Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
Auf dieser Seite
 

Zeitüberschreitung bei Authentifizierungssitzung

Sie können den Zugriff auf Ihr Netzwerk über einen Switch steuern, indem Sie verschiedene Authentifizierungen verwenden. Junos OS-Switches unterstützen 802.1X, MAC RADIUS und Captive Portal als Authentifizierungsmethoden für Geräte, die eine Verbindung zu einem Netzwerk herstellen müssen. Weitere Informationen finden Sie in diesem Thema.

Grundlegendes zur Zeitüberschreitung bei Authentifizierungssitzungen

Informationen zu Authentifizierungssitzungen – einschließlich der zugehörigen Schnittstellen und VLANs für jede authentifizierte MAC-Adresse – werden in der Authentifizierungssitzungstabelle gespeichert. Die Authentifizierungssitzungstabelle ist an die Ethernet-Switching-Tabelle (auch MAC-Tabelle genannt) gebunden. Jedes Mal, wenn der Switch Datenverkehr von einer MAC-Adresse erkennt, aktualisiert er den Zeitstempel für diesen Netzwerkknoten in der Ethernet-Switching-Tabelle. Ein Timer auf dem Switch überprüft regelmäßig den Zeitstempel, und wenn sein Wert den vom Benutzer konfigurierten mac-table-aging-time Wert überschreitet, wird die MAC-Adresse aus der Ethernet-Switching-Tabelle entfernt. Wenn eine MAC-Adresse aus der Ethernet-Switching-Tabelle entfernt wird, wird der Eintrag für diese MAC-Adresse ebenfalls aus der Tabelle der Authentifizierungssitzung entfernt, was zur Folge hat, dass die Sitzung beendet wird.

Wenn die Authentifizierungssitzung aufgrund einer veralteten MAC-Adresse beendet wird, muss der Host die Authentifizierung erneut versuchen. Um die Ausfallzeit zu begrenzen, die sich aus der erneuten Authentifizierung ergibt, können Sie das Timeout von Authentifizierungssitzungen auf folgende Weise steuern:

  • Heben Sie für 802.1X- und MAC RADIUS-Authentifizierungssitzungen die Zuordnung der Authentifizierungssitzungstabelle zur Ethernet-Switching-Tabelle mithilfe der no-mac-table-binding Anweisung auf. Diese Einstellung verhindert, dass die Authentifizierungssitzung beendet wird, wenn die zugehörige MAC-Adresse aus der Ethernet-Switching-Tabelle heraus veraltet ist.

  • Konfigurieren Sie für Authentifizierungssitzungen des Captive Portals mithilfe der user-keepalive Anweisung einen Keep-Alive-Timer. Wenn diese Option konfiguriert ist, wird der Keep-Alive-Timer gestartet, wenn die zugehörige MAC-Adresse aus der Ethernet-Switching-Tabelle entfernt wird. Wenn Datenverkehr innerhalb des Keep-Alive-Timeouts empfangen wird, wird der Timer gelöscht. Wenn innerhalb des Keep-Alive-Timeouts kein Datenverkehr vorhanden ist, wird die Sitzung gelöscht.

Sie können auch Zeitüberschreitungswerte für Authentifizierungssitzungen angeben, um die Sitzung zu beenden, bevor der MAC-Alterungstimer abläuft. Nach dem Timeout der Sitzung muss der Host die Authentifizierung erneut versuchen.

  • Bei 802.1X- und MAC RADIUS-Authentifizierungssitzungen hängt die Dauer der Sitzung bis zur Zeitüberschreitung vom Wert der reauthentication Anweisung ab. Wenn der MAC-Alterungstimer abläuft, bevor die Sitzung abläuft, und die no-mac-table-binding Anweisung nicht konfiguriert ist, wird die Sitzung beendet, und der Host muss sich erneut authentifizieren.

  • Bei Authentifizierungssitzungen des Captive Portals hängt die Dauer der Sitzung von dem für die session-expiry Anweisung konfigurierten Wert ab. Wenn der MAC-Alterungstimer abläuft, bevor die Sitzung abläuft, und die user-keepalive Anweisung nicht konfiguriert ist, wird die Sitzung beendet, und der Host muss sich erneut authentifizieren.

HINWEIS:

Wenn der Authentifizierungsserver ein Zeitlimit für die Authentifizierungssitzung an den Client sendet, hat dies Vorrang vor dem Wert, der lokal mithilfe der reauthentication Anweisung oder der session-expiry Anweisung konfiguriert wurde. Der Wert für das Sitzungstimeout wird vom Server an den Client als Attribut der RADIUS Access-Accept-Nachricht gesendet. Informationen zum Konfigurieren des Authentifizierungsservers zum Senden eines Zeitlimits für die Authentifizierungssitzung finden Sie in der Dokumentation zu Ihrem Server.

