RADIUS 서버에서 DHCP 옵션 수신

RADIUS 소스 옵션

가입자 관리(라우터에서) 또는 DHCP 관리(스위치에서)를 사용하면 RADIUS 서버에서 DHCP 옵션을 중앙에서 구성한 다음, 가입자당 또는 DHCP 클라이언트별로 옵션을 배포할 수 있습니다. 이 방법은 RADIUS 조달 DHCP 옵션을 초래합니다. DHCP 옵션은 RADIUS 서버에서 시작되어 가입자(또는 DHCP 클라이언트)로 전송됩니다. 이는 옵션이 클라이언트에서 시작되어 RADIUS 서버로 전송되는 DHCP 옵션을 구성하는 기존 클라이언트 소스 방식(DHCP-sourced라고도 함)과 다릅니다. 가입자 관리(DHCP 관리) RADIUS 소스 DHCP 옵션도 불투명한 것으로 간주됩니다. DHCP 로컬 서버가 가입자(DHCP 클라이언트)에 옵션을 전달하기 전에 DHCP 옵션 문자열에 대한 최소한의 처리 및 오류 확인을 수행하기 때문입니다.

가입자 관리(또는 DHCP 관리)는 주니퍼 네트웍스 VSA 26-55(DHCP-옵션)를 사용하여 RADIUS 소스 DHCP 옵션을 배포합니다. RADIUS 서버는 Access-Accept 메시지에 가입자 인증 또는 DHCP 클라이언트 인증 중에 서버가 반환한다는 VSA 26-55를 포함합니다. RADIUS 서버는 access-Accept 메시지를 RADIUS 클라이언트에 보낸 다음 DHCP 로컬 서버로 전송하여 DHCP 가입자에게 돌아갑니다. RADIUS 서버는 단일 Access-Accept 메시지에 VSA 26-55의 여러 인스턴스를 포함할 수 있습니다. RADIUS 클라이언트는 여러 인스턴스를 조합하고 결과를 단일 인스턴스로 사용합니다.

가입자 관리(DHCP 관리)가 중앙에서 구성된 DHCP 옵션을 사용하도록 활성화하는 데 CLI 구성이 필요하지 않습니다. 이 절차는 RADIUS Access-Accept 메시지에 VSA 26-55가 존재하여 트리거됩니다.

DHCP 클라이언트에 대한 오퍼 패킷을 구축할 때 DHCP 로컬 서버는 다음 시퀀스를 사용합니다.

1. 별도의 RADIUS 속성으로 전달되는 RADIUS 구성된 매개 변수를 처리합니다. 예를 들어 RADIUS 속성 27(세션 시간 초과)을 들 수 있습니다.

2. 모든 클라이언트 소스 매개 변수를 처리합니다. 예를 들어, RADIUS 속성 53(DHCP 메시지 유형) 및 54(서버 식별자).

3. RADIUS 서버에서 수신된 VSA 26-55에 포함된 불투명 DHCP 옵션 문자열을 추가합니다(어떤 처리도 수행하지 않는 경우).

클라이언트 소스 옵션 구성

RADIUS 서버(RADIUS 소스 옵션)에서 직접 DHCP 옵션의 중앙 구성을 지원하는 것 외에도, 가입자 관리(DHCP 관리)는 라우터(스위치)의 DHCP 구성 요소가 옵션을 RADIUS 서버에 전송하는 기존 클라이언트 소스 옵션 구성을 지원합니다. 클라이언트 소스 DHCP 옵션 방법은 DHCP 로컬 서버 및 DHCP 릴레이 에이전트 모두에 대해 지원됩니다. 그러나 RADIUS 소스 중앙 구성 방법은 DHCP 로컬 서버에서만 지원됩니다. RADIUS 소스 방식과 클라이언트 기반 방식은 모두 DHCPv4 및 DHCPv6 가입자(클라이언트)를 지원합니다.

RADIUS 소스 DHCP 옵션에 대한 데이터 플로우

그림 1 은 가입자(DHCP 클라이언트)에 대한 DHCP 옵션을 구성할 때 사용하는 절차 가입자 관리(DHCP 관리)를 보여줍니다.

