Modèles d’accès à double pile dans un réseau DHCP

La figure 1 montre une pile d’interfaces à double pile dans un réseau d’accès DHCP. La famille IPv4 (inet) et la famille IPv6 (inet6) peuvent résider sur la même interface VLAN.

Figure 1 : pile d’interfaces double sur un réseau d’accès DHCP

Vous pouvez utiliser le cadre de services AAA pour tous les services d’authentification, d’autorisation, de comptabilité, d’attribution d’adresses et de demandes dynamiques que le BNG utilise pour l’accès au réseau. Le framework prend en charge l’authentification et l’autorisation via des serveurs RADIUS externes. Il prend également en charge les opérations de comptabilité, de changement d’autorisation (CoA) et de déconnexion via des serveurs externes, ainsi que l’attribution d’adresses via une combinaison de pools d’attribution d’adresses locales et de serveurs RADIUS.

Le BNG interagit avec des serveurs externes pour déterminer comment les abonnés accèdent au réseau haut débit. Le BNG peut également obtenir des informations à partir de serveurs externes pour les éléments suivants :

• Comment les abonnés sont authentifiés.

• Comment les statistiques comptables sont collectées et utilisées.

• Comment les demandes dynamiques, telles que CoA, sont traitées.

Comme le montre la figure 2, une implémentation de la double pile sur un réseau d’accès DHCP, il existe des sessions AAA distinctes pour l’authentification et la comptabilité IPv4 et IPv6.

Figure 2 : Infrastructure de service AAA dans une double pile sur un réseau d’accès DHCP

• Collecte de statistiques comptables dans un réseau d’accès DHCP
• Changement d’autorisation

La figure 3 montre une pile d’interfaces à double pile dans un réseau de vente en gros DHCP. Dans ce scénario, les interfaces de multiplexage IPv4 et IPv6 sont configurées sur la même interface VLAN. Les interfaces demux sont configurées dans une instance de système logique :routage distincte.

Figure 3 : pile d’interfaces à double pile dans un réseau DHCP wholesale

Dans la configuration double pile sur un VLAN dynamique, la pile double session unique ne nécessite qu’une seule session pour l’authentification, contrairement aux trois sessions requises pour la configuration double pile traditionnelle. La prise en charge de la comptabilité pour la double pile utilise également une seule session. En plus de réduire le nombre de sessions requises, la fonctionnalité de session unique simplifie également la configuration du routeur, réduit la charge des messages RADIUS et améliore les performances des sessions de comptabilité pour les ménages dotés d’environnements à double pile.

Dans un environnement à double pile à session unique, la première session DHCP négociée déclenche la création de VLAN dynamique (si nécessaire) et est autorisée au niveau de l’application DHCP. La deuxième partie de la double pile est retardée jusqu’à ce que le point d’autorisation soit terminé. Lorsque la deuxième étape de la double pile est établie, le client DHCP hérite de toutes les valeurs courantes de la base de données d’abonnés, telles que l’identifiant du circuit, l’identifiant distant, le nom d’utilisateur et le nom de l’interface de la première étape.

Sur la Figure 4, une session avec un seul abonné est établie pour un utilisateur à double pile.

Figure 4 : Modèle de déploiement DHCP double pile d’abonnés à une seule session

Vous pouvez configurer les paramètres d’abonné à double pile à session unique pour l’agent de relais DHCP et le serveur local DHCP. Vous utilisez l’instruction dual-stack-group pour créer un groupe nommé qui spécifie les valeurs des abonnés à double pile. Ensuite, vous utilisez l’instruction dual-stack pour spécifier le nom du groupe de pile double et affecter le groupe aux abonnés au niveau global, du groupe ou de l’interface.

• Pour l’agent de relais DHCP, configurez ces instructions au niveau de la hiérarchie et au [edit forwarding-options dhcp-relay] niveau de la [edit forwarding-options dhcp-relay ... overrides] hiérarchie, respectivement,

• Pour le serveur local DHCP, configurez ces instructions au niveau de la hiérarchie et au [edit system services dhcp-local-server] niveau de la [edit system services dhcp-local-server ... overrides] hiérarchie, respectivement,

Vous pouvez configurer les paramètres DHCP courants suivants pour le modèle à double pile à session unique. Dans la plupart des cas, ces paramètres sont similaires à ceux utilisés pour les branches DHCPv4 et DHCPv6 distinctes dans une configuration traditionnelle à double pile. Lorsqu’elle est configurée et référencée, la configuration à double pile est prioritaire sur les mêmes éléments configurés dans la famille respective.

• access-profile: profil d’accès qui fournit les paramètres d’authentification et de comptabilité pour le groupe à double pile qui ont la priorité sur ceux configurés dans un profil d’accès global ou dans un profil configuré pour l’agent de relais DHCP ou le serveur local DHCP.

• authentication: les paramètres liés à l’authentification (tels que le mot de passe et le nom d’utilisateur) que le routeur envoie au serveur AAA externe.