Siehe auch

Steuern von Zeitüberschreitungen bei Authentifizierungssitzungen (CLI-Verfahren)

Der Ablauf einer Authentifizierungssitzung kann zu Ausfallzeiten führen, da der Host die Authentifizierung erneut versuchen muss. Sie können diese Ausfallzeit begrenzen, indem Sie das Zeitlimit für Authentifizierungssitzungen steuern.

Eine Authentifizierungssitzung kann beendet werden, wenn die MAC-Adresse, die dem authentifizierten Host zugeordnet ist, aus der Ethernet-Switching-Tabelle heraus veraltet ist. Wenn die MAC-Adresse aus der Ethernet-Switching-Tabelle gelöscht wird, wird die authentifizierte Sitzung für diesen Host beendet, und der Host muss die Authentifizierung erneut versuchen.

So verhindern Sie, dass die Authentifizierungssitzung beendet wird, wenn die MAC-Adresse aus der Ethernet-Switching-Tabelle entfernt wird:

  • Bei Sitzungen, die mit 802.1X- oder MAC RADIUS-Authentifizierung authentifiziert wurden, können Sie Zeitüberschreitungen bei Authentifizierungssitzungen aufgrund der Alterung der MAC-Adresse verhindern, indem Sie die Zuordnung der Authentifizierungssitzungstabelle zur Ethernet-Switching-Tabelle mit der no-mac-table-binding folgenden Anweisung aufheben:
  • Für Sitzungen, die mit der Captive Portal-Authentifizierung authentifiziert wurden, können Sie Zeitüberschreitungen bei Authentifizierungssitzungen aufgrund der Alterung der MAC-Adresse verhindern, indem Sie den Zeitüberschreitungszeitraum mit der folgenden user-keepalive Anweisung verlängern:

Sie können auch Zeitüberschreitungswerte für Authentifizierungssitzungen konfigurieren, um eine authentifizierte Sitzung zu beenden, bevor der MAC-Alterungstimer abläuft.

HINWEIS:

Durch die Konfiguration des Sitzungstimeouts für eine Authentifizierungssitzung wird die Sitzung nach Ablauf des MAC-Alterungstimers nicht verlängert. Sie müssen entweder die Anweisung für die no-mac-table-binding 802.1X- und MAC RADIUS-Authentifizierung oder die Anweisung für die user-keepalive Captive Portal-Authentifizierung konfigurieren, um ein Sitzungstimeout aufgrund der MAC-Alterung zu verhindern.

Konfigurieren Sie für 802.1X- und MAC RADIUS-Authentifizierungssitzungen den Timeout-Wert mithilfe der reauthentication Anweisung.

  • So konfigurieren Sie den Timeout-Wert auf einer einzelnen Schnittstelle:

  • So konfigurieren Sie den Timeout-Wert auf allen Schnittstellen:

Konfigurieren Sie für Captive Portal-Authentifizierungssitzungen den Timeout-Wert mithilfe der session-expiry Anweisung.

  • So konfigurieren Sie den Timeout-Wert auf einer einzelnen Schnittstelle:

  • So konfigurieren Sie den Timeout-Wert auf allen Schnittstellen:

HINWEIS:

Wenn der Authentifizierungsserver ein Zeitlimit für die Authentifizierungssitzung an den Client sendet, hat dies Vorrang vor dem Wert, der mit der reauthentication Anweisung oder der session-expiry Anweisung konfiguriert wurde. Der Wert für das Sitzungstimeout wird vom Server an den Client als Attribut der RADIUS Access-Accept-Nachricht gesendet.

Siehe auch

Beibehaltung der Authentifizierungssitzung basierend auf IP-MAC-Adressbindungen

Die MAC RADIUS-Authentifizierung wird häufig verwendet, um Hosts, die nicht für die 802.1X-Authentifizierung aktiviert sind, den Zugriff auf das LAN zu ermöglichen. Endgeräte wie Drucker sind im Netzwerk wenig aktiv. Wenn die MAC-Adresse, die einem Endgerät zugeordnet ist, aufgrund von Inaktivität veraltet, wird die MAC-Adresse aus der Ethernet-Switching-Tabelle gelöscht und die Authentifizierungssitzung beendet. Das bedeutet, dass andere Geräte das Endgerät bei Bedarf nicht erreichen können.

