RADIUS 서버에서 DHCP 옵션 수신

RADIUS 소스 옵션

가입자 관리(라우터) 또는 DHCP 관리(스위치)를 사용하면 RADIUS 서버에서 DHCP 옵션을 중앙 집중식으로 구성한 다음 가입자별 또는 DHCP-클라이언트 기준으로 옵션을 배포할 수 있습니다. 이 방법으로 인해 RADIUS 소스 DHCP 옵션이 생성됩니다. DHCP 옵션은 RADIUS 서버에서 시작되어 가입자(또는 DHCP 클라이언트)로 전송됩니다. 이는 DHCP 옵션을 구성하는 기존의 클라이언트 소스 방법(DHCP 소스라고도 함)과는 다르며, 옵션이 클라이언트에서 시작되어 RADIUS 서버로 전송됩니다. DHCP 로컬 서버가 가입자(DHCP 클라이언트)에 옵션을 전달하기 전에 DHCP 옵션 문자열에 대해 최소한의 처리 및 오류 검사를 수행하기 때문에 가입자 관리(DHCP 관리) RADIUS 소스 DHCP 옵션도 불 투명한 것으로 간주됩니다.

가입자 관리(또는 DHCP 관리)는 주니퍼 네트웍스 VSA 26-55(DHCP 옵션)를 사용하여 RADIUS 소스 DHCP 옵션을 배포합니다. RADIUS 서버는 인증 또는 DHCP 클라이언트 인증 중에 서버가 반환하는 액세스-Accept 메시지가입자 VSA 26-55를 포함합니다. RADIUS 서버는 액세스-수락 메시지를 RADIUS 클라이언트에 보낸 다음 DHCP 로컬 서버로 보내 DHCP 가입자에게 반환합니다. RADIUS 서버는 단일 액세스-수락 메시지에 VSA 26-55의 여러 인스턴스를 포함할 수 있습니다. RADIUS 클라이언트는 여러 인스턴스를 연결하고 결과를 단일 인스턴스로 사용합니다.

가입자 관리(DHCP 관리)가 중앙에서 구성된 DHCP 옵션을 사용할 수 있도록 하는 데 필요한 CLI 구성은 없습니다. 절차는 RADIUS 액세스-수락 메시지에 VSA 26-55가 존재함에 따라 트리거됩니다.

DHCP 클라이언트에 대한 오퍼 패킷을 빌드할 때 DHCP 로컬 서버는 다음 순서를 사용합니다.

1. 별도의 RADIUS 속성으로 전달되는 모든 RADIUS 구성 매개 변수를 처리합니다. 예를 들어 RADIUS 속성 27(세션 시간 초과)이 있습니다.

2. 클라이언트 소스 매개 변수를 처리합니다. 예를 들어, RADIUS 속성 53(DHCP 메시지 유형) 및 54(서버 식별자)가 있습니다.

3. RADIUS 서버에서 수신된 VSA 26-55에 포함된 불투명 DHCP 옵션 문자열을 추가(어떠한 처리도 수행하지 않고) 추가합니다.

클라이언트 소스 옵션 구성

RADIUS 서버에서 직접 DHCP 옵션의 중앙 구성(RADIUS 소스 옵션)을 지원하는 것 외에도, 가입자 관리(DHCP 관리)는 라우터(스위치) DHCP 구성 요소가 옵션을 RADIUS 서버로 전송하는 기존의 클라이언트 소스 옵션 구성을 지원합니다. 클라이언트 소스 DHCP 옵션 방법은 DHCP 로컬 서버 및 DHCP 릴레이 에이전트 모두에 대해 지원됩니다. 그러나 RADIUS 소스 중앙 구성 방법은 DHCP 로컬 서버에서만 지원됩니다. RADIUS 소스 및 클라이언트 소스 방법 모두 DHCPv4 및 DHCPv6 가입자(클라이언트)를 지원합니다.

RADIUS 소싱 DHCP 옵션에 대한 데이터 플로우

그림 1 은 가입자(DHCP 클라이언트)에 대한 DHCP 옵션을 구성할 때 가입자 관리(DHCP 관리)가 사용하는 절차를 보여줍니다.

