Recibir opciones DHCP de un servidor RADIUS

Opciones de origen RADIUS

La administración de suscriptores (en los enrutadores) o la administración de DHCP (en los conmutadores) le permite configurar las opciones de DHCP de forma centralizada en un servidor RADIUS y, a continuación, distribuirlas por suscriptor o por cliente DHCP. Este método da como resultado opciones DHCP de origen RADIUS: las opciones DHCP se originan en el servidor RADIUS y se envían al suscriptor (o cliente DHCP). Esto difiere del método tradicional de origen cliente (también denominado origen DHCP) de configurar las opciones de DHCP, en el que las opciones se originan en el cliente y se envían al servidor RADIUS. Las opciones DHCP de origen RADIUS de administración de suscriptores (administración DHCP) también se consideran opacas, ya que el servidor local DHCP realiza un procesamiento mínimo y comprueba errores para la cadena de opciones DHCP antes de pasar las opciones al suscriptor (cliente DHCP).

La administración de suscriptores (o administración DHCP) usa VSA 26-55 de Juniper Networks (opciones DHCP) para distribuir las opciones DHCP de origen RADIUS. El servidor RADIUS incluye VSA 26-55 en el mensaje Access-Accept que devuelve el servidor durante la autenticación del suscriptor o la autenticación del cliente DHCP. El servidor RADIUS envía el mensaje de aceptación de acceso al cliente RADIUS y, a continuación, al servidor local DHCP para devolverlo al suscriptor DHCP. El servidor RADIUS puede incluir varias instancias de VSA 26-55 en un único mensaje de acceso-aceptación. El cliente RADIUS concatena las varias instancias y utiliza el resultado como una sola instancia.

No se requiere ninguna configuración de CLI para permitir que la administración de suscriptores (administración DHCP) use las opciones de DHCP configuradas centralmente; el procedimiento se desencadena por la presencia de VSA 26-55 en el mensaje RADIUS Access-Accept.

Al generar el paquete de oferta para el cliente DHCP, el servidor local DHCP utiliza la siguiente secuencia:

1. Procesa cualquier parámetro configurado por RADIUS que se pase como atributos RADIUS independientes; por ejemplo, el atributo RADIUS 27 (tiempo de espera de sesión).

2. Procesa cualquier parámetro de origen del cliente; por ejemplo, los atributos RADIUS 53 (tipo de mensaje DHCP) y 54 (identificador de servidor).

3. Anexa (sin realizar ningún procesamiento) la cadena de opciones DHCP opaca contenida en el VSA 26-55 recibido del servidor RADIUS.

Configuración de opciones de origen cliente

Además de admitir la configuración central de las opciones DHCP directamente en el servidor RADIUS (opciones de origen RADIUS), la administración de suscriptores (administración DHCP) también admite la configuración tradicional de opciones de origen de cliente, en la que el componente DHCP del enrutador (conmutador) envía las opciones al servidor RADIUS. El método de opciones DHCP de origen cliente es compatible tanto con el servidor local DHCP como con el agente de retransmisión DHCP; sin embargo, el método de configuración central de origen RADIUS sólo se admite en el servidor local DHCP. Tanto los métodos de origen RADIUS como los de origen del cliente admiten suscriptores (clientes) de DHCPv4 y DHCPv6.

Flujo de datos para las opciones de DHCP de origen RADIUS

La figura 1 muestra el procedimiento que utiliza la administración de suscriptores (administración DHCP) al configurar las opciones de DHCP para suscriptores (clientes DHCP).

Figura 1: Flujo de datos de opciones DHCP

La siguiente secuencia general describe el flujo de datos cuando la administración de suscriptores (administración DHCP) utiliza opciones DHCP de origen RADIUS y VSA 26-55 para configurar un suscriptor DHCP (cliente):

1. El suscriptor (cliente DHCP) envía un mensaje de descubrimiento DHCP (o mensaje de solicitud DHCPv6) al servidor local DHCP. El mensaje incluye opciones DHCP de origen cliente.

2. El servidor local DHCP inicia la autenticación con el cliente RADIUS de Junos OS.

3. El cliente RADIUS envía un mensaje de solicitud de acceso en nombre del suscriptor (cliente DHCP) al servidor RADIUS externo. El mensaje incluye las opciones DHCP de origen cliente del suscriptor (cliente DHCP).

4. El servidor RADIUS externo responde enviando un mensaje de aceptación de acceso al cliente RADIUS. El mensaje Access-Accept incluye las opciones de DHCP opaco de origen RADIUS en VSA 26-55.

