Comptabilisation RADIUS de l’accès des abonnés

Scénarios de vente en gros de couche 3

Dans un environnement de réseau de vente en gros de couche 3, le grossiste et le détaillant peuvent utiliser des serveurs de comptabilité RADIUS différents, et tous deux peuvent vouloir recevoir des rapports comptables. Dans ce cas, vous pouvez configurer les rapports en double de comptabilité RADIUS, qui envoient des rapports aux serveurs de comptabilité du grossiste et du détaillant. La cible à laquelle les enregistrements comptables en double sont envoyés doit se trouver dans la combinaison d’instances de routage default :default logical system :routing (LS :RI) , également appelée VRF par défaut.

Le Tableau 2 indique où la gestion des abonnés envoie les états comptables lorsque vous activez les rapports en double. La gestion des abonnés envoie des rapports en double en fonction du profil d’accès dans lequel vous configurez l’instruction duplication au niveau de la hiérarchie, de l’emplacement de l’abonné [edit access profile profile-name accounting] et de l’authentification de l’abonné.

Autres scénarios

Pour les scénarios qui ne se trouvent pas dans un environnement de réseau de vente en gros de couche 3, vous pouvez envoyer des enregistrements comptables en double à un autre ensemble de serveurs RADIUS qui résident dans le même contexte de routage ou dans un contexte différent. Contrairement au scénario de vente en gros de couche 3, la cible des enregistrements comptables RADIUS en double n’a pas besoin d’être le VRF par défaut. Vous pouvez spécifier un seul VRF autre que par défaut, c’est-à-dire autre que la combinaison LS :RI par défaut par défaut, comme cible. En outre, vous pouvez spécifier jusqu’à cinq profils d’accès dans le VRF cible qui répertorient les serveurs de comptabilité RADIUS qui reçoivent les rapports en double.

Par exemple, vous pouvez avoir un scénario d’interception légale dans lequel l’abonné est authentifié dans le domaine par défaut. Un organisme d’application de la loi autorisé a besoin d’un duplicata des enregistrements comptables pour que l’abonné soit dirigé vers un dispositif de médiation qui réside dans le domaine réseau de l’organisation, qui se trouve dans un VRF différent par défaut.

La gestion des abonnés envoie des rapports en double au VRF que vous spécifiez avec l’instruction vrf-name au niveau de la [edit access profile profile-name accounting duplication-vrf] hiérarchie. Incluez l’instruction access-profile-name au même niveau pour désigner les profils d’accès qui spécifient à leur tour les serveurs RADIUS qui reçoivent les rapports en double.

Filtres pour les états comptables en double

La gestion des abonnés fournit une fonctionnalité de filtre de duplication qui vous permet de spécifier quels serveurs de comptabilité reçoivent les rapports intermédiaires de comptabilité RADIUS lorsque la déclaration en double de comptabilité RADIUS est active. Vous configurez les filtres dans le profil d’accès AAA, puis le routeur applique les filtres aux abonnés associés à ce profil.

La gestion des abonnés prend en charge le filtrage suivant pour les rapports en double de comptabilité RADIUS :

• Messages intermédiaires de comptabilité dupliqués : le routeur filtre les messages de comptabilité en double. Les messages de comptabilité sont envoyés uniquement aux serveurs de comptabilité RADIUS dans le profil d’accès de l’abonné.

• Messages intermédiaires de comptabilité d’origine : le routeur filtre les messages de comptabilité destinés aux serveurs de comptabilité RADIUS d’origine, qui sont des serveurs de comptabilité dans le profil d’accès de l’abonné. Les messages de comptabilité sont envoyés uniquement aux serveurs de comptabilité de duplication (serveurs dans un profil d’accès de duplication autre que le profil d’accès de l’abonné).

• Attributs RADIUS exclus : le routeur filtre les attributs RADIUS dans les messages comptables en fonction de la configuration de l’instruction exclude dans le profil d’accès sous le contexte de duplication. Vous pouvez utiliser le filtre d’exclusion seul, ou avec les filtres de message de comptabilité dupliqués ou d’origine.

