EN ESTA PÁGINA
Tunelización L2TP LAC para suscriptores
Descripción general de la selección de túneles LAC
Cuando un usuario inicia sesión en un dominio, el cliente PPP se pone en contacto con el LAC para establecer una conexión. El LAC tiene que encontrar un destino en el dominio y un túnel que pueda llegar a él. La asociación entre destinos, túneles y dominios la proporciona un perfil de túnel en un mapa de dominio en el perfil de acceso del suscriptor o en el atributo Tunnel-Group (VSA 26-64) recibido de un servidor RADIUS. El atributo RADIUS tiene prioridad sobre un perfil especificado en un mapa de dominio. El perfil del túnel incluye una lista de túneles; cada túnel está asociado a una dirección IP de destino y a un nivel de preferencia de túnel.
L2TP le permite especificar:
Hasta 31 destinos para un dominio.
Hasta ocho niveles de preferencia de túnel. El nivel de preferencia determina el orden en que LAC intenta usar un túnel existente (o establecer uno nuevo) a un destino en el dominio solicitado por el usuario.
Nota:Cero (0) es el nivel más alto de preferencia; Este es el nivel más preferido.
Si dos túneles llegan a destinos válidos dentro de un dominio, LAC primero selecciona el túnel con el nivel de preferencia más alto. Por ejemplo, cuando el túnel A tiene un nivel de preferencia de 1 y el túnel B tiene un nivel de preferencia de 4, el LAC intenta usar primero el túnel A.
Hasta 31 destinos para un solo nivel de preferencia.
Cuando el LAC determina que una sesión PPP debe ser tunelizada, selecciona un túnel del conjunto de túneles asociados con el usuario PPP o el dominio del usuario PPP mediante un perfil de túnel.
La selección de túneles se ve afectada por las siguientes configuraciones:
Conmutación por error entre niveles de preferencia: de forma predeterminada, cuando no se selecciona un túnel a un destino válido dentro de un nivel de preferencia, el proceso de selección conmuta por error al siguiente nivel; es decir, el LAC desciende al siguiente nivel inferior para continuar la búsqueda de un túnel adecuado. Consulte Selección cuando se configura la conmutación por error entre niveles de preferencia para obtener más información.
Conmutación por error dentro de un nivel de preferencia: en este caso, el LAC no limita sus intentos de establecer una sesión a un solo túnel en un nivel de preferencia. Si el intento falla a través del túnel seleccionado, el proceso de selección conmuta por error dentro de ese mismo nivel seleccionando otro túnel adecuado a un destino válido. LAC continúa sus intentos de conexión dentro del nivel hasta que no haya más túneles a un destino válido disponibles en ese nivel. Luego, el LAC desciende al siguiente nivel inferior para continuar la búsqueda. Consulte Selección cuando se configura la conmutación por error dentro de un nivel de preferencia para obtener más información.
Sesiones máximas por túnel: cuando se configura el número máximo de sesiones permitidas por túnel, el LAC tiene en cuenta esa configuración durante el proceso de selección del túnel. El número máximo de sesiones por túnel se puede configurar mediante el VSA RADIUS Tunnel-Max-Sessions [26-33] o incluyendo la
max-sessionsinstrucción en un perfil de túnel.Cuando un túnel seleccionado aleatoriamente tiene un recuento de sesiones actual igual a su número máximo de sesiones, el LAC no intenta conectarse a un destino con ese túnel. En su lugar, selecciona un túnel alternativo del conjunto de túneles en ese nivel de preferencia que tienen destinos válidos en el dominio. Si no existen tales túneles en el nivel de preferencia actual, el LAC cae al siguiente nivel de preferencia para realizar la selección. Este proceso es coherente, independientemente del esquema de conmutación por error que se esté ejecutando actualmente en el LAC.
Cuando el número máximo de sesiones no está configurado para un túnel, ese túnel no tiene límite superior en el número de sesiones que puede admitir. De forma predeterminada, el valor máximo de sesiones es 0 (cero), lo que permite sesiones ilimitadas en el túnel.
Equilibrio de carga ponderada: este método de equilibrio utiliza una evaluación basada en probabilidades del peso del túnel para distribuir las sesiones entre túneles. El LAC todavía selecciona túneles al azar dentro de un nivel de preferencia, pero en promedio las sesiones se distribuyen a través de túneles en relación con el peso de los túneles. El peso de un túnel viene determinado por el límite máximo de sesión del túnel y los límites máximos de sesión de los demás túneles con el mismo nivel de preferencia. Consulte Equilibrio de carga ponderada para obtener más información.
Equilibrio de carga con igual destino: este método de equilibrio de sesiones evalúa los túneles según el número de sesiones hasta el destino y el número de sesiones que lleva el túnel para distribuir la carga de la sesión por igual entre todos los túneles. Se determina que el túnel con un destino que tiene el recuento de sesiones más bajo tiene la carga más ligera. Este proceso opera en túneles en el nivel de preferencia más alto disponible. Consulte Equilibrio de carga igual a destino para obtener más información.
Tenga en cuenta la siguiente información para comprender el proceso de selección de túnel y destino y la conmutación por error:
Es posible que más de un túnel pueda llegar a un destino, y esos túneles pueden tener el mismo nivel de preferencia o diferentes niveles de preferencia.
Es posible que el túnel seleccionado para establecer la sesión de suscriptor ya esté establecido. lo que significa que actualmente tiene sesiones activas. Alternativamente, el LAC podría tener que establecer un nuevo túnel hasta el destino si ya no se ha establecido ningún túnel capaz de llegar al destino.
Un destino válido cumple los siguientes criterios:
Es accesible por un túnel que no ha alcanzado su límite máximo de sesión.
Todavía no se ha contactado para la solicitud de inicio de sesión del suscriptor actual.
Puede estar bloqueado o desbloqueado.
Un destino bloqueado es aquel para el que se está ejecutando el temporizador de bloqueo de destino. Los destinos bloqueados se colocan en una lista de bloqueo hasta que el temporizador expire o se borre (restablecer a cero). No se puede contactar con los destinos de la lista para establecer una sesión.
Un destino desbloqueado es aquel para el que el temporizador de bloqueo de destino es cero.
Cuando LAC descubre destinos válidos que están bloqueados, los coloca en la lista DestinationsLockedNotContacted, que es diferente de la lista de bloqueo que incluye todos los destinos bloqueados. La lista DestinationsLockedNotContacted incluye solo los destinos bloqueados con los que LAC aún no ha intentado contactar para el inicio de sesión actual del suscriptor en curso. La lista DestinationsLockedNotContacted no incluye los destinos que LAC bloquea después de haber intentado establecer una conexión y no haber podido establecerla.
Puede utilizar el
clear services l2tp destination lockoutcomando para borrar manualmente todos los destinos bloqueados o solo los destinos bloqueados que coincidan con la dirección de puerta de enlace local o remota especificada. Puede usar el comando si, por ejemplo, desea borrar un destino específico para que tenga prioridad dentro de un nivel de preferencia.El comportamiento de conmutación por error que forma parte del proceso de selección de túnel sólo se aplica cuando no se puede acceder al destino por uno de los siguientes motivos:
El LNS no devuelve un mensaje SCCRP en respuesta al mensaje SCCRQ del LAC después del número máximo de intentos de retransmisión.
El túnel está establecido, pero el LNS no devuelve un mensaje ICRP en respuesta al ICRQ desde el LAC después del número máximo de intentos de retransmisión.
Este comportamiento de conmutación por error no se aplica en las siguientes circunstancias:
El cliente finaliza la conexión.
El túnel está establecido, pero el LNS envía un mensaje CDN mientras LAC intenta establecer la sesión con el LNS, lo que provoca el error del intento de inicio de sesión del suscriptor.
- Selección cuando se configura la conmutación por error entre niveles de preferencia
- Selección cuando se configura la conmutación por error dentro de un nivel de preferencia
- Selección al distribuir la carga de sesión entre varios LNS
Selección cuando se configura la conmutación por error entre niveles de preferencia
Cuando un usuario intenta iniciar sesión en un dominio en una configuración predeterminada, es decir, cuando la conmutación por error dentro de un nivel de preferencia y el equilibrio de carga no están configurados, el LAC busca destinos válidos para el dominio solicitado, comenzando en el nivel de preferencia de túnel más alto. Si no se encuentra ningún destino válido o se produce un error al intentar conectarse a un destino, el LAC desciende al siguiente nivel inferior para continuar con la búsqueda. El proceso de búsqueda es el mismo para todos los niveles excepto para los más bajos:
La búsqueda comienza identificando túneles con destinos válidos en el nivel de preferencia de entre todos los túneles especificados en el perfil de túnel del dominio.
Todos los destinos válidos y bloqueados se colocan en la lista DestinationsLockedNotContacted. No se hace ningún intento de ponerse en contacto con ninguno de estos destinos.
De entre los destinos válidos y desbloqueados, el LAC selecciona uno al azar e intenta conectarse a través del túnel asociado; si el túnel no tiene sesiones actuales, el LAC debe establecer el túnel.
Nota:La selección aleatoria es el comportamiento predeterminado. El comportamiento es diferente cuando se configura el equilibrio de carga ponderado o el equilibrio de carga igual al destino. Consulte Selección al distribuir la carga de sesión entre varios LNS para obtener información sobre el equilibrio de carga.