  La dual-stack authentication strophe est similaire à la strophe disponible séparément pour les familles d’adresses v4 et v6. Lorsque la username-include syntaxe de configuration est utilisée pour l’étape DHCPv4 de la double pile, l’option relay-agent-interface-id est équivalente à l’instruction DHCPv4 relay-option-82 circuit-id et l’option relay-agent-remote-id est équivalente à l’instruction DHCPv4 relay-option-82 remote-id . Vous n’avez pas besoin de configurer les deux options DHCPv4 séparément.

• classification-key—La clé de classification définit le mécanisme à utiliser pour identifier un ménage à double pile.

• dual-stack-interface-client-limit: limite le nombre d’abonnés à double pile qui se connectent par interface.

  Remarque :

  Pour les abonnés à double pile, utilisez toujours cette instruction au lieu de l’instruction interface-client-limit .

• dynamic-profile: profil dynamique attaché à toutes les interfaces, à un groupe d’interfaces nommé ou à une interface spécifique.

• liveness-detection: configurez un protocole de détection d’activité actif qui supprime la liaison et libère les ressources si l’abonné ne parvient pas à répondre à un nombre configuré de demandes de détection d’activité consécutives, l’abonné.

• on-demand-address-allocation—(DHCP serveur local) Indique si le mode d’attribution d’adresses à la demande est forcé pour un abonné à double pile.

  Si cette configuration n’est pas présente, toutes les adresses IP et tous les préfixes pour les familles IPv4 et IPv6 d’un abonné à pile double seront préalloués lorsque la première étape d’un abonné à pile double se connectera pour la première fois.

  Si cette configuration est présente lorsque la première branche d’un abonné à double pile se connecte pour la première fois, l’authentification RADIUS est effectuée (si configurée) et l’adresse IP et le préfixe de cette première famille sont attribués uniquement. L’adresse IP et le préfixe de l’autre famille ne seront pas attribués à moins que l’autre branche familiale ne se connecte par la suite.

  Remarque :

  L’attribution d’adresses IP à la deuxième famille est renseignée par l’authentification RADIUS précédemment effectuée lors de la première connexion à la famille.

  À partir de la version 18.4R1 de Junos OS, la méthode d’attribution des adresses est vérifiée pour déterminer le comportement ultérieur lorsqu’authd informe le processus DHCP qu’un pool d’adresses est supprimé ou en cours de drainage. Le Tableau 1 décrit le comportement.

  Tableau 1 : Comportement lors de la suppression ou du drainage d’un pool d’adresses

  Méthode d’attribution des adresses	Le pool d’adresses est vidé	Le pool d’adresses est supprimé
  À la demande	La famille avec adresse dans le pool est déconnectée sans perturbation lorsqu’un message de renouvellement ou de liaison DHCP est reçu.	La famille avec une adresse dans le pool est déconnectée immédiatement.
  Pré-alloué	Les adresses des deux familles sont supprimées gracieusement lorsqu’un message de renouvellement ou de liaison DHCP est reçu.	Les adresses des deux familles sont supprimées immédiatement.

• protocol-master: ce terme désigne une famille IPv4 ou IPv6 comme famille principale pour un abonné à double pile. La connexion de liaison client de la famille secondaire sera rejetée jusqu’à ce qu’une liaison client valide soit en place pour la famille principale.

  MISE EN GARDE :

  Si la liaison familiale secondaire est déconnectée pour une raison quelconque, seule la liaison familiale secondaire sera détruite.

  Si la liaison de la famille principale est déconnectée pour une raison quelconque, les liaisons correspondantes pour les familles principale et secondaire seront supprimées.

• reauthenticate—(DHCP serveur local) Configurez la nouvelle authentification de l’abonné pour initier des caractéristiques de changement telles que des activations/désactivations de service et des modifications d’attribut.

• relay-agent-interface-id—(Agent de relais DHCP) Inclut l’ID d’interface de l’agent de relais (option 18) dans les paquets DHCPv6 destinés au serveur DHCPv6. Vous pouvez configurer de nombreuses options pour spécifier ce qui est inclus dans la valeur de l’ID de circuit.

  Pour la branche DHCPv4 de la double pile, cette instruction inclut DHCPv4 relay-option-82 circuit-id dans les paquets destinés au serveur DHCPv4.

• relay-agent-remote-id—(Agent de relais DHCP) Comprend l’ID à distance de l’agent de relais (option 37) dans les paquets DHCPv6 destinés à un serveur DHCPv6. Vous pouvez configurer de nombreuses options pour spécifier ce qui est inclus dans la valeur de l’ID distant.

  Pour la branche DHCPv4 de la double pile, cette instruction inclut DHCPv4 relay-option-82 remote-id dans les paquets destinés au serveur DHCPv4.

• service-profile: profil dynamique du service d’abonné par défaut (ou du service de gestion du client DHCP par défaut), qui est activé lorsque l’abonné (ou le client) se connecte.

• short-cycle protection: détectez et verrouillez les sessions client de courte durée et les clients qui échouent à plusieurs reprises à la négociation de session afin de réduire l’utilisation des ressources associées au traitement de la connexion et de l’authentification sur les réseaux à grande échelle.

• Objet
• Mesures à prendre