주니퍼 BNG CUPS 합법적 감청 사용
이 문서에서는 Juniper BNG CUPS 환경에서 합법적 감청을 설정하는 데 사용할 수 있는 개념 정보와 샘플 구성을 제공합니다.
합법적 감청 개요
합법적 감청은 사법 또는 행정 명령에 의해 승인된 대로 대상 개인 또는 조직과 관련된 통신 네트워크 데이터를 획득하는 프로세스입니다. 가입자 보안 정책(합법적 가로채기)은 가입자 단위로 트래픽을 미러링하는 기능을 제공합니다. 가입자 트래픽은 미러링될 수 있을 뿐만 아니라 미러링 중인 가입자 세션과 관련된 이벤트도 모니터링될 수 있습니다. (합법적 감청에 대한 자세한 내용은 Junos Multi-Access 사용자 플레인에서의 합법적 감청을 참조하십시오.)
가입자 보안 정책 미러링은 RADIUS 또는 DTCP(Dynamic Tasking Control Protocol)에서 제공하는 정보를 기반으로 할 수 있으며 IPv4 및 IPv6 트래픽을 모두 미러링할 수 있습니다. 가입자 보안 정책이 트리거된 후 가입자의 수신 및 발신 트래픽이 모두 미러링됩니다. 원래 트래픽은 의도된 대상으로 전송되고 미러링된 트래픽은 분석을 위해 중재 디바이스로 전송됩니다. 실제 미러링 작업은 트래픽이 미러링되는 가입자에게 투명합니다. 특수 UDP/IP 플러스 합법적 감청 헤더가 중재 디바이스로 전송되는 각 미러링된 패킷 앞에 추가됩니다. 중재 디바이스는 LI 헤더(8바이트)를 사용하여 여러 사용자를 구별합니다
주니퍼 BNG CUPS의 BNG CUPS 가입자 보안 정책 기능은 3세대 파트너십 프로젝트의 "합법적 감청 지원" 섹션에 따라 BNG CUPS 컨트롤러와 BNG 사용자 플레인 간에 분할됩니다. 기술 사양 그룹 코어 네트워크 및 터미널; 컨트롤 플레인과 사용자 플레인 노드 간의 인터페이스; 3단계 문서.
그림 1 은 RADIUS 서버 기반 가입자 합법적 가로채기를 보여줍니다.
- 중재 디바이스는 인터셉트 프로비저닝 정보를 RADIUS 서버로 전송합니다.
- RADIUS 서버는 ACCESS-ACCEPT 또는 CoA(Change of Authorization) 메시지로 합법적인 가로채기 VSA를 BNG CUPS 컨트롤러로 보냅니다.
- BNG CUPS 컨트롤러는 중재 장치(있는 경우)에 합법적인 인터셉트 트랩을 전송하고 BNG 사용자 플레인을 프로그래밍합니다.
- 가입자 트래픽은 BNG 사용자 플레인에서 중재 디바이스로 미러링됩니다.
그림 2는 DTCP 기반 가입자 합법적 가로채기를 보여줍니다.
- 중재 디바이스는 BNG CUPS 컨트롤러로 DTCP 메시지를 전송합니다.
- BNG CUPS 컨트롤러는 합법적인 인터셉트 트랩을 중재 디바이스(있는 경우)로 전송하고 BNG 사용자 플레인을 프로그래밍합니다.
- 가입자 트래픽은 BNG 사용자 플레인에서 중재 디바이스로 미러링됩니다.
합법적 감청 구성
radius-flow-tap 컨피그레이션 명령은 BNG CUPS 컨트롤러와 BNG 사용자 플레인 간에 분할됩니다.
BNG CUPS 컨트롤러 합법적 감청 구성
radius-flow-tap 다음과 같이 BNG CUPS 컨트롤러에서 가입자 보안 정책 미러링을 위한 서비스를 구성합니다.
[edit services]
radius-flow-tap {
policy policy-name {
…
}
}
동적 태스킹 제어 프로토콜 구성
BNG CUPS 컨트롤러에서 모든 동적 태스킹 제어 프로토콜 구성을 실행합니다.
BNG CUPS 컨트롤러에서 다음 구성을 수행합니다.
[edit]
System {
login {
class class-name {
permissions flow-tap-operation;
}
user user-name {
uid uid;
class class-name;
authentication {
encrypted-password <string>
}
}
}
services {
flow-tap-dtcp {
ssh {
connection-limit connection-limit;
rate-limit rate-limit;
}
}
}
}
BNG 사용자 플레인 합법적 감청 구성
BNG 사용자 플레인의 radius-flow-tap 중재 디바이스에 대한 가입자 보안 정책 미러링 매개 변수를 위한 서비스를 다음과 같이 구성합니다.
[edit services]
radius-flow-tap {
forwarding-class class-name;
logical-system logical-system-name routing-instance routing-instance-name;
routing-instance routing-instance-name;
source-ipv4-address ipv4-address;
}