Servidores RADIUS y parámetros para el acceso de suscriptores
La configuración de parámetros y opciones para servidores RADIUS es una parte importante de la configuración de administración de suscriptores. Después de definir los servidores de autenticación y contabilidad, configure las opciones para todos los servidores RADIUS. También puede configurar perfiles de acceso que le permitan especificar parámetros de configuración de autenticación, autorización y contabilidad de acceso de suscriptor para suscriptores o grupos de suscriptores. La configuración del perfil anula la configuración global. Aunque algunas opciones están disponibles tanto en el nivel global como en el nivel del perfil de acceso, muchas opciones solo están disponibles en los perfiles de acceso.
Después de crear un perfil de acceso, debe especificar dónde se utiliza el perfil con una access-profile instrucción; esto se conoce como adjuntar el perfil. Los perfiles de acceso se pueden asignar en varios niveles. Por ejemplo, algunos de los lugares donde puede adjuntar perfiles de acceso
globalmente para una instancia de enrutamiento.
En perfiles dinámicos.
En un mapa de dominio, que asigna opciones de acceso y parámetros de sesión para sesiones de suscriptor.
En las interfaces para VLAN dinámicas y VLAN dinámicas apiladas.
En la interfaz o en un grupo de suscriptores para suscriptores con interfaces configuradas estáticamente para el aprovisionamiento dinámico de servicios.
En agentes de retransmisión DHCP y servidores locales DHCP para clientes o suscriptores DHCP.
Dado que puede adjuntar perfiles de acceso en muchos niveles, el perfil de acceso más específico tiene prioridad sobre cualquier otra asignación de perfil para evitar conflictos. La autenticación y la contabilidad no se ejecutan a menos que adjunte el perfil.
Autenticación RADIUS y definición de Accounting Server
Cuando utilice RADIUS para la administración de suscriptores, debe definir uno o más servidores RADIUS externos con los que se comunique el enrutador para la autenticación y la cuenta de suscriptores. Además de especificar la dirección IPv4 o IPv6 del servidor, puede configurar opciones y atributos que determinan cómo interactúa el enrutador con los servidores especificados.
Puede definir servidores RADIUS y opciones de conectividad en el nivel jerárquico [edit access radius-server] , en el nivel jerárquico [edit access profile name radius-server] o en ambos niveles.
El proceso AAA (authd) determina qué definiciones de servidor se deben usar de la siguiente manera:
Cuando las definiciones de servidor RADIUS sólo están presentes en
[edit access radius-server], authd utiliza esas definiciones.Cuando las definiciones de servidor RADIUS solo están presentes en el perfil de acceso, authd utiliza esas definiciones.
Cuando las definiciones de servidor RADIUS están presentes tanto en el perfil de acceso como en
[edit access radius-server]él, authd utiliza sólo las definiciones de perfil de acceso.
Para utilizar un servidor RADIUS, debe designarlo como servidor de autenticación, servidor de cuentas o ambos en un perfil de acceso. Debe hacerlo para los servidores, independientemente de si están definidos en un perfil de acceso o en el nivel jerárquico [edit access radius-server] .
Para definir servidores RADIUS y especificar cómo interactúa el enrutador con el servidor:
Este procedimiento muestra sólo el nivel de [edit access radius-server] jerarquía. Opcionalmente, puede configurar cualquiera de estos parámetros en el nivel de [edit access profile profile-name] radius-server] jerarquía. Puede hacerlo además de la configuración global o en lugar de la configuración global. Cuando se aplica un perfil, la configuración del perfil invalida la configuración global.
Configuración de opciones que se aplican a todos los servidores RADIUS
Puede configurar las opciones de RADIUS que se aplican a todos los servidores RADIUS globalmente.
Para configurar las opciones de RADIUS globalmente:
Configuración de un período de gracia de tiempo de espera para especificar cuándo los servidores RADIUS se consideran inactivos o inaccesibles
Cuando un servidor de autenticación RADIUS no responde a ninguno de los intentos de una solicitud de autenticación determinada y agota el tiempo de espera, authd anota la hora de referencia, pero no marca inmediatamente el servidor como inactivo (si hay otros servidores disponibles) o inaccesible (si es el único servidor configurado). En su lugar, un temporizador de período de gracia configurable se inicia en el momento de referencia. El período de gracia se borra si el servidor responde a una solicitud posterior antes de que expire el período.
Durante el período de gracia, el servidor no está marcado como inactivo o inaccesible. Cada vez que se agota el tiempo de espera del servidor para solicitudes posteriores a ese servidor, authd comprueba si el período de gracia ha expirado. Cuando la comprobación determina que el período de gracia ha expirado y el servidor sigue sin responder a una solicitud, el servidor se marca como inaccesible o inactivo.
El uso de un breve período de gracia le permite abandonar más rápidamente un servidor que no responde y dirigir las solicitudes de autenticación a otros servidores disponibles. Un largo período de gracia le da a un servidor más oportunidades para responder y puede evitar abandonar innecesariamente un recurso. Puede especificar un período de gracia más largo cuando solo tenga uno o un pequeño número de servidores configurados.