그림 1: DHCP 옵션 데이터 플로우

다음 일반 시퀀스는 가입자 관리(DHCP 관리)가 RADIUS 소스 DHCP 옵션과 VSA 26-55를 사용하여 DHCP 가입자(클라이언트)를 구성할 때의 데이터 흐름을 설명합니다.

1. 가입자(DHCP 클라이언트)는 DHCP 발견 메시지(또는 DHCPv6 요청 메시지)를 DHCP 로컬 서버에 보냅니다. 메시지에는 클라이언트 소스 DHCP 옵션이 포함됩니다.

2. DHCP 로컬 서버는 Junos OS RADIUS 클라이언트로 인증을 시작합니다.

3. RADIUS 클라이언트는 가입자(DHCP 클라이언트)를 대신하여 외부 액세스 요청 메시지를 외부 RADIUS 서버로 보냅니다. 메시지에는 가입자(DHCP 클라이언트의) 클라이언트 소스 DHCP 옵션이 포함됩니다.

4. 외부 RADIUS 서버는 RADIUS 클라이언트에 액세스 수락 메시지를 보내 응답합니다. 액세스-수락 메시지에는 VSA 26-55의 RADIUS 소싱 불투명 DHCP 옵션이 포함됩니다.

5. RADIUS 클라이언트는 DHCP 옵션 문자열을 DHCP 로컬 서버로 보냅니다. VSA 26-55 인스턴스가 여러 개 있는 경우, RADIUS 클라이언트는 먼저 이를 단일 옵션 문자열로 어셈블합니다.

6. DHCP 로컬 서버는 RADIUS 소싱 VSA 26-55 DHCP 옵션을 제외하고 모든 옵션을 DHCP 제안(또는 DHCPv6 응답) 메시지로 처리합니다. 다른 모든 옵션을 처리한 후 DHCP 로컬 서버는 수정되지 않은 VSA 26-55 DHCP 옵션을 메시지에 추가하고 메시지를 가입자(DHCP 클라이언트)에게 보냅니다.

7. 가입자(DHCP 클라이언트)는 DHCP 옵션으로 구성됩니다.

8. 가입자(DHCP 클라이언트)가 DHCP 옵션을 수신한 후 다음 작업이 발생합니다.

   • 어카운팅 - RADIUS 클라이언트는 VSA 26-55의 RADIUS 소스 DHCP 옵션을 포함하여 RADIUS 서버에 Acct-Start 및 Interim-Accounting 요청을 보냅니다. 기본적으로 DHCP 옵션은 계정 요청에 포함됩니다.

   • 갱신 - 가입자(DHCP 클라이언트)가 갱신되면 캐시된 DHCP 옵션 값이 DHCP 갱신(또는 DHCPv6 ACK) 메시지에 반환됩니다. 원래 할당된 DHCP 옵션은 갱신 주기 중에 수정할 수 없습니다.

   • 로그아웃 - 가입자(DHCP 클라이언트)가 로그아웃하면 RADIUS 클라이언트는 RADIUS 소싱 VSA 26-55를 포함한 RADIUS 서버에 Acct-Stop 메시지를 보냅니다.

다중 VSA 26-55 인스턴스 구성

VSA 26-55는 최대 247바이트의 크기를 지원합니다. RADIUS 소스 DHCP 옵션 필드가 247바이트보다 큰 경우, 필드를 분할하고 RADIUS 서버가 반환할 수 있도록 VSA 26-55의 여러 인스턴스를 수동으로 구성해야 합니다. 옵션 필드에 여러 인스턴스를 사용하는 경우 RADIUS 클라이언트에 의해 리어셈블되어 조각이 전달될 순서대로 패킷에 인스턴스를 배치해야 합니다. 조각은 247바이트 이하의 모든 크기가 될 수 있습니다.

RADIUS 클라이언트가 RADIUS 서버에 대한 어카운팅 요청에서 리어셈블된 불투명 옵션 필드를 반환할 때, 클라이언트는 247바이트 조각을 사용합니다. 원래 247바이트 미만의 인스턴스를 생성한 경우, 반환되는 조각은 RADIUS 서버에서 원래 구성한 것과 동일하지 않을 수 있습니다.