Si el intento se realiza correctamente, LAC informa del inicio de sesión exitoso al cliente PPP. LAC también borra todos los destinos de la lista DestinationsLockedNotContacted.
Si el LAC no recibe respuesta, vuelve a intentar el intento hasta el número máximo de reintentos. Si el LAC agota los reintentos sin recibir respuesta, el intento se considera fallido y el LAC marca el destino como inalcanzable bloqueando el destino. Coloca el destino en la lista de bloqueo e inicia el temporizador de bloqueo de destino.
Lo que el ALC haga a continuación depende del nivel de preferencia actual.
Si no es el nivel de preferencia más bajo, entonces el LAC cae al siguiente nivel de preferencia más bajo y continúa el proceso de búsqueda.
Si es el nivel de preferencia más bajo y la lista DestinationsLockedNotContacted no está vacía, entonces LAC desbloquea todos los destinos en la lista DestinationsLockedNotContacted, vuelve al nivel de preferencia más alto y reinicia el proceso de búsqueda.
Si es el nivel de preferencia más bajo y la lista DestinationsLockedNotContacted está vacía, lo que significa que se han intentado todos los destinos válidos, el LAC informa de un inicio de sesión erróneo en el cliente PPP.
Cuando los destinos válidos en un nivel están todos bloqueados, lo que LAC haga a continuación depende del nivel de preferencia actual.
Si no es el nivel de preferencia más bajo, entonces el LAC cae al siguiente nivel de preferencia más bajo y continúa el proceso de búsqueda.
Si es el nivel de preferencia más bajo, el LAC selecciona el destino válido y bloqueado con el tiempo de bloqueo restante más corto. Borra el temporizador de bloqueo e intenta conectarse al destino y establecer una sesión.
Si el intento se realiza correctamente, LAC informa del inicio de sesión exitoso al cliente PPP.
Si se produce un error en el intento y la lista DestinationsLockedNotContacted está vacía, lo que significa que se han intentado todos los destinos válidos, LAC notifica un inicio de sesión erróneo en el cliente PPP.
Si se produce un error en el intento y la lista DestinationsLockedNotContacted no está vacía, LAC desbloquea todos los destinos de la lista DestinationsLockedNotContacted, vuelve al nivel de preferencia más alto y reinicia el proceso de búsqueda.
Cuando no hay destinos válidos presentes, lo que LAC haga a continuación depende del nivel de preferencia actual.
Si no es el nivel de preferencia más bajo, entonces el LAC cae al siguiente nivel de preferencia más bajo y continúa el proceso de búsqueda.
Si es el nivel de preferencia más bajo y la lista DestinationsLockedNotContacted está vacía, lo que significa que se han intentado todos los destinos válidos, el LAC informa de un inicio de sesión erróneo en el cliente PPP.
Si es el nivel de preferencia más bajo y la lista DestinationsLockedNotContacted no está vacía, LAC desbloquea todos los destinos en la lista DestinationsLockedNotContacted, vuelve al nivel de preferencia más alto y reinicia el proceso.
El proceso de búsqueda y conmutación por error recorre los niveles hasta que se establece una sesión o se han intentado todos los destinos válidos (no quedan destinos en la lista DestinationsLockedNotContacted) y se produce un error en el inicio de sesión.
La figura 1 ilustra las posibles condiciones y puntos de decisión que determinan la selección de un destino y el túnel correspondiente para el caso predeterminado, donde se produce la conmutación por error entre los niveles de preferencia de túnel.
de preferencia
Por ejemplo, supongamos que el perfil de túnel incluye los siguientes túneles, cada uno con un destino válido:
Preferencia 0, túnel 1, 192.168.10.10
Preferencia 1, túnel 2, 192.168.22.22
Preferencia 1, Túnel 3, 192.168.33.33
Preferencia 2, Túnel 4, 192.168.44.44
La conmutación por error dentro de las preferencias y el equilibrio de carga no están configurados.
Cuando un usuario PPP intenta conectarse al dominio, el LAC actúa de la siguiente manera:
En el nivel de preferencia más alto, 0, LAC selecciona el túnel 1 porque es el único túnel del nivel con un destino válido. El LAC intenta llegar a 192.168.10.10.
Se produce un error en este intento de conexión, por lo que LAC bloquea 192.168.10.10. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino.
LAC cae (conmuta por error) al siguiente nivel, el nivel de preferencia 1, para llegar a un destino para el dominio. El LAC selecciona aleatoriamente entre 192.168.22.22 a través del túnel 2 y 192.168.33.33 a través del túnel 3. Selecciona 192.168.22.22 e intenta conectarse a través del túnel 2.
Se produce un error en el intento de conexión a 192.168.22.22, por lo que LAC bloquea 192.168.22.22. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino.
Nota:Aunque el túnel 3 tiene un destino válido y desbloqueado, el LAC ahora no puede seleccionar ese túnel para llegar a 192.168.33.33, porque el LAC sólo puede hacer un intento de llegar a un destino válido cada vez que busca en un nivel cuando el método de conmutación por error está entre niveles de preferencia.
El LAC cae al nivel final (más bajo) en este ejemplo, el nivel de preferencia 2. LAC selecciona el túnel 4 porque es el único túnel del nivel con un destino válido. El LAC intenta llegar a 192.168.44.44.
El intento de conexión a 192.168.44.44 también falla, por lo que LAC bloquea 192.168.44.44. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino.
Dado que este es el nivel más bajo y la lista DestinationsLockedNotContacted está vacía, LAC rechaza la solicitud de inicio de sesión del cliente PPP.
Los destinos 192.168.10.10, 192.168.22.22 y 192.168.44.44 se bloquearon, pero no se agregaron a la lista DestinationsLockedNotContacted porque LAC los bloqueó después de intentar conectarse. No se contactó con el destino 192.168.33.33, pero no se agregó a la lista DestinationsLockedNotContacted porque no está bloqueado.
El cliente intenta iniciar sesión de nuevo y LAC repite el proceso de selección de túnel, comenzando de nuevo en el nivel de preferencia 0 para comprobar si hay un destino válido y desbloqueado, y recorriendo los niveles según sea necesario.
En el nivel de preferencia 0, 192.168.10.10 es el único destino válido y sigue bloqueado, por lo que LAC no puede intentar conectarse al destino. LAC agrega 192.168.10.10 a la lista DestinationsLockedNotContacted y luego cae al nivel de preferencia 1.
Nota:Recuerde que el temporizador de bloqueo de destino se aplica globalmente, por lo que persiste en varios inicios de sesión de suscriptores. La lista DestinationsLockedNotContacted solo se aplica a un inicio de sesión de suscriptor determinado y no persiste. A pesar de que LAC contactó a 192.168.10.10 para este suscriptor, fue durante un intento de inicio de sesión anterior. En este intento de inicio de sesión, no puede ponerse en contacto con el destino debido al bloqueo y, en consecuencia, coloca el destino en la lista DestinationsLockedNotContacted.
En el nivel de preferencia 1, 192.168.22.22 sigue bloqueado, por lo que LAC agrega 192.168.22.22 a la lista DestinationsLockedNotContacted. 192.168.33.33 todavía está disponible. El LAC intenta conectarse al 192.168.33.33 a través del túnel 3.
Este intento de conexión falla, por lo que LAC bloquea 192.168.33.33. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino. El LAC cae al nivel de preferencia 2.
192.168.44.44 sigue bloqueado, por lo que LAC agrega 192.168.44.44 a la lista DestinationsLockedNotContacted.
Este es el nivel de preferencia más bajo, pero esta vez la lista DestinationsLockedNotContacted no está vacía; contiene 192.168.10.10, 192.168.22.22 y 192.168.44.44. LAC desbloquea todos los destinos en la lista DestinationsLockedNotContacted y luego salta al nivel de preferencia más alto.
En el nivel de preferencia 0, el LAC intenta conectarse a 192.168.10.10 porque estaba desbloqueado. El LAC establece la sesión e informa el inicio de sesión exitoso al cliente PPP.
Aunque el LAC no intenta ponerse en contacto con un destino que está bloqueado, hay un caso especial cuando el ALC ha alcanzado el nivel de preferencia más bajo. El nivel debe tener más de un destino válido y todos ellos deben estar bloqueados. Por ejemplo, supongamos que el perfil de túnel incluye los siguientes túneles, cada uno con un destino válido:
Preferencia 0, túnel 1, 192.168.10.10
Preferencia 1, túnel 2, 192.168.22.22. El destino está bloqueado con el temporizador de bloqueo actualmente en 245 segundos.
Preferencia 1, túnel 3, 192.168.33.33. El destino está bloqueado con el temporizador de bloqueo actualmente en 180 segundos.
La conmutación por error dentro de las preferencias y el equilibrio de carga no están configurados.
Cuando un usuario PPP intenta conectarse al dominio, el LAC actúa de la siguiente manera:
En el nivel de preferencia más alto, 0, LAC selecciona el túnel 1 porque es el único túnel del nivel con un destino válido. El LAC intenta llegar a 192.168.10.10.
Se produce un error en este intento de conexión, por lo que LAC bloquea 192.168.10.10. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino.
