Получение параметров DHCP от RADIUS-сервера

RADIUS-исходные параметры

Управление абонентами (на маршрутизаторах) или управление DHCP (на коммутаторах) позволяет централизованно настраивать параметры DHCP на RADIUS-сервере, а затем распределять эти параметры по абонентам или по DHCP-клиенту. Этот метод приводит к RADIUS DHCP - параметры DHCP, которые возникают на RADIUS сервера и отправляются абоненту (или клиенту DHCP). Это отличается от традиционного метода настройки параметров DHCP с источником клиента (также называемого DHCP-источника), при котором параметры исходят от клиента и отправляются на RADIUS сервер. Параметры DHCP RADIUS DHCP-управления абонентами также считаются opaque,так как локальный сервер DHCP выполняет минимальную обработку и проверку ошибок строки параметров DHCP перед передачей параметров абоненту (DHCP-клиент).

Управление абонентом (или управление DHCP) использует Juniper Networks VSA 26-55 (параметры DHCP) для распределения RADIUS DHCP-параметров. Сервер RADIUS включает VSA 26-55 в сообщение Access-Accept, которое сервер возвращает во время аутентификации абонента или клиента DHCP. Сервер RADIUS отправляет клиенту access-RADIUS Accept сообщение Access-Accept, а затем на локальный сервер DHCP для возврата абоненту DHCP. Сервер RADIUS может включать несколько экземпляров VSA 26-55 в одном сообщении Access-Accept. Клиент RADIUS получает несколько экземпляров и использует результат в качестве одного экземпляра.

Для использования интерфейс командной строки DHCP-параметров централизованного управления (DHCP) не требуется конфигурации — данная процедура запускается присутствием VSA 26-55 в сообщении access-Accept RADIUS Access-Accept.

При создании пакета предложения для клиента DHCP локальный сервер DHCP использует следующую последовательность:

1. Обрабатывает любые RADIUS-настроенные параметры, которые передаются как отдельные RADIUS атрибуты; например, RADIUS атрибут 27 (Время простоя сеанса).

2. Обрабатывает любые клиентские параметры; например, RADIUS атрибуты 53 (тип сообщения DHCP) и 54 (идентификатор сервера).

3. Привносимые (без выполнения обработки) строки opaque параметров DHCP в VSA 26-55, полученные с RADIUS сервера.

Конфигурация параметров с источником клиента

Помимо поддержки центральной конфигурации параметров DHCP непосредственно на RADIUS (RADIUS-источнике), управление абонентами (управление DHCP) также поддерживает конфигурацию традиционных клиент-источников параметров, в которой компонент DHCP маршрутизатора (коммутатора) отправляет эти параметры на RADIUS сервер. Метод параметров DHCP с источником клиента поддерживается как для локального сервера DHCP, так и для агента ретрансляции DHCP; однако метод RADIUS централизованной конфигурации с исходным источником поддерживается только локальным сервером DHCP. Оба метода RADIUS и клиент-источник поддерживают абонентов (клиентов) DHCPv4 и DHCPv6.

Поток данных для параметров RADIUS DHCP с исходным источником

На рис. 1 показана процедура, которая используется управлением абонентом (управление DHCP) при настройке параметров DHCP для абонентов (клиентов DHCP).

Рис. 1. Поток данных параметров DHCP

Следующая общая последовательность описывает поток данных, когда управление абонентом (управление DHCP) использует RADIUS DHCP с источником и VSA 26-55 для настройки абонента DHCP (клиента):

1. Абонент (клиент DHCP) отправляет локальному серверу DHCP сообщение обнаружения DHCP (или сообщение запроса DHCPv6). Это сообщение включает параметры DHCP с клиентом.

2. Локальный сервер DHCP инициирует аутентификацию Junos OS RADIUS клиентом.

3. Клиент RADIUS отправляет сообщение Access-Request от имени абонента (клиента DHCP) на внешний RADIUS сервер. Это сообщение содержит параметры DHCP абонента (клиента DHCP).

4. Внешний сервер RADIUS отвечает отправкой сообщения Access-Accept RADIUS клиенту. Сообщение Access-Accept содержит параметры DHCP RADIUS В VSA 26-55 включаем параметры DHCP с исходным источником.

