Profils dynamiques pour la gestion des abonnés

Profils dynamiques de clients et de services dynamiques

Les principales différences entre les profils de client dynamique et de service dynamique sont les suivantes :

• Un profil client dynamique est provisionné et appliqué à la configuration de l’application cliente. par exemple, DHCP, DHCPv6, L2TP LNS, PPPoE, abonnés statiques et VLAN. Le contenu du profil est appliqué à l’interface logique de la session de l’abonné. Le plus souvent, les profils client dynamiques permettent l’instanciation dynamique des interfaces logiques auxquelles le profil est appliqué, mais les profils client peuvent également être appliqués aux interfaces logiques statiques des abonnés.

  Un profil client dynamique peut inclure n’importe laquelle des strophes sous [edit dynamic-profiles profile-name], à l’exception variables variable-namede .

• Les profils de service dynamiques incluent uniquement les configurations liées aux services, qui sont un sous-ensemble des configurations disponibles dans les profils de client dynamiques. Ils n’incluent pas d’autres attributs de configuration pour une session d’abonné. Vous ne pouvez pas utiliser un profil de service pour créer ou modifier une interface logique. Un profil de service dynamique fonctionne comme un complément aux profils de client dynamiques qui sont utilisés après la création d’interfaces logiques.

  Un profil de service dynamique peut inclure les strophes suivantes sous [edit dynamic-profiles profile-name]: class-of-service, firewall, protocols, services, et variables.

Les profils client dynamiques et les profils de service dynamiques diffèrent également par les types de variables qu’ils peuvent utiliser :

• Les profils clients dynamiques peuvent inclure des variables prédéfinies par défaut, qui définissent les valeurs par défaut des variables prédéfinies Juniper Networks incluses dans le profil. Les valeurs par défaut du profil sont utilisées lorsque RADIUS ne renvoie pas de valeur pour la variable. Pour plus d’informations sur les variables prédéfinies, reportez-vous aux sections Présentation des variables dynamiques et Configuration des valeurs par défaut pour les variables prédéfinies dans un profil dynamique.

• Les profils de service dynamiques peuvent inclure des variables définies par l’utilisateur qui agissent comme des paramètres dans un appel de fonction. Les valeurs des variables peuvent être fournies par le serveur RADIUS pour prendre en charge une personnalisation plus spécialisée par abonné. Vous pouvez également définir des valeurs par défaut pour ces variables à utiliser lorsque RADIUS ne fournit pas la valeur. Pour plus d’informations sur les variables définies par l’utilisateur, reportez-vous à la section Variables définies par l’utilisateur dans les profils dynamiques.

• Les profils clients dynamiques n’incluent pas de variables définies par l’utilisateur. Les profils de service dynamiques n’incluent pas de variables prédéfinies par défaut.

Le Tableau 1 répertorie les types de variables prises en charge par les profils d’accès et les profils de service.

Le Tableau 2 répertorie les valeurs, expressions et identificateurs uniques par défaut pris en charge par les profils d’accès et les profils de service.

Application dynamique de services aux sessions d’abonnés

Vous pouvez configurer les services pour qu’ils s’appliquent aux sessions d’abonnés de plusieurs façons :

• Incluez les configurations de service pour la session d’abonné dans un profil client dynamique. Par exemple, vous pouvez configurer des services de couche 2 tels que la classe de service (CoS) et des services de couche 3 tels que des filtres de pare-feu dynamiques. Les services de couche 3 sont appliqués à la famille d’adresses négociée pour les abonnés DHCP, DHCPv6 et PPPoE. Reportez-vous à la section Présentation de la modification des services CoS.

  Note:

  Un profil client dynamique ne peut pas faire référence à un profil de service dynamique. Elle ne peut inclure directement que des configurations de services.

• Appliquez un profil de service dynamique à l’aide de votre configuration RADIUS. Le VSA Juniper Networks Activate-Service (26-65), renvoyé dans le message RADIUS Access-Accept lorsque l’abonné s’authentifie, peut faire référence à un profil de service dynamique et éventuellement transmettre des paramètres supplémentaires pour le service. Pour les sessions DHCP et PPPoE, ce profil de service est appliqué lorsque la famille d’adresses de la session est activée. Reportez-vous à la section Gestion dynamique des services avec RADIUS.

  Vous pouvez utiliser un autre VSA de Juniper Networks, Deactivate-Service (26-66), pour désactiver les services dans le message Access Accept.

• Appliquez un profil de service avec un VSA Juniper Networks dans un message de changement d’autorisation (CoA) RADIUS. Vous pouvez utiliser un message CoA pour activer (VSA 26-65) ou désactiver (VSA 26-66) des services. Par exemple, un abonné peut choisir d’accepter ou de refuser un service une fois la session établie. Reportez-vous à la section Présentation du changement d’autorisation (CoA) initié par RADIUS.