Wenn die veraltete MAC-Adresse einer IP-Adresse in der DHCP-, DHCPv6- oder SLAAC-Snooping-Tabelle zugeordnet ist, wird diese MAC-IP-Adressbindung aus der Tabelle gelöscht. Dies kann zu Datenverkehrsverlusten führen, wenn der DHCP-Client versucht, seine Lease zu erneuern.

Sie können das Switching-Gerät so konfigurieren, dass es in der DHCP-, DHCPv6- oder SLAAC-Snooping-Tabelle nach einer IP-MAC-Adressbindung sucht, bevor die Authentifizierungssitzung beendet wird, wenn die MAC-Adresse veraltet ist. Wenn die MAC-Adresse für das Endgerät an eine IP-Adresse gebunden ist, bleibt sie in der Ethernet-Switching-Tabelle erhalten und die Authentifizierungssitzung bleibt aktiv.

Diese Funktion kann global für alle authentifizierten Sitzungen mithilfe der CLI oder pro Sitzung mithilfe von RADIUS-Attributen konfiguriert werden.

Vorteile

Diese Funktion bietet die folgenden Vorteile:

  • Stellt sicher, dass ein Endgerät für andere Geräte im Netzwerk erreichbar ist, auch wenn die MAC-Adresse veraltet ist.

  • Verhindert, dass der Datenverkehr unterbrochen wird, wenn das Endgerät versucht, seine DHCP-Lease zu erneuern.

CLI-Konfiguration

Bevor Sie diese Funktion konfigurieren können, gehen Sie wie folgt vor:

  • DHCP-Snooping, DHCPv6-Snooping oder SLAAC-Snooping müssen auf dem Gerät aktiviert sein.

  • Die no-mac-table-binding CLI-Anweisung muss konfiguriert werden. Dadurch wird die Zuordnung der Authentifizierungssitzungstabelle zur Ethernet-Switching-Tabelle aufgehoben, sodass die Authentifizierungssitzung bis zur nächsten erneuten Authentifizierung verlängert wird, wenn eine MAC-Adresse veraltet ist.

So konfigurieren Sie diese Funktion global für alle authentifizierten Sitzungen:

Konfigurieren Sie das Switching-Gerät so, dass es in der DHCP-, DHCPv6- oder SLAAC-Snooping-Tabelle nach einer IP-MAC-Adressbindung sucht, bevor die Authentifizierungssitzung beendet wird, wenn die MAC-Adresse veraltet ist, indem Sie die ip-mac-session-binding CLI-Anweisung verwenden:
HINWEIS:

Sie können die ip-mac-session-binding Konfiguration nur bestätigen, wenn sie no-mac-table-binding ebenfalls konfiguriert ist.

RADIUS-Serverattribute

Sie können diese Funktion mithilfe von RADIUS-Serverattributen für eine bestimmte Authentifizierungssitzung konfigurieren. RADIUS-Serverattribute sind Klartextfelder, die in Access-Accept-Nachrichten gekapselt sind, die vom Authentifizierungsserver an das Switching-Gerät gesendet werden, wenn ein mit dem Switch verbundener Supplicant erfolgreich authentifiziert wurde.

Um die Authentifizierungssitzung basierend auf IP-MAC-Adressbindungen beizubehalten, konfigurieren Sie die beiden folgenden Attribut-Wert-Paare auf dem RADIUS-Server:

  • Juniper-AV-Pair = "ip-mac-session-binding"

  • Juniper-AV-Pair = "no-mac-binding-reauth"

Das Juniper-AV-Pair-Attribut ist ein anbieterspezifisches Attribut (VSA) von Juniper Networks. Stellen Sie sicher, dass das Juniper-Wörterbuch auf dem RADIUS-Server geladen ist und die Juniper-AV-Pair-VSA (ID# 52) enthält.

Wenn Sie das Attribut zum Wörterbuch hinzufügen müssen, suchen Sie die Wörterbuchdatei (juniper.dct) auf dem RADIUS-Server, und fügen Sie der Datei den folgenden Text hinzu:

HINWEIS:

Spezifische Informationen zum Konfigurieren des RADIUS-Servers finden Sie in der AAA-Dokumentation, die im Lieferumfang des Servers enthalten ist.

Verifizierung

Überprüfen Sie die Konfiguration, indem Sie den Befehl show dot1x interface interface-name detail Betriebsmodus eingeben, und vergewissern Sie sich, dass die Ip Mac Session Binding Ausgabefelder und No Mac Session Binding anzeigen, dass die Funktion aktiviert ist.

Clients, die mit MAC RADIUS authentifiziert wurden, sollten authentifiziert bleiben, und MAC-Adresseinträge in der Ethernet-Switching-Tabelle sollten auch nach Ablauf des MAC-Timers beibehalten werden.

Verwandte Themen