가입자 액세스를 위한 RADIUS 어카운팅

레이어 3 도매 시나리오

레이어 3 도매 네트워크 환경에서 도매업체와 소매업체는 서로 다른 RADIUS 계정 서버를 사용할 수 있으며 둘 다 계정 보고서를 수신하려고 할 수 있습니다. 이 경우 도매업체 및 소매업체 계정 서버 모두에 보고서를 보내는 RADIUS 계정 중복 보고를 구성할 수 있습니다. 중복 계정 기록이 전송되는 대상은 기본 VRF라고도 하는 default:default 논리적 시스템:라우팅 인스턴스 조합(LS:RI)에 있어야 합니다.

표 2 에는 중복 보고를 사용할 때 가입자 관리가 accounting 보고서를 보내는 위치가 나와 있습니다. 가입자 관리는 계층 수준에서 문을 [edit access profile profile-name accounting] 구성하는 duplication 액세스 프로필, 가입자가 거주하는 위치 및 가입자 인증 방법을 기반으로 중복 보고서를 보냅니다.

다른 시나리오

레이어 3 도매 네트워크 환경에 있지 않은 시나리오의 경우, 동일하거나 다른 라우팅 컨텍스트에 상주하는 다른 RADIUS 서버 집합으로 중복 accounting 레코드를 전송할 수 있습니다. 레이어 3 도매 시나리오와 달리, 중복 RADIUS 계정 레코드의 대상이 기본 VRF일 필요는 없습니다. 기본이 아닌 단일 VRF(즉, 기본:기본 LS:RI 조합 이외)를 대상으로 지정할 수 있습니다. 또한 중복 보고서를 수신하는 RADIUS 계정 서버를 나열하는 대상 VRF에 최대 5개의 액세스 프로필을 지정할 수 있습니다.

예를 들어, 가입자가 기본 도메인에서 인증되는 합법적 가로채기 시나리오가 있을 수 있습니다. 공인된 법 집행 기관은 가입자가 비기본 VRF에 있는 조직의 네트워킹 도메인에 있는 중재 디바이스로 전송될 수 있도록 중복된 계정 기록이 필요합니다.

가입자 관리는 계층 수준에서 명령문으로 vrf-name 지정한 VRF에 [edit access profile profile-name accounting duplication-vrf] 중복 보고서를 보냅니다. access-profile-name 동일한 수준의 문을 포함하여 액세스 프로필을 지정하고, 액세스 프로필은 차례로 중복 보고서를 수신하는 RADIUS 서버를 지정합니다.

중복 계정 보고서에 대한 필터

가입자 관리는 RADIUS 계정 중복 보고가 활성화될 때 RADIUS 계정 중간 보고서를 수신할 계정 서버를 지정할 수 있는 중복 필터 기능을 제공합니다. AAA 액세스 프로필에서 필터를 구성하면 라우터가 해당 프로필과 연관된 가입자에게 필터를 적용합니다.

가입자 관리는 RADIUS 계정 중복 보고에 대해 다음과 같은 필터링을 지원합니다.

• Duplicated accounting interim messages(중복 계정 중간 메시지) - 라우터가 중복 계정 메시지를 필터링합니다. 계정 메시지는 가입자의 액세스 프로필에 있는 RADIUS 계정 서버로만 전송됩니다.

• 원래 어카운팅 중간 메시지 - 라우터는 가입자의 액세스 프로필에 있는 어카운팅 서버인 원래 RADIUS 어카운팅 서버로 향하는 어카운팅 메시지를 필터링합니다. 계정 메시지는 중복 계정 서버(가입자의 액세스 프로필이 아닌 중복 액세스 프로필의 서버)로만 전송됩니다.

• 제외된 RADIUS 속성 - 라우터는 중복 컨텍스트에서 액세스 프로필의 exclude 명령문 구성을 기반으로 계정 메시지의 RADIUS 속성을 필터링합니다. 제외 필터를 단독으로 사용하거나 중복되거나 원래 계정 메시지 필터와 함께 사용할 수 있습니다.

목적

RADIUS 계정 서버에 연결할 수 없어 보류되고 있는 RADIUS 계정 중지 메시지에 대한 정보를 표시합니다.

행동

보류 중인 계정 중지 메시지 수가 최대값에 근접하는지 여부를 확인하려면 보류 중인 요청의 간단한 수를 표시할 수 있습니다.