Avantages

• Flexibilité accrue grâce à des configurations comptables uniques pour chaque service, permettant une gestion de service sur mesure pour chaque exigence opérationnelle.

• La disponibilité continue du service via l’activation du service par défaut maintient les sessions d’abonnés même lorsque les serveurs d’authentification externes sont hors service.

• Gestion des services résiliente grâce à l’attribution automatique d’un profil de service local de repli pour éviter les interruptions de service en cas de panne de serveur.

• Configuration réseau simplifiée grâce à l’intégration de mises à jour dans les systèmes existants, ce qui réduit la complexité de l’implémentation sans compromettre la stabilité du système.

• Efficacité opérationnelle sans introduction de nouvelles interfaces de programmation d’applications, de modifications SNMP ou de messages de journal système, ce qui facilite l’adoption et minimise les difficultés d’intégration.

Vue d’ensemble

La mise en œuvre du remplacement de la comptabilité RADIUS par service permet de personnaliser les configurations de comptabilité par service au sein d’une session d’abonné. Spécifiez des serveurs de comptabilité RADIUS distincts et des intervalles pour chaque service afin d’améliorer la précision de la gestion des services. Utilisez l’option accounting-server [<list-of-server-addresses>]; de configuration pour définir des listes de serveurs uniques pour chaque service, en alignant la comptabilité sur les besoins opérationnels spécifiques. De plus, update-interval <n>; permet d’ajuster les intervalles de mise à jour comptable, assurant la collecte des données à des fréquences optimales adaptées aux demandes de service.

L’activation du service par défaut garantit une disponibilité ininterrompue du service en attribuant un profil de service local de repli lorsque les serveurs RADIUS externes sont inaccessibles. Agissant comme une solution de repli pour les sessions PPPoE, comme les sessions DHCP, il permet service-profile <service-name>; d’activer un profil de service local prédéfini, maintenant l’accès aux services essentiels en cas de panne de serveur externe. default-service-local-only; Affine les fonctionnalités en limitant l’activation du service par défaut aux scénarios d’authentification locale, en activant des services de repli uniquement lorsque cela est nécessaire.

Ces améliorations s’intègrent de manière transparente aux systèmes existants sans modifier la haute disponibilité ou les protocoles de sécurité. Ils exploitent les structures de configuration existantes pour mettre en œuvre des fonctionnalités avancées de gestion des services, simplifiant ainsi l’adoption et minimisant la complexité de l’intégration, tout en maintenant l’efficacité opérationnelle tout en améliorant la flexibilité et la fiabilité de la gestion des services.

Configuration des remplacements de comptabilité RADIUS pour les services

Pour affecter un serveur de comptabilité RADIUS spécifique à un service, incluez les instructions suivantes dans le [edit access profile profile-name service] hierarchy level]

profile-name — Nom du profil d’accès.

service-name — Nom du service.

server-address — Adresse IP ou adresses du serveur de comptabilité RADIUS

Pour configurer l’intervalle de mise à jour comptable d’un service, incluez les instructions suivantes au niveau de la [edit access profile profile-name service] hiérarchie :

Où :

n : intervalle de mise à jour, en secondes.

Pour spécifier un profil de service local et limiter l’activation du service à des scénarios uniquement locaux, incluez les instructions suivantes au niveau de la hiérarchie [edit access profile profile-name] :

Objet

Affichez des informations sur les messages d’arrêt de comptabilité RADIUS qui sont retenus en raison d’une impossibilité de contacter le serveur de comptabilité RADIUS.

Mesures à prendre

Lorsque vous voulez savoir si le nombre de messages d’arrêt comptable en attente approche du maximum, vous pouvez afficher un nombre simple de demandes en attente :

Vous pouvez utiliser d’autres commandes pour afficher plus d’informations sur les messages comptables. L’exemple suivant affiche des informations pour tous les services de la session de comptabilité pour l’utilisateur, vjshah29@example.com. Bien que cet exemple ne montre qu’un seul utilisateur, cette commande affiche en fait les informations de tous les abonnés pour lesquels la comptabilité est sauvegardée.