LAC cae al siguiente nivel, el nivel de preferencia 1, para llegar a un destino para el dominio. Ambos destinos válidos en este nivel, 192.168.22.22 y 192.168.33.33, están bloqueados.
LAC agrega ambos destinos a la lista DestinationsLockedNotContactated.
Debido a que este es el nivel de preferencia más bajo, el LAC determina qué destino tiene un tiempo de bloqueo restante más corto. Selecciona 192.168.33.33 porque tiene un tiempo de bloqueo restante más corto (180 segundos) que 192.168.22.22 (245 segundos). El LAC desbloquea 192.168.33.33 e intenta conectarse a través del túnel 3. Como consecuencia, LAC también elimina 192.168.33.33 de la lista DestinationsLockedNotContacted.
El intento de conexión se realiza correctamente y se establece una sesión en 192.168.33.33. El LAC informa de un inicio de sesión exitoso en el cliente PPP.
Selección cuando se configura la conmutación por error dentro de un nivel de preferencia
Cuando se configura la conmutación por error dentro de un nivel de preferencia, el proceso de selección de destino y túnel es el mismo que para la configuración predeterminada, con una excepción: el LAC no se limita a un solo intento de conexión en un nivel de preferencia.
Cuando el LAC intenta conectarse a un destino válido y desbloqueado y no tiene éxito, bloquea ese destino pero no baja inmediatamente al siguiente nivel inferior. En su lugar, si otro destino válido desbloqueado está disponible en el mismo nivel de preferencia, el LAC intenta conectarse a ese destino.
Si el LAC no se conecta, continúa intentando llegar a un destino dentro de ese nivel de preferencia hasta que no queden más destinos válidos y desbloqueados por intentar. En ese momento, el LAC se despliega para buscar en el siguiente nivel de preferencia más bajo. En cada nivel, LAC busca e intenta conectarse a un destino válido hasta que no haya destinos válidos desbloqueados disponibles.
Si LAC desciende al nivel de preferencia más bajo y no encuentra destinos válidos desbloqueados, el comportamiento depende de la lista DestinationsLockedNotContacted:
Si la lista DestinationsLockedNotContacted no está vacía, LAC desbloquea todos los destinos de la lista DestinationsLockedNotContacted, vuelve al nivel de preferencia más alto y reinicia el proceso de búsqueda.
Si DestinationsLockedNotContacted está vacío, lo que significa que se han intentado todos los destinos válidos, el LAC notifica un error de inicio de sesión en el cliente PPP.
Por ejemplo, supongamos que el perfil de túnel especifica los siguientes túneles y destinos. El equilibrio de carga no está configurado. Todos los destinos son válidos; Todos están desbloqueados excepto 192.168.3.3. Los niveles de preferencia para los túneles se asignan de la siguiente manera:
Preferencia 0, túnel 1, 192.168.1.1, desbloqueado
Preferencia 0, túnel 2, 192.168.2.2, desbloqueado
Preferencia 0, túnel 3, 192.168.3.3, temporizador de bloqueo 100 segundos
Preferencia 1, túnel 4, 192.168.4.4, desbloqueado
Preferencia 1, túnel 5, 192.168.5.5, desbloqueado
En este ejemplo, cuando un usuario PPP intenta conectarse al dominio, LAC actúa de la siguiente manera:
El LAC selecciona aleatoriamente entre los dos destinos válidos desbloqueados en el nivel de preferencia 0, 192.168.1.1 a través del túnel 1 y 192.168.2.2 a través del túnel 2. Elige 192.168.2.2 e intenta conectarse a través del túnel 2.
Se produce un error en el intento de conexión a 192.168.2.2, por lo que LAC bloquea 192.168.2.2. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino.
Luego, LAC intenta conectarse a 192.168.1.1 a través del túnel 1 en el nivel de preferencia 0.
Se produce un error en el intento de conexión a 192.168.1.1, por lo que LAC bloquea 192.168.1.1. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino.
192.168.3.3 a través del túnel 3 es el único destino válido restante en el nivel de preferencia 0, pero está bloqueado. LAC agrega 192.168.3.3 a la lista DestinationsLockedNotContacted. LAC no agregó 192.168.1.1 y 192.168.2.2 a la lista DestinationsLockedNotContacted, porque los bloqueó después de intentar contactarlos.
Debido a que el nivel 0 no tiene más destinos válidos y desbloqueados, LAC cae al siguiente nivel, el nivel de preferencia 1, para llegar a un destino para el dominio.
En el nivel de preferencia 1, el LAC selecciona aleatoriamente 192.168.4.4 e intenta conectarse a través del túnel 4.
Se produce un error en el intento de conexión a 192.168.4.4, por lo que LAC bloquea 192.168.4.4. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino.
Luego, LAC intenta conectarse a 192.168.5.5 a través del túnel 5 en el nivel de preferencia 1.
Se produce un error en el intento de conexión a 192.168.5.5, por lo que LAC bloquea 192.168.5.5. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino. El nivel 1 no tiene más destinos válidos y desbloqueados. Dado que la lista DestinationsLockedNotContacted no está vacía, LAC desbloquea todos los destinos de la lista (en este caso, 192.168.3.3) y vuelve al nivel de preferencia más alto, 0.
192.168.3.3 es ahora el único destino desbloqueado en el nivel de preferencia 0, por lo que LAC intenta conectarse a él a través del túnel 3.
Se produce un error en el intento de conexión a 192.168.3.3, por lo que LAC bloquea 192.168.3.3. No se vuelve a considerar durante este intento de inicio de sesión y no se puede considerar para ningún intento de inicio de sesión hasta que expire el temporizador de bloqueo de destino.
Debido a que el nivel 0 no tiene más destinos válidos y desbloqueados, LAC cae al siguiente nivel, el nivel de preferencia 1.
El nivel de preferencia 1 no tiene destinos válidos y desbloqueados. DestinationsLockedNotContacted está vacío porque LAC se ha puesto en contacto con todos los destinos válidos en ambos niveles de preferencia. LAC rechaza la solicitud de inicio de sesión del cliente PPP.
Selección al distribuir la carga de sesión entre varios LNS
Se pueden configurar múltiples perfiles de túnel en el LAC; Algunos túneles pueden compartir destinos. Cuando LAC tuneliza la sesión para un suscriptor PPP al LNS, se debe seleccionar un túnel para la sesión del suscriptor. El proceso de selección de túneles elige un túnel con la preferencia más alta que tenga un destino accesible. De forma predeterminada, LAC selecciona un túnel al azar entre varios túneles que cumplen los mismos criterios. Como alternativa, puede configurar el equilibrio de carga para habilitar diferentes opciones de selección. Ambos métodos de equilibrio de carga afectan los túneles y destinos que selecciona el LAC, pero el proceso de selección y conmutación por error sigue siendo el mismo.
El equilibrio de carga ponderada y el equilibrio de carga igual a destino son mutuamente excluyentes. Solo puede habilitar uno u otro.
Equilibrio de carga ponderada
El equilibrio de carga ponderada evalúa los túneles según su peso. El peso de un túnel viene determinado por el límite máximo de sesión del túnel y los límites máximos de sesión de los demás túneles con el mismo nivel de preferencia. El túnel con el límite máximo de sesión más alto tiene el peso más alto en ese nivel de preferencia. El túnel con el siguiente límite máximo de sesión más alto tiene el siguiente peso más alto, y así sucesivamente. El túnel con el límite máximo de sesión más bajo tiene el peso más bajo.
La selección de túneles y la distribución de la sesión se basan en la probabilidad; La carga no se distribuye estrictamente según el peso.
Cuando se configura el equilibrio de carga ponderada, el LAC sigue seleccionando túneles aleatoriamente dentro de un nivel de preferencia, pero en promedio las sesiones se distribuyen entre túneles en relación con el peso de los túneles.
Con el equilibrio de carga ponderado, el LAC genera un número aleatorio dentro de un rango igual al total agregado de todos los límites de sesión para todos los túneles en el nivel de preferencia. Asocia parte del rango (un conjunto de números) con cada túnel proporcional al peso del túnel. Un túnel con un peso más alto se asocia con una mayor porción del rango (un grupo más grande) que un túnel con un peso menor. Se selecciona un túnel cuando el número aleatorio está en su grupo de números asociado. Es más probable que el número aleatorio esté en un grupo más grande, por lo que es más probable que se seleccione un túnel con un peso más alto (grupo más grande) que un túnel con un peso más bajo (grupo más pequeño).
Por ejemplo, considere un nivel de preferencia que solo tiene dos túneles, 1 y 2. El túnel 1 tiene un límite máximo de 1000 sesiones y el túnel 2 tiene un límite de 2000 sesiones, lo que da como resultado un total total de 3000 sesiones. El LAC genera un número aleatorio a partir de un grupo de 3000 en el rango de 0 a 2999. Un grupo de 1000 números, la parte del rango de 0 a 999, está asociado con el túnel 1. Un grupo de 2000 números, la porción del rango de 1000 a 2999, está asociado con el túnel 2.
Cuando el número generado es inferior a 1000, se selecciona el túnel 1, aunque tenga un peso menor (1000) que el túnel 2 (2000).
Cuando el número generado es 1000 o mayor, se selecciona el túnel 2.
