenn der Router den angegebenen Namen nicht findet (z. B. wenn Sie realm-first angeben und der Benutzername keinen Bereichsnamen enthält), sucht der Router nach dem zweiten Namenstyp (in diesem Fall Domänenname). Wenn der Router weder einen Bereichsnamen noch einen Domänennamen findet, gibt es keine Domäne, die für Domänenzuordnungsvorgänge verwendet werden kann.

So konfigurieren Sie die Richtung für die Analyse von Domänennamen für Domänenzuordnungen:

Sie können die Richtung angeben, in der der Router den Analysevorgang ausführt, mit dem er Domänen- oder Realmnamen von Anwendern für Domänenzuordnungen identifiziert. Während des Analysevorgangs durchsucht der Router den Benutzernamen, bis er ein Trennzeichen erkennt. Anschließend wird alles rechts vom Trennzeichen als Domäne betrachtet. Standardmäßig analysiert der Router von rechts nach links, beginnend mit dem Zeichen ganz rechts im Benutzernamen.

Der Router verwendet den Domänennamen eines Anwenders, um Domänenzuordnungssuch- und Verarbeitungsvorgänge durchzuführen. Sie können konfigurieren, wie der Router einen eindeutigen Domänennamen identifiziert, wenn der Name des Benutzers in einem herkömmlichen Domänennamenformat oder als Bereichsname dargestellt wird. Im herkömmlichen Domainnamenformat folgt auf den Namen des Benutzers der Domainname. zum Beispiel joe@example.com. Im Bereichsnamenformat wird dem Namen des Benutzers der Domänenname vorangestellt, der als Bereichsname bezeichnet wird. Beispiel: example.com@Joe. Der Zweck der Analyse eines Domänen- oder Bereichsnamens besteht darin, einen einzelnen Namen zu identifizieren, den der Router als Domänennamen des Anwenders verwendet, unabhängig davon, ob die Quelle des Namens der ursprüngliche Domänenname oder der Bereichsname des Benutzers ist. Der Router verwendet den resultierenden Domänennamen für Vorgänge wie die Suche und Verarbeitung von Domänenzuordnungen. Auf Domänenzuordnungsebene können Sie auch das Entfernen von Domänennamen aktivieren.

Die von Ihnen verwendete Domänenanalyserichtung ist wichtig, wenn verschachtelte Domänennamen vorhanden sind. Für den Benutzernamen user1@test.com@example.comerzeugt die Analyse von rechts nach links beispielsweise den Domänennamen .example.com Für denselben Benutzernamen ergibt die Analyse von links nach rechts den Domänennamen .test.com@example.com

So konfigurieren Sie die Richtung für die Analyse von Domänennamen für Domänenzuordnungen:

Sie können den Router so konfigurieren, dass der Domänenname aus Benutzernamen entfernt wird, bevor AAA-Dienste verwendet werden. Das Entfernen von Domainnamen wird für Domänenkarten durchgeführt. Der Router verwendet die Trennzeichen und die Analyserichtung, die Sie global konfigurieren, um den entfernten Domänennamen zu bestimmen. Wenn der Router beispielsweise das Standardtrennzeichen und die Analyserichtung right-to-leftverwendet, wird der Benutzername user1@example.com auf user1.

So konfigurieren Sie den Router so, dass der Domänenname aus Benutzernamen in einer Domänenzuordnung entfernt wird:

Für einige Anwendungsszenarien möchten Sie möglicherweise L2TP LAC Anwender Benutzernamen Bereitstellung und Kennwörter aus dem Router Gehäuse Authentifizierung. Sie können den Benutzerteil des Benutzernamens entfernen und das Benutzerkennwort überschreiben.

Sie können konfigurieren, wie der Router den zu entfernenden Benutzerteil identifiziert, wenn der Benutzername entweder im herkömmlichen Domänennamenformat oder im Realmnamenformat angezeigt wird. Im herkömmlichen Domainnamenformat folgt auf den Namen des Benutzers der Domainname. zum Beispiel joe@example.com. Im Bereichsnamenformat wird dem Namen des Benutzers der Domänenname vorangestellt, der als Bereichsname bezeichnet wird. Beispiel: example.com@Joe.

Sie können die Richtung angeben, in die der Router den Analysevorgang ausführt, mit dem er den Benutzerteil des Benutzernamens identifiziert. Während des Analysevorgangs durchsucht der Router den Benutzernamen, bis er ein Trennzeichen erkennt. Standardmäßig analysiert der Router von links nach rechts, beginnend mit dem Zeichen ganz links im Benutzernamen. Alles links vom Trennzeichen ist der Benutzerteil. Diese Richtung funktioniert für das traditionelle Domainnamenformat. Mit dieser Konfiguration identifiziert der Router joe und entfernt ihn aus joe@example.com.

Für Benutzernamen im Realmnamenformat müssen Sie die Analyserichtung in right-to-leftändern. Der Router analysiert von rechts nach links, beginnend mit dem Zeichen ganz rechts im Benutzernamen. Wenn der Router das Trennzeichen erkennt, betrachtet er alles rechts vom Trennzeichen als Benutzerteil. Mit dieser Konfiguration identifiziert der Router joe und entfernt ihn von example.com@joe.

So konfigurieren Sie den Benutzerteil so, dass er aus dem Benutzernamen für alle Benutzernamen entfernt wird, die einer Domänenzuordnung zugeordnet sind:

Geben Sie die Analyserichtung an, die der Router verwenden soll:

• Verwenden Sie diese Option left-to-right , wenn der Benutzername im typischen Domänennamenformat vorliegt, in dem der Domänenname auf den Namen des Benutzers folgt.

• Wird verwendet right-to-left , wenn der Benutzername im Realmnamenformat vorliegt, in dem der Realmname dem Namen des Benutzers vorangestellt ist.

Sie können ein neues Kennwort angeben, um das vorhandene Kennwort für die Authentifizierung eines Anwenders außer Kraft zu setzen, der der Domänenzuordnung zugeordnet ist. So überschreiben Sie das Passwort:

• Geben Sie das Überschreibungskennwort für die PAP-Authentifizierung an.

• Geben Sie das Überschreibungskennwort für die CHAP-Authentifizierung an.