Zuordnen von Anwenderdomänen zu Zugriffs- und Sitzungsoptionen

So konfigurieren Sie eine Domänenzuordnung für die Abonnentenverwaltung:

Die Abonnentenverwaltung unterstützt eine Funktion für die Platzhalterdomänenzuordnung, mit der Sie eine Domänenzuordnung konfigurieren können, die auf einer partiellen Platzhalterübereinstimmung basiert. Wenn es keine genaue Übereinstimmung zwischen dem Domänennamen des Abonnenten und einer konfigurierten Domänenzuordnung gibt, sucht die Abonnentenverwaltung als Nächstes nach einer teilweisen Übereinstimmung zwischen dem Domänennamen des Abonnenten und einer Platzhalterdomänenzuordnung.

Um die Platzhalter-Domänenzuordnung zu erstellen, fügen Sie das Sternchen-Platzhalterzeichen ein, wenn Sie den Domänenzuordnungsnamen konfigurieren, domain map example*z. B. . Sie können das Platzhalterzeichen an einer beliebigen Stelle in der Domänenzuordnung einfügen, und der Platzhalter kann null oder eine beliebige Anzahl von Zeichen darstellen. Das Sternchen ist das einzige unterstützte Platzhalterzeichen.

Die Konfigurationsanweisung domain map example*northern.com erstellt z. B. eine Platzhalterdomänenzuordnung, die eine Teilübereinstimmung für alle Domänennamen ist, die mit example beginnen, und enden mit northern.com, z. B examplenorthern.com. , example-northern.comund example1234northern.com. Wenn Sie jedoch das Platzhalterzeichen im Domänenzuordnungsnamen nach domain map example-northern*.comverschieben, wird eine restriktivere Übereinstimmung erstellt, bei der die teilweise übereinstimmenden Domänennamen mit example-northernbeginnen müssen, z. B example-northern555.com . oder example-northern-alpha.com.

Die Platzhalterdomänenzuordnung ist auch nützlich, wenn die Teilnehmerverwaltung Benutzernamen des Abonnenten von der Remote-ID des DHCPv4-Agenten (Option 82, Unteroption 2) oder der DHCPv6-Remote-ID (Option 37) ableitet. In diesen Fällen hat der resultierende Benutzername das Format subscriberID|service-plan|accountID|unused; z. B EricSmith|premiumTier1|314159265|0000 . (wobei das | Zeichen das Trennzeichen ist). In diesem Beispiel analysiert die Abonnentenverwaltung den Benutzernamen von links nach rechts und identifiziert die Domäne des Abonnenten als premiumTier1|314159265|0000. Um eine Platzhalterdomänenzuordnung zu erstellen, die für diesen Abonnenten verwendet wird, können domain map premiumTier1*Sie konfigurieren.

Im folgenden Beispiel wird beschrieben, wie vier Abonnenten verschiedenen Domänen zugeordnet werden.

Für dieses Beispiel sind drei Domänenzuordnungen konfiguriert. die default Domänenzuordnung, eine Domänenzuordnung mit dem Namen example3000.comund eine Platzhalterdomänenzuordnung mit dem Namen example*. Die Abonnenten werden wie in der folgenden Liste dargestellt zugeordnet:

• eric@example3000.com: Es gibt eine genaue Übereinstimmung mit der Domänenzuordnung, sodass der Abonnent der Domäne example3000.comzugeordnet ist.

• jack@example1001.com: Es gibt keine genaue Übereinstimmung, aber es gibt eine teilweise Übereinstimmung mit der Platzhalterdomäne, sodass der Abonnent der Platzhalterdomäne example*zugeordnet wird.

• ginger@example-western.com: Es gibt keine genaue Übereinstimmung, aber es gibt eine teilweise Übereinstimmung mit der Platzhalterdomäne, sodass der Abonnent auch der Platzhalterdomäne example*zugeordnet wird.