5. El cliente RADIUS envía la cadena de opciones DHCP al servidor local DHCP. Si hay varias instancias de VSA 26-55, el cliente RADIUS primero las ensambla en una sola cadena de opciones.

6. El servidor local DHCP procesa todas las opciones en el mensaje de oferta DHCP (o respuesta DHCPv6), excepto las opciones DHCP VSA 26-55 de origen RADIUS. Después de procesar todas las demás opciones, el servidor local DHCP anexa las opciones DHCP VSA 26-55 no modificadas al mensaje y envía el mensaje al suscriptor (cliente DHCP).

7. El suscriptor (cliente DHCP) está configurado con las opciones DHCP.

8. Las siguientes operaciones se producen después de que el suscriptor (cliente DHCP) recibe las opciones DHCP:

   • Contabilidad: el cliente RADIUS envía solicitudes Acct-Start e Interim-Accounting al servidor RADIUS, incluidas las opciones DHCP de origen RADIUS en VSA 26-55. De forma predeterminada, las opciones de DHCP se incluyen en las solicitudes de contabilidad.

   • Renovación: cuando el suscriptor (cliente DHCP) renueva, el valor de opciones DHCP almacenado en caché se devuelve en el mensaje DHCP renovar (o ACK DHCPv6). Las opciones DHCP asignadas originalmente no se pueden modificar durante un ciclo de renovación.

   • Cerrar sesión: cuando el suscriptor (cliente DHCP) cierra sesión, el cliente RADIUS envía un mensaje Acct-Stop al servidor RADIUS, incluido el VSA 26-55 de origen RADIUS.

Configuración de varias instancias de VSA 26-55

VSA 26-55 admite un tamaño máximo de 247 bytes. Si el campo de opciones DHCP de origen RADIUS es mayor que 247 bytes, debe dividir el campo y configurar manualmente varias instancias de VSA 26-55 para que el servidor RADIUS regrese. Cuando se utilizan varias instancias para un campo de opciones, debe colocar las instancias del paquete en el orden en que el cliente RADIUS vuelve a ensamblar los fragmentos. Los fragmentos pueden ser de cualquier tamaño de 247 bytes o menos.

Cuando el cliente RADIUS devuelve un campo de opciones opacas reensamblado en una solicitud de contabilidad al servidor RADIUS, el cliente utiliza fragmentos de 247 bytes. Si originalmente había creado instancias de menos de 247 bytes, es posible que los fragmentos devueltos no sean los mismos que configuró originalmente en el servidor RADIUS.

Opciones de DHCP que no se pueden configurar de forma centralizada

En la tabla 1 se muestran las opciones de DHCP que no debe configurar de forma centralizada en el servidor RADIUS.

Diferenciación de las clases de suscriptor con DHCPv6 opción 17 y VSA 26-207

A partir de Junos OS versión 18.3R1, puede utilizar DHCPv6-Options VSA (26-207) para diferenciar entre diferentes clases de suscriptores durante la autenticación de relé DHCPv6. Por ejemplo, es posible que desee asignar diferentes prefijos IPv6 a diferentes clases de suscriptor.

Debe configurar el servidor RADIUS para que incluya la siguiente información en el VSA:

• Número de empresa de Juniper Networks, 2636

• Subopción 5, JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

Establezca un valor diferente para la subopción 5 para cada clase que desee diferenciar. Usted desarrolla su propio esquema para determinar la asignación entre valor y clase.

VSA 26-207 transmite la información de la clase de suscriptor en el mensaje de aceptación de acceso devuelto por el servidor RADIUS durante la autenticación de suscriptor DHCPv6. El contenido del VSA se pasa del proceso AAA al proceso DHCP en el atributo de base de datos de sesión, SDB_SERVER_DHCPV6_OPTIONS. El agente de retransmisión DHCPv6 extrae la información del atributo SDB y la coloca en la opción 17 de DHCPv6. Posteriormente, el agente de retransmisión pasa la opción 17 al servidor local DHCPv6 en el encabezado Relay-Forward. A continuación, el servidor local puede devolver la configuración del agente de retransmisión y la información de servicio específica de las clases de suscriptor pertinentes.

En versiones anteriores a Junos OS 18.3R1, solo el servidor local DHCP admite VSA 26-207. Solo se admiten la subopción 1 (JDHCPD_VS_OPT_CODE_HOST_NAME) y la subopción 4 (JDHCPD_VS_OPT_CODE_LOCATION_NAME). El agente de retransmisión DHCP también descarta el atributo SDB_SERVER_DHCPV6_OPTIONS si se recibe.