Debido a que el conjunto de posibles números generados para el túnel 2 (2000) es el doble que para el túnel 1 (1000), el túnel 2, en promedio, se selecciona dos veces más a menudo que el túnel 1.
Equilibrio de carga con igual destino
El equilibrio de carga igual al destino evalúa los túneles de acuerdo con el número de sesiones hasta el destino y el número de sesiones transportadas por el túnel para distribuir la carga de la sesión por igual entre todos los túneles. Se considera que el túnel con un destino que tiene el recuento de sesiones más bajo tiene la carga más ligera. Este proceso funciona en túneles con el nivel de preferencia más alto disponible y utiliza las siguientes directrices:
Cuando cada túnel va a un destino independiente y solo un destino tiene el recuento de sesiones más bajo entre todos los destinos, el LAC selecciona el túnel a ese destino.
Cuando cada túnel va a un destino separado y más de un destino tiene el mismo recuento de sesiones más bajo, el LAC selecciona un túnel al azar de entre los túneles a estos destinos.
Cuando más de un túnel va al mismo destino y ese destino tiene el menor número de sesiones de destino, LAC selecciona de entre estos túneles el que tenga el menor número total de sesiones de túnel. Si el recuento de sesiones de túnel es el mismo para todos estos túneles, el LAC selecciona uno de ellos al azar.
Tenga en cuenta los siguientes escenarios para comprender mejor el comportamiento de selección de túnel cuando está habilitado el equilibrio de carga igual a destino.
En el escenario 1, cada túnel tiene un destino válido diferente y solo se evalúa el recuento de sesiones de destino:
Túnel 1, nivel de preferencia 1, 192.168.1.1, recuento de sesiones de destino = 200
Túnel 2, nivel de preferencia 1, 192.168.2.2, recuento de sesiones de destino = 50
Túnel 3, nivel de preferencia 1, 192.168.3.3, recuento de sesiones de destino = 300
Túnel 4, nivel de preferencia 1, 192.168.4.4, recuento de sesiones de destino = 100
Cuando el primer usuario PPP intenta conectarse al dominio, LAC selecciona el túnel 2, porque está en el nivel de preferencia más alto, 1, y tiene el destino válido, B, con el recuento de sesiones más bajo, 50.
Cuando otros usuarios de PPP intentan conectarse al dominio, el LAC actúa de la siguiente manera:
El túnel 2 continúa seleccionándose hasta que el recuento de sesiones para 192.168.2.2 sea igual a 100, coincidiendo con el siguiente recuento de sesiones más bajo, 192.168.4.4 en el túnel 4.
Cuando el siguiente suscriptor inicia sesión, el LAC selecciona aleatoriamente entre el túnel 2 y el túnel 4, porque sus destinos tienen el mismo recuento de sesiones y es menor que para los otros destinos.
Cualquiera que sea el túnel seleccionado de este par, el recuento de sesiones para su destino es ahora 101. El otro túnel se selecciona cuando el siguiente suscriptor inicia sesión, ya que tiene el menor número de sesiones de destino de 100. Esto eleva su recuento de sesiones de destino a 101, coincidiendo con el otro túnel.
A medida que los suscriptores continúan iniciando sesión, el LAC repite este proceso, seleccionando aleatoriamente entre el túnel 2 y el túnel 4 cuando sus recuentos de sesiones coinciden y luego seleccionando el otro túnel con el siguiente suscriptor, hasta que sus recuentos de sesiones de destino lleguen a 200, coincidiendo con el túnel 1.
Cuando el siguiente suscriptor inicia sesión, LAC ahora selecciona aleatoriamente entre el túnel 1, el túnel 2 y el túnel 4, porque 192.168.1.1, 192.168.2.2, 192.168.3.3 tienen el mismo recuento de sesiones de 200. El recuento de sesiones de destino se eleva para el túnel seleccionado a 201, por lo que para el siguiente suscriptor, el LAC selecciona aleatoriamente entre los otros dos túneles. Ahora dos túneles tienen un recuento de sesiones de destino de 201, por lo que LAC selecciona el túnel restante para el siguiente suscriptor.
A medida que los suscriptores continúan iniciando sesión, LAC repite este proceso, seleccionando aleatoriamente entre el túnel 1, el túnel 2 y el túnel 4 cuando sus recuentos de sesiones coinciden, seleccionando aleatoriamente entre el par restante para el siguiente suscriptor y luego seleccionando el túnel restante, para que los recuentos de sesiones de destino para estos tres túneles coincidan nuevamente. Este patrón continúa hasta que el recuento de sesiones de destino para los tres túneles alcanza 300, coincidiendo con el túnel 3.
Ahora los destinos de los cuatro túneles tienen el mismo número de sesiones. Debido a que solo hay cuatro túneles, se establece el patrón final. El LAC primero selecciona aleatoriamente entre los cuatro túneles, luego los tres restantes, luego el par restante y finalmente selecciona el último túnel. Cuando los recuentos de sesiones de destino son todos iguales, LAC vuelve a iniciar este patrón.
En el escenario 2, dos túneles comparten el mismo destino válido. Se evalúa el recuento de sesiones de túnel y el recuento de sesiones de destino:
Túnel 1, nivel de preferencia 1, recuento de sesiones de túnel = 120, 192.168.1.1, recuento de sesiones de destino = 200
Túnel 2, nivel de preferencia 1, recuento de sesiones de túnel = 80, 192.168.1.1, recuento de sesiones de destino = 200
Túnel 3, nivel de preferencia 1, 192.168.2.2, recuento de sesiones de destino = 300
Túnel 4, nivel de preferencia 2, 192.168.3.3, recuento de sesiones de destino = 100
Cuando el primer usuario PPP intenta conectarse al dominio, el LAC primero selecciona entre destinos. Los túneles para 192.168.1.1 y 192.168.2.2 están en el nivel de preferencia 1. El LAC selecciona 192.168.1.1, porque tiene un recuento de sesiones menor (200) que 192.168.2.2 (300). El LAC entonces tiene que elegir entre el Túnel 1 y el Túnel 2 porque ambos van a 192.168.1.1. El LAC evalúa el recuento de sesiones de túnel. El túnel 2 tiene un recuento menor (80) que el túnel 1 (120), por lo que LAC selecciona el túnel 2 para el primer suscriptor.
Cuando otros usuarios de PPP intentan conectarse al dominio, el LAC actúa de la siguiente manera:
El túnel 2 continúa seleccionado hasta que su recuento de sesiones de túnel aumenta a 120, coincidiendo con el túnel 1.
Cuando el siguiente suscriptor inicia sesión, el LAC selecciona aleatoriamente entre el túnel 1 y el túnel 2, ya que tienen el mismo recuento de sesiones de túnel. El recuento de sesiones de túnel del túnel seleccionado se eleva a 121.
Cuando el siguiente suscriptor inicia sesión, el LAC selecciona el otro túnel en 192.168.1.1, ya que tiene un recuento de sesiones de túnel menor. A partir de este punto, el LAC continúa alternando, primero haciendo una selección aleatoria entre los túneles 1 y 2 y luego seleccionando el otro túnel, hasta que el recuento de sesiones de destino aumenta a 300, coincidiendo con el recuento de sesiones para 192.168.2.2 en el túnel 3. (En este punto, el recuento de sesiones de túnel es 150 tanto para el túnel 1 como para el túnel 2).
Para el siguiente suscriptor, el LAC selecciona aleatoriamente entre los túneles 1, 2 y 3.
Si LAC selecciona el túnel 1 o el túnel 2, el recuento de sesiones 192.168.1.1 aumenta a 301. En consecuencia, LAC selecciona el túnel 3 para el siguiente suscriptor porque el recuento de sesiones 192.168.2.2 sigue siendo 300. En este punto, ambos destinos tienen el mismo recuento de sesiones nuevamente.
Si LAC selecciona el túnel 3, el recuento de sesiones 192.168.2.2 se eleva a 301. Para el siguiente suscriptor, el LAC selecciona aleatoriamente entre el túnel 1 y el túnel 2 porque ambos van a 192.168.1.1. Cualquiera que sea el ALC que seleccione, el recuento de sesiones 192.168.1.1 se eleva a 301. En este punto, ambos destinos tienen el mismo recuento de sesiones nuevamente.
Nota:Ya no se evalúa el recuento de sesiones de túnel para los túneles 1 y 2; el LAC solo considera el recuento de sesiones de destino para 192.168.1.1 y 192.168.2.2.
Este patrón continúa para todos los suscriptores posteriores.
En el escenario 3, cada túnel tiene un destino válido diferente y solo se evalúa el recuento de sesiones de destino:
Túnel 1, nivel de preferencia 1, 192.168.1.1, recuento de sesiones de destino = 100
Túnel 2, nivel de preferencia 1, 192.168.2.2, recuento de sesiones de destino = 100
Túnel 3, nivel de preferencia 1, 192.168.3.3, recuento de sesiones de destino = 100
Túnel 4, nivel de preferencia 1, 192.168.4.4, recuento de sesiones de destino = 100
Cuando el primer usuario PPP intenta conectarse al dominio, el LAC determina que el recuento de sesiones de destino es el mismo para todos los destinos de los cuatro túneles en el nivel de preferencia. En consecuencia, el LAC selecciona aleatoriamente entre los cuatro túneles.