중앙에서 구성할 수 없는 DHCP 옵션

표 1 은 RADIUS 서버에서 중앙에서 구성해서는 안 되는 DHCP 옵션을 보여줍니다.

DHCPv6 옵션 17 및 VSA 26-207을 통한 가입자 클래스 차별화

Junos OS 릴리스 18.3R1부터는 DHCPv6 옵션 VSA(26-207)를 사용하여 DHCPv6 릴레이 인증 중에 서로 다른 클래스의 가입자를 구별할 수 있습니다. 예를 들어, 다른 가입자 클래스에 다른 IPv6 접두사를 할당할 수 있습니다.

VSA에 다음 정보를 포함하도록 RADIUS 서버를 구성해야 합니다.

• 주니퍼 네트웍스 엔터프라이즈 번호, 2636

• 하위 옵션 5, JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

구별하려는 각 클래스에 대해 하위 옵션 5에 대해 다른 값을 설정합니다. 값과 클래스 간의 매핑을 결정하기 위해 자신만의 체계를 개발합니다.

VSA 26-207은 DHCPv6 가입자 인증 동안 RADIUS 서버가 반환한 액세스-Accept 메시지에서 가입자 클래스 정보를 전달합니다. VSA의 내용은 AAA 프로세스에서 세션 데이터베이스 속성 SDB_SERVER_DHCPV6_OPTIONS의 DHCP 프로세스로 전달됩니다. DHCPv6 릴레이 에이전트는 SDB 속성에서 정보를 추출하여 DHCPv6 옵션 17에 배치합니다. 이후 릴레이 에이전트는 옵션 17을 Relay-Forward 헤더의 DHCPv6 로컬 서버에 전달합니다. 그런 다음 로컬 서버는 관련 가입자 클래스에 특정한 릴레이 에이전트 구성 및 서비스 정보를 반환할 수 있습니다.

Junos OS 18.3R1 이전 릴리스에서는 DHCP 로컬 서버만 VSA 26-207을 지원합니다. 하위 옵션 1(JDHCPD_VS_OPT_CODE_HOST_NAME) 및 하위 옵션 4(JDHCPD_VS_OPT_CODE_LOCATION_NAME)만 지원됩니다. DHCP 릴레이 에이전트는 수신된 경우 SDB_SERVER_DHCPV6_OPTIONS 속성도 폐기합니다.

RADIUS에서 수신한 하위 옵션은 로컬로 구성된 정보보다 우선 순위가 높습니다. 예를 들어, 호스트 이름과 위치가 계층 수준에서 [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] 문으로 host-name 구성되고 RADIUS의 하위 옵션 1 및 4에서 수신된 경우 RADIUS 값이 사용됩니다.

RADIUS 메시지에서 VSA 제외

다음 예와 같이 문을 사용하여 exclude 이러한 VSA를 전송하지 못하도록 제외할 수 있습니다.

클라이언트 옵션

클라이언트 옵션은 DHCPv4 또는 DHCPv6 서버나 RADIUS 서버와 같은 여러 위치에서 구성할 수 있습니다. 클라이언트 구성을 여러 위치에서 사용할 수 있는 경우 구성 세부 정보의 소스와 관련하여 충돌이 발생할 수 있습니다. 이러한 충돌이 발생할 경우 다음 기본 설정 순서가 고려됩니다.

• VSA(Vendor-Specific Attribute)를 통해 RADIUS 서버에서 수신하는 옵션

• 각 세션 데이터베이스를 통해 RADIUS 서버에서 수신된 옵션

• DHCP 서버에 있는 DHCP 로컬 구성의 옵션

앞서 언급한 기본 설정의 예로, DHCPv4 리스 시간의 경우를 고려하십시오. AUTHD_ATTR_SESSION_TIMEOUT RADIUS 서버에 저장된 VSA인 옵션이 RADIUS 서버에서 반환되면 해당 옵션이 우선적으로 제공됩니다. 이 옵션이 반환되지 않으면 DHCPv4에 대한 각 세션 데이터베이스에서 옵션 51이 우선됩니다. 해당 옵션도 반환되지 않으면 DHCP 로컬 구성에서 옵션이 제공됩니다.