그림 1: DHCP 옵션 데이터 플로우

다음 일반 시퀀스는 가입자 관리(DHCP 관리)가 RADIUS 소스 DHCP 옵션과 VSA 26-55를 사용하여 DHCP 가입자(클라이언트)를 구성할 때 데이터 플로우를 설명합니다.

1. 가입자(DHCP 클라이언트)는 DHCP 로컬 서버에 DHCP 검색 메시지(또는 DHCPv6 요청 메시지)를 보냅니다. 메시지에는 클라이언트 소스 DHCP 옵션이 포함됩니다.

2. DHCP 로컬 서버는 Junos OS RADIUS 클라이언트에서 인증을 시작합니다.

3. RADIUS 클라이언트는 가입자(DHCP 클라이언트)를 대신하여 외부 RADIUS 서버에 Access-Request 메시지를 보냅니다. 메시지에는 가입자(DHCP 클라이언트)의 클라이언트 소스 DHCP 옵션이 포함됩니다.

4. 외부 RADIUS 서버는 Access-Accept 메시지를 RADIUS 클라이언트에 전송하여 응답합니다. Access-Accept 메시지에는 VSA 26-55의 RADIUS 소스 불투명 DHCP 옵션이 포함됩니다.

5. RADIUS 클라이언트는 DHCP 로컬 서버에 DHCP 옵션 문자열을 보냅니다. VSA 26-55 인스턴스가 여러개 있는 경우, RADIUS 클라이언트는 먼저 이를 단일 옵션 문자열로 어셈블합니다.

6. DHCP 로컬 서버는 RADIUS 소스 VSA 26-55 DHCP 옵션을 제외하고 모든 옵션을 DHCP 제안(또는 DHCPv6 응답) 메시지로 처리합니다. 다른 모든 옵션을 처리한 후 DHCP 로컬 서버는 수정되지 않은 VSA 26-55 DHCP 옵션을 메시지에 추가하고 가입자(DHCP 클라이언트)에 메시지를 보냅니다.

7. 가입자(DHCP 클라이언트)는 DHCP 옵션으로 구성됩니다.

8. 다음 작업은 가입자(DHCP 클라이언트)가 DHCP 옵션을 수신한 후에 발생합니다.

   • 어카운팅—RADIUS 클라이언트는 VSA 26-55의 RADIUS 소스 DHCP 옵션을 포함하여 Acct-Start 및 임시 어카운팅 요청을 RADIUS 서버에 보냅니다. 기본적으로 DHCP 옵션은 계정 요청에 포함됩니다.

   • 갱신 - 가입자(DHCP 클라이언트)가 갱신되면 캐시된 DHCP 옵션 값이 DHCP 갱신(또는 DHCPv6 ACK) 메시지에 반환됩니다. 원래 할당된 DHCP 옵션은 갱신 주기 동안 수정할 수 없습니다.

   • 로그아웃 — 가입자(DHCP 클라이언트)가 로그아웃하면 RADIUS 클라이언트가 RADIUS 소스 VSA 26-55를 포함하여 RADIUS 서버에 Acct-Stop 메시지를 보냅니다.

다중 VSA 26-55 인스턴스 구성

VSA 26-55는 최대 247바이트 크기를 지원합니다. RADIUS 공급 DHCP 옵션 필드가 247바이트보다 큰 경우, 필드를 분리하고 RADIUS 서버가 반환될 VSA 26-55의 여러 인스턴스를 수동으로 구성해야 합니다. 옵션 필드에 여러 인스턴스를 사용할 때는 패킷에 RADIUS 클라이언트에 의해 조각이 재조립되는 순서대로 인스턴스를 배치해야 합니다. 패킷 조각은 247바이트 이하의 모든 크기일 수 있습니다.

RADIUS 클라이언트가 RADIUS 서버에 대한 계정 요청에서 다시 조합된 불투명 옵션 필드를 반환하면 클라이언트는 247바이트 패킷 조각을 사용합니다. 원래 247바이트 미만의 인스턴스를 생성했다면 반환된 패킷 조각은 RADIUS 서버에 원래 구성했던 것과 동일하지 않을 수 있습니다.

