Réception d’options DHCP à partir d’un serveur RADIUS

Options provenant de RADIUS

La gestion des abonnés (sur les routeurs) ou la gestion DHCP (sur les commutateurs) vous permet de configurer les options DHCP de manière centralisée sur un serveur RADIUS, puis de les distribuer par abonné ou par client DHCP. Cette méthode génère des options DHCP provenant de RADIUS : les options DHCP proviennent du serveur RADIUS et sont envoyées à l’abonné (ou au client DHCP). Cette méthode diffère de la méthode traditionnelle de configuration DHCP des options DHCP provenant du client, dans laquelle les options proviennent du client et sont envoyées au serveur RADIUS. Gestion des abonnés (gestion DHCP) Les options DHCP provenant de RADIUS sont également considérées comme opaques, car le serveur local DHCP effectue un traitement minimal et une vérification des erreurs pour la chaîne d’options DHCP avant de transmettre les options à l’abonné (client DHCP).

La gestion des abonnés (ou gestion DHCP) utilise Juniper Networks VSA 26-55 (options DHCP) pour distribuer les options DHCP provenant de RADIUS. Le serveur RADIUS inclut VSA 26-55 dans le message Access-Accept que le serveur renvoie lors de l’authentification de l’abonné ou de l’authentification du client DHCP. Le serveur RADIUS envoie le message Access-Accept au client RADIUS, puis au serveur local DHCP pour qu’il le renvoie à l’abonné DHCP. Le serveur RADIUS peut inclure plusieurs instances de VSA 26-55 dans un seul message d’accès-acceptation. Le client RADIUS concatène les instances multiples et utilise le résultat comme une instance unique.

Aucune configuration CLI n’est requise pour activer la gestion des abonné (gestion DHCP) afin d’utiliser les options DHCP configurées de manière centralisée : la procédure est déclenchée par la présence de VSA 26-55 dans le message RADIUS accès-acceptation.

Lors de la création du paquet d’offre pour le client DHCP, le serveur local DHCP utilise la séquence suivante :

1. Traite tous les paramètres configurés par RADIUS qui sont transmis en tant qu’attributs RADIUS distincts ; par exemple, l’attribut RADIUS 27 (Session Timeout).

2. Traite tous les paramètres provenant du client ; par exemple, les attributs RADIUS 53 (type de message DHCP) et 54 (identificateur de serveur).

3. Ajoute (sans effectuer de traitement) la chaîne d’options DHCP opaque contenue dans le VSA 26-55 reçu du serveur RADIUS.

Configuration des options pour le client

Outre la prise en charge de la configuration centralisée des options DHCP directement sur le serveur RADIUS (options provenant de RADIUS), la gestion des abonnés (gestion DHCP) prend également en charge la configuration traditionnelle des options provenant du client, dans laquelle le composant DHCP du routeur (commutateur) envoie les options au serveur RADIUS. La méthode des options DHCP provenant du client est prise en charge à la fois pour le serveur local DHCP et l’agent de relais DHCP ; cependant, la méthode de configuration centralisée d’origine RADIUS n’est prise en charge que sur le serveur local DHCP. Les méthodes RADIUS et clientes prennent en charge les abonnés DHCPv4 et DHCPv6 (clients).

Flux de données pour les options DHCP provenant de RADIUS

La figure 1 illustre la procédure utilisée par la gestion des abonnés (gestion DHCP) lors de la configuration des options DHCP pour les abonnés (clients DHCP).

Figure 1 : Flux de données des options DHCP

La séquence générale suivante décrit le flux de données lorsque la gestion abonné (gestion DHCP) utilise des options DHCP provenant de RADIUS et VSA 26-55 pour configurer un abonné DHCP (client) :

1. L’abonné (client DHCP) envoie un message de découverte DHCP (ou message de sollicitation DHCPv6) au serveur local DHCP. Le message inclut des options DHCP provenant du client.

2. Le serveur local DHCP initie l’authentification avec le client RADIUS de Junos OS.

3. Le client RADIUS envoie un message de demande d’accès au nom de l’abonné (client DHCP) au serveur RADIUS externe. Le message inclut les options DHCP provenant du client de l’abonné (client DHCP).

4. Le serveur RADIUS externe répond en envoyant un message d’accès-acceptation au client RADIUS. Le message Accès-Acceptation inclut les options DHCP opaques provenant de RADIUS dans VSA 26-55.

