Dual-Stack-Zugriffsmodelle in einem DHCP-Netzwerk

Abbildung 1 zeigt einen Dual-Stack-Schnittstellen-Stack in einem DHCP-Zugriffsnetzwerk. Die IPv4-Familie (inet) und die IPv6-Familie (inet6) können sich auf derselben VLAN-Schnittstelle befinden.

Abbildung 1: Dual-Stack-Schnittstellen-Stack über ein DHCP-Zugriffsnetzwerk

Sie können das AAA Service Framework für alle Authentifizierungs-, Autorisierungs-, Abrechnungs-, Adresszuweisungs- und dynamischen Anforderungsservices verwenden, die die BNG für den Netzwerkzugriff verwendet. Das Framework unterstützt die Authentifizierung und Autorisierung über externe RADIUS-Server. Darüber hinaus unterstützt er Abrechnungs- und dynamische Autorisierungsänderungsvorgänge (Change of Authorization, CoA) und Trennungsvorgänge über externe Server sowie die Adresszuweisung über eine Kombination aus lokalen Adresszuweisungspools und RADIUS-Servern.

Die BNG interagiert mit externen Servern, um zu bestimmen, wie einzelne Teilnehmer auf das Breitbandnetz zugreifen. Die BNG kann auch Informationen von externen Servern für Folgendes erhalten:

• Wie Abonnenten authentifiziert werden.

• Wie Buchhaltungsstatistiken gesammelt und verwendet werden.

• Wie dynamische Anfragen, wie z. B. CoA, behandelt werden.

Wie in Abbildung 2, einer Implementierung von Dual Stack über ein DHCP-Zugriffsnetzwerk, dargestellt, gibt es separate AAA-Sitzungen für IPv4- und IPv6-Authentifizierung und -Accounting.

Abbildung 2: AAA Service Framework in einem Dual Stack über ein DHCP-Zugangsnetzwerk

• Erfassung von Abrechnungsstatistiken in einem DHCP-Zugangsnetzwerk
• Änderung der Autorisierung (CoA)

Abbildung 3 zeigt einen Dual-Stack-Schnittstellen-Stack in einem DHCP-Großhandels-Netzwerk. In diesem Szenario werden die IPv4- und IPv6-Demux-Schnittstellen auf derselben VLAN-Schnittstelle konfiguriert. Die demux-Schnittstellen werden in einer separaten logischen System-:Routing-Instanz konfiguriert.

Abbildung 3: Dual-Stack-Schnittstellen-Stack in einem DHCP-Großhandelsnetzwerk

Beim Dual-Stack über ein dynamisches VLAN erfordert der Single-Session-Dual-Stack nur eine einzige Sitzung für die Authentifizierung, im Gegensatz zu den drei Sitzungen, die für die herkömmliche Dual-Stack-Konfiguration erforderlich sind. Die Buchhaltungsunterstützung für den Dual-Stack verwendet ebenfalls eine einzige Sitzung. Die Einzelsitzungsfunktion reduziert nicht nur die Anzahl der erforderlichen Sitzungen, sondern vereinfacht auch die Konfiguration des Routers, reduziert die Last von RADIUS-Nachrichten und verbessert die Leistung von Buchhaltungssitzungen für Haushalte mit Dual-Stack-Umgebungen.

In der Dual-Stack-Umgebung mit einer Sitzung löst die erste DHCP-Sitzung, die aushandelt, die dynamische VLAN-Erstellung aus (falls erforderlich) und wird von der DHCP-Anwendung autorisiert. Der zweite Teil des Dual-Stacks wird zurückgestellt, bis der Autorisierungspunkt abgeschlossen ist. Wenn der zweite Teil des Dual Stacks eingerichtet ist, erbt der DHCP-Client alle allgemeinen Datenbankwerte des Anwenders, z. B. Circuit-ID, Remote-ID, Benutzername und Schnittstellenname aus dem ersten Abschnitt.

In Abbildung 4 wird eine Sitzung mit einem einzelnen Anwender für einen Dual-Stack-Benutzer eingerichtet.

