가입자 액세스에 대한 RADIUS 계정

레이어 3 홀세일 시나리오

레이어 3 홀세일 네트워크 환경에서 도매업체와 소매업체는 서로 다른 RADIUS 계정 서버를 사용할 수 있으며 둘 다 계정 보고서를 수신하기를 원할 수 있습니다. 이 상황에서는 도매업체와 소매업체 계정 서버 모두에 보고서를 보내는 RADIUS 계정 중복 보고를 구성할 수 있습니다. 중복 계정 레코드가 전송되는 대상은 기본 VRF라고도 하는 기본값:기본 논리적 시스템:라우팅 인스턴스 조합(LS:RI)에 있어야 합니다.

표 2 는 중복 보고를 활성화할 때 가입자 관리가 계정 보고서를 보내는 위치를 보여줍니다. 가입자 관리는 계층 수준에서 [edit access profile profile-name accounting] 문을 구성 duplication 하는 액세스 프로필, 가입자가 상주하는 위치 및 가입자 인증 방법을 기반으로 중복 보고서를 보냅니다.

기타 시나리오

레이어 3 홀세일 네트워크 환경에 없는 시나리오의 경우, 동일하거나 다른 라우팅 컨텍스트에 있는 다른 RADIUS 서버 집합에 중복된 계정 레코드를 전송할 수 있습니다. 레이어 3 홀세일 시나리오와는 달리, 중복 RADIUS 계정 레코드의 대상이 기본 VRF일 필요는 없습니다. 기본이 아닌 단일 VRF, 즉 default:default LS:RI 조합이 아닌 하나를 대상으로 지정할 수 있습니다. 또한 중복 보고서를 수신하는 RADIUS 계정 서버를 나열하는 액세스 프로필을 대상 VRF에 최대 5개까지 지정할 수 있습니다.

예를 들어, 가입자가 기본 도메인에서 인증되는 합법적 감청 시나리오가 있을 수 있습니다. 승인된 법 집행 기관은 기본이 아닌 VRF에 있는 조직의 네트워킹 도메인에 있는 중개 디바이스로 가입자를 전송하기 위해 중복 계정 레코드가 필요합니다.

가입자 관리는 계층 수준에서 [edit access profile profile-name accounting duplication-vrf] 문으로 vrf-name 지정한 VRF에 중복 보고서를 보냅니다. 명령문을 동일한 수준에 포함 access-profile-name 시켜 중복 보고서를 수신하는 RADIUS 서버를 지정하는 액세스 프로필을 지정합니다.

중복 계정 보고서 필터

가입자 관리는 중복 필터 기능을 제공하여 RADIUS 계정 중복 보고가 활성화될 때 어떤 계정 서버가 RADIUS 계정 중간 보고서를 수신할지 지정할 수 있습니다. AAA 액세스 프로필에서 필터를 구성하면 라우터는 해당 프로필과 연결된 가입자에게 필터를 적용합니다.

가입자 관리는 RADIUS 어카운팅 중복 보고에 대해 다음과 같은 필터링을 지원합니다.

• 중복된 계정 중간 메시지 - 라우터가 중복된 계정 메시지를 필터링합니다. 어카운팅 메시지는 가입자의 액세스 프로필에 있는 RADIUS 어카운팅 서버로만 전송됩니다.

• 원래 계정 중간 메시지 - 라우터는 가입자의 액세스 프로필에 있는 계정 서버인 원래 RADIUS 계정 서버로 향하는 계정 메시지를 필터링합니다. 계정 메시지는 중복 계정 서버(가입자의 액세스 프로필이 아닌 중복 액세스 프로필에 있는 서버)로만 전송됩니다.

• 제외된 RADIUS 속성 - 라우터는 중복 컨텍스트 아래 액세스 프로필의 문 구성을 기반으로 exclude 계정 메시지의 RADIUS 속성을 필터링합니다. 제외 필터를 단독으로 사용하거나 중복되거나 원본 계정 메시지 필터와 함께 사용할 수 있습니다.

목적

RADIUS 계정 서버에 연결할 수 없어 보류되고 있는 RADIUS 계정 중지 메시지에 대한 정보를 표시합니다.

작업

보류 중인 계정 중지 메시지 수가 최대치에 가까워졌는지 여부를 알고 싶은 경우, 보류 중인 요청의 간단한 수를 표시할 수 있습니다.