Para configurar el período de gracia durante el cual un servidor RADIUS que no responde no está marcado como inaccesible o inactivo:
Especifique la duración del período de gracia.
[edit access radius-options] user@host# set timeout-grace seconds
Configuración de opciones de perfiles de acceso para interacciones con servidores RADIUS
Puede utilizar un perfil de acceso para especificar las opciones que utiliza el enrutador cuando se comunica con los servidores de autenticación y contabilidad RADIUS para el acceso de suscriptor. En este procedimiento se describen las opciones que solo están disponibles en los perfiles de acceso. Para conocer las opciones disponibles tanto en el perfil de acceso como a nivel global, consulte Servidores RADIUS y parámetros para el acceso de suscriptores.
Para configurar las opciones del servidor de cuentas y autenticación RADIUS:
Configuración de un identificador de estación de llamadas con opciones adicionales
Utilice esta sección para configurar un valor alternativo para el identificador de estación de llamada (atributo 31 del IETF RADIUS) en un perfil de acceso del enrutador de la serie MX.
Puede configurar el identificador de estación llamadora para que incluya una o varias de las siguientes opciones, en cualquier combinación, en la jerarquía [edit access profile profile-name radius options calling-station-id-format]:
Identificador del circuito del agente (
agent-circuit-id): identificador del nodo de acceso del abonado y de la línea de abonado digital (DSL) del nodo de acceso. La cadena del identificador de circuito del agente (ACI) se almacena en el campo de la opción 82 de los mensajes DHCP para el tráfico DHCP o en el VSA [26-1] del ID de circuito del agente del foro DSL [26-1] de los paquetes de control PPPoE Active Discovery Initiation (PADI) y PPPoE Active Discovery Request (PADR) para el tráfico PPPoE.Identificador remoto del agente (
agent-remote-id): identificador del suscriptor en la interfaz del multiplexor de acceso de línea de suscriptor digital (DSLAM) que inició la solicitud de servicio. La cadena del identificador remoto del agente (ARI) se almacena en el campo de la opción 82 de DHCP para el tráfico DHCP o en el VSA [26-2] del agente de ID remoto del foro DSL para el tráfico PPPoE.Descripción de la interfaz (
interface-description): valor de la interfaz.Descripción de texto de la interfaz (
interface-text-description): descripción textual de la interfaz. La descripción del texto de la interfaz se configura por separado, utilizando laset interfaces interface-name description descriptioninstrucción o laset interfaces interface-name unit unit-number description descriptioninstrucciónDirección MAC (
mac-address): dirección MAC del dispositivo de origen del suscriptor.Identificador de NAS (
nas-identifier): nombre del NAS que originó la solicitud de autenticación o contabilidad. El identificador NAS es el atributo 32 de RADIUS IETF.VLAN
(stacked-vlan)apilada: ID de VLAN apilada.VLAN
(vlan): ID DE VLAN.
Si configura el formato del identificador de estación llamadora con más de un valor opcional, un carácter hash (#) es el delimitador predeterminado que el enrutador utiliza como separador entre los valores concatenados en la cadena Calling-Station-ID resultante. Opcionalmente, puede configurar un carácter delimitador alternativo para que lo utilice el identificador de estación llamante. En el ejemplo siguiente se muestra el orden de salida cuando se configuran varios valores opcionales:
nas-identifier#interface description#interface text description#agent-circuit-id#agent-remote-id#mac address#stacked vlan#vlan
Para configurar un perfil de acceso para proporcionar información opcional en el identificador de estación de llamadas:
Ejemplo: ID de estación de llamada con opciones adicionales en un perfil de acceso
En el ejemplo siguiente se crea un perfil de acceso denominado retailer01 que configura una cadena de ID de estación de llamada que incluye las opciones NAS-Identifier (fox), descripción de la interfaz, identificador del circuito del agente e identificador remoto del agente.
[edit access profile retailer01 radius options]
nas-identifier "fox";
calling-station-id-delimiter "*";
calling-station-id format {
nas-identifier;
interface-description;
agent-circuit-id;
agent-remote-id;
}
La cadena Calling-Station-ID resultante tiene el siguiente formato:
fox*ge-1/2/0.100:100*as007*ar921
Dónde:
El valor del identificador NAS es
fox.El carácter delimitador del identificador de la estación de llamada es
*(asterisco).El valor de descripción de la interfaz es
ge-1/2/0.100:100.El valor del identificador del circuito del agente es
as007.El valor del identificador remoto del agente es
ar921.