마찬가지로 DHCPv6 리스 시간의 경우 RADIUS 서버에서 VSA에 우선 AUTHD_ATTR_SESSION_TIMEOUT 순위가 부여됩니다. 없는 경우 AUTHD_ATTR_SESSION_TIMEOUT RADIUS 소스 옵션 valid-lifetime 또는 preferred-lifetime 가 우선합니다. 이 옵션도 사용할 수 없는 경우 DHCPv6 로컬 구성에서 옵션을 제공합니다.

DHCPv4 클라이언트, DHCPv4 서버 및 RADIUS 소스 옵션 교환

다음 단계는 DHCPv4 클라이언트, DHCPv4 서버 및 RADIUS 서버 간의 구성 옵션 교환 프로세스를 보여줍니다.

• DHCPv4 클라이언트로부터 발견 메시지가 DHCPv4 서버에 수신됩니다.

• DHCP 옵션은 해당 세션 데이터베이스에 저장됩니다.

  17.4R1 이전의 Junos OS 릴리스에서는 DHCPv4 및 DHCPv6 옵션을 모두 저장하는 데 동일한 속성이 사용됩니다. 그러나 단일 세션 DHCP 이중 스택을 지원하므로 DHCPv4 및 DHCPv6에 대한 별도의 세션 데이터베이스 속성이 있습니다.

• DHCP 헤더 정보는 세션 데이터베이스에 저장됩니다.

  헤더 정보를 저장하기 위해 새로운 세션 데이터베이스 속성이 추가되며, 이 정보는 인증을 위해 RADIUS 서버로 전송됩니다.

• 액세스 요청 메시지는 DHCPv4 서버에서 RADIUS 서버로 전송 되며, RADIUS 서버로부터 액세스 수락 메시지가 수신되면 DHCPv4 옵션은 해당 세션 데이터베이스 속성에 저장되어 클라이언트로 전송됩니다.

• DHCPv4 서버별 옵션이 패킷에 추가됩니다.

  참고:

  DHCPv4 서버는 로컬 구성에서 요청된 옵션과 요청되지 않은 옵션을 모두 소싱할 수 있습니다. 따라서 옵션이 추가되는 동안 중복을 방지하는 것이 중요합니다.

• DHCPv4 리스 정보는 RADIUS 소싱 DHCP 옵션 51에서 추출됩니다.

  각 세션 데이터베이스 속성은 옵션 51(리스 시간)이 RADIUS에 의해 소싱되었는지 확인하는 데 사용됩니다. 그렇다면 속성 값이 추출되어 클라이언트 데이터 구조에 저장됩니다. RADIUS에 의해 공급되지 않는 경우, 속성 값은 로컬 풀 구성 또는 기존 기능인 DHCPv4 속성 구성에서 가져옵니다. 옵션 58(갱신 시간(T1)) 및 옵션 59(재바인딩 시간(T2))에 대해서도 유사한 검사가 수행됩니다.

• DHCPv4 서버에서 DHCPv4 클라이언트로 제안 메시지가 전송됩니다.

DHCPv6 클라이언트, DHCPv6 서버 및 RADIUS 소스 옵션 교환

다음 단계는 DHCPv6 클라이언트, DHCPv6 서버 및 RADIUS 서버 간의 구성 옵션 교환 프로세스를 보여줍니다.

• DHCP 클라이언트로부터 요청 메시지가 DHCPv6 서버에 수신됩니다.

• DHCPv6 옵션은 DHCPv6 서버의 세션 데이터베이스에 저장됩니다.

  17.4R1 이전의 Junos OS 릴리스에서는 DHCPv6 옵션이 해당 세션 데이터베이스 속성에 저장됩니다. 현재의 단일 세션 DHCP 이중 스택 지원으로 인해 DHCPv4 및 DHCPv6 옵션을 저장하기 위한 별도의 세션 데이터베이스 속성이 필요합니다. 클라이언트가 단일 세션 이중 스택 구성의 일부인 경우, 해당 DHCPv6 옵션 세션 데이터베이스 속성이 사용됩니다. DHCPv6 옵션은 변경 없이 세션 데이터베이스에 직접 복사된 다음 RADIUS 서버로 전송됩니다.

