加入者ドメインからアクセスおよびセッションオプションへのマッピング

加入者管理用のドメインマップを設定するには:

加入者管理では、ワイルドカードの部分一致に基づくドメインマッピングを設定できるワイルドカードドメインマップ機能をサポートしています。加入者ドメイン名と設定されたドメインマップの間に完全に一致しない場合、加入者管理は次に、加入者ドメイン名とワイルドカードドメインマップの間で部分的に一致するものを探します。

ワイルドカードドメインマップを作成するには、ドメインマップ名の設定時にアスタリスクのワイルドカード文字(例: domain map example*)を含めます。ワイルドカード文字はドメインマップ内の任意の場所に挿入でき、ワイルドカードは0文字または任意の文字を表すことができます。アスタリスクは、サポートされている唯一のワイルドカード文字です。

例えば、設定ステートメントは、examplenorthern.com、example-northern.com、example1234northern.comなど、exampleで始まりnorthern.comで終わるすべてのドメイン名に部分的に一致するワイルドカードドメインマップを作成するdomain map example*northern.com。ただし、ドメインマップ名のワイルドカード文字をdomain map example-northern*.comに移動すると、部分的に一致するドメイン名がexample-northern555.comやexample-northern-alpha.comなどのexample-northernで始まる必要がある、より制限の厳しい一致が作成されます。

ワイルドカードドメインマッピングは、加入者管理がDHCPv4エージェントリモートID(オプション82サブオプション2)またはDHCPv6リモートID(オプション37)から加入者ユーザー名を導き出す場合にも便利です。このような場合、結果のユーザー名は subscriberID|service-plan|accountID|unusedの形式になります。たとえば、 EricSmith|premiumTier1|314159265|0000 ( | 文字が区切り記号です)。この例では、加入者管理はユーザー名を左から右に解析し、加入者のドメインを premiumTier1|314159265|0000として識別します。この加入者に使用するワイルドカードドメインマップを作成するには、 domain map premiumTier1*を設定します。

次の例では、4 つの加入者が異なるドメインにどのようにマッピングされるかを示しています。

この例では、3つのドメインマップが設定されています。 default ドメインマップ、 example3000.comという名前のドメインマップ、 example*という名前のワイルドカードドメインマップ。加入者は、以下のリストに示すようにマッピングされます。

• eric@example3000.com—ドメインマップが完全に一致するため、加入者はドメイン example3000.comにマップされます。

• jack@example1001.com—完全一致はありませんが、ワイルドカードドメインに部分的に一致するため、加入者はワイルドカードドメイン example*にマップされます。

• ginger@example-western.com—完全一致はありませんが、ワイルドカードドメインに部分的に一致するため、加入者もワイルドカードドメイン example*にマップされます。

• sunshine@test.com—ワイルドカードドメインに完全一致はなく、部分的に一致することもないため、加入者は default ドメインにマップされます。

ワイルドカードドメインマップを設定するには:

アクセスプロファイルを使用して、ルーターが加入者セッションに適用するアクセスルールとオプション(例えば、RADIUS認証サーバーや属性)を指定します。ドメインマップ機能を使用すると、特定のドメインの加入者に特定のアクセスプロファイルを適用できます。

アクセスプロファイルは、いくつかの異なる方法で指定または変更できます。競合が発生した場合、ルーターは 表2に示す優先順位ルールに基づいてアクセスプロファイルを適用します。

ドメインマップにアクセスプロファイルを含めるには:

ドメインマップ機能を使用して、ルーターが加入者セッションにアドレスを割り当てるために使用するアドレスプールを指定できます。アドレスプールには、IPv4とIPv6の両方のアドレス範囲を含めることができます。

アドレスプールは、いくつかの異なる方法で指定または変更できます。競合が発生した場合、ルーターは 表3に示す優先順位ルールに基づいてアドレスプールを適用します。

ドメインマップに使用するアドレスプールを指定するには:

動的プロファイルは、加入者セッションに動的なアクセスとサービスを提供する一連の特性(サービスクラス、プロトコル、インターフェイスサポートなど)を定義します。ドメインマップ機能により、加入者ドメインに基づいて特定の動的プロファイルを適用できます。

動的プロファイルは [edit dynamic-profiles] 階層で設定され、いくつかの異なる方法で指定または変更できます。競合が発生した場合、ルーターは 表4に示す優先順位ルールに基づいて動的プロファイルを適用します。

ドメインマップに動的プロファイルを含めるには:

デフォルトでは、ドメインマップは、 authd デーモンがAAA認証およびアカウンティング要求を送信するコンテキストとして、加入者論理システム/ルーティングインスタンスを使用します。オプションで、加入者のドメイン名に基づいて、AAAリクエストを特定のコンテキストに誘導するようにドメインマップを設定することができます。デフォルト以外のAAAコンテキストを指定することで、ワークフローとトラフィック負荷を管理し、多数の加入者に対して効率的に変更を行うことができます。例えば、RADIUSサービスをアップグレードした後、ドメインマップを設定して、ドメイン example.com 内のすべての加入者が特定のAAAコンテキストでRADIUSサーバーによって認証されるよう指定できます。

AAA要求に使用される論理システム/ルーティングインスタンスコンテキストを設定するには:

デフォルトでは、ルーターは加入者ネゴシエーションが開始されるインターフェイスの論理システム/ルーティングインスタンスコンテキストに加入者を配置します。ドメインマップまたはRADIUS認証サーバーを使用して、後で加入者のコンテキストのルーティングインスタンスを変更できます。

加入者管理はデフォルトの論理システムでのみサポートされていますが、デフォルト以外のルーティングインスタンスを使用するようにドメインマップを設定することができます。また、デフォルト以外のルーティングインスタンスがすでに設定されている場合は、デフォルトのルーティングインスタンスを使用するようにドメインマップを設定することができます。

加入者のインターフェイスに使用される論理システム/ルーティングインスタンスコンテキストを設定するには:

トンネルプロファイルは、ルーターが加入者セッションに適用するトンネル定義(例えば、L2TPトンネルのセットとその属性)を指定します。ドメインマップ機能により、特定のドメインの加入者に特定のトンネルプロファイルを適用できます。

ドメインマップにトンネルプロファイルを含めるには:

トンネルスイッチプロファイルは、LACからのL2TP加入者セッションのパケットを、宛先LNSが異なる別のセッションに切り替えるかどうかを決定します。トンネル スイッチ プロファイルでは、パケットが 2 つ目のトンネルにスイッチングされたときに、特定のトンネル AVP がどのように処理されるかを指定することもできます。ドメインマップ機能により、特定のドメインの加入者に特定のトンネルスイッチプロファイルを適用できます。

ドメインマップにトンネルスイッチプロファイルを含めるには:

ドメインマッピング機能に使用するドメイン名をルーターが決定する方法を設定できます。グローバルレベルで、ドメインマップに使用するルールを指定できます。グローバルルールを使用すると、ルーターがドメイン名またはレルム名区切り文字として認識できる追加文字を指定したり、ルーターがドメイン名またはレルム名を解析するために使用する方向を指定したりできます。ドメイン名またはレルム名を解析する目的は、名前のソースが一般的なドメイン名形式(joseph@example.com)であるか、レルム名形式(example.com\marilyn)であるかに関係なく、ルーターが加入者のドメイン名として使用する単一の一意の名前を識別することです。ルーターは、結果のドメイン名をドメインマップの検索や処理などの操作に使用します。ドメインマップレベルでは、ドメイン名のストリッピングを有効にすることもできます。ドメイン名ストリッピングは、ドメインマップの追加処理を実行する前に、ルーターが解析されたドメイン名またはレルム名を加入者ユーザー名から削除することを指定します。

ドメインマップのドメイン名使用ルールを設定するには:

区切り文字は、加入者のユーザー名をドメイン名またはレルム名から区切る文字です。区切り文字は、ドメインまたはレルム名の解析またはドメイン名のストリッピングに一般的に使用されます。ルーターがドメインマップのドメイン名またはレルム名を認識するために使用する区切り記号を最大8つまで指定できます。区切り文字を設定しない場合、ルーターはデフォルトでドメイン名に @ 文字を使用します。レルム名のデフォルトの区切り記号はありません。

たとえば、ネットワークに加入者 bob@test.com、 pete!example.com、 test.net\mariaが含まれている場合があります。この場合、 @ と ! の文字をドメイン名区切り文字として認識し、 \ 文字をレルム名区切り文字として認識するようにルーターを設定します。

区切り文字を指定する際は、次のガイドラインに留意してください。

• セミコロン(;)を区切り文字として使用することはできません。

• オプションのドメイン名区切り文字を設定する場合、区切り文字として引き続き使用するには、 @ 文字(デフォルトの区切り文字)も指定する必要があります。

• オプションのドメイン名区切り記号を設定してから構成を解除すると、ルーターはドメインマップ区切り記号をデフォルトの @ 文字に戻します。

ドメインマップのドメイン名とレルム名の区切り文字を設定するには:

ルーターは、名前のソースが一般的なドメイン名形式(joseph@example.com)であるか、レルム名形式(example.com\marilyn)であるかに関係なく、ルーターが加入者のドメイン名として使用する単一の一意の名前を識別するために、ユーザー名ドメインまたはレルム名を解析します。ルーターが最初に加入者のユーザー名でドメイン名とレルム名のどちらを検索するかを指定できます。ルーターが指定された名前を見つけない場合(たとえば、 realm-first を指定し、ユーザー名にレルム名がない場合)、ルーターは2番目のタイプの名前(この場合はドメイン名)を検索します。ルーターがレルム名もドメイン名も見つからない場合、ドメインマッピング操作に使用できるドメインはありません。

ドメインマップのドメイン名解析方向を設定するには:

ドメインマップの加入者ドメイン名またはレルム名を特定するために使用する解析操作を、ルーターが実行する方向を指定できます。解析操作中、ルーターは区切り記号を認識するまでユーザー名を検索します。次に、区切り記号の右側にあるものをドメインと見なします。デフォルトでは、ルーターは右から左に解析し、ユーザー名の右端の文字から始まります。

ルーターは、加入者のドメイン名を使用して、ドメインマップの検索と処理操作を実行します。ユーザー名が従来のドメイン名形式またはレルム名で表示されている場合に、ルーターが一意のドメイン名を識別する方法を設定できます。従来のドメイン名形式では、ユーザー名の後にドメイン名が続きます。例えば、joe@example.com です。レルム名形式では、ユーザー名の前にドメイン名が付きます。これはレルム名と呼ばれます。例:example.com@joe。ドメイン名またはレルム名を解析する目的は、名前のソースがユーザーの元のドメイン名またはレルム名であるかどうかに関係なく、ルーターが加入者のドメイン名として使用する単一の名前を識別することです。ルーターは、結果のドメイン名をドメインマップの検索や処理などの操作に使用します。ドメインマップレベルでは、ドメイン名のストリッピングを有効にすることもできます。

ネストされたドメイン名がある場合、使用するドメイン解析の方向は重要です。例えば、ユーザー名 user1@test.com@example.comの場合、右から左に解析すると、 example.comのドメイン名が生成されます。同じユーザー名に対して、左から右に解析すると、 test.com@example.comのドメイン名が生成されます。

ドメインマップのドメイン名解析方向を設定するには:

AAAサービスを使用する前に、ユーザー名からドメイン名を削除するようにルーターを設定できます。ドメイン名のストリッピングは、ドメインマップに対して行われます。ルーターは、グローバルに設定した区切り文字と解析方向を使用して、削除されるドメイン名を決定します。例えば、ルーターがデフォルトの区切り文字と解析方向 right-to-leftを使用する場合、ユーザー名 user1@example.com は削除されて user1されます。

ドメインマップ内のユーザー名からドメイン名を削除するようにルーターを設定するには:

ユースケースによっては、ルーターシャーシからL2TP LAC加入者ユーザー名と認証パスワードをプロビジョニングすることができます。ユーザー名のユーザー部分を削除し、ユーザーパスワードを上書きすることができます。

ユーザー名が従来のドメイン名形式またはレルム名形式のいずれかで提示された場合に、ルーターが削除するユーザー部分をどのように識別するかを設定できます。従来のドメイン名形式では、ユーザー名の後にドメイン名が続きます。例えば、joe@example.com です。レルム名形式では、ユーザー名の前にドメイン名が付きます。これはレルム名と呼ばれます。例:example.com@joe。

ユーザー名のユーザー部分を識別するために使用する解析操作をルーターが実行する方向を指定できます。解析操作中、ルーターは区切り記号を認識するまでユーザー名を検索します。デフォルトでは、ルーターはユーザー名の左端の文字から左から右に解析します。区切り記号の左側はすべてユーザー部分です。この方向性は、従来のドメイン名フォーマットにも当てはまります。この設定では、ルーターがジョーを識別し、joe@example.com から取り除きます。

レルム名形式のユーザー名の場合、解析方向を right-to-leftに変更する必要があります。ルーターは、ユーザー名の右端の文字から右から左に解析します。ルーターが区切り文字を認識すると、区切り文字の右側にあるものはすべてユーザー部分とみなします。この設定では、ルーターが joe を識別し、example.com@joe から削除します。

ドメインマップに関連付けられたすべてのユーザー名のユーザー名からユーザー部分を削除するように設定するには:

ルーターが使用する解析方向を指定します。

• ユーザー名がユーザー名の後に続くドメイン名である、ユーザー名が一般的なドメイン名形式である場合に left-to-right 使用します。

• ユーザー名がレルム名形式の場合、 right-to-left レルム名がユーザー名の前から来る場合に使用します。

新しいパスワードを指定して、ドメインマップに関連付けられた加入者を認証するための既存のパスワードを上書きできます。パスワードを上書きするには:

• PAP認証の上書きパスワードを指定します。

• CHAP認証の上書きパスワードを指定します。