Abbildung 4: DHCP Dual Stack Single-Session-Subscriber-Bereitstellungsmodell

Sie können Einzelsitzungs-Dual-Stack-Anwendereinstellungen für DHCP-Relay-Agent und lokalen DHCP-Server konfigurieren. Sie verwenden die dual-stack-group Anweisung, um eine benannte Gruppe zu erstellen, die die Werte für Dual-Stack-Abonnenten angibt. Anschließend verwenden Sie die dual-stack Anweisung, um den Namen der Dual-Stack-Gruppe anzugeben und die Gruppe Abonnenten auf globaler, Gruppen- oder Schnittstellenebene zuzuweisen.

• Konfigurieren Sie für den DHCP-Relay-Agent diese Anweisungen auf Hierarchieebene [edit forwarding-options dhcp-relay] bzw. auf Hierarchieebene [edit forwarding-options dhcp-relay ... overrides] .

• Konfigurieren Sie für den lokalen DHCP-Server diese Anweisungen auf Hierarchieebene [edit system services dhcp-local-server] bzw. auf Hierarchieebene [edit system services dhcp-local-server ... overrides] .

Sie können die folgenden allgemeinen DHCP-Einstellungen für das Dual-Stack-Modell mit einer Sitzung konfigurieren. In den meisten Fällen ähneln diese Einstellungen denen, die für separate DHCPv4- und DHCPv6-Abschnitte in einer herkömmlichen Dual-Stack-Konfiguration verwendet werden. Wenn konfiguriert und referenziert wird, hat die Dual-Stack-Konfiguration Vorrang vor den gleichen Elementen, die unter der jeweiligen Familie konfiguriert sind.

• access-profile– Zugriffsprofil, das Authentifizierungs- und Kontoführungsparameter für die Dual-Stack-Gruppe bereitstellt, die Vorrang vor denen haben, die in einem globalen Zugriffsprofil oder in einem für den DHCP-Relay-Agent oder den lokalen DHCP-Server konfigurierten Profil konfiguriert sind.

• authentication– Authentifizierungsbezogene Parameter (z. B. Kennwort und Benutzername), die der Router an den externen AAA-Server sendet.

  Die dual-stack authentication Zeilengruppe ähnelt der Zeilengruppe, die für die Adressfamilien v4 und v6 separat erhältlich ist. Wenn die username-include Konfigurationssyntax für den DHCPv4-Teil des Dual-Stacks verwendet wird, entspricht die relay-agent-interface-id Option der DHCPv4-Anweisung relay-option-82 circuit-id und die relay-agent-remote-id Option der DHCPv4-Anweisung relay-option-82 remote-id . Sie müssen die beiden DHCPv4-Optionen nicht separat konfigurieren.

• classification-key– Der Klassifizierungsschlüssel definiert den Mechanismus, der zur Identifizierung eines Dual-Stack-Haushalts verwendet werden soll.

• dual-stack-interface-client-limit– Begrenzt die Anzahl der Dual-Stack-Abonnenten, die sich pro Schnittstelle anmelden.

  Hinweis:

  Verwenden Sie für Dual-Stack-Abonnenten immer diese Anweisung anstelle der interface-client-limit Anweisung.

• dynamic-profile– Dynamisches Profil, das an alle Schnittstellen, an eine benannte Gruppe von Schnittstellen oder an eine bestimmte Schnittstelle angehängt ist.

• liveness-detection– Konfigurieren Sie ein aktives Protokoll zur Erkennung von Lebendigkeit, das die Bindung löscht und die Ressourcen freigibt, wenn der Anwender nicht auf eine konfigurierte Anzahl aufeinanderfolgender Anforderungen zur Erkennung von Lebendigkeit reagiert, der Anwender.

• on-demand-address-allocation– (DHCP lokaler Server) Gibt an, ob der On-Demand-Adresszuweisungsmodus für einen Dual-Stack-Anwender erzwungen wird.

  Wenn diese Konfiguration nicht vorhanden ist, werden alle IP-Adressen und Präfixe für IPv4- und IPv6-Familien eines Dual-Stack-Anwenders vorab zugewiesen, wenn sich der erste Abschnitt eines Dual-Stack-Anwenders zum ersten Mal anmeldet.