5. Клиент RADIUS отправляет строку параметров DHCP локальному серверу DHCP. Если существует несколько экземпляров VSA 26-55, RADIUS клиент сначала собирает их в одну строку параметров.

6. Локальный сервер DHCP обрабатывает все параметры в сообщении предложения DHCP (или ответ DHCPv6), за исключением параметров DHCP, источником RADIUS VSA 26-55. После обработки всех остальных параметров локальный сервер DHCP затем привносим к сообщению ненаправляемые параметры DHCP VSA 26-55 и отправляет сообщение абоненту (DHCP-клиент).

7. Абонент (клиент DHCP) настраивается с помощью параметров DHCP.

8. Следующие операции происходят после получения абонентом (DHCP-клиентом) параметров DHCP:

   • Учет — RADIUS-клиент отправляет запросы Acct-Start и Interim-Accounting на RADIUS сервера, включая параметры DHCP с RADIUS источников в VSA 26-55. По умолчанию параметры DHCP включены в запросы учета.

   • Обновление — после обновления абонента (клиента DHCP), кэш добавленное значение параметров DHCP возвращается в сообщении обновления DHCP (или DHCPv6 ACK). Изначально присвоенные параметры DHCP не могут быть изменены во время цикла обновления.

   • Выход — после того, как абонент (клиент DHCP) выходит из сети, RADIUS-клиент отправляет на RADIUS-сервер сообщение Acct-Stop, в том числе RADIUS-источник VSA 26-55.

Конфигурация нескольких экземпляров VSA 26-55

VSA 26-55 поддерживает максимальный размер 247 bytes. Если RADIUS параметров DHCP с исходным источником больше 247байт, необходимо разбить это поле и вручную настроить несколько экземпляров VSA 26-55 для возврата RADIUS сервера. При использовании нескольких экземпляров для поля параметров необходимо разместить экземпляры в пакете так, чтобы фрагменты были повторно RADIUS клиента. Размер фрагментов может быть не более 247 bytes.

Когда RADIUS возвращает серверу учета повторно собратированное поле opaque RADIUS options в запросе учета, клиент использует фрагменты 247-byte. Если изначально были созданы экземпляры с менее чем 247 bytes, возвращенные фрагменты могли бы не быть тем же, что были изначально настроены на RADIUS сервере.

Параметры DHCP, которые не могут быть настроены централизованно

В таблице 1 показаны параметры DHCP, которые не должны настраиваться централизованно на RADIUS сервере.

Дифференкция классов абонентов с параметром 17 DHCPv6 и VSA 26-207

Начиная с Junos OS 18.3R1, можно использовать DHCPv6-Options VSA (26-207), чтобы различать различные классы абонентов во время ретрансляции аутентификации DHCPv6. Например, можно назначить различные префиксы IPv6 различным классам абонентов.

Необходимо настроить сервер RADIUS, чтобы включить в VSA следующую информацию:

• Juniper Networks корпоративного номера, 2636

• Подменя 5, JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

Вы установили различное значение субподряда 5 для каждого класса, который необходимо различать. Разрабатывается собственная схема определения сопоставления между значением и классом.

VSA 26-207 передает информацию о классе абонентов в сообщении Access-Accept, возвращенном сервером RADIUS во время аутентификации абонента DHCPv6. Содержимое VSA передается от процесса AAA DHCP в атрибуте базы данных сеанса, SDB_SERVER_DHCPV6_OPTIONS. Агент ретрансляции DHCPv6 извлекает информацию из атрибута SDB и помещает ее в параметр 17 DHCPv6. Агент ретрансляции передает параметр 17 локальному серверу DHCPv6 в загон-ретрансляции. Локальный сервер может вернуть сведения о конфигурации агента ретрансляции и сервисных данных, специфические для соответствующих классов абонентов.

В более ранних Junos OS 18.3R1, только локальный сервер DHCP поддерживает VSA 26-207. Поддерживаются только субподряды 1 (JDHCPD_VS_OPT_CODE_HOST_NAME) и субподряд 4 (JDHCPD_VS_OPT_CODE_LOCATION_NAME). Агент ретрансляции DHCP также SDB_SERVER_DHCPV6_OPTIONS атрибут при его получении.