Vous pouvez afficher des informations récapitulatives pour tous les utilisateurs disposant d’un profil d’accès particulier. Dans l’exemple suivant, un seul utilisateur, vjshah29@example.com, possède le profil d’accès spécifié, ce-ppp-profile :

Vous pouvez également afficher des informations récapitulatives pour tous les abonnés qui ont des messages d’arrêt de compte en attente, quel que soit le profil d’accès. L’exemple suivant affiche des informations pour deux utilisateurs. Le larry@example.com abonné n’étant pas représenté dans l’exemple précédent, il doit avoir un profil d’accès différent de celui de vjshah29@example.com, même s’il a reçu les mêmes services.

Séquence des événements pendant la suspension, la mise en référence et la reprise de la comptabilité

La séquence d’événements suivante se produit lorsque vous suspendez la comptabilité, générez une base de référence et redémarrez les processus comptables :

1. Exécutez la request network-access aaa accounting suspend commande de suspension de la comptabilité.

   1. Un message de journalisation du système est généré pour indiquer que la comptabilité a été suspendue.

   2. Toute la comptabilité, y compris accounting-backup-options, est suspendue pour tous les serveurs de comptabilité dans tous les contextes de routage.

2. Exécutez la request network-access aaa accounting baseline commande pour générer une base de référence.

   1. Un message de journalisation du système est généré pour indiquer que la base de référence a commencé pour les statistiques comptables.

   2. Les statistiques de temps et de volume pour chaque abonné sont définies sur la valeur de base. Le temps nécessaire pour terminer le processus de référence est indéterminé, en fonction du nombre de détails statistiques.

   3. Un message de journalisation du système est généré pour indiquer que la mise en ligne de base est terminée.

3. Exécutez la commande lorsque la request network-access aaa accounting resume base de référence est terminée pour redémarrer les processus comptables.

   1. Un message de journalisation du système est généré pour indiquer que la comptabilité a repris.

   2. Toutes les options de comptabilité précédemment configurées sont réactivées.

L’opération de référence tente de déterminer la base de référence des compteurs de temps et de volume pour chaque abonné. Les compteurs d’abonnés ne sont définis sur des valeurs de référence que si la comptabilité provisoire est activée pour l’abonné à l’aide de l’instruction set update-interval minutes au niveau de la [edit access profile profile-name accounting] hiérarchie. Si la comptabilité provisoire n’est pas activée pour un abonné, les compteurs de cet abonné correspondant ne sont pas mappés aux valeurs de référence.

Une fois la demande de référence exécutée, une période de temps non spécifiée s’écoule pour établir la référence de tous les enregistrements d’abonnés. Au cours de cet intervalle, les statistiques d’un abonné peuvent s’accumuler lorsque les informations statistiques d’un autre abonné sont établies. Parfois, après le début de la définition de la base de référence, les compteurs de certains services peuvent être inexacts et incohérents en raison du trafic livré à un abonné alors que les compteurs de cet abonné sont définis de référence. Lorsque la commande de ligne de base a été exécutée, la comptabilité ne peut pas être reprise tant que la ligne de base n’est pas terminée. Si vous exécutez la commande alors que la comptabilité n’est pas suspendue ou que la mise en ligne de base est en cours, la commande échoue. La commande signale une erreur si la licence comptable n’est pas installée.

Lignes directrices pour la suspension de la comptabilité et l’établissement de bases de référence des statistiques

Gardez à l’esprit les points suivants lorsque vous suspendez la comptabilité et spécifiez une base de référence pour les statistiques :

• La suspension de la comptabilité dans un environnement où des seuils (ou des quotas) sont applicables n’est pas prise en charge. Cela inclut les environnements dans lesquels les seuils Gx-Plus et Juniper Networks de contrôle des sessions et des ressources (SRC) ou les quotas de volume de sessions RADIUS sont en vigueur pour n’importe quel abonné. La demande de suspension de comptabilité échoue si un abonné a des seuils ou des quotas.