중앙에서 구성할 수 없는 DHCP 옵션

표 1 은 RADIUS 서버에서 중앙에서 구성해서는 안 되는 DHCP 옵션을 보여줍니다.

DHCPv6 옵션 17 및 VSA 26-207로 가입자 클래스 차별화

Junos OS 릴리스 18.3R1부터 DHCPv6-옵션 VSA(26-207)를 사용하여 DHCPv6 릴레이 인증 중에 다른 유형의 가입자를 구별할 수 있습니다. 예를 들어, 다른 가입자 클래스에 다른 IPv6 접두사를 할당할 수 있습니다.

VSA에 다음 정보를 포함하도록 RADIUS 서버를 구성해야 합니다.

• 주니퍼 네트웍스 엔터프라이즈 번호, 2636

• 서브옵션 5, JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

차별화하려는 각 클래스에 대해 하위 5에 대해 다른 값을 설정합니다. 값과 클래스 간의 매핑을 결정하기 위해 자체 체계를 개발합니다.

VSA 26-207은 DHCPv6 가입자 인증 중에 RADIUS 서버가 반환한 Access-Accept 메시지에서 가입자 클래스 정보를 전달합니다. VSA의 내용은 세션 데이터베이스 속성인 SDB_SERVER_DHCPV6_OPTIONS AAA 프로세스에서 DHCP 프로세스로 전달됩니다. DHCPv6 릴레이 에이전트는 SDB 속성에서 정보를 추출하여 DHCPv6 옵션 17에 배치합니다. 이후 릴레이 에이전트는 옵션 17을 릴레이 포워드 헤더의 DHCPv6 로컬 서버로 전달합니다. 그런 다음 로컬 서버는 관련 가입자 클래스에 특정한 릴레이 에이전트 구성 및 서비스 정보를 반환할 수 있습니다.

Junos OS 18.3R1 이전 릴리스에서는 DHCP 로컬 서버만 VSA 26-207을 지원합니다. 서브옵션 1(JDHCPD_VS_OPT_CODE_HOST_NAME) 및 서브옵션 4(JDHCPD_VS_OPT_CODE_LOCATION_NAME)만 지원됩니다. 또한 DHCP 릴레이 에이전트는 수신된 경우 SDB_SERVER_DHCPV6_OPTIONS 속성을 삭제합니다.

RADIUS 수신한 서브옵션은 로컬로 구성된 정보보다 우선 순위가 높습니다. 예를 들어, 호스트 이름과 위치가 계층 수준에서 문 [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] 으로 host-name 구성되고 RADIUS 서브옵션 1과 4로 수신되는 경우, RADIUS 값이 사용됩니다.

RADIUS 메시지에서 VSA 제외

다음 예에 표시된 대로 문을 사용하여 exclude 이러한 VSA 중 어느 것이 전송되지 않는지 제외할 수 있습니다.

클라이언트 옵션

클라이언트 옵션은 DHCPv4 또는 DHCPv6 서버와 같은 여러 위치 또는 RADIUS 서버에서 구성할 수 있습니다. 클라이언트 구성을 여러 위치에서 사용할 수 있는 경우 구성 세부 정보 소스와 관련하여 충돌이 발생할 수 있습니다. 이러한 충돌의 경우, 다음과 같은 기본 설정 순서가 고려됩니다.

• RADIUS 서버에서 벤더별 속성(VSA)을 통해 수신된 옵션

• RADIUS 서버에서 해당 세션 데이터베이스를 통해 수신되는 옵션

• DHCP 서버에 있는 DHCP 로컬 구성의 옵션

앞서 언급한 기본 설정의 예로 DHCPv4 리스 시간의 경우를 고려하십시오. AUTHD_ATTR_SESSION_TIMEOUT RADIUS 서버에 저장된 VSA인 옵션이 RADIUS 서버에서 반환되면 기본 설정이 제공됩니다. 이 옵션이 반환되지 않으면 DHCPv4에 대한 각 세션 데이터베이스에서 옵션 51에 대한 기본 설정이 제공됩니다. 이 옵션도 반환되지 않으면 옵션은 DHCP 로컬 구성에서 공급됩니다.

