RADIUSサーバーからのDHCPオプションの受信

RADIUSソースのオプション

加入者管理(ルーター上)またはDHCP管理(スイッチ上)により、RADIUSサーバー上のDHCPオプションを集中的に設定し、加入者ごとまたはDHCPクライアントごとにオプションを配布できます。この方法では、RADIUSをソースとするDHCPオプションが得られます。DHCPオプションはRADIUSサーバーで発信され、加入者(またはDHCPクライアント)に送信されます。これは、オプションがクライアントで発信され、RADIUSサーバーに送信される従来のクライアントからのDHCPオプション設定方法(DHCPソースとも呼ばれる)とは異なります。DHCPローカルサーバーは、加入者(DHCPクライアント)にオプションを渡す前にDHCPオプション文字列の最小限の処理とエラーチェックを行うため、加入者管理(DHCP管理)RADIUSソースのDHCPオプションも 不透明と見なされます。

加入者管理(またはDHCP管理)は、ジュニパーネットワークスVSA 26-55(DHCPオプション)を使用して、RADIUSをソースとしたDHCPオプションを配布します。RADIUS サーバーは、加入者認証または DHCP クライアント認証中にサーバーが返す Access-Accept メッセージに VSA 26-55 を含めます。RADIUSサーバーは、Access-AcceptメッセージをRADIUSクライアントに送信し、次にDHCPローカルサーバーに送信してDHCPサブスクライバに返します。RADIUS サーバーは、1 つの Access-Accept メッセージに VSA 26-55 の複数のインスタンスを含めることができます。RADIUSクライアントは、複数のインスタンスを連結し、その結果を1つのインスタンスとして使用します。

加入者管理(DHCP管理)で一元管理されたDHCPオプションを使用するために必要なCLI設定はありません。この手順は、RADIUS Access-AcceptメッセージにVSA 26-55が存在することでトリガーされます。

DHCPクライアントのオファーパケットを構築する場合、DHCPローカルサーバーは次のシーケンスを使用します。

1. 個別のRADIUS属性として渡されたRADIUS設定パラメータを処理します。例えば、RADIUS属性27(セッションタイムアウト)などです。

2. クライアントソースのパラメーターを処理します。例えば、RADIUS属性53(DHCPメッセージタイプ)や54(サーバー識別子)などです。

3. RADIUS サーバーから受信した VSA 26-55 に含まれる不透明な DHCP オプション文字列を (処理を行わずに) 追加します。

クライアントソースオプション設定

加入者管理(DHCP管理)は、RADIUSサーバー上で直接DHCPオプションを一元設定すること(RADIUSソースオプション)をサポートすることに加えて、ルーター(スイッチ)のDHCPコンポーネントがRADIUSサーバーにオプションを送信する従来のクライアントソースオプション設定もサポートします。クライアントソースのDHCPオプション方式は、DHCPローカルサーバーとDHCPリレーエージェントの両方でサポートされています。ただし、RADIUSをソースとする中央設定方法は、DHCPローカルサーバーでのみサポートされます。RADIUS を発信する方法とクライアントを発信する方法の両方で、DHCPv4 および DHCPv6 の加入者(クライアント)をサポートします。

RADIUSソースDHCPオプションのデータフロー

図 1 は、加入者管理 (DHCP 管理) が加入者 (DHCP クライアント) の DHCP オプションを構成するときに使用する手順を示しています。

図 1: DHCP オプションのデータ フロー

以下の一般的なシーケンスは、加入者管理(DHCP管理)がRADIUSソースのDHCPオプションとVSA 26-55を使用してDHCP加入者(クライアント)を設定する場合のデータフローを説明しています。

1. 加入者(DHCPクライアント)は、DHCP検出メッセージ(またはDHCPv6送信メッセージ)をDHCPローカルサーバーに送信します。このメッセージには、クライアントからの DHCP オプションが含まれています。

2. DHCPローカルサーバーが、Junos OS RADIUSクライアントとの認証を開始します。

3. RADIUSクライアントは、加入者(DHCPクライアント)に代わって、外部RADIUSサーバーにAccess-Requestメッセージを送信します。このメッセージには、加入者(DHCP クライアント)のクライアントから提供される DHCP オプションが含まれます。