Субподряды, полученные от RADIUS имеют более высокий приоритет, чем локально настроенные сведения. Например, если имя хоста и местоположение сконфигурированы с помощью утверждения на уровне иерархии и получаются в подопиях 1 и 4 от RADIUS, используются RADIUS host-name [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] значения.

Исключение VSAs из RADIUS сообщений

Можно исключить отправление любого из этих VSAS с помощью exclude утверждения, как показано в следующем примере:

Параметры клиента

Параметры клиента можно настроить в нескольких местах, например, для серверов DHCPv4 или DHCPv6, или на RADIUS сервере. Если конфигурация клиента доступна в нескольких местах, может возникнуть конфликт относительно источника сведений об конфигурации. В случае таких конфликтов рассматривается следующий порядок предпочтений:

• Параметры, полученные от RADIUS через атрибуты, специфические для поставщика (VSAS)

• Параметры, полученные от RADIUS сервера через соответствующие базы данных сеансов

• Параметры локальной конфигурации DHCP, которые присутствуют на сервере DHCP

В качестве примера неуказанного предпочтения рассмотрим случай времени аренды DHCPv4. Если параметр, то есть VSA, хранимый на RADIUS сервера, возвращается с RADIUS сервера, предпочтение AUTHD_ATTR_SESSION_TIMEOUT отдается ему. Если этот параметр не возвращается, предпочтение отдается параметру 51 в соответствующей базе данных сеансов для DHCPv4. Если этот параметр также не возвращается, источником этого параметра является локализованная конфигурация DHCP.

Аналогичным образом, для времени аренды DHCPv6, первое предпочтение отдается VSA от AUTHD_ATTR_SESSION_TIMEOUT RADIUS сервера. Если AUTHD_ATTR_SESSION_TIMEOUT он не существует, RADIUS-источник или valid-lifetime имеет preferred-lifetime приоритет. Если этот параметр также не доступен, то источник параметра — локализованная конфигурация DHCPv6.

Обмен информацией о клиенте DHCPv4, сервере DHCPv4 и RADIUS-источнике

Следующие шаги иллюстрируют процесс обмена настройками параметров между клиентом DHCPv4, сервером DHCPv4 и RADIUS:

• DHCPv4-сервер получает сообщение обнаружения от клиента DHCPv4.

• Параметр DHCP сохранен в соответствующей базе данных сеансов.

  В Junos OS до 17.4R1 используется один и тот же атрибут для хранения параметров DHCPv4 и DHCPv6. Однако при поддержке двухстекового DHCP в одном сеансе существуют отдельные атрибуты базы данных сеансов для DHCPv4 и DHCPv6.

• Информация загона DHCP сохранена в базе данных сеансов.

  Для хранения сведений о загоне добавляется атрибут базы данных сеанса, который отправляется RADIUS серверу для аутентификации.

• Сообщение запроса доступа отправляется с сервера DHCPv4 на RADIUS, и при приеме сообщения о приеме доступа от RADIUS сервера параметры DHCPv4 сохраняются в соответствующие атрибуты базы данных сеансов и отправляются клиенту.

• В пакет добавляются параметры, специфические для сервера DHCPv4.

  Примечание:

  Сервер DHCPv4 может использовать в локальной конфигурации как запрашиваемую, так и незатрашиваемую конфигурацию. Таким образом, важно не допустить дублирования при добавлении параметров.

• Сведения об аренде DHCPv4 извлекаются из RADIUS DHCP с источником 51.

  Соответствующий атрибут базы данных сеанса используется для проверки источника параметра 51 (время аренды) RADIUS. Если да, то значение атрибута будет извлечено и сохранено в структуре данных клиента. Если он не был RADIUS источником, значение атрибута заносялось в конфигурацию локального пула или конфигурацию атрибута DHCPv4, которая является существующей функциональностью. Аналогичная проверка выполняется для параметра 58 (время продления (T1)) и для параметра 59 (время перебиндации (T2)).

• Сообщение о предложении отправляется с сервера DHCPv4 клиенту DHCPv4.