  참고:

  DHCPv6 auth-option (옵션 11)도 이러한 옵션의 일부입니다.

• DHCPv6 메시지 헤더가 세션 데이터베이스에 저장됩니다.

  DHCPv6 메시지 헤더를 복사하기 위해 새 세션 데이터베이스 속성이 추가되었습니다.

• DHCPv6 서버에서 액세스 요청 메시지가 전송되고, DHCPv6 서버는 차례로 RADIUS 서버로부터 액세스 수락 메시지를 수신합니다. 이 메시지에는 새 세션 데이터베이스 속성에 저장되는 RADIUS 소스 DHCPv6 옵션이 포함되어 있습니다.

• DHCPv6 리스 정보는 RADIUS 소스 DHCPv6 옵션에서 추출됩니다.

  DHCPv6의 경우, 리스 시간은 옵션 OPTION_IA_NA 및 OPTION_IA_PD내에 포함됩니다. 클라이언트 리스 시간은 RADIUS 서버의 이러한 값으로 시작됩니다. , IA_PREFIX, , IA_NA또는 IA_PD 옵션이 RADIUS에서 공급되지 않은 경우 IA_ADDRESS이러한 옵션은 로컬 풀 및 위임된 풀 구성에서 가져옵니다.

• DHCPV6 서버별 옵션이 패킷에 추가됩니다.

  참고:

  DHCPv6 서버는 로컬 구성에서 요청된 옵션과 요청되지 않은 옵션을 모두 소싱할 수 있습니다. 따라서 옵션이 추가되는 동안 중복을 방지하는 것이 중요합니다.

• DHCPv6 서버에서 DHCPv6 클라이언트로 광고 메시지가 전송됩니다.

목적

RADIUS 서버에서 중앙에서 구성되고 주니퍼 네트웍스 VSA 26-55(DHCP 옵션)를 사용하여 배포되는 DHCP 옵션에 대한 정보를 봅니다.

작업

불투명 DHCP 옵션에 대한 정보를 표시하려면:

의미

DHCP 옵션 출력은 다음 정보를 제공합니다.

• 필드는 len 메시지의 총 16진수 값 수입니다.

• 16진수 값은 DHCP 옵션의 유형, 길이 및 값(TLV)을 지정하며, RFC 2132에 정의된 대로 DHCP 옵션을 식별하기 위해 10진수로 변환됩니다.

특정 DHCP 옵션을 구성하는 16진수 값의 수는 옵션의 길이에 따라 다릅니다. 예를 들어, 출력에 지정된 첫 번째 DHCP 옵션에는 세 개의 16진수 값 세트(35 01 01)가 포함됩니다. 첫 번째 16진수 값(35)은 옵션 유형을 식별하고, 두 번째 값(01)은 값 입력의 길이를 나타내며, 이 경우에는 하나의 16진수 값 집합입니다. 세 번째 16진수 값(01)은 DHCP 옵션의 값을 지정합니다.

두 번째 DHCP 옵션 사양()39 02 02 40에서 16진수 값은 39 유형이며, 길이 02 는 두 세트의 16진수 항목이 옵션 값을 구성함을 지정합니다. 따라서 이 옵션 사양은 4개의 16진수 항목 세트를 사용합니다. 하나는 유형(39), 다른 하나는 길이를 지정하기 위한 것(02), 그리고 두 개는 옵션 값()02 40을 위한 것입니다.

세 번째 DHCP 옵션은 16진수 값 3d 07 01 00 10 94 00 00 08으로 지정됩니다. 16진수 값은 3d 유형이며, 그 뒤에 길이(07)가 오며, 이는 다음 7개의 16진수 항목 세트가 옵션 값을 구성함을 지정합니다. 따라서 이 옵션 사양은 총 9개의 16진수 항목 세트를 사용합니다. 유형(3d)에 대한 1개, 길이를 지정하는 1개(07), DHCP 옵션(01 00 10 94 00 00 08)의 값에 대한 7개.

표 2에는 처음 두 가지 옵션이 자세히 설명되어 있습니다.