마찬가지로 DHCPv6 리스 시간의 경우, RADIUS 서버에서 VSA에 AUTHD_ATTR_SESSION_TIMEOUT 첫 번째 선호가 제공됩니다. 이(가) 없는 경우 AUTHD_ATTR_SESSION_TIMEOUT , RADIUS 소스 옵션을 선택 valid-lifetime 하거나 preferred-lifetime 우선 순위를 차지합니다. 이 옵션을 사용할 수 없는 경우 옵션은 DHCPv6 로컬 구성에서 공급됩니다.

DHCPv4 클라이언트, DHCPv4 서버 및 RADIUS 소스 옵션 교환

다음 단계는 DHCPv4 클라이언트, DHCPv4 서버 및 RADIUS 서버 간의 구성 옵션을 교환하는 프로세스를 보여줍니다.

• DHCPv4 클라이언트의 검색 메시지가 DHCPv4 서버에 의해 수신됩니다.

• DHCP 옵션은 해당 세션 데이터베이스에 저장됩니다.

  17.4R1 이전 Junos OS 릴리스에서는 DHCPv4 및 DHCPv6 옵션을 모두 저장하는 데 동일한 속성이 사용됩니다. 그러나 단일 세션 DHCP 듀얼 스택에 대한 지원으로 DHCPv4 및 DHCPv6에 대한 별도의 세션 데이터베이스 속성이 있습니다.

• DHCP 헤더 정보는 세션 데이터베이스에 저장됩니다.

  헤더 정보를 저장하기 위해 새로운 세션 데이터베이스 속성이 추가되고 이 정보는 인증을 위해 RADIUS 서버로 전송됩니다.

• 액세스 요청 메시지는 DHCPv4 서버에서 RADIUS 서버로 전송되며, RADIUS 서버에서 액세스 수락 메시지가 수신되면 DHCPv4 옵션은 각 세션 데이터베이스 속성에 저장되어 클라이언트로 전송됩니다.

• DHCPv4 서버별 옵션이 패킷에 추가됩니다.

  참고:

  DHCPv4 서버는 로컬 구성에서 요청된 옵션과 원치 않는 옵션을 모두 제공할 수 있습니다. 따라서 옵션이 추가되는 동안 중복을 방지하는 것이 중요합니다.

• DHCPv4 리스 정보는 RADIUS 소스 DHCP 옵션 51에서 추출됩니다.

  각 세션 데이터베이스 속성은 옵션 51(리스 시간)이 RADIUS 출처인지 확인하는 데 사용됩니다. 이 경우 속성 값이 추출되어 클라이언트 데이터 구조에 저장됩니다. RADIUS 의해 소스되지 않으면 속성 값은 기존 기능인 로컬 풀 구성 또는 DHCPv4 속성 구성에서 가져옵니다. 옵션 58(갱신 시간(T1)) 및 옵션 59(리빈딩 시간(T2))에 대해 유사한 검사가 수행됩니다.

• 오퍼 메시지는 DHCPv4 서버에서 DHCPv4 클라이언트로 전송됩니다.

DHCPv6 클라이언트, DHCPv6 서버 및 RADIUS 소스 옵션 교환

다음 단계는 DHCPv6 클라이언트, DHCPv6 서버 및 RADIUS 서버 간의 구성 옵션을 교환하는 프로세스를 보여줍니다.

• DHCP 클라이언트로부터 요청 메시지가 DHCPv6 서버에 의해 수신됩니다.

• DHCPv6 옵션은 DHCPv6 서버의 세션 데이터베이스에 저장됩니다.

  17.4R1 이전의 Junos OS 릴리스에서 DHCPv6 옵션은 각 세션 데이터베이스 속성에 저장됩니다. 현재 단일 세션 DHCP 듀얼 스택 지원으로 인해 DHCPv4 및 DHCPv6 옵션을 절약하려면 별도의 세션 데이터베이스 속성이 필요합니다. 클라이언트가 단일 세션 이중 스택 구성의 일부인 경우, 각 DHCPv6 옵션 세션 데이터베이스 속성이 사용됩니다. DHCPv6 옵션은 변경하지 않고 세션 데이터베이스에 직접 복사한 다음 RADIUS 서버로 전송됩니다.