Supongamos que LAC selecciona el túnel 1 para el primer suscriptor.
Cuando otros usuarios de PPP intentan conectarse al dominio, el LAC actúa de la siguiente manera:
LAC selecciona aleatoriamente entre los túneles 2, 3 y 4, porque los destinos 192.168.2.2, 192.168.3.3 y 192.168.4.4 tienen el mismo recuento de sesiones, 100, que es menor que el recuento de sesiones actual para 192.168.1.1, 101.
Supongamos que LAC selecciona el túnel 2. Para el siguiente suscriptor, LAC selecciona aleatoriamente entre los túneles 3 y 4, porque 192.168.3.3 y 192.168.4.4 tienen el mismo recuento de sesiones, 100, que es menor que el recuento de sesiones actual de 101 para 192.168.1.1 y 192.168.2.2.
Supongamos que LAC selecciona el túnel 3. Para el siguiente suscriptor, LAC selecciona el túnel 4, porque 192.168.4.4 tiene un recuento de sesiones de 100, y todos los demás destinos tienen un recuento de 101.
Ahora los destinos de los cuatro túneles tienen el mismo número de sesiones. Debido a que solo hay cuatro túneles, se establece el patrón final. A medida que los suscriptores continúan iniciando sesión, LAC primero selecciona aleatoriamente entre los cuatro túneles, luego los tres restantes, luego el par restante y finalmente selecciona el último túnel. Cuando los recuentos de sesiones de destino son todos iguales, LAC vuelve a iniciar este patrón.
En el escenario 4, el LAC evalúa tanto los límites de la sesión de destino como los límites máximos de sesión del túnel:
Túnel 1, nivel de preferencia 1, 192.168.1.1, recuento de sesiones de destino = 30, límite máximo de sesión de túnel = 200
Túnel 2, nivel de preferencia 1, 192.168.2.2, recuento de sesiones de destino = 40, límite máximo de sesión de túnel = 200
Túnel 3, nivel de preferencia 1, 192.168.3.3, recuento de sesiones de destino = 300, límite máximo de sesión de túnel = 1000
Túnel 4, nivel de preferencia 2, 192.168.4.4, recuento de sesiones de destino = 100
Cuando el primer usuario PPP intenta conectarse al dominio, LAC selecciona el túnel 1, porque 192.168.1.1 tiene el recuento de sesiones más bajo en el nivel de preferencia.
Cuando otros usuarios de PPP intentan conectarse al dominio, el LAC actúa de la siguiente manera:
LAC continúa seleccionando el túnel 1 hasta que el recuento de sesiones de destino para 192.168.1.1 sea igual a 40, coincidiendo con el recuento para 192.168.2.2 en el túnel 2.
Cuando el siguiente suscriptor inicia sesión, el LAC selecciona aleatoriamente entre el túnel 1 y el túnel 2, porque sus destinos tienen el mismo recuento de sesiones y es menor que el del túnel 3 (300).
Cualquiera que sea el túnel seleccionado de este par, el recuento de sesiones para su destino es ahora 41. El otro túnel se selecciona cuando el siguiente suscriptor inicia sesión, ya que tiene el menor número de sesiones de destino de 40. Esto eleva su recuento de sesiones de destino a 41, coincidiendo con el otro túnel.
A medida que los suscriptores continúan iniciando sesión, el LAC repite este proceso, seleccionando aleatoriamente entre el túnel 1 y el túnel 2 cuando sus recuentos de sesiones coinciden y luego seleccionando el otro túnel con el siguiente suscriptor, hasta que sus recuentos de sesiones de destino alcancen 200, coincidiendo con su límite máximo de sesiones de túnel de 200. Dado que ambos túneles han alcanzado su límite máximo de sesión, no están disponibles para su selección.
A medida que los suscriptores continúan iniciando sesión, LAC selecciona el túnel restante en el nivel de preferencia, el túnel 3, hasta que el recuento de sesiones para su destino alcance el límite máximo de sesión para el túnel, 1000.
Cuando el siguiente suscriptor inicia sesión, el LAC cae al siguiente nivel de preferencia y selecciona el túnel 4, ya que es el único túnel en este nivel.
A medida que los suscriptores continúan iniciando sesión, LAC continúa seleccionando el túnel 4, ya que no se configura ningún límite máximo de sesiones para este túnel. Posteriormente, el LAC puede seleccionar un túnel en el nivel de preferencia superior solo cuando finaliza una sesión para uno de los túneles en ese nivel, reduciendo su recuento de sesiones por debajo del límite máximo.
En el escenario 5, uno de los destinos está bloqueado:
Túnel 1, nivel de preferencia 1, 192.168.1.1, recuento de sesiones de destino = 100, destino bloqueado
Túnel 2, nivel de preferencia 1, 192.168.2.2, recuento de sesiones de destino = 200
Túnel 3, nivel de preferencia 1, 192.168.3.3, recuento de sesiones de destino = 250
Cuando el primer usuario PPP intenta conectarse al dominio, LAC no puede seleccionar el túnel 1, aunque su destino tenga el recuento de sesiones más bajo, porque el túnel está en el estado de bloqueo de destino. El túnel 1 no se puede considerar hasta que esté fuera del estado bloqueado. LAC selecciona el túnel 2 porque el recuento de sesiones para 192.168.2.2 es menor que para 192.168.3.3.
Cuando otros usuarios de PPP intentan conectarse al dominio, lo que sucede a continuación depende de cuándo 192.168.1.1 emerge del estado de bloqueo. Mientras 192.168.1.1 esté bloqueado, LAC realiza las siguientes selecciones:
LAC continúa seleccionando el túnel 2 hasta que el recuento de sesiones para 192.168.2.2 sea igual a 250, coincidiendo con el recuento para 192.168.3.3 en el túnel 3.
Cuando el siguiente suscriptor inicia sesión, el LAC selecciona aleatoriamente entre el túnel 2 y el túnel 3, porque sus destinos tienen el mismo número de sesiones, 250.
Cualquiera que sea el túnel seleccionado de este par, el recuento de sesiones para su destino es ahora 251. El otro túnel se selecciona cuando el siguiente suscriptor inicia sesión, ya que tiene el menor número de sesiones de destino de 250. Esto eleva su recuento de sesiones de destino a 251, coincidiendo con el otro túnel.
A medida que los suscriptores continúan iniciando sesión, el LAC repite este proceso, seleccionando aleatoriamente entre el túnel 2 y el túnel 3 cuando sus recuentos de sesiones coinciden y, a continuación, seleccionando el otro túnel con el siguiente suscriptor.
Cada vez que 192.168.1.1 emerge del estado de bloqueo, LAC selecciona el túnel 1 para el siguiente suscriptor porque 192.168.1.1 tiene el recuento de sesiones más bajo. El LAC continúa haciéndolo hasta que el recuento de sesiones para 192.168.1.1 coincida con el recuento de sesiones actual para cualquiera de los otros destinos. A partir de ese momento, el LAC alterna haciendo una selección aleatoria entre túneles con recuentos de sesiones de destino coincidentes y luego seleccionando el túnel con el conteo más bajo.
Siempre que 192.168.1.1 salga del estado de bloqueo,
LAC selecciona el túnel 1 para el siguiente suscriptor porque 192.168.1.1 tiene el recuento de sesiones más bajo.
LAC continúa seleccionando el túnel 1 hasta que el recuento de sesiones para 192.168.1.1 coincida con el recuento de sesiones actual para cualquiera de los otros destinos.
A partir de ese momento, el LAC alterna haciendo una selección aleatoria entre túneles con recuentos de sesiones de destino coincidentes y luego seleccionando el túnel con el conteo más bajo.
Descripción general de los límites de sesión de L2TP
Cuando se inicia una solicitud de sesión L2TP, el LNS o LAC comprueba el número de sesiones activas actuales con el número máximo de sesiones permitidas para el chasis, los túneles, un grupo de túneles, un cliente (dispositivo host solicitante) o un grupo de clientes. Las nuevas solicitudes de sesión se rechazan cuando se alcanza el límite de sesiones configurado.
Cuando se solicita una sesión, el LNS comprueba los límites de sesión en el orden siguiente:
Túnel > de chasis > grupo de túnel > grupo de límite de sesión > cliente
En cada nivel, el LNS determina si el recuento de sesiones actual es inferior al límite configurado. Cuando eso es cierto o cuando no se configura ningún límite, la verificación pasa y el LNS procede a verificar el siguiente nivel. Si en cualquier nivel el recuento de sesiones actuales es igual al límite configurado, el LNS rechaza la solicitud de sesión y no comprueba ningún otro nivel. De lo contrario, se puede establecer la sesión.
Cuando se rechaza una solicitud de sesión para un túnel existente, se devuelve un mensaje de llamada-desconexión-notificación (CDN) con un código de resultado y un código de error establecidos en 4 en respuesta a la solicitud de llamada entrante (ICRQ). Cuando la solicitud rechazada es para un nuevo túnel, el túnel se establece pero la sesión no aparece, lo que hace que el túnel se caiga porque no tiene sesiones.
El LAC realiza la misma comprobación, pero solo para los niveles de chasis y túnel. LAC rechaza las solicitudes devolviendo un mensaje de terminación PPP al cliente.