Las subopciones recibidas de RADIUS tienen una prioridad mayor que la información configurada localmente. Por ejemplo, si el nombre de host y la ubicación se configuran con la host-name instrucción en el [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] nivel de jerarquía y se reciben en las subopciones 1 y 4 de RADIUS, se utilizan los valores RADIUS.

Excluir los VSA de los mensajes RADIUS

Puede excluir cualquiera de estos VSA del envío mediante la instrucción, exclude como se muestra en el ejemplo siguiente:

Opciones de cliente

Las opciones de cliente se pueden configurar en varias ubicaciones, como servidores DHCPv4 o DHCPv6, o en el servidor RADIUS. Si la configuración del cliente está disponible en varias ubicaciones, puede surgir un conflicto con respecto al origen de los detalles de configuración. En caso de tales conflictos, se considera el siguiente orden de preferencia:

• Opciones recibidas del servidor RADIUS a través de atributos específicos del proveedor (VSA)

• Opciones recibidas del servidor RADIUS a través de las respectivas bases de datos de sesión

• Opciones de la configuración local DHCP, que están presentes en el servidor DHCP

Como ejemplo de la preferencia antes mencionada, considere el caso del tiempo de arrendamiento DHCPv4. Si la AUTHD_ATTR_SESSION_TIMEOUT opción, que es un VSA almacenado en el servidor RADIUS, se devuelve desde el servidor RADIUS, se le da preferencia. Si no se devuelve esta opción, se da preferencia a la opción 51 en la base de datos de sesiones respectiva para DHCPv4. Si tampoco se devuelve esa opción, la opción proviene de la configuración local de DHCP.

Del mismo modo, para el AUTHD_ATTR_SESSION_TIMEOUT tiempo de concesión de DHCPv6, la primera preferencia se da al VSA desde el servidor RADIUS. Si AUTHD_ATTR_SESSION_TIMEOUT no está presente, la opción valid-lifetime de origen RADIUS o preferred-lifetime tiene prioridad. Si tampoco está disponible, la opción proviene de la configuración local de DHCPv6.

Intercambio de cliente DHCPv4, servidor DHCPv4 y opciones de origen RADIUS

Los pasos siguientes ilustran el proceso de intercambio de opciones de configuración entre un cliente DHCPv4, un servidor DHCPv4 y el servidor RADIUS:

• El servidor DHCPv4 recibe un mensaje de descubrimiento de un cliente DHCPv4.

• La opción DHCP se guarda en la base de datos de sesión correspondiente.

  En las versiones de Junos OS anteriores a 17.4R1, se utiliza el mismo atributo para almacenar las opciones de DHCPv4 y DHCPv6. Sin embargo, con la compatibilidad con DHCP de doble pila de sesión única, existen atributos de base de datos de sesión independientes para DHCPv4 y DHCPv6.

• La información del encabezado DHCP se guarda en la base de datos de sesión.

  Se agrega un nuevo atributo de base de datos de sesión para almacenar la información del encabezado y esta información se envía al servidor RADIUS para su autenticación.

• Se envía un mensaje de solicitud de acceso desde el servidor DHCPv4 al servidor RADIUS y, cuando se recibe un mensaje de aceptación de acceso del servidor RADIUS, las opciones de DHCPv4 se guardan en los atributos de base de datos de sesión respectivos y se envían al cliente.

• Las opciones específicas del servidor DHCPv4 se agregan al paquete.

  Nota:

  El servidor DHCPv4 puede obtener opciones solicitadas y no solicitadas de la configuración local. Por lo tanto, es importante evitar la duplicación mientras se agregan las opciones.

• La información de concesión de DHCPv4 se extrae de la opción 51 de DHCP de origen RADIUS.

  El atributo de base de datos de sesión respectivo se utiliza para comprobar si la opción 51 (tiempo de concesión) proviene de RADIUS. Si es así, el valor del atributo se extrae y se guarda en la estructura de datos del cliente. Si RADIUS no lo origina, el valor del atributo se toma de la configuración del grupo local o de la configuración del atributo DHCPv4, que es una funcionalidad existente. Se realiza una comprobación similar para la opción 58 [tiempo de renovación (T1)] y la opción 59 [tiempo de revinculación (T2)].

• Se envía un mensaje de oferta desde el servidor DHCPv4 al cliente DHCPv4.