• Appliquez un profil de service dynamique en incluant l’instruction service-profile pour référencer le profil dans les configurations du serveur local DHCP, de l’agent de relais DHCP, de L2TP ou des abonnés statiques. Par exemple, reportez-vous à Spécification du profil de service de groupe d’abonnés statiques, Configuration d’un groupe de tunnels L2TP pour les sessions LNS avec interfaces de services en ligne et Configuration d’un profil d’accès L2TP sur le LNS.

Remplacements de profil dynamique

À partir de Junos OS version 14.1, vous pouvez spécifier un profil dynamique différent dans le VSA RADIUS Client-Profile-Name [26-174] afin que RADIUS remplace un profil dynamique client configuré. RADIUS renvoie ce VSA à AAA avec d’autres attributs de session client dans le message Access-Accept. AAA remplace par la suite l’attribut de nom de profil correspondant dans l’entrée de base de données de session du client, et ce nouveau profil est instancié à la place du profil configuré à l’origine.

Création d’une version de profil dynamique

Vous pouvez créer de nouvelles versions de profils dynamiques qui sont actuellement utilisés par les abonnés. La création dynamique de version de profil est activée au niveau de la [edit system] hiérarchie. Lorsque cette option est activée, vous pouvez créer plusieurs versions de n’importe quel profil dynamique sur le routeur. Tout abonné qui se connecte à la suite d’une modification de profil dynamique utilise la dernière version du profil dynamique. Les abonnés déjà actifs continuent d’utiliser l’ancienne version du profil dynamique jusqu’à ce qu’ils se déconnectent ou que leur session se termine.

Lorsque vous créez des versions de profils dynamiques, gardez à l’esprit les points suivants :

• Vous devez activer ou désactiver la création de version de profil dynamique avant de créer ou d’utiliser des profils dynamiques sur le routeur. L’activation ou la désactivation de la création de version de profil dynamique après la configuration des profils dynamiques n’est pas prise en charge.

  Note:

  Avant d’activer ou de désactiver la création de version de profil dynamique pour un routeur sur lequel des profils dynamiques sont configurés, vous devez d’abord supprimer tous les profils dynamiques de la configuration du routeur.

• Chaque version d’un profil dynamique est stockée dans la base de données de profils en tant que nouveau profil.

• Le nom de la nouvelle version du profil est dérivé en ajoutant une chaîne au nom du profil dynamique de base d’origine. Cette chaîne contient deux caractères de signe dollar ($) pour identifier le champ de version du nom de profil. Ces deux caractères sont suivis de caractères numériques qui représentent le « numéro de version » du profil dynamique (par exemple, 01).

• Le numéro de version du profil dynamique est généré automatiquement par le système.

• Le profil dynamique que vous modifiez est toujours stocké en tant que version la plus récente. Vous ne pouvez pas créer un profil dynamique modifié et l’enregistrer en tant que version antérieure. Par exemple, si vous modifiez la version trois d’un profil dynamique alors qu’il est en cours d’utilisation, le profil dynamique est enregistré en tant que version quatre.

• Vous ne pouvez modifier que la dernière version d’un profil dynamique.

• La valeur maximale du numéro de version est 99999. Cependant, pour chaque profil, seules 10 versions actives sont prises en charge à la fois.

• Si la version du profil dynamique que vous modifiez n’est utilisée par aucun abonné, le profil est remplacé par les modifications validées sans créer de nouvelle version.

• Après avoir atteint la 99999e version modifiée d’un profil dynamique, toute modification ultérieure du profil dynamique entraîne le remplacement de cette version finale. Si la version finale est en cours d’utilisation, toute tentative de modification échoue lors de la validation.

• Vous ne pouvez supprimer un profil dynamique que lorsqu’aucune de ses versions n’est utilisée.

• La fonctionnalité de version de profil dynamique prend en charge le redémarrage gracieux et l’ISSU unifié.

Vérification sémantique dynamique des profils

Les variables sont appliquées aux profils dynamiques de manière dynamique et ne peuvent pas être vérifiées avec les commandes CLI existantes. La vérification sémantique valide certaines variables dans les profils dynamiques pour aider à identifier les erreurs de configuration potentielles.

Des vérifications sémantiques sont effectuées lors de la validation et de l’instanciation du profil. Les vérifications au moment de la validation permettent de s’assurer que les variables apparaissent au bon emplacement dans le profil dynamique. Les vérifications effectuées avant l’instanciation du profil permettent de s’assurer que les valeurs qui remplacent les variables sont correctes. Les vérifications effectuées sur les valeurs sont les suivantes :

• Validation de la plage

• Validation du type de variable

• Existence de variables lorsqu’elles sont obligatoires

• Correspondance des variables avec les expressions régulières

En cas d’échec de vérification au moment de la validation, un message d’erreur s’affiche et est consigné dans le /var/log/messages fichier, ce qui entraîne l’échec de la validation. Un échec d’instanciation entraîne l’enregistrement d’une erreur dans le fichier et l’échec /var/log/messages de l’instanciation du profil.