Considere un ejemplo en el que todas las opciones están configuradas, pero no hay valores disponibles para el ID de circuito del agente, el ID remoto del agente o el identificador de VLAN apilado. Los demás valores son los siguientes:
Identificador NAS: solarium
Descripción de la interfaz—GE-1/0/0.1073741824:101
Descripción del texto de la interfaz: interfaz de ejemplo
Dirección MAC—00:00:5E:00:53:00
Identificador VLAN: 101
Estos valores dan como resultado el siguiente identificador de estación de llamada:
solarium#ge-1/0/0.1073741824:101#example-interface###00-00-5E-00-53-00##101
Filtrado de atributos RADIUS y VSA de mensajes RADIUS
Los atributos estándar y los atributos específicos del proveedor (VSA) recibidos en los mensajes RADIUS tienen prioridad sobre los valores de atributo aprovisionados internamente. El filtrado de atributos consiste en elegir omitir ciertos atributos cuando se reciben en paquetes de aceptación de acceso y excluir ciertos atributos para que no se envíen al servidor RADIUS. Ignorar los atributos recibidos del servidor RADIUS permite utilizar en su lugar los valores aprovisionados localmente. Excluir atributos de ser enviados es útil, por ejemplo, para atributos que no cambian durante la vida útil de un suscriptor. Le permite reducir el tamaño del paquete sin pérdida de información.
Puede especificar atributos RADIUS estándar y VSA que el enrutador o conmutador ignore posteriormente cuando se reciban en los mensajes de aceptación de acceso RADIUS. También puede especificar atributos y VSA que el enrutador o conmutador excluya de los tipos de mensaje RADIUS especificados. Exclusión significa que el enrutador o conmutador no incluye el atributo en los mensajes especificados que envía al servidor RADIUS.
A partir de Junos OS versión 18.1R1, puede configurar el enrutador o conmutador para que ignore o excluya los atributos estándar de RADIUS y VSA especificando el número de atributo estándar o el ID de proveedor asignado por la IANA y el número de VSA, respectivamente. Con este método de configuración flexible, puede configurar cualquier atributo estándar y VSA admitidos por su plataforma para que se ignoren o excluyan. La configuración no tiene ningún efecto si configura atributos, proveedores y VSA no compatibles.
El método heredado permite configurar sólo aquellos atributos y VSA para los que la sintaxis de la instrucción incluye una opción específica. Por consiguiente, puede utilizar el método heredado para omitir sólo un subconjunto de todos los atributos que se pueden recibir en los mensajes de acceso-aceptación.
Para configurar los atributos ignorados o excluidos por el enrutador o conmutador:
En el siguiente ejemplo se comparan los métodos de configuración heredados y flexibles para ignorar el atributo RADIUS estándar, Framed-IP-Netmask (9), y los VSA, Ingress-Policy-Name (26-10) y Egress-Policy-Name (26-11) de Juniper Networks.
Método heredado:
[edit access profile prof-ign radius attributes] user@host# set ignore framed-ip-netmask input-filter output-filter
Método flexible:
[edit access profile prof-ign radius attributes] user@host# set ignore standard-attribute 9 user@host# set ignore vendor-id 4874 vendor-attribute [ 10 11 ]
En el siguiente ejemplo se comparan los métodos de configuración heredados y flexibles para excluir el atributo RADIUS estándar, Framed-IP-Netmask (9), y los VSA, Ingress-Policy-Name (26-10) y Egress-Policy-Name (26-11) de Juniper Networks.
Método heredado:
[edit access profile prof-exc radius attributes] user@host# set exclude framed-ip-netmask accounting-stop user@host# set exclude input-filter [ accounting-start accounting-stop ] user@host# set exclude output-filter [ accounting-start accounting-stop ]
Método flexible: especifique el número de atributo estándar o el ID de proveedor asignado por la IANA, el número de VSA y el tipo de mensaje:
[edit access profile prof-exc radius attributes] user@host# set exclude standard-attribute 9 packet-type accounting-stop user@host# set exclude vendor-id 4874 vendor-attribute 10 packet-type [ accounting-start accounting-stop ] user@host# set exclude vendor-id 4874 vendor-attribute 11 packet-type [ accounting-start accounting-stop ]
¿Qué sucede si especifica un atributo con ambos métodos en el mismo perfil? La configuración efectiva es el OR lógico de los dos métodos. Considere el siguiente ejemplo para el atributo estándar, tiempo de retraso contable (41):
[edit access profile prof-3 radius attributes] user@host# set exclude accounting-delay-time [ accounting-off accounting-on ] user@host# set exclude standard-attribute 41 packet-type [ accounting-start accounting-stop ]
El resultado es que el atributo se excluye de los cuatro tipos de mensajes: Accounting-Off, Accounting-On, Accounting-Start y Accounting-Stop. El efecto es el mismo que si se utilizara alguna de las siguientes configuraciones:
-
[edit access profile prof-3 radius attributes] user@host# set exclude accounting-delay-time [ accounting-off accounting-on accounting-start accounting-stop ]
-
[edit access profile prof-3 radius attributes] user@host# set exclude standard-attribute 41 packet-type [ accounting-off accounting-on accounting-start accounting-stop ]
Tabla de historial de cambios
La compatibilidad con las funciones viene determinada por la plataforma y la versión que esté utilizando. Utilice el Explorador de características para determinar si una característica es compatible con su plataforma.