Intercambio de cliente DHCPv6, servidor DHCPv6 y opciones de origen RADIUS

Los pasos siguientes ilustran el proceso de intercambio de opciones de configuración entre un cliente DHCPv6, un servidor DHCPv6 y el servidor RADIUS:

• El servidor DHCPv6 recibe un mensaje de solicitud de un cliente DHCP.

• Las opciones de DHCPv6 se guardan en la base de datos de sesión del servidor DHCPv6.

  En las versiones de Junos OS anteriores a 17.4R1, las opciones de DHCPv6 se guardan en el atributo de base de datos de sesión correspondiente. Debido a la compatibilidad actual de doble pila DHCP de sesión única, es necesario tener atributos de base de datos de sesión separados para guardar las opciones DHCPv4 y DHCPv6. Si el cliente forma parte de una configuración de doble pila de sesión única, se utiliza el atributo de base de datos de sesión de opciones DHCPv6 correspondiente. Las opciones de DHCPv6 se copian directamente en la base de datos de sesión sin ningún cambio y, a continuación, se envían al servidor RADIUS.

  Nota:

  DHCPv6 auth-option (opción 11) también forma parte de estas opciones.

• Se guarda un encabezado de mensaje DHCPv6 en la base de datos de sesión.

  Se agrega un nuevo atributo de base de datos de sesión para copiar el encabezado del mensaje DHCPv6.

• Se envía un mensaje de solicitud de acceso desde el servidor DHCPv6, que a su vez recibe un mensaje de aceptación de acceso del servidor RADIUS. Este mensaje contiene opciones DHCPv6 de origen RADIUS que se almacenan en un nuevo atributo de base de datos de sesión.

• La información de concesión de DHCPv6 se extrae de la opción DHCPv6 de origen RADIUS.

  En el caso de DHCPv6, el tiempo de concesión está incrustado dentro de las opciones OPTION_IA_NA y OPTION_IA_PD. El tiempo de concesión del cliente comienza con estos valores desde el servidor RADIUS. Si la IA_ADDRESSopción , IA_PREFIX, IA_NAo IA_PD no proviene de RADIUS, estas opciones se toman de la configuración del grupo local y del grupo delegado.

• Las opciones específicas del servidor DHCPV6 se agregan al paquete.

  Nota:

  Un servidor DHCPv6 puede obtener opciones solicitadas y no solicitadas de la configuración local. Por lo tanto, es importante evitar la duplicación mientras se agregan las opciones.

• Se envía un mensaje de anuncio desde el servidor DHCPv6 al cliente DHCPv6.

Propósito

Vea información de las opciones de DHCP que se configuran de forma centralizada en un servidor RADIUS y que se distribuyen mediante VSA 26-55 (Opciones DHCP) de Juniper Networks.

Acción

Para mostrar información de opciones DHCP opacas:

Significado

El resultado de las opciones de DHCP proporciona la siguiente información:

• El len campo es el número total de valores hexadecimales del mensaje.

• Los valores hexadecimales especifican el tipo, la longitud y el valor (TLV) de las opciones DHCP, y se convierten a decimales para identificar las opciones DHCP, tal como se define en RFC 2132.

El número de valores hexadecimales que componen una opción DHCP determinada varía en función de la longitud de la opción. Por ejemplo, la primera opción DHCP especificada en el resultado incluye tres conjuntos de valores hexadecimales (35 01 01). El primer valor hexadecimal (35) identifica el tipo de opción, el segundo valor (01) indica la longitud de la entrada del valor, que en este caso es un conjunto de valores hexadecimales. El tercer valor hexadecimal (01) especifica el valor de la opción DHCP.

En la segunda especificación de opción DHCP (39 02 02 40), el valor 39 hexadecimal es el tipo y la longitud de 02 especifica que dos conjuntos de entradas hexadecimales constituyen el valor de la opción. Por lo tanto, esta especificación de opción utiliza cuatro conjuntos de entradas hexadecimales; uno para el tipo (39), uno para especificar la longitud (02) y dos para el valor de opción (02 40).

La tercera opción DHCP viene especificada por los valores 3d 07 01 00 10 94 00 00 08hexadecimales. El valor 3d hexadecimal es el tipo, seguido de la longitud (07), que especifica que los siguientes siete conjuntos de entradas hexadecimales constituyen el valor de la opción. Por lo tanto, esta especificación de opción utiliza un total de nueve conjuntos de entradas hexadecimales; uno para el tipo (3d), uno para especificar la longitud (07) y siete para el valor de la opción DHCP (01 00 10 94 00 00 08).

En el cuadro 2 se describen las dos primeras opciones con más detalle.