5. Le client RADIUS envoie la chaîne d’options DHCP au serveur local DHCP. S’il existe plusieurs instances VSA 26-55, le client RADIUS les assemble d’abord en une seule chaîne d’options.

6. Le serveur local DHCP traite toutes les options dans le message d’offre DHCP (ou de réponse DHCPv6), à l’exception des options DHCP VSA 26-55 provenant de RADIUS. Après avoir traité toutes les autres options, le serveur local DHCP ajoute ensuite les options DHCP VSA 26-55 non modifiées au message et envoie le message à l’abonné (client DHCP).

7. L’abonné (client DHCP) est configuré avec les options DHCP.

8. Les opérations suivantes se produisent après que l’abonné (client DHCP) a reçu les options DHCP :

   • Comptabilité : le client RADIUS envoie des requêtes Acct-Start et Interim-Accounting au serveur RADIUS, y compris les options DHCP provenant de RADIUS dans VSA 26-55. Par défaut, les options DHCP sont incluses dans les demandes de comptabilité.

   • Renewal : lorsque l’abonné (client DHCP) est renouvelé, la valeur des options DHCP mises en cache est renvoyée dans le message de renouvellement DHCP (ou d’accusé de réception DHCPv6). Les options DHCP affectées à l’origine ne peuvent pas être modifiées lors d’un cycle de renouvellement.

   • Déconnexion : lorsque l’abonné (client DHCP) se déconnecte, le client RADIUS envoie un message Acct-Stop au serveur RADIUS, y compris au VSA 26-55 provenant de RADIUS.

Configuration de plusieurs instances VSA 26-55

VSA 26-55 prend en charge une taille maximale de 247 octets. Si votre champ d’options DHCP provenant de RADIUS est supérieur à 247 octets, vous devez diviser le champ et configurer manuellement plusieurs instances de VSA 26-55 pour que le serveur RADIUS revienne. Lorsque plusieurs instances sont utilisées pour un champ d’options, vous devez placer les instances dans le paquet dans l’ordre dans lequel les fragments doivent être réassemblés par le client RADIUS. Les fragments peuvent être de n’importe quelle taille de 247 octets ou moins.

Lorsque le client RADIUS renvoie un champ d’options opaques réassemblé dans une demande de comptabilité au serveur RADIUS, le client utilise des fragments de 247 octets. Si vous aviez créé à l’origine des instances de moins de 247 octets, les fragments renvoyés peuvent différer de ceux que vous avez configurés à l’origine sur le serveur RADIUS.

Options DHCP qui ne peuvent pas être configurées de manière centralisée

Le Tableau 1 répertorie les options DHCP que vous ne devez pas configurer de manière centralisée sur le serveur RADIUS.

Différenciation des classes d’abonnés avec DHCPv6 Option 17 et VSA 26-207

À partir de la version 18.3R1 de Junos OS, vous pouvez utiliser le VSA DHCPv6-Options (26-207) pour différencier les différentes classes d’abonnés lors de l’authentification de relais DHCPv6. Par exemple, vous pouvez affecter différents préfixes IPv6 à différentes classes d’abonnés.

Vous devez configurer votre serveur RADIUS pour inclure les informations suivantes dans le VSA :

• Numéro d’entreprise Juniper Networks, 2636

• Sous-option 5, JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

Vous définissez une valeur différente pour la sous-option 5 pour chaque classe que vous souhaitez différencier. Vous développez votre propre schéma pour déterminer l’adéquation entre la valeur et la classe.

VSA 26-207 transmet les informations sur la classe d’abonné dans le message Access-Accept renvoyé par le serveur RADIUS lors de l’authentification de l’abonné DHCPv6. Le contenu du VSA est transmis du processus AAA au processus DHCP dans l’attribut de base de données de session, SDB_SERVER_DHCPV6_OPTIONS. L’agent de relais DHCPv6 extrait les informations de l’attribut SDB et les place dans l’option DHCPv6 17. L’agent de relais transmet ensuite l’option 17 au serveur local DHCPv6 dans l’en-tête Relay-Forward. Le serveur local peut alors renvoyer les informations de configuration et de service de l’agent de relais spécifiques aux classes d’abonnés concernées.

Dans les versions antérieures à Junos OS 18.3R1, seul le serveur local DHCP prend en charge VSA 26-207. Seules les sous-options 1 (JDHCPD_VS_OPT_CODE_HOST_NAME) et 4 (JDHCPD_VS_OPT_CODE_LOCATION_NAME) sont prises en charge. L’agent de relais DHCP ignore également l’attribut SDB_SERVER_DHCPV6_OPTIONS s’il est reçu.