Puede configurar límites de sesión para el chasis, todos los túneles, un grupo de túneles, un grupo de clientes o un cliente individual. En los escenarios siguientes se describe lo que sucede con las diferentes configuraciones de límites de sesión.
- Escenario 1: límite de chasis
- Escenario 2: límite de túnel
- Escenario 3: límite de grupo de túnel
- Escenario 4: Límite de grupo de límite de sesión
- Escenario 5: límite de clientes individuales
Escenario 1: límite de chasis
En la tabla 1, el recuento actual de sesiones L2TP es 10.000 y el límite de sesiones se configura como 10.000 en cada nivel. Cuando se solicita una nueva sesión, se produce un error en la primera comprobación a nivel del chasis, ya que el recuento de sesiones actual coincide con el límite configurado. No se realizan más comprobaciones en los otros niveles y se rechaza la solicitud de sesión. No se permiten nuevas sesiones en ningún nivel hasta que el recuento de sesiones actuales caiga por debajo de 10.000.
Nivel |
Límite de sesión configurado |
Recuento de sesiones actuales mostrado por |
Resultado de la comprobación del límite de sesión |
|---|---|---|---|
Chasis |
10,000 |
10,000 |
Fallar |
Túnel A |
10,000 |
10,000 |
– |
Grupo de túnel B |
10,000 |
10,000 |
– |
Grupo de límite de sesión |
10,000 |
10,000 |
– |
Cliente |
10,000 |
10,000 |
– |
Escenario 2: límite de túnel
En la Tabla 2, el recuento actual de sesiones L2TP es 2000. Cuando se solicita una nueva sesión, la primera comprobación a nivel del chasis pasa porque el límite configurado permite hasta 10.000 sesiones en el chasis, pero actualmente solo hay 2000 sesiones activas. La siguiente comprobación, en el nivel de túnel, falla, porque el recuento de sesiones actual coincide con el límite de túnel de límite configurado de 2000 para el túnel A.
No se realizan más comprobaciones en los otros niveles y se rechaza la solicitud de sesión.
Nivel |
Límite de sesión configurado |
Recuento de sesiones actuales mostrado por |
Resultado de la comprobación del límite de sesión |
|---|---|---|---|
Chasis |
10,000 |
2000 |
Pasar |
Túnel A |
2000 |
2000 |
Fallar |
Grupo de túnel B |
10,000 |
2000 |
– |
Grupo de límite de sesión |
6000 |
2000 |
– |
Cliente |
6000 |
2000 |
– |
No se permiten nuevas sesiones en el túnel A hasta que su recuento de sesiones actuales caiga por debajo de 2000 y la comprobación de sesión pueda pasar. Si eso sucede, las otras comprobaciones de nivel pasan en este escenario porque sus límites configurados son mayores que sus recuentos actuales.
El límite de sesiones de 2000 se aplica a todos los túneles; es decir, cada túnel activo tiene un límite independiente de 2000 sesiones. La falla de un túnel no tiene ningún efecto en otros túneles. Una solicitud de sesión en cualquier otro túnel pasa, siempre que el recuento de sesiones actual para ese túnel sea inferior a 2000.
Escenario 3: límite de grupo de túnel
En la Tabla 3, el recuento actual de sesiones L2TP es 2000. Cuando se solicita una nueva sesión, la primera comprobación a nivel del chasis pasa porque el límite configurado permite hasta 10.000 sesiones en el chasis, pero actualmente solo hay 2000 sesiones activas. La segunda comprobación, a nivel de túnel, también pasa por la misma razón. Se produce un error en la siguiente comprobación, en el nivel de grupo de túnel para el grupo de túnel B, porque el recuento de sesiones actual para el grupo de túnel B coincide con el límite configurado de grupo de túneles de 2000.
No se realizan más comprobaciones en los otros niveles y se rechaza la solicitud de sesión.
Nivel |
Límite de sesión configurado |
Recuento de sesiones actuales mostrado por |
Resultado de la comprobación del límite de sesión |
|---|---|---|---|
Chasis |
10,000 |
2000 |
Pasar |
Túnel A |
10,000 |
2000 |
Pasar |
Grupo de túnel B |
2000 |
2000 |
Fallar |
Grupo de límite de sesión |
6000 |
2000 |
– |
Cliente |
6000 |
2000 |
– |
No se permiten nuevas sesiones en el grupo de túnel B hasta que su recuento de sesiones actual descienda por debajo de 2000 y la comprobación de sesión pueda pasar. Si eso sucede, las otras comprobaciones de nivel pueden pasar porque sus límites configurados son mayores que sus recuentos actuales.
Para los grupos de túneles, el límite de sesiones se configura por grupo; es decir, no puede especificar un único límite que se aplique a todos los grupos de túneles. El fallo de cualquier grupo de túneles no afecta a otros grupos de túneles. En este escenario, pasa una solicitud de sesión en cualquier otro grupo de túneles, si el recuento de sesiones actual para ese grupo es menor que su límite de sesión configurado.
Escenario 4: Límite de grupo de límite de sesión
En la Tabla 4, el recuento actual de sesiones L2TP es 6000. Cuando se solicita una nueva sesión, la comprobación pasa para el chasis, el túnel y el grupo de túneles porque el límite configurado para cada uno permite hasta 10.000 sesiones, pero actualmente solo hay 6000 sesiones activas. Se produce un error en la comprobación en el grupo de límite de sesión, porque el recuento de sesiones actual para el grupo de límite de sesión slg1 coincide con el límite configurado de 6000.
No se realizan más comprobaciones en el nivel restante y se rechaza la solicitud de sesión.
Nivel |
Límite de sesión configurado |
Recuento de sesiones actuales mostrado por |
Resultado de la comprobación del límite de sesión |
|---|---|---|---|
Chasis |
10,000 |
6000 |
Pasar |
Túnel A |
10,000 |
6000 |
Pasar |
Grupo de túnel B |
10,000 |
6000 |
Pasar |
Grupo de límite de sesión slg1 |
6000 |
6000 |
Fallar |
Cliente |
8000 |
2000 |
– |
No se permiten nuevas sesiones para ningún cliente en el grupo de límite de sesión slg1 hasta que el recuento de sesiones actuales del grupo caiga por debajo de 6000 y la verificación de sesión pueda pasar. Si eso sucede, la comprobación de nivel restante puede pasar porque su límite configurado es mayor que su recuento actual.
Puede volver a configurar un grupo de límite de sesión quitando o agregando clientes sin afectar a ninguna sesión actual. La reconfiguración afecta al número de sesiones disponibles para establecer para el grupo cliente.
Si quita un cliente, el número de nuevas sesiones que se pueden establecer aumenta en función del número de sesiones actuales de ese cliente.
Si agrega un cliente, el número de sesiones nuevas que se pueden establecer se reduce en el número de sesiones actuales de ese cliente. El nuevo total de sesiones actuales para los clientes existentes más el nuevo cliente pueden superar el límite configurado para el grupo de límite de sesión. En este caso, no se interrumpe ninguna sesión, pero no se pueden establecer nuevas sesiones hasta que el recuento de sesiones caiga por debajo del límite de grupo configurado.
Para explorar esto más a fondo, considere la siguiente secuencia de eventos:
El grupo de límite de sesión slg1 tiene dos clientes, ent1-serviceA con un recuento de sesiones actual de 3500 y ent1-serviceB con un recuento de sesiones actual de 0. Dado que el grupo slg1 tiene un límite de 6000, no se pueden agregar más de 2500 sesiones para estos clientes:
6000 - 3500 = 2500
A continuación, se registran 1000 sesiones para el cliente ent1-service B. Ahora no se pueden agregar más de 1500 sesiones para estos clientes:
6000 - (3500 + 1000) = 1500
A continuación, supongamos que quita el cliente ent1-serviceA del grupo de límite de sesión. La capacidad de la sesión de grupo aumenta a 5000 sesiones:
6000 - 1000 = 5000
Por último, agregue un nuevo cliente, ent1-serviceC, al grupo de límite de sesión. Este nuevo cliente tiene actualmente 8000 sesiones activas. En este caso, el grupo de límite de sesión ahora tiene 9000 sesiones:
1000 + 8000 = 9000
No se abandona ninguna sesión aunque se supere el límite máximo de sesiones para el grupo, 6000. No se pueden agregar nuevas sesiones hasta que el recuento de sesiones caiga de 9000 a menos de 6000.
Escenario 5: límite de clientes individuales
En la tabla 5, la comprobación de sesión pasa para el chasis, el túnel y el grupo de túneles porque sus límites configurados son mayores que los recuentos de sesiones actuales. El cliente, ent1-serviceA, no pertenece a un grupo de límite de sesión. Se produce un error en la comprobación de límite para el cliente porque su recuento de sesiones actual coincide con el límite configurado de 6000.
Nivel |
Límite de sesión configurado |
Recuento de sesiones actuales mostrado por |
Resultado de la comprobación del límite de sesión |
|---|---|---|---|
Chasis |
10,000 |
6000 |
Pasar |
Túnel A |
10,000 |
6000 |
Pasar |
Grupo de túnel B |
8000 |
6000 |
Pasar |
Cliente ent1-serviceA |
6000 |
6000 |
Fallar |
No se permiten nuevas sesiones para este cliente hasta que su recuento de sesiones actual caiga por debajo de 6000 y la comprobación de sesión pueda pasar. El fracaso de cualquier cliente independiente no tiene ningún efecto en otros clientes. En este escenario, pasa una solicitud de sesión para cualquier otro cliente independiente, si el recuento de sesiones actual para ese cliente es menor que su límite de sesión configurado.