  Wenn diese Konfiguration vorhanden ist, wenn sich die erste Etappe eines Dual-Stack-Anwenders zum ersten Mal anmeldet, wird die RADIUS-Authentifizierung durchgeführt (falls konfiguriert), und es werden nur die IP-Adresse und das Präfix dieser ersten Familie zugewiesen. Die IP-Adresse und das Präfix für die andere Familie werden nicht zugewiesen, es sei denn, der andere Familienzweig meldet sich anschließend zum ersten Mal an.

  Hinweis:

  Die IP-Adresszuweisung für die zweite Familie wird durch die RADIUS-Authentifizierung informiert, die zuvor zum Zeitpunkt der ersten Familienanmeldung durchgeführt wurde.

  Ab Junos OS Version 18.4R1 wird die Methode der Adresszuweisung überprüft, um das nachfolgende Verhalten zu bestimmen, wenn authd den DHCP-Prozess benachrichtigt, dass ein Adresspool gelöscht oder geleert wird. Tabelle 1 beschreibt das Verhalten.

  Tabelle 1: Verhalten, wenn der Adresspool gelöscht oder geleert wird

  Methode der Adresszuweisung	Adresspool ist leer	Adresspool wird gelöscht
  Auf Abruf	Familie mit Adresse im Pool wird ordnungsgemäß abgemeldet, wenn eine DHCP-Erneuerungs- oder Neubindungsnachricht empfangen wird.	Familie mit Adresse im Pool wird sofort abgemeldet.
  Vorbelegt	Adressen für beide Familien werden ordnungsgemäß gelöscht, wenn eine DHCP-Nachricht zum Erneuern oder erneuten Binden empfangen wird.	Adressen beider Familien werden sofort gelöscht.

• protocol-master– Dieser Begriff bezeichnet entweder eine IPv4- oder eine IPv6-Familie als primäre Familie für einen Dual-Stack-Anwender. Die Anmeldung zur Clientbindung der sekundären Familie wird abgelehnt, bis eine gültige Clientbindung für die primäre Familie vorhanden ist.

  VORSICHT:

  Wenn die sekundäre Familienbindung aus irgendeinem Grund abgemeldet wird, wird nur die sekundäre Familienbindung abgerissen.

  Wenn die primäre Familienbindung aus irgendeinem Grund abgemeldet wird, werden die entsprechenden Bindungen für die primäre und sekundäre Familie entfernt.

• reauthenticate– (DHCP lokaler Server) Konfigurieren Sie die erneute Authentifizierung des Anwenders, um Änderungsmerkmale wie Serviceaktivierung/-deaktivierung und Attributänderungen zu initiieren.

• relay-agent-interface-id– (DHCP-Relay-Agent) Schließt die Relay-Agent-Schnittstellen-ID (Option 18) in DHCPv6-Pakete ein, die für den DHCPv6-Server bestimmt sind. Sie können zahlreiche Optionen konfigurieren, um anzugeben, was im Circuit-ID-Wert enthalten ist.

  Für den DHCPv4-Teil des Dual-Stacks enthält diese Anweisung das DHCPv4 relay-option-82 circuit-id in Paketen, die für den DHCPv4-Server bestimmt sind.

• relay-agent-remote-id– (DHCP-Relay-Agent) Schließt die Remote-ID des Relay-Agenten (Option 37) in DHCPv6-Pakete ein, die für einen DHCPv6-Server bestimmt sind. Sie können zahlreiche Optionen konfigurieren, um anzugeben, was im Remote-ID-Wert enthalten ist.

  Für den DHCPv4-Teil des Dual-Stacks enthält diese Anweisung das DHCPv4 relay-option-82 remote-id in Paketen, die für den DHCPv4-Server bestimmt sind.

• service-profile– Dynamisches Profil für den Standard-Anwender-Service (oder den Standard-DHCP-Client-Management-Service), das aktiviert wird, wenn sich der Anwender (oder Client) anmeldet.

• short-cycle protection– Erkennen und sperren Sie kurzlebige Client-Sitzungen und Clients, die wiederholt die Sitzungsaushandlung nicht bestehen, um die Ressourcennutzung im Zusammenhang mit der Verbindungs- und Authentifizierungsverarbeitung in hoch skalierten Netzwerken zu reduzieren.

• Zweck
• Aktion