4. 外部RADIUSサーバーは、RADIUSクライアントにAccess-Acceptメッセージを送信して応答します。Access-Acceptメッセージには、VSA 26-55のRADIUSソースの不透明DHCPオプションが含まれています。

5. RADIUSクライアントは、DHCPオプション文字列をDHCPローカルサーバーに送信します。複数の VSA 26-55 インスタンスがある場合、RADIUS クライアントはまずそれらを単一のオプション文字列にアセンブルします。

6. DHCPローカルサーバーは、RADIUSを送信元としたVSA 26-55 DHCPオプションを除き、すべてのオプションをDHCPオファー(またはDHCPv6応答)メッセージに処理します。他のすべてのオプションを処理した後、DHCP ローカルサーバーは、変更されていない VSA 26-55 DHCP オプションをメッセージに追加し、メッセージを加入者(DHCP クライアント)に送信します。

7. 加入者(DHCPクライアント)は、DHCPオプションで設定されます。

8. 加入者(DHCP クライアント)が DHCP オプションを受信した後、以下の操作が行われます。

   • アカウンティング—RADIUS クライアントは、VSA 26-55 の RADIUS をソースとする DHCP オプションを含む、Acct-Start および Interim-Accounting 要求を RADIUS サーバーに送信します。デフォルトでは、DHCPオプションはアカウンティング要求に含まれています。

   • 更新—加入者(DHCP クライアント)が更新されると、キャッシュされた DHCP オプションの値が DHCP 更新(または DHCPv6 ACK)メッセージで返されます。最初に割り当てられたDHCPオプションは、更新サイクル中に変更できません。

   • ログアウト—加入者(DHCPクライアント)がログアウトすると、RADIUSクライアントは、RADIUSを送信元のVSA 26-55を含むRADIUSサーバーにAcct-Stopメッセージを送信します。

複数の VSA 26-55 インスタンスの設定

VSA 26-55 は、最大サイズ 247 バイトをサポートします。RADIUS ソースの DHCP オプション フィールドが 247 バイトを超える場合、フィールドを分割し、RADIUS サーバーが返す VSA 26-55 の複数のインスタンスを手動で設定する必要があります。オプションフィールドに複数のインスタンスを使用する場合、RADIUSクライアントによってフラグメントが再構築される順序でパケットにインスタンスを配置する必要があります。フラグメントのサイズは、247 バイト以下の任意のサイズにすることができます。

RADIUS クライアントがアカウンティング要求で再構成された不透明オプション フィールドを RADIUS サーバーに返す場合、クライアントは 247 バイトのフラグメントを使用します。最初に作成した 247 バイト未満のインスタンスの場合、返されるフラグメントは RADIUS サーバーで最初に構成したものと同じではない可能性があります。

一元的に設定できないDHCPオプション

表 1 は、RADIUS サーバーで一元的に構成してはならない DHCP オプションを示しています。

DHCPv6 オプション 17 と VSA 26-207 による加入者クラスの差別化

Junos OS リリース 18.3R1 以降、DHCPv6-Options VSA(26-207)を使用して、DHCPv6 リレー認証中に加入者の異なるクラスを区別できます。例えば、異なる加入者クラスに異なるIPv6プレフィックスを割り当てることができます。

VSAに以下の情報を含めるには、RADIUSサーバーを設定する必要があります。

• ジュニパーネットワークスエンタープライズ番号、2636

• サブオプション 5、JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

区別したいクラスごとにサブオプション 5 に異なる値を設定します。独自のスキームを開発して、値とクラスの間のマッピングを決定します。

VSA 26-207 は、DHCPv6 加入者認証中に RADIUS サーバーから返される Access-Accept メッセージで加入者クラス情報を伝達します。VSA のコンテンツは、セッション データベース属性の SDB_SERVER_DHCPV6_OPTIONS で AAA プロセスから DHCP プロセスに渡されます。DHCPv6 リレー エージェントは、SDB 属性から情報を抽出し、DHCPv6 オプション 17 に配置します。その後、リレー エージェントは、Relay-Forward ヘッダーでオプション 17 を DHCPv6 ローカル サーバーに渡します。これにより、ローカル サーバーは、関連する加入者クラスに固有のリレー エージェントの設定とサービス情報を返すことができます。