El límite de sesiones que se establece para un cliente individual (uno que no forma parte de un grupo de límite de sesión) se aplica por grupo de túnel. Varias LAC con el mismo nombre de host de origen pero diferentes direcciones IP de origen se tratan como el mismo cliente.
Supongamos que tiene tres LAC, A, B y C. Los tres tienen el mismo nombre de host de origen, ce-lac. LAC A y LAC B establecen sesiones con un LNS a través de la dirección de puerta de enlace asociada con el grupo de túnel 1. LAC C establece sesiones a través de una puerta de enlace diferente asociada con el grupo de túnel 2. Dado que las LAC tienen el mismo nombre de host, la configuración del cliente es la misma para los tres. Sin embargo, el límite de sesiones de cliente se aplica de manera diferente a las LAC debido a los grupos de túneles.
Supongamos que el límite de sesiones de cliente es 100. Dado que LAC A y LAC B crean sesiones en el grupo de túnel 1, deben compartir el límite de clientes. Eso significa que el número total de sesiones permitidas para LAC A y LAC B combinadas es de 100.
LAC C crea sesiones en un grupo de túneles diferente, 2. Dado que el límite de sesiones del cliente se aplica por grupo de túneles, LAC C tiene permitido 100 sesiones, independientemente de cuántas sesiones ya hayan establecido LAC A y LAC B.
Limitar el número de sesiones L2TP permitidas por LAC o LNS
Puede limitar el número máximo de sesiones L2TP permitidas para el chasis, todos los túneles, un grupo de túneles, un grupo de clientes, un cliente individual o una interfaz de servicio individual o una interfaz de servicio agregada. Las nuevas solicitudes de sesión son rechazadas por LNS o LAC cuando se alcanza el límite de sesión configurado. Las solicitudes de sesión también se rechazan cuando se ha alcanzado el límite máximo del chasis, incluso cuando no se supera un límite configurado. Los límites de sesión configurables proporcionan un control detallado de la cantidad de sesiones que un cliente puede tener mientras está conectado a través de LAC en múltiples ubicaciones.
No puede establecer que el límite sea mayor que el límite máximo predeterminado para el chasis.
Para limitar el número de sesiones permitidas en un chasis (LAC o LNS):
Configure el número máximo de sesiones.
[edit services l2tp] user@host# set maximum-sessions number
Para limitar el número de sesiones por túnel para todos los túneles (LAC o LNS):
Configure el número máximo de sesiones.
[edit services l2tp tunnel ] user@host# set maximum-sessions number
No puede establecer el límite en más de 65.535 sesiones.
Para limitar el número de sesiones para todos los túneles de un grupo de túneles específico (LNS):
Configure el número máximo de sesiones.
[edit services l2tp tunnel-group tunnel-group-name] user@host# set maximum-sessions number
Para limitar el número de sesiones permitidas en una interfaz de servicio individual:
Configure el número máximo de sesiones.
[edit interfaces si-slot/pic/port] user@host# set l2tp-maximum-session number
Para limitar el número de sesiones permitidas en una interfaz de servicio agregada individual:
Configure el número máximo de sesiones.
[edit interfaces asinumber] user@host# set l2tp-maximum-session number
Nota:La configuración se aplica a todas las interfaces miembro; El límite no se puede configurar para interfaces miembro individuales de la interfaz de servicio agregada.
Para limitar el número de sesiones para un grupo de clientes (LNS):
Para limitar el número de sesiones de un cliente que no es miembro de un grupo de límite de sesiones (LNS):
Configure el número máximo de sesiones.
[edit access profile profile-name client client-name] user@host# set maximum-sessions number
Configurar el límite de sesiones en cualquier nivel para que sea inferior al número de sesiones que existen actualmente en ese nivel no afecta a las sesiones existentes. El nuevo límite solo se aplica si el número de sesiones cae por debajo del nuevo límite.
Puede usar el comando para mostrar el show services l2tp summary extensive límite de sesiones configuradas para un túnel:
user@host> show services l2tp tunnel extensive
...
Max sessions: 32000, Window size: 4, Hello interval: 60
...
El límite mostrado para las sesiones configuradas se establece en el más bajo de los siguientes valores de sesión configurados:
Global (chasis): (LAC y LNS)
set services l2tp tunnel maximum-sessionsnumberPerfil de túnel (túnel individual)—(LAC y LNS)
set access tunnel-profile profile-name tunnel tunnel-idmax-sessionsnumber]RADIUS—(LAC y LNS) Valor de VSA 26–33, sesiones máximas de túnel
Perfil de host (solo LNS)
set access profile profile-name client client-name l2tp maximum-sessions-per-tunnel
Los valores configurados determinan el valor de campo a partir de las siguientes versiones de Junos OS: 19.2R3, 19.3R3, 19.4R3, 20.1R2, 20.2R2 y 20.3R1. En versiones anteriores, el campo muestra el valor del perfil de host para el LNS, pero muestra un valor fijo de 512.000 para el LAC.
Después de un GRES, una ISSU unificada o un reinicio del proceso jl2tpd, el valor de este campo es preciso sólo después de que aparece una nueva sesión en el túnel. Hasta que eso suceda, el campo muestra un valor de 65.535 en lugar del valor configurado.
Supongamos que tiene dos túneles, el túnel A y el túnel B. Se lleva a cabo un GRES, y el campo para cada túnel muestra 65,535. Cuando aparece una nueva sesión en el túnel B, el valor de ese túnel se actualiza al valor configurado. Para el túnel A, el campo continúa mostrando 65.535 hasta que ese túnel tenga una nueva sesión.
Establecer el formato del nombre del túnel
De forma predeterminada, el nombre de un túnel corresponde al ID de asignación de túnel [82] devuelto por el servidor AAA. Opcionalmente, puede configurar el LAC para que utilice más elementos en la construcción de un nombre de túnel incluyendo la assignment-id-format client-server-id instrucción en el [edit services l2tp tunnel] nivel de jerarquía. Este formato utiliza tres atributos: Tunnel-Client-Auth-Id [90], Tunnel-Server-Endpoint [67] y Tunnel-Assignment-Id [82]. Estos atributos corresponden, respectivamente, a los valores configurados en el perfil de túnel para el nombre LAC (puerta de enlace de origen), la dirección del extremo de túnel (puerta de enlace remota) en el LNS y el ID de túnel.
Una consecuencia del client-server-id formato es que LAC crea automáticamente un nuevo túnel cuando el servidor AAA devuelve un Tunnel-Client-Auth-Id diferente al devuelto anteriormente.
Antes de cambiar a una versión de Junos OS que no admita esta instrucción, se recomienda desconfigurar explícitamente la función incluyendo la no assignment-id-format assignment-id instrucción en el nivel de [edit services l2tp tunnel] jerarquía.
Para cambiar el formato del nombre del túnel:
Configure el formato.
[edit services l2tp tunnel] user@host# set assignment-id-format client-server-id
Configuración de un perfil de túnel para el acceso de suscriptores
El perfil de túnel especifica un conjunto de atributos para caracterizar el túnel. El perfil se puede aplicar mediante un mapa de dominio o automáticamente cuando se crea el túnel.
Los atributos RADIUS y los VSA pueden anular los valores configurados por un perfil de túnel en un mapa de dominio. En ausencia de un mapa de dominio, RADIUS puede proporcionar todas las características de un túnel. En los pasos del siguiente procedimiento se enumera el atributo RADIUS estándar correspondiente o VSA que puede configurar en el servidor RADIUS para modificar o configurar el perfil de túnel.
Los atributos proporcionados por RADIUS se asocian a un túnel mediante una etiqueta que lleva en el atributo, que coincide con el identificador de túnel. Una etiqueta de 0 indica que la etiqueta no se utiliza. Si L2TP recibe un atributo RADIUS con una etiqueta de 0, el atributo no se puede combinar con la configuración del perfil de túnel correspondiente al dominio de suscriptor porque un perfil de túnel no puede proporcionar una etiqueta de túnel (identificador de túnel) de 0. Solo se admiten etiquetas del 1 al 31.
Para configurar una definición de túnel para un perfil de túnel:
En el ejemplo siguiente se muestra una configuración completa de un perfil de túnel:
tunnel-profile marketing {
tunnel 1 {
preference 5;
remote-gateway {
address 198.51.100.4;
gateway-name work;
}
source-gateway {
address 192.0.2.10;
gateway-name local;
}
secret $ABC123;
logical-system bos-metro-5;
routing-instance rox-12-32;
medium ipv4;
type l2tp;
identification tunnel_to_work;
max-sessions 32;
nas-port-method cisco avp;
}
}
Configuración de los parámetros de selección de túnel L2TP LAC
Cuando LAC determina que una sesión PPP debe ser tunelizada, selecciona un túnel del conjunto de túneles asociados con el usuario PPP o el dominio del usuario PPP. Puede configurar cómo se selecciona un túnel y si el LAC envía cierta información al LNS.