다른 명령을 사용하여 계정 메시지에 대한 자세한 정보를 표시할 수 있습니다. 다음 예에서는 사용자 vjshah29@example.com 에 대한 계정 세션의 모든 서비스에 대한 정보를 표시합니다. 이 예에서는 한 명의 사용자만 보여주지만, 이 명령은 실제로 어카운팅이 백업되는 모든 가입자에 대한 정보를 표시합니다.

특정 액세스 프로필을 가진 모든 사용자에 대한 요약 정보를 표시할 수 있습니다. 다음 예에서는 단일 사용자(vjshah29@example.com)만 지정된 액세스 프로필인 ce-ppp-profile을 갖습니다.

또한 액세스 프로필에 관계없이 보류 중인 계정 중지 메시지가 있는 모든 가입자에 대한 요약 정보를 표시할 수도 있습니다. 다음 예에서는 두 사용자에 대한 정보를 표시합니다. 가입자 larry@example.com 가 이전 예제에 표시되지 않으므로 동일한 서비스를 받았더라도 vjshah29@example.com 와는 다른 액세스 프로필을 가져야 합니다.

회계 일시 중단, 기준선 설정 및 재개 중 이벤트의 순서

계정을 일시 중단하고, 기준선을 생성하고, 계정 프로세스를 다시 시작할 때 다음과 같은 일련의 이벤트가 발생합니다.

1. 명령을 실행하여 request network-access aaa accounting suspend 계정을 일시 중단합니다.

   1. 어카운팅이 일시 중단되었음을 나타내는 시스템 로깅 메시지가 생성됩니다.

   2. accounting-backup-options를 포함한 모든 어카운팅은 모든 라우팅 컨텍스트의 모든 어카운팅 서버에 대해 일시 중단됩니다.

2. 명령을 실행하여 request network-access aaa accounting baseline 기준선을 생성합니다.

   1. 계정 통계에 대한 기준선 설정이 시작되었음을 나타내는 시스템 로깅 메시지가 생성됩니다.

   2. 각 가입자에 대한 시간 및 볼륨 통계는 기준 값으로 설정됩니다. 기준선 프로세스를 완료하는 데 걸리는 시간은 통계 세부 사항의 수에 따라 불확실합니다.

   3. 기준선 설정이 완료되었음을 나타내는 시스템 로깅 메시지가 생성됩니다.

3. 기준선 설정이 완료되면 명령을 실행 request network-access aaa accounting resume 하여 계정 프로세스를 다시 시작합니다.

   1. 어카운팅이 재개되었음을 나타내는 시스템 로깅 메시지가 생성됩니다.

   2. 이전에 구성된 모든 계정 옵션이 다시 활성화됩니다.

기준선 작업은 각 가입자에 대한 시간 및 볼륨 카운터를 기준선을 설정하려고 시도합니다. 가입자 카운터는 계층 수준에서 [edit access profile profile-name accounting] 문을 사용하여 set update-interval minutes 가입자에 대해 중간 어카운팅이 활성화된 경우에만 기준 값으로 설정됩니다. 가입자에 대해 중간 어카운팅이 활성화되지 않은 경우, 해당 가입자의 카운터는 기준 값에 매핑되지 않습니다.

기준선 요청이 실행된 후 모든 가입자 레코드를 기준선으로 설정하기 위해 지정되지 않은 기간이 경과합니다. 이 간격 동안 한 가입자의 통계는 다른 가입자의 통계 정보가 기준선으로 설정될 때 누적될 수 있습니다. 때로는 기준선이 설정이 시작된 후 일부 서비스의 카운터가 가입자에게 전달되는 트래픽으로 인해 해당 가입자의 카운터가 기준선으로 설정되어 있기 때문에 부정확하고 일관되지 않을 수 있습니다. 기준선 명령이 실행되면 기준선이 완료될 때까지 계정을 재개할 수 없습니다. 어카운팅이 일시 중단되지 않거나 기준선 설정이 진행 중인 동안 명령을 내리면 명령이 실패합니다. 계정 라이선스가 설치되지 않은 경우 명령이 오류를 보고합니다.

통계의 회계 일시 중단 및 기준선 설정에 대한 지침

계정을 일시 중단하고 통계에 대한 기준선을 지정할 때 다음 사항을 염두에 두십시오.

• 임계값(또는 할당량)이 적용되는 환경에서의 계정 일시 중단은 지원되지 않습니다. 여기에는 Gx-Plus 및 주니퍼 네트웍스 세션 및 리소스 제어(SRC) 임계값 또는 RADIUS 세션 볼륨 할당량이 모든 가입자에 대해 유효한 환경이 포함됩니다. 임계값 또는 할당량이 있는 가입자라면 계정 일시 중단 요청이 실패합니다.