Junos OS 18.3R1より前のリリースでは、DHCPローカルサーバーのみがVSA 26-207をサポートしています。サブオプション 1(JDHCPD_VS_OPT_CODE_HOST_NAME)とサブオプション 4(JDHCPD_VS_OPT_CODE_LOCATION_NAME)のみがサポートされています。DHCP リレー エージェントも、SDB_SERVER_DHCPV6_OPTIONS 属性を受信しても破棄します。

RADIUS から受信したサブオプションは、ローカルに設定された情報よりも優先順位が高くなります。例えば、ホスト名とロケーションが[edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific]階層レベルでhost-nameステートメントで設定され、RADIUSからサブオプション1と4で受信された場合、RADIUS値が使用されます。

RADIUS メッセージからの VSA の除外

以下の例のように、 exclude ステートメントを使用することで、これらのVSAを送信から除外することができます。

クライアントオプション

クライアント オプションは、DHCPv4 や DHCPv6 サーバーなどの複数の場所、または RADIUS サーバー内で構成できます。クライアント構成が複数の場所で使用できる場合、構成の詳細のソースに関して競合が発生する可能性があります。このような競合が発生した場合は、次の優先順位が考慮されます。

• VSA(ベンダー固有属性)を通じてRADIUSサーバーから受信するオプション

• 各セッションデータベースを介してRADIUSサーバーから受信したオプション

• DHCPサーバーに存在するDHCPローカル構成からのオプション

前述のプリファレンスの例として、DHCPv4 リース期間の場合を考えてみましょう。RADIUS サーバーに保存されている VSA である AUTHD_ATTR_SESSION_TIMEOUT オプションが RADIUS サーバーから返された場合、そちらが優先されます。このオプションが返されない場合、DHCPv4 の各セッション データベースでオプション 51 が優先されます。そのオプションも返されない場合、オプションはDHCPローカル構成から取得されます。

同様に、DHCPv6のリース時間では、RADIUSサーバーからの AUTHD_ATTR_SESSION_TIMEOUT VSAが最初に優先されます。 AUTHD_ATTR_SESSION_TIMEOUT が存在しない場合は、RADIUSソースのオプション valid-lifetime または preferred-lifetime が優先されます。それも利用できない場合、オプションは DHCPv6 ローカル設定から取得されます。

DHCPv4クライアント、DHCPv4サーバー、RADIUS送信元オプションの交換

次の手順は、DHCPv4 クライアント、DHCPv4 サーバー、および RADIUS サーバー間で設定オプションを交換するプロセスを示しています。

• DHCPv4 クライアントからの 検出 メッセージは、DHCPv4 サーバーによって受信されます。

• DHCP オプションは、それぞれのセッション データベースに保存されます。

  17.4R1より前のJunos OSリリースでは、DHCPv4とDHCPv6の両方のオプションを格納するために同じ属性が使用されます。ただし、シングルセッションDHCPデュアルスタックのサポートにより、DHCPv4とDHCPv6では個別のセッションデータベース属性があります。

• DHCPヘッダー情報は、セッションデータベースに保存されます。

  ヘッダー情報を格納するために新しいセッションデータベース属性が追加され、この情報が認証のためにRADIUSサーバーに送信されます。

• DHCPv4サーバからRADIUSサーバに アクセス要求 メッセージが送信され、RADIUSサーバから アクセス受諾 メッセージを受信すると、DHCPv4オプションがそれぞれのセッションデータベース属性に保存されてクライアントに送信されます。

• DHCPv4 サーバー固有のオプションがパケットに追加されます。

  手記：

  DHCPv4 サーバは、ローカル設定から要請されたオプションと要請されていないオプションの両方を取得できます。したがって、オプションが追加されている間は重複を防ぐことが重要です。

• DHCPv4 リース情報は、RADIUS をソースとする DHCP オプション 51 から抽出されます。

  それぞれのセッションデータベース属性を使用して、オプション51(リース時間)がRADIUSによるものかどうかを確認します。その場合は、属性値が抽出され、クライアント・データ構造に保存されます。RADIUSから供給されていない場合、属性値はローカルプール構成または既存の機能であるDHCPv4属性構成から取得されます。同様のチェックが、オプション 58 (更新時間 (T1)) とオプション 59 (再バインド時間 (T2)) に対して実行されます。