다른 명령을 사용하여 계정 메시지에 대한 자세한 정보를 표시할 수 있습니다. 다음 예는 사용자 vjshah29@example.com 에 대한 accounting 세션의 모든 서비스에 대한 정보를 표시합니다. 이 예에서는 한 명의 사용자만 표시되지만 이 명령은 실제로 계정이 백업되는 모든 가입자에 대한 정보를 표시합니다.

특정 액세스 프로필을 가진 모든 사용자에 대한 요약 정보를 표시할 수 있습니다. 다음 예에서는 단일 사용자인 vjshah29@example.com 만이 지정된 액세스 프로필 ce-ppp-profile을 가지고 있습니다.

또한 액세스 프로필에 관계없이 보류 중인 계정 중지 메시지가 있는 모든 가입자에 대한 요약 정보를 표시할 수 있습니다. 다음 예제에서는 두 사용자에 대한 정보를 표시합니다. 가입자 larry@example.com 는 이전 예제에 나와 있지 않기 때문에 동일한 서비스를 받았더라도 vjshah29@example.com 와 다른 액세스 프로필을 가져야 합니다.

회계 중단, 기준선 설정 및 재개 중 발생하는 일련의 이벤트

다음 이벤트 시퀀스는 계정을 일시 중단하고, 기준을 생성하고, 계정 프로세스를 다시 시작할 때 발생합니다.

1. request network-access aaa accounting suspend 계정을 일시 중단하려면 명령을 발행합니다.

   1. 계정이 일시 중단되었음을 나타내는 시스템 로깅 메시지가 생성됩니다.

   2. accounting-backup-options를 포함한 모든 어카운팅은 모든 라우팅 컨텍스트의 모든 어카운팅 서버에 대해 일시 중단됩니다.

2. request network-access aaa accounting baseline 명령을 실행하여 기준선을 생성합니다.

   1. 어카운팅 통계에 대한 기준선 설정이 시작되었음을 나타내는 시스템 로깅 메시지가 생성됩니다.

   2. 각 가입자에 대한 시간 및 볼륨 통계는 기준 값으로 설정됩니다. 기준 프로세스를 완료하는 데 걸리는 시간은 통계 세부 정보 수에 따라 결정되지 않습니다.

   3. 기준선 설정이 완료되었음을 알리는 시스템 로깅 메시지가 생성됩니다.

3. request network-access aaa accounting resume 기준선 설정이 완료되면 명령을 발행하여 계정 프로세스를 다시 시작합니다.

   1. 어카운팅이 재개되었음을 알리는 시스템 로깅 메시지가 생성됩니다.

   2. 이전에 구성된 모든 계정 옵션이 다시 활성화됩니다.

기준 작업은 각 가입자에 대한 시간 및 볼륨 카운터의 기준을 설정하려고 시도합니다. 가입자 카운터는 계층 수준에서 문을 [edit access profile profile-name accounting] 사용하여 set update-interval minutes 구독자에 대해 중간 회계가 활성화된 경우에만 기준 값으로 설정됩니다. 가입자에 대해 중간 어카운팅이 활성화되지 않은 경우, 해당 가입자의 카운터는 기준 값에 매핑되지 않습니다.

기준 요청이 실행된 후 모든 가입자 레코드를 기준화하기 위해 지정되지 않은 기간이 경과합니다. 이 간격 동안 다른 가입자의 통계 정보가 기준이 될 때 한 가입자에 대한 통계가 누적될 수 있습니다. 때로는 기준선이 시작된 후 해당 가입자의 카운터가 기준선으로 유지되는 동안 가입자에게 전달되는 트래픽으로 인해 일부 서비스의 카운터가 부정확하고 일관되지 않을 수 있습니다. baseline 명령이 실행되면 baseline이 완료될 때까지 어카운팅을 재개할 수 없습니다. 어카운팅이 일시 중단되지 않았거나 기준선 설정이 진행 중인 동안 명령을 실행하면 명령이 실패합니다. Accounting 라이센스가 설치되지 않은 경우 명령이 오류를 보고합니다.

회계 중단 및 통계 기준선 설정에 대한 지침

회계를 일시 중단하고 통계에 대한 기준을 지정할 때 다음 사항을 염두에 둡니다.

• 임계값(또는 할당량)이 적용되는 환경에서의 계정 일시 중단은 지원되지 않습니다. 여기에는 Gx-Plus 및 주니퍼 네트웍스 세션 및 리소스 제어(SRC) 임계값 또는 RADIUS 세션 볼륨 할당량이 모든 가입자에 대해 유효한 환경이 포함됩니다. 가입자에게 임계값 또는 할당량이 있는 경우 계정 일시 중단 요청이 실패합니다.