• sunshine@test.com: Es gibt weder eine genaue Übereinstimmung noch eine teilweise Übereinstimmung mit der Platzhalterdomäne, sodass der Abonnent der default Domäne zugeordnet wird.

So konfigurieren Sie eine Platzhalterdomänenzuordnung:

Sie verwenden Zugriffsprofile, um die Zugriffsregeln und -optionen (z. B. den RADIUS-Authentifizierungsserver und die Attribute) anzugeben, die der Router auf Abonnentensitzungen anwendet. Mit der Funktion "Domänenzuordnung" können Sie ein bestimmtes Zugriffsprofil für Abonnenten in einer bestimmten Domäne anwenden.

Zugriffsprofile können auf verschiedene Weise spezifiziert oder geändert werden. Wenn Konflikte auftreten, wendet der Router die Zugriffsprofile basierend auf den in Tabelle 2 aufgeführten Prioritätsregeln an.

So fügen Sie ein Zugriffsprofil in eine Domänenzuordnung ein:

Mit der Funktion "Domänenzuordnung" können Sie den Adresspool angeben, den der Router zum Zuweisen von Adressen für Abonnentensitzungen verwendet. Der Adresspool kann sowohl IPv4- als auch IPv6-Adressbereiche umfassen.

Adresspools können auf verschiedene Weise angegeben oder geändert werden. Wenn Konflikte auftreten, wendet der Router den Adresspool auf der Grundlage der in Tabelle 3 aufgeführten Prioritätsregeln an.

So geben Sie den Adresspool an, der für eine Domänenzuordnung verwendet wird:

Ein dynamisches Profil definiert die Reihe von Merkmalen, die dynamischen Zugriff und Dienste für Anwendersitzungen bereitstellen (z. B. Class-of-Service, Protokolle und Schnittstellenunterstützung). Mit der Funktion "Domänenzuordnung" können Sie ein bestimmtes dynamisches Profil basierend auf Abonnentendomänen anwenden.

Dynamische Profile werden in der [edit dynamic-profiles] Hierarchie konfiguriert und können auf verschiedene Weise angegeben oder geändert werden. Wenn Konflikte auftreten, wendet der Router die dynamischen Profile basierend auf den in Tabelle 4 aufgeführten Rangfolgeregeln an.

So schließen Sie ein dynamisches Profil in eine Domänenzuordnung ein:

Standardmäßig verwendet eine Domänenzuordnung das logische System/die Routing-Instanz des Abonnenten als Kontext, in dem der authd Daemon AAA-Authentifizierungs- und Kontoführungsanforderungen sendet. Optional können Sie die Domänenzuordnung so konfigurieren, dass AAA-Anforderungen basierend auf dem Domänennamen des Abonnenten an einen bestimmten Kontext weitergeleitet werden. Durch die Angabe eines nicht standardmäßigen AAA-Kontexts können Sie den Workflow und die Datenverkehrslast verwalten und Änderungen effizient für eine große Anzahl von Abonnenten vornehmen. Nach dem Upgrade Ihrer RADIUS-Services können Sie z. B. eine Domänenzuordnung konfigurieren, um anzugeben, dass alle Abonnenten in der Domäne example.com jetzt von einem RADIUS-Server in einem bestimmten AAA-Kontext authentifiziert werden.

So konfigurieren Sie den logischen System-/Routing-Instanzkontext, der für AAA-Anforderungen verwendet wird:

Standardmäßig platziert der Router einen Teilnehmer im logischen System-/Routinginstanzkontext der Schnittstelle, auf der die Teilnehmerverhandlungen beginnen. Sie können später die Routinginstanz des Abonnentenkontexts mithilfe einer Domänenzuordnung oder des RADIUS-Authentifizierungsservers ändern.