Обмен информацией о клиенте DHCPv6, сервере DHCPv6 и RADIUS-источнике

Следующие шаги иллюстрируют процесс обмена настройками параметров между клиентом DHCPv6, сервером DHCPv6 и RADIUS:

• DHCPv6-сервер получает сообщение запроса от клиента DHCP.

• Параметры DHCPv6 сохраняются в базе данных сеансов сервера DHCPv6.

  В Junos OS до 17.4R1 параметры DHCPv6 сохраняются в соответствующем атрибуте базы данных сеансов. В связи с текущей поддержкой двухстекового DHCP в одно сеансе, необходимо иметь отдельные атрибуты базы данных сеансов для сохранения параметров DHCPv4 и DHCPv6. Если клиент является частью одиночной конфигурации с двумя стеками, используется соответствующий атрибут базы данных параметров DHCPv6. Параметры DHCPv6 копются напрямую в базу данных сеансов без изменений и отправляются на RADIUS серверу.

  Примечание:

  DHCPv6 auth-option (параметр 11) также является частью этих параметров.

• Задерок сообщения DHCPv6 сохранен в базе данных сеансов.

  Для копирования загона сообщения DHCPv6 добавляется новый атрибут базы данных сеансов.

• Сообщение запроса доступа отправляется с сервера DHCPv6, который, в свою очередь, получает сообщение о приеме доступа от RADIUS-сервера. Это сообщение содержит RADIUS параметры DHCPv6 с исходным источником, которые хранятся в атрибуте новой базы данных сеансов.

• Сведения об аренде DHCPv6 извлекаются из RADIUS DHCPv6 с источником.

  В случае DHCPv6 время аренды встроено в параметры OPTION_IA_NA OPTION_IA_PD и. Время аренды клиента начинается с этих значений с RADIUS Server. Если источник (или параметр) не RADIUS источника, эти параметры взяты из локального пула и IA_ADDRESS IA_PREFIX IA_NA IA_PD делегирована конфигурация пула.

• В пакет добавляются параметры, специфические для сервера DHCPV6.

  Примечание:

  Сервер DHCPv6 может использовать в локальной конфигурации как запрашиваемую, так и незатрашиваемую опцию. Таким образом, важно не допустить дублирования при добавлении параметров.

• Сообщение объявления отправляется с сервера DHCPv6 клиенту DHCPv6.

Цель

Просмотр информации о параметрах DHCP, которые централизованно настроены на RADIUS сервере и распространяются с помощью Juniper Networks VSA 26-55 (параметры DHCP).

Действий

Отображение информации о opaque параметрах DHCP:

Смысл

Выходные данные параметров DHCP предоставляют следующую информацию:

• Это len поле является суммарным числом значений hex в сообщении.

• Значения hex указывают тип, длину и значение (TLV) параметров DHCP и преобразуются в десятичной, чтобы идентифицировать параметры DHCP, как определено в RFC 2132.

Количество hex значений, которые составляют конкретный параметр DHCP, зависит от длины параметра. Например, первый параметр DHCP, указанный в выходных данных, включает три набора hex значений 35 01 01 (). Первое значение hex () определяет тип параметра, второе значение () указывает длину записи значения, в данном случае это один набор значений 35 01 hex. Третье значение hex 01 () указывает значение параметра DHCP.

Во второй спецификации параметра DHCP (), значением hex является тип, а длина указывает, что два набора 39 02 02 40 39 записей-hex составляют значение этого 02 параметра. Поэтому в этой спецификации данной опции используются четыре набора записей hex; один для типа (), другой для указания длины () и 39 второй для значения 02 параметра 02 40 ().

Третий параметр DHCP определяется значениями в 3d 07 01 00 10 94 00 00 08 hex. Значение hex указывает тип, за которым следует длина (), которая указывает, что следующие семь наборов записей hex составляют значение 3d 07 этого параметра. Поэтому в этой спецификации данной опции используется в сумме девять наборов записей hex; один для типа ( ), один для указания длины () и седьмой для значения параметра 3d 07 DHCP 01 00 10 94 00 00 08 ().

В таблице 2 более подробно описаны первые два варианта.