Les sous-options reçues de RADIUS ont une priorité plus élevée que les informations configurées localement. Par exemple, si le nom d’hôte et l’emplacement sont configurés avec l’instruction host-name au niveau de la [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] hiérarchie et qu’ils sont reçus dans les sous-options 1 et 4 de RADIUS, les valeurs RADIUS sont utilisées.

Exclusion des VSA des messages RADIUS

Vous pouvez exclure l’envoi de l’un de ces VSA à l’aide de l’instruction exclude comme indiqué dans l’exemple suivant :

Client Options

Les options client peuvent être configurées dans plusieurs emplacements, tels que les serveurs DHCPv4 ou DHCPv6, ou dans le serveur RADIUS. Si la configuration client est disponible à plusieurs emplacements, un conflit peut survenir concernant la source des détails de configuration. En cas de tels conflits, l’ordre de préférence suivant est pris en compte :

• Options reçues du serveur RADIUS via des attributs spécifiques au fournisseur (VSA)

• Options reçues du serveur RADIUS via les bases de données de session respectives

• Options de la configuration DHCP locale, présentes sur le serveur DHCP

À titre d’exemple de la préférence susmentionnée, considérons le cas de la durée de bail DHCPv4. Si l’option AUTHD_ATTR_SESSION_TIMEOUT , qui est un VSA stocké sur le serveur RADIUS, est renvoyée par le serveur RADIUS, la préférence lui est donnée. Si cette option n’est pas renvoyée, la préférence est donnée à l’option 51 dans la base de données de sessions respective pour DHCPv4. Si cette option n’est pas non plus retournée, l’option provient de la configuration DHCP locale.

De même, pour la AUTHD_ATTR_SESSION_TIMEOUT durée de bail DHCPv6, la première préférence est donnée au VSA du serveur RADIUS. Si AUTHD_ATTR_SESSION_TIMEOUT n’est pas présent, l’option valid-lifetime provenant de RADIUS ou preferred-lifetime prend la priorité. Si cela n’est pas non plus disponible, l’option provient de la configuration locale DHCPv6.

Échange d’options provenant de DHCPv4 Client, de serveur DHCPv4 et de RADIUS

Les étapes suivantes illustrent le processus d’échange d’options de configuration entre un client DHCPv4, un serveur DHCPv4 et le serveur RADIUS :

• Un message de découverte d’un client DHCPv4 est reçu par le serveur DHCPv4.

• L’option DHCP est enregistrée dans la base de données de session respective.

  Dans les versions de Junos OS antérieures à 17.4R1, le même attribut est utilisé pour stocker les options DHCPv4 et DHCPv6. Toutefois, avec la prise en charge de la double pile DHCP à session unique, il existe des attributs de base de données de session distincts pour DHCPv4 et DHCPv6.

• Les informations d’en-tête DHCP sont enregistrées dans la base de données de la session.

  Un nouvel attribut de base de données de session est ajouté pour stocker les informations d’en-tête, et ces informations sont envoyées au serveur RADIUS pour authentification.

• Un message de demande d’accès est envoyé du serveur DHCPv4 au serveur RADIUS, et lorsqu’un message d’acceptation d’accès est reçu du serveur RADIUS, les options DHCPv4 sont enregistrées dans les attributs de base de données de session respectifs et envoyées au client.

• Des options spécifiques au serveur DHCPv4 sont ajoutées au paquet.

  Remarque :

  Le serveur DHCPv4 peut obtenir des options sollicitées et non sollicitées à partir de la configuration locale. Il est donc important d’éviter les doublons lors de l’ajout des options.

• Les informations de location DHCPv4 sont extraites de l’option DHCP 51 provenant de RADIUS.

  L’attribut de base de données de session correspondant est utilisé pour vérifier si l’option 51 (durée du bail) provient de RADIUS. Si c’est le cas, la valeur de l’attribut est extraite et enregistrée dans la structure de données du client. Si elle n’est pas fournie par RADIUS, la valeur d’attribut est extraite de la configuration du pool local ou de la configuration d’attribut DHCPv4, qui est une fonctionnalité existante. Une vérification similaire est effectuée pour l’option 58 (délai de renouvellement (T1)) et l’option 59 (délai de reliure (T2)).

• Un message d’offre est envoyé du serveur DHCPv4 au client DHCPv4.