Die Abonnentenverwaltung wird nur im logischen Standardsystem unterstützt, Sie können die Domänenzuordnung jedoch so konfigurieren, dass eine nicht standardmäßige Routinginstanz verwendet wird. Wenn bereits eine nicht standardmäßige Routinginstanz konfiguriert ist, können Sie die Domänenzuordnung so konfigurieren, dass die Standardroutinginstanz verwendet wird.

So konfigurieren Sie den logischen System-/Routing-Instanzkontext, der für die Schnittstelle eines Abonnenten verwendet wird:

Tunnelprofile geben Tunneldefinitionen an (z. B. eine Reihe von L2TP-Tunneln und deren Attribute), die der Router auf Abonnentensitzungen anwendet. Mit der Funktion "Domänenzuordnung" können Sie ein bestimmtes Tunnelprofil auf Abonnenten in einer bestimmten Domäne anwenden.

So schließen Sie ein Tunnelprofil in eine Domänenzuordnung ein:

Tunnel-Switch-Profile bestimmen, ob Pakete in einer L2TP-Teilnehmersitzung von einer LAC zu einer anderen Sitzung mit einem anderen Ziel-LNS geswitcht werden. Das Tunnel-Switch-Profil kann auch angeben, wie bestimmte L2TP-AVPs behandelt werden, wenn die Pakete in einen zweiten Tunnel geswitcht werden. Mit der Domänenzuordnungsfunktion können Sie ein bestimmtes Tunnel-Switch-Profil auf Abonnenten in einer bestimmten Domäne anwenden.

So schließen Sie ein Tunnel-Switch-Profil in eine Domänenzuordnung ein:

Sie können konfigurieren, wie der Router die Domänennamen bestimmt, die für die Domänenzuordnungsfunktion verwendet werden. Auf globaler Ebene können Sie Regeln angeben, die für Domänenzuordnungen verwendet werden. Mit den globalen Regeln können Sie zusätzliche Zeichen angeben, die der Router als Domänen- oder Bereichsnamentrennzeichen erkennen kann, und die Richtung angeben, die der Router zum Analysieren von Domänen- oder Bereichsnamen verwendet. Der Zweck der Analyse eines Domänen- oder Bereichsnamens besteht darin, einen einzelnen, eindeutigen Namen zu identifizieren, den der Router als Domänennamen des Abonnenten verwendet, unabhängig davon, ob die Quelle des Namens im typischen Domänennamenformat (joseph@example.com) oder im Bereichsnamenformat (example.com\marilyn) vorliegt. Der Router verwendet den resultierenden Domänennamen für Vorgänge wie die Suche und Verarbeitung von Domänenzuordnungen. Auf der Ebene der Domänenzuordnung können Sie auch das Entfernen von Domänennamen aktivieren. Das Entfernen von Domänennamen gibt an, dass der Router die analysierte Domäne oder den geparsten Bereichsnamen aus dem Benutzernamen des Abonnenten entfernt, bevor eine weitere Verarbeitung für die Domänenzuordnung durchgeführt wird.

So konfigurieren Sie die Verwendungsregeln für Domänennamen für Domänenzuordnungen:

Ein Trennzeichen ist das Zeichen, das den Benutzernamen eines Abonnenten vom Domänen- oder Bereichsnamen trennt. Trennzeichen werden häufig für die Analyse von Domänen- oder Bereichsnamen oder das Entfernen von Domänennamen verwendet. Sie können maximal acht Trennzeichen angeben, die der Router verwendet, um Domänen- oder Bereichsnamen für eine Domänenzuordnung zu erkennen. Wenn Sie keine Trennzeichen konfigurieren, verwendet der Router das @ Zeichen standardmäßig für Domänennamen. Es gibt kein Standardtrennzeichen für Bereichsnamen.

Ihr Netzwerk könnte z. B. die Abonnenten bob@test.compete!example.com, und test.net\mariaenthalten. In diesem Fall würden Sie den Router so konfigurieren, dass er die Zeichen @ ! und als Domänennamentrennzeichen und das \ Zeichen als Bereichsnamentrennzeichen erkennt.