Para configurar los parámetros de selección de túnel:
Configuración de la conmutación por error de selección de túnel LAC dentro de un nivel de preferencia
Puede configurar cómo continúa la selección del túnel LAC en caso de que no se produzca una conexión. De forma predeterminada, cuando el enrutador no puede conectarse a un destino en un nivel de preferencia determinado, intenta conectarse en el siguiente nivel inferior. Puede especificar que el enrutador intente conectarse a otro destino al mismo nivel que el intento fallido.
Si todos los destinos en un nivel de preferencia están marcados como inaccesibles, el enrutador no intenta conectarse a un destino en ese nivel. Cae al siguiente nivel de preferencia inferior para seleccionar un destino.
Si todos los destinos en todos los niveles de preferencia están marcados como inalcanzables, el enrutador elige el destino que falló primero e intenta establecer una conexión. Si la conexión falla, el enrutador rechaza la sesión de usuario PPP sin intentar ponerse en contacto con el enrutador remoto.
Por ejemplo, supongamos que hay cuatro túneles para un dominio: A, B, C y D. Todos los túneles se consideran accesibles y los niveles de preferencia se asignan de la siguiente manera:
A y B en la preferencia 0
C y D en la preferencia 1
Cuando el enrutador intente conectarse al dominio, supongamos que selecciona aleatoriamente el túnel B de la preferencia 0. Si no se conecta al túnel B, el enrutador excluye el túnel B durante cinco minutos e intenta conectarse al túnel A. Si este intento también falla, el enrutador cae a la preferencia 1. Supongamos que el enrutador selecciona el túnel C. Si tampoco puede conectarse al túnel C, el enrutador excluye el túnel C durante cinco minutos e intenta conectarse al túnel D.
El nivel de preferencia utilizado para este método de selección de túnel se configura en el perfil de túnel o en el atributo RADIUS Tunnel-Preference [83].
Para habilitar la conmutación por error de selección de túnel dentro de un nivel de preferencia:
Especifique la conmutación por error según sus preferencias.
[edit services l2tp] user@host# set failover-within-preference
Configuración del equilibrio de carga ponderada para sesiones de túnel LAC
De forma predeterminada, L2TP LAC selecciona túneles para nuevas sesiones al azar desde el nivel de preferencia más alto disponible. Puede configurar el LAC para distribuir las sesiones entre túneles en el nivel de preferencia más alto disponible evaluando el peso de cada túnel. Este método se conoce como equilibrio de carga ponderada. El peso de un túnel es proporcional a su límite máximo de sesión y los límites máximos de sesión de los otros túneles en el mismo nivel de preferencia. Cuando se configura el equilibrio de carga ponderada, el LAC sigue seleccionando túneles aleatoriamente dentro de un nivel de preferencia, pero en promedio las sesiones se distribuyen entre túneles en relación con los pesos de túnel.
Para configurar el equilibrio de carga ponderada:
Especifique el equilibrio de carga.
[edit services l2tp] user@host# set weighted-load-balancing
Configuración del equilibrio de carga con igual destino para sesiones de túnel LAC
De forma predeterminada, L2TP LAC selecciona túneles para nuevas sesiones al azar desde el nivel de preferencia más alto disponible. A partir de Junos OS versión 15.1, puede configurar el LAC para que distribuya las sesiones por igual en todos los túneles en el nivel de preferencias más alto disponible evaluando el número de sesiones a los destinos y el número de sesiones que llevan los túneles. Este método de distribución se conoce como equilibrio de carga igual al destino. El LAC selecciona el túnel con la carga más ligera, de acuerdo con las siguientes pautas:
Cuando cada túnel va a un destino independiente y solo un destino tiene el recuento de sesiones más bajo entre todos los destinos, el LAC selecciona el túnel a ese destino.
Cuando cada túnel va a un destino separado y más de un destino tiene el mismo recuento de sesiones más bajo, el LAC selecciona un túnel al azar de entre los túneles a estos destinos.
Cuando más de un túnel va al mismo destino y ese destino tiene el menor número de sesiones de destino, LAC selecciona de entre estos túneles el que tenga el menor número total de sesiones de túnel. Si el recuento de sesiones de túnel es el mismo para todos estos túneles, el LAC selecciona uno de ellos al azar.
Para configurar un equilibrio de carga con igual destino:
Especifique el equilibrio de carga igual al destino.
[edit services l2tp] user@host# set destination-equal-load-balancing
Habilitación de LAC para servicios IPv6
Puede configurar LAC para crear la familia de direcciones IPv6 (inet6) al tunelizar los suscriptores al LNS. Los servicios de LAC pueden aplicar filtros de firewall IPv6 al tráfico de suscriptores. De forma predeterminada, LAC solo requiere inet de familia para habilitar el reenvío a un túnel IP. LAC puede aplicar filtros de firewall IPv4 a la sesión. Incluso cuando la familia inet6 se incluye en el perfil dinámico, de forma predeterminada no se crea para conservar recursos, porque no es necesario. En consecuencia, no se pueden aplicar filtros de firewall IPv6.
Para habilitar la creación de familias de direcciones IPv6 y la aplicación de filtros de firewall IPv6:
Configurar habilitación.
[edit services l2tp] user@host# set enable-ipv6-services-for-lac
Puede utilizar el show services l2tp summary comando para mostrar si la instrucción está habilitada o deshabilitada.
Prueba de configuraciones de túnel L2TP desde LAC
Puede probar las configuraciones de túnel L2TP en el LAC y realizar correctamente la autenticación y tunelización de suscriptores sin tener que abrir un usuario PPP y un túnel asociado.
Emita el comando desde el modo operativo de la CLI para asignar un suscriptor a un túnel L2TP, comprobar la configuración del túnel L2TP (tanto localmente en el LAC como en un servidor back-end como un servidor RADIUS) y comprobar que los túneles L2TP desde LAC se pueden establecer con el test services l2tp tunnel LNS remoto.
La implementación LAC de Junos OS permite configurar varios túneles, de los cuales se elige un túnel para tunelizar a un suscriptor PPP. Puede usar el test services l2tp tunnel comando para probar todas las configuraciones de túnel posibles para comprobar que se puede establecer cada una. Como alternativa, solo puede probar un túnel específico para el suscriptor.
Debe especificar un nombre de usuario de suscriptor configurado al ejecutar el comando. La prueba genera una contraseña ficticia (testpass) para el suscriptor o, opcionalmente, puede especificar la contraseña. La prueba verifica si el suscriptor identificado por ese nombre de usuario puede ser tunelizado de acuerdo con la configuración del túnel. Si se puede tunelizar el abonado, la prueba verifica si el túnel L2TP se puede establecer con el LNS según la configuración L2TP.
Opcionalmente, puede especificar un ID de túnel, en cuyo caso solo se prueba ese túnel; El túnel ya debe estar configurado para ese nombre de usuario. Si omite esta opción, la prueba se aplica al conjunto completo de configuraciones de túnel que se devuelven para el nombre de usuario. El ID de túnel que especifique es el mismo que el utilizado por Tunnel-Assignment-Id (atributo RADIUS 82) y especificado por la identification instrucción en el perfil de túnel.
Para probar la autenticación del suscriptor y la configuración del túnel:
Especifique solo el nombre de usuario.
Ejemplo 1:
user@host> test services l2tp tunnel user test-user1@example.com Subscriber: test-user1@example.com, authentication failed
El usuario no pudo autenticarse con la contraseña generada y, en consecuencia, no se tunelizó.
Ejemplo 2:
user@host> test services l2tp tunnel user user23@example.com Subscriber: user23@example.com, authentication success, l2tp tunneled Tunnel-name Tunnel-peer Logical-System Routing-Instance Status test1tunnel 192.168.2.3 default default Up test2tunnel 192.168.30.3 default default Peer unresponsive test3tunnel 192.168.50.1 default test Up
Este usuario se autenticó con la contraseña generada y se tunelizó correctamente. Se encontró que un conjunto de túneles estaba asociado con ese nombre de usuario y se probó todo el conjunto.
Especifique el nombre de usuario y la contraseña configurada del usuario.
user@host> test services l2tp tunnel user test-user1@example.com password grZ98#jW Subscriber: test-user1@example.com, authentication success, locally terminated
El suscriptor fue autenticado. Sin embargo, el usuario fue terminado localmente en lugar de tunelizado; Esto significa que no se encontró ningún túnel asociado con el usuario.
Especifique el nombre de usuario y un túnel concreto para el suscriptor.
user@host> test services l2tp tunnel user rx37w@example.com tunnel-name ce-lac Subscriber: rx37w@example.com, authentication success, l2tp tunneled Tunnel-name Tunnel-peer Logical-System Routing-Instance Status ce-lac 192.168.5.10 default default Up
El suscriptor fue autenticado y tunelizado. Se encontró el túnel especificado para el suscriptor y se estableció el túnel, lo que confirma la configuración del túnel.
Especifique el nombre de usuario, la contraseña configurada del usuario y un túnel.
user@host> test services l2tp tunnel user fanta4-mfg-fan@example.com password dieda499 tunnel-name tunnel5 Subscriber: fanta4-mfg-fan@example.com, authentication success, l2tp tunneled
El suscriptor fue autenticado y tunelizado. La ausencia de información de túnel en la salida indica que no existe la configuración de túnel especificada.