  참고:

  DHCPv6 auth-option (옵션 11)도 이러한 옵션의 일부입니다.

• DHCPv6 메시지 헤더는 세션 데이터베이스에 저장됩니다.

  DHCPv6 메시지 헤더를 복사하기 위해 새로운 세션 데이터베이스 속성이 추가됩니다.

• DHCPv6 서버에서 액세스 요청 메시지가 전송되며, 이 메시지는 차례로 RADIUS 서버로부터 액세스 수락 메시지를 수신합니다. 이 메시지에는 새로운 세션 데이터베이스 속성에 저장되는 RADIUS 소스 DHCPv6 옵션이 포함됩니다.

• DHCPv6 리스 정보는 RADIUS 소스 DHCPv6 옵션에서 추출됩니다.

  DHCPv6의 경우 리스 시간은 옵션 OPTION_IA_NA 및 OPTION_IA_PD에 포함됩니다. 클라이언트 리스 시간은 RADIUS 서버에서 이러한 값으로 시작됩니다. IA_ADDRESS, IA_PREFIX, IA_NA또는 IA_PD 옵션이 RADIUS 소스되지 않으면 이러한 옵션이 로컬 풀에서 가져와서 위임된 풀 구성입니다.

• DHCPV6 서버별 옵션이 패킷에 추가됩니다.

  참고:

  DHCPv6 서버는 로컬 구성에서 요청된 옵션과 원치 않는 옵션을 모두 제공할 수 있습니다. 따라서 옵션이 추가되는 동안 중복을 방지하는 것이 중요합니다.

• 광고 메시지는 DHCPv6 서버에서 DHCPv6 클라이언트로 전송됩니다.

목적

RADIUS 서버에서 중앙에서 구성되고 주니퍼 네트웍스 VSA 26-55(DHCP-Options)를 사용하여 배포되는 DHCP 옵션에 대한 정보를 확인합니다.

작업

불투명한 DHCP 옵션에 대한 정보를 표시하려면:

의미

DHCP 옵션 출력은 다음 정보를 제공합니다.

• len 필드는 메시지의 총 16진수 값입니다.

• Hex 값은 DHCP 옵션의 TLV(유형, 길이 및 값)를 지정하고, RFC 2132에 정의된 대로 DHCP 옵션을 식별하기 위해 10진수로 변환됩니다.

특정 DHCP 옵션을 구성하는 16진수 값은 옵션 길이에 따라 다릅니다. 예를 들어, 출력에 지정된 첫 번째 DHCP 옵션은 3개의 16진수 값 집합(35 01 01)을 포함합니다. 첫 번째 16진수 값(35)은 옵션 유형을 식별하며, 두 번째 값(01)은 값 항목의 길이를 나타내며, 이 경우는 한 헥스 값 집합입니다. 세 번째 16진수 값(01)은 DHCP 옵션에 대한 값을 지정합니다.

두 번째 DHCP 옵션 사양(39 02 02 40)에서, Hex 값 39 은 유형이며, 길이 02 는 두 세트의 16진수 항목이 옵션의 값을 구성하는 것을 지정합니다. 따라서 이 옵션 사양은 4개의 Hex 엔트리 세트를 사용합니다. 유형(39)에 대해 하나, 길이를 지정하는 것(02) 및 옵션 값(02 40)에 대해 두 개.

세 번째 DHCP 옵션은 16진수 값 3d 07 01 00 10 94 00 00 08으로 지정됩니다. 16진수 값 3d 은 유형이며, 길이(07)가 뒤따르는 것으로, 다음 7세트의 16진수 항목이 옵션의 값을 구성합니다. 따라서 이 옵션 사양은 총 9개의 16개 항목 세트를 사용합니다. 유형(), 길이를3d 지정하는 하나(07) 및 DHCP 옵션 값에 대해 7개(01 00 10 94 00 00 08).

표 2 에서는 처음 두 옵션을 자세히 설명합니다.