• 회계가 일시 중단된 동안에는 임계값(또는 할당량) 서비스에 대한 활성화가 허용되지 않습니다.

• 계정이 일시 중단되지 않은 경우 계정 기준선 설정이 지원되지 않습니다.

• 회계 일시 중단 중에는 기준 요청을 두 개 이상 지정할 수 없습니다.

• 중간 계정으로 구성되지 않은 가입자에 대한 기준선 설정은 지원되지 않습니다.

• 기준 작업을 완료하는 데 걸리는 시간은 결정되지 않습니다. 이는 수집되는 통계의 양과 깊이에 따라 다르며, 기준이 시작될 때 활성 상태인 가입자 및 서비스 세션의 수에 비례합니다. 기준선 설정이 진행 중인 동안 계정을 재개하려고 하면 명령이 실패합니다.

• 명령을 사용하여 통합 ISSU 프로세스 중에 계정을 일시 중지, 기준 설정 또는 재개할 수 없습니다. 기준이 진행되는 동안 통합 ISSU를 수행하려고 할 경우 섀시 데몬 상태가 DAEMON_ISSU_PREPARE 상태로 변경되면 인증 및 패킷 포워딩 엔진 프로세스가 세션 경계에서 기준선을 일시 중단하고 디바이스가 업그레이드된 릴리스로 라우팅 엔진 전환 후 재개됩니다.

• 어카운팅이 일시 중단되거나 기준선 설정이 진행되는 동안 GRES(Graceful 라우팅 엔진 Switchover)가 발생하는 경우, 라우터 재시작 후에도 중단 또는 기준선 설정 상태가 유지됩니다. 이러한 시나리오에서는 라우터 재부팅 후 어카운팅이 일시 중단되고 카운터가 베이스라인으로 남아 있는 가입자는 라우터가 온라인 상태가 된 후 베이스라인이 됩니다.

가입자 회계 일시 중단 및 기준선 설정의 샘플 시나리오

다음과 같은 경우를 생각해 볼 수 있습니다.

1. 중간 어카운팅은 가입자 X에 대해 구성됩니다. 가입자 Y 및 Z에 대해 구성되지 않습니다.

2. 어카운팅이 일시 중단되기 전에 전송된 마지막 중간 어카운팅 요청에는 가입자 X에 대한 통계가 포함됩니다. 이 가입자를 위해 지금까지 50,000 옥텟의 트래픽이 전송되었습니다. 가입자 Y에 20,000 옥텟이 전송되고 가입자 Z에 10,000 옥텟이 전송되었지만, 중간 계정이 구성되지 않았기 때문에 해당 정보는 아직 보고되지 않았습니다.

3. 회계가 일시 중단됩니다.

4. 기준선 설정이 시작됩니다. 가입자 X의 현재 수는 50,000 옥텟입니다. 이 값이 가입자의 기준 값이 됩니다. 가입자 X 및 Y는 중간 계정이 구성되어 있지 않으므로 기준 값이 설정되지 않습니다.

5. 베이스라이닝이 진행되는 동안 트래픽은 가입자 X의 경우 150,000 옥텟, 가입자 Y의 경우 80,000 옥텟, 가입자 Z의 경우 20,000 옥텟의 세 가입자에게 계속 전송됩니다.

6. 구독자 Z가 로그아웃합니다. 어카운팅이 일시 중단되어 Acct-Stop 요청이 전송되지 않습니다. 따라서 이 가입자에 대한 최종 계정 통계가 손실됩니다.

7. 기준선 설정이 완료됩니다.

8. 회계가 재개됩니다.

9. 가입자 X가 로그아웃합니다. 가입자 X에 대해 총 200,000개의 옥텟이 전송되었지만 Acct-Stop 레코드는 150,000개의 옥텟만 보고합니다. 즉, 총 200,000 옥텟에서 50,000 옥텟 기준선을 뺀 값입니다.

10. 가입자 Y가 로그아웃합니다. 가입자 Y에 대해 총 100,000개의 옥텟이 전송되었고 기준 값이 없기 때문에 Acct-Stop 레코드는 총 100,000개의 옥텟을 보고합니다.

표 7 에는 이 시나리오가 요약되어 있습니다.