• 어카운팅이 일시 중단되는 동안에는 임계값(또는 할당량) 서비스에 대한 활성화가 허용되지 않습니다.

• 어카운팅이 일시 중단되지 않은 경우 어카운팅 기준선은 지원되지 않습니다.

• 계정 일시 중단 중에는 기준선 요청을 두 개 이상 지정할 수 없습니다.

• 중간 계정으로 구성되지 않은 가입자의 기준선은 지원되지 않습니다.

• 기준선 작업이 완료되는 데 걸리는 시간은 불확실합니다. 수집되는 통계의 양과 깊이에 따라 다르며, 기준선이 시작될 시점에 활성 상태인 가입자 및 서비스 세션의 수에 비례합니다. 기준선 설정이 진행 중인 동안 계정을 재개하려고 하면 명령이 실패합니다.

• 통합 ISSU 프로세스 중에는 명령을 사용하여 어카운팅을 일시 중단, 기준 설정 또는 재개할 수 없습니다. 기준선이 진행되는 동안 통합 ISSU를 수행하려고 하면 섀시 데몬 상태가 DAEMON_ISSU_PREPARE 상태로 변경되면 인증 및 패킷 포워딩 엔진 프로세스는 세션 경계에서 기준선을 일시 중단하고 디바이스가 업그레이드되는 릴리스로 라우팅 엔진 전환 후 재개합니다.

• 어카운팅이 일시 중단되거나 기준선 설정이 진행되는 동안 GRES(Graceful 라우팅 엔진 스위치오버)가 발생하면 라우터를 다시 시작한 후에도 일시 중단 또는 기준선 설정의 상태가 유지됩니다. 이러한 시나리오에서는 라우터 재부팅 후 어카운팅이 일시 중단되고 카운터가 기준선으로 설정되어야 하는 가입자는 라우터가 온라인 상태가 된 후에 기준선이 설정됩니다.

가입자 계정 일시 중단 및 기준선 설정의 샘플 시나리오

다음 시나리오를 고려하십시오.

1. 가입자 X에 대해 임시 어카운팅이 구성됩니다. 가입자 Y와 Z에 대해서는 구성되지 않습니다.

2. 어카운팅이 일시 중단되기 전에 전송된 마지막 중간 어카운팅 요청에는 가입자 X에 대한 통계가 포함됩니다. 지금까지 이 가입자에 대해 50,000개의 트래픽 옥텟이 전송되었습니다. 가입자 Y에 대해 20,000 옥텟, 가입자 Z에 대해 10,000 옥텟이 전송되었지만 중간 회계가 구성되지 않았기 때문에 해당 정보는 아직 보고되지 않았습니다.

3. 어카운팅이 일시 중단됩니다.

4. 기준선 설정이 시작됩니다. 가입자 X의 현재 수는 50,000옥텟입니다. 이것은 가입자에 대한 기준 값이 됩니다. 가입자 X와 Y는 중간 어카운팅을 구성하지 않았기 때문에 기준 값이 설정되지 않습니다.

5. 기준선이 진행되는 동안 트래픽은 세 개의 가입자에 대해 계속 전송됩니다: 가입자 X의 경우 150,000 옥텟, 가입자 Y의 경우 80,000 옥텟, 가입자 Z의 경우 20,000 옥텟.

6. 가입자 Z가 로그아웃합니다. 어카운팅이 일시 중단되었기 때문에 Acct-Stop 요청이 전송되지 않습니다. 결과적으로, 이 가입자에 대한 최종 계정 통계가 손실됩니다.

7. 기준선 설정이 완료됩니다.

8. 회계가 재개됩니다.

9. 가입자 X가 로그아웃합니다. 가입자 X에 대해 총 200,000개의 옥텟이 전송되었지만 Acct-Stop 레코드는 총 200,000개의 옥텟에서 50,000개의 옥텟 기준선을 뺀 150,000개의 옥텟만 보고합니다.

10. 가입자 Y가 로그아웃합니다. 가입자 Y에 대해 총 100,000개의 옥텟이 전송되었고 기준선 값이 없기 때문에 Acct-Stop 레코드는 총 100,000개의 옥텟을 보고합니다.

표 7에는 이 시나리오가 요약되어 있습니다.