• L’activation des services de seuil (ou de quota) n’est pas autorisée lorsque la comptabilité est suspendue.

• La base de référence comptable n’est pas prise en charge lorsque la comptabilité n’est pas suspendue.

• Vous ne pouvez pas spécifier plus d’une demande de référence pendant une suspension de la comptabilisation.

• La base de référence pour les abonnés qui ne sont pas configurés avec la comptabilité provisoire n’est pas prise en charge.

• Le temps nécessaire à l’exécution de l’opération de base est indéterminé. Elle dépend de la quantité et de la profondeur des statistiques collectées et est proportionnelle au nombre d’abonnés et de sessions de service actives au moment du démarrage de la base de référence. La commande échoue si vous tentez de reprendre la comptabilité alors que la définition de la base de référence est toujours en cours.

• Vous ne pouvez pas utiliser les commandes pour suspendre, définir une base de référence ou reprendre la comptabilité pendant un processus ISSU unifié. Si vous tentez d’exécuter un ISSU unifié alors que la ligne de base est en cours, lorsque l’état du démon du châssis passe à l’état DAEMON_ISSU_PREPARE, les processus d’authentification et de moteur de transfert de paquets suspendent la définition de base sur une limite de session et reprennent après le basculement moteur de routage vers la version vers laquelle l’appareil est mis à niveau.

• Si un basculement GRES (Graceful moteur de routage switchover) se produit alors que la comptabilité est suspendue ou que la référence est en cours, l’état de suspension ou de référence est conservé après le redémarrage du routeur. Dans un tel scénario, la comptabilité est suspendue après le redémarrage du routeur et les abonnés pour lesquels des compteurs restent à établir sont définis après la mise en ligne du routeur.

Exemples de scénarios de suspension et de mise en ligne de la comptabilité des abonnés

Considérez le scénario suivant :

1. La comptabilité provisoire est configurée pour l’abonné X. Il n’est pas configuré pour les abonnés Y et Z.

2. La dernière demande de déclaration en détail intermédiaire envoyée avant la suspension de la reddition de comptes comprend des statistiques pour l’abonné X ; Jusqu’à présent, 50 000 octets de trafic ont été envoyés pour cet abonné. Bien que 20 000 octets aient été envoyés pour l’abonné Y et 10 000 octets pour l’abonné Z, cette information n’a pas encore été déclarée parce qu’ils n’ont pas configuré de comptabilité provisoire.

3. La comptabilité est suspendue.

4. Début de la définition des références. Le nombre actuel d’abonnés X est de 50 000 octets ; Il s’agit de la valeur de base pour l’abonné. Aucune valeur de référence n’est établie pour les abonnés X et Y, car ils n’ont pas configuré de comptabilité intermédiaire.

5. Pendant que la définition de la base de référence est en cours, le trafic continue d’être envoyé pour les trois abonnés : 150 000 octets pour l’abonné X, 80 000 octets pour l’abonné Y et 20 000 octets pour l’abonné Z.

6. L’abonné Z se déconnecte. Aucune demande Acct-Stop n’est envoyée car la comptabilité est suspendue. Par conséquent, les statistiques comptables finales sont perdues pour cet abonné.

7. La définition des bases de référence est terminée.

8. La comptabilité reprend.

9. L’abonné X se déconnecte. Bien que 200 000 octets au total aient été envoyés pour l’abonné X, l’enregistrement Acct-Stop ne rapporte que 150 000 octets : 200 000 octets au total moins la ligne de base de 50 000 octets.

10. L’abonné Y se déconnecte. Étant donné que 100 000 octets au total ont été envoyés pour l’abonné Y et qu’il n’y a pas de valeur de référence, l’enregistrement Acct-Stop indique le total de 100 000 octets.

Le Tableau 7 résume ce scénario.