• オファー メッセージは、DHCPv4 サーバから DHCPv4 クライアントに送信されます。

DHCPv6クライアント、DHCPv6サーバー、RADIUS送信元オプションの交換

次の手順は、DHCPv6 クライアント、DHCPv6 サーバー、および RADIUS サーバー間で構成オプションを交換するプロセスを示しています。

• DHCP クライアントからの 送信請求 メッセージは、DHCPv6 サーバーによって受信されます。

• DHCPv6 オプションは、DHCPv6 サーバーのセッション データベースに保存されます。

  17.4R1より前のJunos OSリリースでは、DHCPv6オプションはそれぞれのセッションデータベース属性に保存されます。現在の単一セッションDHCPデュアルスタックサポートのため、DHCPv4オプションとDHCPv6オプションを保存するための個別のセッションデータベース属性が必要です。クライアントがシングルセッション デュアルスタック構成の一部である場合、それぞれの DHCPv6 オプションのセッション データベース属性が使用されます。DHCPv6 オプションは、変更なしでセッション データベースに直接コピーされ、RADIUS サーバーに送信されます。

  手記：

  DHCPv6 auth-option (オプション 11)もこれらのオプションの一部です。

• DHCPv6 メッセージ ヘッダーがセッション データベースに保存されます。

  DHCPv6 メッセージ ヘッダーをコピーするための新しいセッション データベース属性が追加されました。

• DHCPv6サーバーから アクセス要求 メッセージが送信され、DHCPv6サーバーはRADIUSサーバーから アクセス受け入れ メッセージを受信します。このメッセージには、新しいセッションデータベース属性に保存されているRADIUS送信元のDHCPv6オプションが含まれています。

• DHCPv6リース情報は、RADIUSソースのDHCPv6オプションから抽出されます。

  DHCPv6 の場合、リース期間はオプション OPTION_IA_NA と OPTION_IA_PD 内に埋め込まれます。クライアントのリース時間は、RADIUS サーバーからのこれらの値で始まります。 IA_ADDRESS、 IA_PREFIX、 IA_NA、または IA_PD オプションが RADIUS から供給されていない場合、これらのオプションはローカル プールおよび委任されたプール構成から取得されます。

• DHCPV6 サーバー固有のオプションがパケットに追加されます。

  手記：

  DHCPv6 サーバは、要請されたオプションと要請されていないオプションの両方をローカル設定から取得できます。したがって、オプションが追加されている間は重複を防ぐことが重要です。

• アドバタイズ メッセージは、DHCPv6 サーバから DHCPv6 クライアントに送信されます。

目的

RADIUSサーバー上で集中的に設定され、ジュニパーネットワークスVSA 26-55(DHCPオプション)を使用して配布されるDHCPオプションに関する情報を表示します。

アクション

不透明な DHCP オプションの情報を表示するには、次の手順に従います。

意味

DHCP オプションの出力には、次の情報が表示されます。

• lenフィールドは、メッセージ内の 16 進数値の総数です。

• 16進数値は、DHCPオプションのタイプ、長さ、および値(TLV)を指定し、RFC 2132で定義されているように、DHCPオプションを識別するために10進数に変換されます。

特定のDHCPオプションを構成する16進数値の数は、オプションの長さによって異なります。たとえば、出力で指定された最初のDHCPオプションには、3セットの16進数値(35 01 01)が含まれています。最初の 16 進数値 (35) はオプションの種類を識別し、2 番目の値 (01) は値エントリの長さを示し、この場合は 16 進数の 1 つのセットです。3 番目の 16 進数値(01)は、DHCP オプションの値を指定します。

2 番目の DHCP オプション指定(39 02 02 40)では、16 進数値 39 がタイプであり、 02 の長さは 2 組の 16 進数エントリーがオプションの値を構成することを指定します。したがって、このオプション指定では、4 組の 16 進数エントリーを使用します。1つはタイプ(39)、1つは長さ(02)、2つはオプション値(02 40)を指定します。

3 番目の DHCP オプションは、 3d 07 01 00 10 94 00 00 08 16 進数値で指定します。16進数の 3d はタイプで、その後に長さ(07)が続き、次の7組の16進エントリがオプションの値を構成することを指定します。したがって、このオプション指定では、合計 9 組の 16 進数エントリが使用されます。1 つはタイプ (3d)、もう 1 つは長さ (07)、7 は DHCP オプションの値 (01 00 10 94 00 00 08) です。

表 2 では、最初の 2 つのオプションについて詳しく説明しています。