Juniper Mist attributs RADIUS

Les services RADIUS peuvent être activés sur les points d’accès Mist pour l’authentification des utilisateurs WLAN. Les services RADIUS sont requis pour les WLAN implémentant l’authentification IEEE 802.1X.

Lors de l’authentification, le point d’accès envoie des informations utilisateur au serveur RADIUS dans un message de demande d’accès. Le serveur RADIUS renvoie l’une des réponses suivantes :

• Access-Reject : refuse inconditionnellement l’accès à la ressource réseau demandée. Les raisons de l’échec peuvent inclure des informations d’identification non valides ou un compte inactif.

• Access-Challenge : demande des informations supplémentaires à l’utilisateur, telles qu’un mot de passe secondaire, un code PIN, un jeton ou une carte. Access-Challenge est également utilisé dans une authentification plus complexe lorsqu’un tunnel sécurisé est établi entre l’utilisateur et le serveur Radius, par exemple pour l’authentification à l’aide du protocole EAP (Extensible Authentication Protocol).

• Access-Accept : autorise l’accès à la ressource réseau demandée. La demande d’accès inclut souvent des informations de configuration supplémentaires pour l’utilisateur à l’aide d’attributs de retour.

• Attributs d’authentification standard IETF
• Attributs spécifiques aux fournisseurs pris en charge

Vous pouvez activer ou désactiver les serveurs de comptabilité RADIUS dans la configuration WLAN. Vous pouvez utiliser les informations comptables RADIUS pour suivre l’utilisation du réseau des utilisateurs à des fins de facturation et pour collecter des données pour la surveillance générale du réseau.

Les configurations comptables suivantes sont prises en charge :

• Start-Stop : Juniper Mist AP transfèrent les demandes de comptabilité au début et à la fin des sessions utilisateur. Ce comportement est activé par défaut, dès qu’au moins un serveur comptable est configuré sous WLAN.

• Start-Interim-Stop : les points d’accès Juniper Mist transfèrent les demandes de comptabilité au début et à la fin des sessions utilisateur, et régulièrement pendant toute la durée de vie des sessions. L’attribut Framed-IP-Address sera inclus dans les messages de comptabilité.

  Note:

  L’intervalle Interim-Update peut également être remplacé dynamiquement en envoyant Acct-Interim-Interval (85) AVP à partir du serveur RADIUS.

Le tableau suivant décrit les attributs de comptabilité RADIUS standard qui ont été implémentés dans les points d’accès Juniper Mist conformément à la norme RFC 2866.