Beachten Sie beim Angeben von Trennzeichen die folgenden Richtlinien:

• Sie können das Semikolon (;) nicht als Trennzeichen verwenden.

• Wenn Sie optionale Trennzeichen für Domänennamen konfigurieren, müssen Sie auch das @ Zeichen (das Standardtrennzeichen) angeben, wenn Sie es weiterhin als Trennzeichen verwenden möchten.

• Wenn Sie optionale Domänennamentrennzeichen konfigurieren und deren Konfiguration dann wieder aufheben, setzt der Router das Domänenzuordnungstrennzeichen auf das Standardzeichen @ zurück.

So konfigurieren Sie Domänen- und Bereichsnamentrennzeichen für Domänenzuordnungen:

Der Router analysiert den Benutzernamen, die Domäne oder den Bereichsnamen, um einen einzelnen, eindeutigen Namen zu identifizieren, den der Router als Domänennamen des Abonnenten verwendet, unabhängig davon, ob die Quelle des Namens im typischen Domänennamenformat (joseph@example.com) oder im Bereichsnamenformat (example.com\Marilyn) vorliegt. Sie können festlegen, ob der Router zuerst den Benutzernamen des Abonnenten nach einem Domänennamen oder nach einem Bereichsnamen durchsucht. Wenn der Router den angegebenen Namen nicht findet (z. B. wenn Sie angeben realm-first und der Benutzername keinen Bereichsnamen enthält), sucht der Router nach dem zweiten Namenstyp (in diesem Fall Domänenname). Wenn der Router weder einen Bereichsnamen noch einen Domänennamen findet, gibt es keine Domäne, die für Domänenzuordnungsvorgänge verwendet werden kann.

So konfigurieren Sie die Richtung für die Analyse von Domänennamen für Domänenzuordnungen:

Sie können die Richtung angeben, in der der Router den Analysevorgang ausführt, den er zum Identifizieren von Anwenderdomänen oder Bereichsnamen für Domänenzuordnungen verwendet. Während des Analysevorgangs durchsucht der Router den Benutzernamen, bis er ein Trennzeichen erkennt. Dann wird alles, was rechts vom Trennzeichen liegt, als Domäne betrachtet. Standardmäßig analysiert der Router von rechts nach links, beginnend mit dem Zeichen ganz rechts im Benutzernamen.

Der Router verwendet den Domänennamen eines Teilnehmers, um Domänenzuordnungs-Such- und Verarbeitungsvorgänge durchzuführen. Sie können konfigurieren, wie der Router einen eindeutigen Domänennamen identifiziert, wenn der Name des Benutzers in einem herkömmlichen Domänennamenformat oder als Bereichsname angezeigt wird. Im traditionellen Format des Domänennamens folgt auf den Namen des Benutzers der Domänenname. Beispiel: joe@example.com. Im Bereichsnamenformat wird dem Namen des Benutzers der Domänenname vorangestellt, der als Bereichsname bezeichnet wird. Beispiel: example.com@joe. Der Zweck der Analyse eines Domänen- oder Bereichsnamens besteht darin, einen einzelnen Namen zu identifizieren, den der Router als Domänennamen des Abonnenten verwendet, unabhängig davon, ob die Quelle des Namens der ursprüngliche Domänenname oder der Bereichsname des Benutzers ist. Der Router verwendet den resultierenden Domänennamen für Vorgänge wie die Suche und Verarbeitung von Domänenzuordnungen. Auf der Ebene der Domänenzuordnung können Sie auch das Entfernen von Domänennamen aktivieren.