Échange d’options provenant de DHCPv6 Client, de serveur DHCPv6 et de RADIUS

Les étapes suivantes illustrent le processus d’échange d’options de configuration entre un client DHCPv6, un serveur DHCPv6 et le serveur RADIUS :

• Un message de sollicitation d’un client DHCP est reçu par le serveur DHCPv6.

• Les options DHCPv6 sont enregistrées dans la base de données de session du serveur DHCPv6.

  Dans les versions de Junos OS antérieures à 17.4R1, les options DHCPv6 sont enregistrées dans l’attribut de base de données de session respectif. En raison de la prise en charge actuelle de la double pile DHCP à session unique, il est nécessaire d’avoir des attributs de base de données de session distincts pour enregistrer les options DHCPv4 et DHCPv6. Si le client fait partie d’une configuration à double pile à session unique, l’attribut de base de données de session DHCPv6 correspondant est utilisé. Les options DHCPv6 sont directement copiées dans la base de données de session sans aucune modification, puis envoyées au serveur RADIUS.

  Remarque :

  DHCPv6 auth-option (option 11) fait également partie de ces options.

• Un en-tête de message DHCPv6 est enregistré dans la base de données de la session.

  Un nouvel attribut de base de données de session est ajouté pour copier l’en-tête du message DHCPv6.

• Un message de demande d’accès est envoyé par le serveur DHCPv6, qui reçoit à son tour un message d’acceptation d’accès du serveur RADIUS. Ce message contient des options DHCPv6 provenant de RADIUS qui sont stockées dans un nouvel attribut de base de données de session.

• Les informations de location DHCPv6 sont extraites de l’option DHCPv6 provenant de RADIUS.

  Dans le cas de DHCPv6, la durée du bail est intégrée dans les options OPTION_IA_NA et OPTION_IA_PD. La durée du bail du client commence par ces valeurs à partir du serveur RADIUS. Si l’option IA_ADDRESS, IA_PREFIX, IA_NAou IA_PD ne provient pas de RADIUS, ces options sont extraites du pool local et de la configuration du pool délégué.

• Des options spécifiques au serveur DHCPV6 sont ajoutées au paquet.

  Remarque :

  Un serveur DHCPv6 peut obtenir des options sollicitées et non sollicitées à partir de la configuration locale. Il est donc important d’éviter les doublons lors de l’ajout des options.

• Un message d’annonce est envoyé du serveur DHCPv6 au client DHCPv6.

Objet

Consultez les informations sur les options DHCP configurées de manière centralisée sur un serveur RADIUS et distribuées à l’aide de VSA 26-55 de Juniper Networks (options DHCP).

Mesures à prendre

Pour afficher des informations sur les options DHCP opaques :

Signification

La sortie des options DHCP fournit les informations suivantes :

• Le len champ correspond au nombre total de valeurs hexadécimales dans le message.

• Les valeurs hexadécimales spécifient le type, la longueur et la valeur (TLV) des options DHCP et sont converties en décimal pour identifier les options DHCP, telles que définies dans RFC 2132.

Le nombre de valeurs hexadécimales qui composent une option DHCP particulière varie en fonction de la longueur de l’option. Par exemple, la première option DHCP spécifiée dans la sortie inclut trois ensembles de valeurs hexadécimales (35 01 01). La première valeur hexadécimale (35) identifie le type d’option, la seconde valeur (01) indique la longueur de l’entrée de valeur, qui est dans ce cas un ensemble de valeurs hexadécimales. La troisième valeur hexadécimale (01) spécifie la valeur de l’option DHCP.

Dans la deuxième spécification de l’option DHCP (39 02 02 40), la valeur 39 hexadécimale est le type, et la longueur de 02 spécifie que deux ensembles d’entrées hexadécimales constituent la valeur de l’option. Par conséquent, cette spécification d’option utilise quatre ensembles d’entrées hexadécimales ; un pour le type (39), un pour spécifier la longueur (02) et deux pour la valeur d’option (02 40).

La troisième option DHCP est spécifiée par les valeurs 3d 07 01 00 10 94 00 00 08hexadécimales . La valeur 3d hexadécimale est le type, suivi de la longueur (07), qui spécifie que les sept prochains ensembles d’entrées hexadécimales constituent la valeur de l’option. Par conséquent, cette spécification d’option utilise un total de neuf ensembles d’entrées hexadécimales ; un pour le type (3d), un pour spécifier la longueur (07) et sept pour la valeur de l’option DHCP (01 00 10 94 00 00 08).

Le Tableau 2 décrit les deux premières options plus en détail.