Tableau 3 : attributs comptables pris en charge

Nom de l’attribut	Type	RFC	Description
Nom d’utilisateur	1	RFC 2865	L’attribut User-Name est transmis dans la Accounting-Request et indique le nom de l’utilisateur.
Adresse IP NAS	4	RFC 2865	L’attribut NAS-IP-Address est transmis dans la demande de comptabilité et indique l’adresse IP du point d’accès.
adresse IP tramée	8	RFC 2865	L’attribut Framed-IP-Address est transféré dans les paquets Accounting-Request et indique l’adresse IP actuelle ou la dernière connue du client sans fil. Elle n’est envoyée que lorsque la comptabilité intermédiaire est activée sur le WLAN. Remarque : lors de la première connexion client, lorsque le client n’a pas encore obtenu d’adresse IP, Framed-IP-Address AVP sera manquant dans le premier paquet Accounting-Start. Toutefois, dès que le point d’accès apprend l’adresse IP du client, il envoie un message de mise à jour provisoire de comptabilité asynchrone (en dehors de l’intervalle normal de mise à jour de la comptabilité intermédiaire) avec des informations sur l’adresse IP encadrée.
Classe	25	RFC 2865	L’attribut Class est éventuellement transféré dans Access-Accept et doit être envoyé sans modification par le client au serveur de comptabilité dans le cadre du paquet Accounting-Request si la comptabilité est activée. Les points d’accès Mist prennent en charge l’envoi de plusieurs attributs de classe pour chaque client.
ID de station_appelée	30	RFC 2865	L’attribut Called-Station-Id est transmis dans la demande de comptabilité et indique le BSSID et l’ESSID auxquels l’utilisateur est associé. Le point d’accès transmet la valeur de l’attribut à l’aide de la mise en forme suivante : XX-XX-XX-XX-XX-XX :ESSID.
ID de poste d’appel	31	RFC 2865	L’attribut Calling-Station-Id est transféré dans la demande de comptabilité et indique l’adresse MAC de l’utilisateur. Le point d’accès transmet la valeur de l’attribut en utilisant la mise en forme suivante : XX-XX-XX-XX-XX-XX.
Identificateur NAS	32	RFC 2865	L’attribut NAS-Identifier est transmis dans la demande de comptabilité et indique l’identifiant défini par l’utilisateur configuré dans les paramètres WLAN.
Type-de-statut de compte	40	RFC 2866	L’attribut Acct-Status-Type est transmis dans la demande de comptabilité et indique si la demande de comptabilité marque l’état de la mise à jour comptable. Les valeurs prises en charge sont Start, Stop et Interim-Update.
Délai de compte	41	RFC 2866	L’attribut Acct-Delay-Time est transmis dans la demande de comptabilité et indique le nombre de secondes pendant lesquelles le point d’accès a tenté d’envoyer l’enregistrement comptable. Cette valeur est soustraite de l’heure d’arrivée sur le serveur pour trouver l’heure approximative de l’événement générant cette demande de comptabilité.
Octets d’entrée acct	42	RFC 2866	L’attribut Acct-Input-Octets est transmis dans la demande de comptabilité et indique le nombre d’octets reçus de l’utilisateur au cours de la connexion. Cet attribut ne peut être présent que dans les enregistrements Accounting-Request où le type Acct-Status est défini sur Stop.
Octets-de-sortie-acct	43	RFC 2866	L’attribut Acct-Output-Octets est transmis dans la demande de comptabilité et indique le nombre d’octets qui ont été transférés à l’utilisateur au cours de la connexion. Cet attribut ne peut être présent que dans les enregistrements Accounting-Request où le type Acct-Status est défini sur Stop.
Acct-session-id	44	RFC 2866	L’attribut Acct-Session-Id est transféré dans la demande de comptabilité et fournit un identifiant unique pour faciliter la concordance des enregistrements de démarrage, d’arrêt et intermédiaires dans un fichier journal comptable.
Compte authentique	45	RFC 2866	L’attribut Account-Authentic est transmis dans la demande de comptabilité et indique comment l’utilisateur a été authentifié. Lorsque la comptabilité RADIUS est activée, le point d’accès définit cette valeur sur RADIUS.
Acct-session-time	46	RFC 2866	L’attribut Acct-Session-Time est transmis dans la demande de comptabilité et indique le nombre de secondes pendant lesquelles l’utilisateur a reçu le service. Cet attribut ne peut être présent que dans les enregistrements Accounting-Request où le type Acct-Status est défini sur Stop.
Paquets d’entrée de compte	47	RFC 2866	L’attribut Acct-Input-Packets est transmis dans la demande de comptabilité et indique le nombre de paquets reçus de l’utilisateur au cours de la connexion. Cet attribut ne peut être présent que dans les enregistrements Accounting-Request où le type Acct-Status est défini sur Stop.
Paquets de sortie acct	48	RFC 2866	L’attribut Acct-Output-Packets est transféré dans la demande de comptabilité et indique le nombre de paquets qui ont été transférés à l’utilisateur au cours de la connexion. Cet attribut ne peut être présent que dans les enregistrements Accounting-Request où le type Acct-Status est défini sur Stop.
acct-terminate-cause	49	RFC 2866	L’attribut Acct-Terminate-Cause est transmis dans la demande de comptabilité et indique comment la session a été terminée. Cet attribut ne peut être présent que dans les enregistrements Accounting-Request où le type Acct-Status est défini sur Stop.
Horodatage d’événement	55	RFC 2869	L’attribut Event-Timestamp est transmis dans la demande de comptabilité et indique l’heure à laquelle l’événement comptable s’est produit sur le point d’accès.
Type de port NAS	61	RFC 2865	L’attribut NAS-Port-Type est transmis dans la demande de comptabilité et indique le type de connexion physique de l’utilisateur. Cette valeur d’attribut est toujours définie sur Wireless-802.11 par le point d’accès Mist.

À l’origine, le protocole d’authentification RADIUS ne prenait pas en charge les messages non sollicités envoyés par le serveur RADIUS au point d’accès. Toutefois, il existe de nombreux cas dans lesquels il est souhaitable de modifier les caractéristiques de session sans que le point d’accès n’ait besoin d’initier l’échange.

Pour surmonter ces limitations, plusieurs fournisseurs ont mis en place des extensions RADIUS supplémentaires qui prennent en charge les messages non sollicités envoyés depuis le serveur RADIUS vers un point d’accès. Ces extensions prennent en charge les messages de déconnexion et de changement d’autorisation (CoA) qui peuvent être utilisés pour mettre fin à une session utilisateur active ou modifier les caractéristiques d’une session active.

• Disconnect-Request : provoque l’arrêt d’une session utilisateur. Le paquet Disconnect-Request identifie le NAS ainsi que la session utilisateur à terminer en incluant les attributs d’identification indiqués dans le tableau 3.0.

• CoA-Request : entraîne la mise à jour dynamique des informations de session sur le point d’accès.

• Attributs de demande de déconnexion
• Attributs CoA-Request