Die von Ihnen verwendete Richtung der Domänenanalyse ist wichtig, wenn verschachtelte Domänennamen vorhanden sind. Für den Benutzernamen user1@test.com@example.comergibt die Rechts-nach-links-Analyse z. B. den Domänennamen .example.com Für denselben Benutzernamen ergibt die Analyse von links nach rechts den Domänennamen .test.com@example.com

So konfigurieren Sie die Richtung für die Analyse von Domänennamen für Domänenzuordnungen:

Sie können den Router so konfigurieren, dass der Domänenname aus den Benutzernamen entfernt wird, bevor AAA-Dienste verwendet werden. Das Entfernen von Domänennamen wird für Domänenzuordnungen durchgeführt. Der Router verwendet die Trennzeichen und die Analyserichtung, die Sie global konfigurieren, um den Domänennamen zu bestimmen, der entfernt wird. Wenn der Router z. B. das Standardtrennzeichen und die Analyserichtung right-to-leftverwendet, wird der Benutzername user1@example.com auf .user1

So konfigurieren Sie den Router so, dass der Domänenname aus Benutzernamen in einer Domänenzuordnung entfernt wird:

Für einige Anwendungsszenarien empfiehlt es sich, Benutzernamen für L2TP LAC-Teilnehmer und Authentifizierungskennwörter außerhalb des Routergehäuses bereitzustellen. Sie können den Benutzerteil des Benutzernamens entfernen und das Benutzerkennwort überschreiben.

Sie können konfigurieren, wie der Router den zu entfernenden Benutzerteil identifiziert, wenn der Benutzername entweder im traditionellen Domänennamenformat oder im Bereichsnamenformat angezeigt wird. Im traditionellen Format des Domänennamens folgt auf den Namen des Benutzers der Domänenname. Beispiel: joe@example.com. Im Bereichsnamenformat wird dem Namen des Benutzers der Domänenname vorangestellt, der als Bereichsname bezeichnet wird. Beispiel: example.com@joe.

Sie können die Richtung angeben, in der der Router den Analysevorgang ausführt, den er zur Identifizierung des Benutzeranteils des Benutzernamens verwendet. Während des Analysevorgangs durchsucht der Router den Benutzernamen, bis er ein Trennzeichen erkennt. Standardmäßig analysiert der Router von links nach rechts, beginnend mit dem Zeichen ganz links im Benutzernamen. Alles, was sich links vom Trennzeichen befindet, ist der Benutzerbereich. Diese Richtung funktioniert für das traditionelle Domainnamenformat. Bei dieser Konfiguration identifiziert der Router Joe und entfernt ihn von joe@example.com.

Für Benutzernamen im Bereichsnamenformat müssen Sie die Analyserichtung in right-to-leftändern. Der Router analysiert von rechts nach links, beginnend mit dem Zeichen ganz rechts im Benutzernamen. Wenn der Router das Trennzeichen erkennt, betrachtet er alles, was sich rechts vom Trennzeichen befindet, als Benutzeranteil. Bei dieser Konfiguration identifiziert der Router Joe und entfernt ihn von example.com@joe.

So konfigurieren Sie den Benutzeranteil, der aus dem Benutzernamen für alle Benutzernamen entfernt werden soll, die einer Domänenzuordnung zugeordnet sind:

Geben Sie die Analyserichtung an, die der Router verwenden soll:

• Verwenden Sie diese Option left-to-right , wenn der Benutzername im typischen Domänennamenformat vorliegt, bei dem der Domänenname auf den Namen des Benutzers folgt.

• Verwenden Sie diese Option right-to-left , wenn der Benutzername im Format "Bereichsname" vorliegt, in dem der Bereichsname vor dem Namen des Benutzers steht.

Sie können ein neues Kennwort angeben, um das vorhandene Kennwort für die Authentifizierung aller Abonnenten zu überschreiben, die der Domänenzuordnung zugeordnet sind. So überschreiben Sie das Kennwort:

• Geben Sie das Außerkraftsetzungskennwort für die PAP-Authentifizierung an.

• Geben Sie das Außerkraftsetzungskennwort für die CHAP-Authentifizierung an.