AUF DIESER SEITE
 

Zeitüberschreitung bei Authentifizierungssitzungen

Sie können den Zugriff auf Ihr Netzwerk über einen Switch steuern, indem Sie verschiedene Authentifizierungen verwenden. Junos OS-Switches unterstützen 802.1X, MAC RADIUS und Captive Portal als Authentifizierungsmethode für Geräte, die eine Verbindung zu einem Netzwerk herstellen müssen. Lesen Sie dieses Thema für weitere Informationen.

Grundlegendes zum Timeout bei Authentifizierungssitzungen

Informationen zu Authentifizierungssitzungen – einschließlich der zugehörigen Schnittstellen und VLANs für jede authentifizierte MAC-Adresse – werden in der Tabelle der Authentifizierungssitzungen gespeichert. Die Tabelle der Authentifizierungssitzungen ist an die Ethernet-Switching-Tabelle (auch MAC-Tabelle genannt) gebunden. Jedes Mal, wenn der Switch Datenverkehr von einer MAC-Adresse erkennt, aktualisiert er den Zeitstempel für diesen Netzwerkknoten in der Ethernet-Switching-Tabelle. Ein Timer auf dem Switch überprüft regelmäßig den Zeitstempel, und wenn sein Wert den vom Benutzer konfigurierten mac-table-aging-time Wert überschreitet, wird die MAC-Adresse aus der Ethernet-Switching-Tabelle entfernt. Wenn eine MAC-Adresse aus der Ethernet-Switching-Tabelle veraltet ist, wird der Eintrag für diese MAC-Adresse ebenfalls aus der Tabelle der Authentifizierungssitzung entfernt, sodass die Sitzung beendet wird.

Wenn die Authentifizierungssitzung aufgrund des Alterns der MAC-Adresse beendet wird, muss der Host die Authentifizierung erneut versuchen. Um die Ausfallzeiten aufgrund einer erneuten Authentifizierung zu begrenzen, können Sie das Timeout von Authentifizierungssitzungen auf folgende Weise steuern:

  • Trennen Sie für 802.1X- und MAC RADIUS-Authentifizierungssitzungen die Zuordnung der Tabelle der Authentifizierungssitzung zur Ethernet-Switching-Tabelle mithilfe der no-mac-table-binding Anweisung. Diese Einstellung verhindert das Beenden der Authentifizierungssitzung, wenn die zugeordnete MAC-Adresse aus der Ethernet-Switching-Tabelle veraltet ist.

  • Konfigurieren Sie für Captive Portal-Authentifizierungssitzungen einen Keepalive-Timer mit der user-keepalive Anweisung. Wenn diese Option konfiguriert ist, wird der Keep-Alive-Timer gestartet, wenn die zugeordnete MAC-Adresse aus der Ethernet-Switching-Tabelle altert. Wenn der Datenverkehr innerhalb des Keep-Alive-Timeout-Zeitraums empfangen wird, wird der Timer gelöscht. Wenn innerhalb des Keep-Alive-Timeout-Zeitraums kein Datenverkehr vorhanden ist, wird die Sitzung gelöscht.

Sie können auch Zeitüberschreitungswerte für Authentifizierungssitzungen angeben, um die Sitzung zu beenden, bevor der MAC-Alterungstimer abläuft. Nach dem Timeout der Sitzung muss der Host die Authentifizierung erneut versuchen.

  • Bei 802.1X- und MAC RADIUS-Authentifizierungssitzungen hängt die Dauer der Sitzung vor dem Timeout vom Wert der reauthentication Anweisung ab. Wenn der MAC-Alterungstimer abläuft, bevor die Sitzung abläuft, und die no-mac-table-binding Anweisung nicht konfiguriert ist, wird die Sitzung beendet, und der Host muss sich erneut authentifizieren.

  • Bei Captive Portal-Authentifizierungssitzungen hängt die Dauer der Sitzung von dem für die session-expiry Anweisung konfigurierten Wert ab. Wenn der MAC-Alterungstimer abläuft, bevor die Sitzung abläuft, und die user-keepalive Anweisung nicht konfiguriert ist, wird die Sitzung beendet, und der Host muss sich erneut authentifizieren.

Hinweis:

Wenn der Authentifizierungsserver ein Timeout für die Authentifizierung der Sitzung an den Client sendet, hat dies Vorrang vor dem Wert, der lokal mit der reauthentication Anweisung oder der session-expiry Anweisung konfiguriert wurde. Der Sitzungstimeoutwert wird vom Server an den Client als Attribut der RADIUS Access-Accept-Nachricht gesendet. Informationen zum Konfigurieren des Authentifizierungsservers zum Senden einer Zeitüberschreitung für eine Authentifizierungssitzung finden Sie in der Dokumentation des Servers.

Siehe auch

Steuern der Zeitüberschreitungen bei Authentifizierungssitzungen (CLI-Verfahren)

Der Ablauf einer Authentifizierungssitzung kann zu Ausfallzeiten führen, da der Host die Authentifizierung erneut versuchen muss. Sie können diese Ausfallzeit begrenzen, indem Sie den Timeoutzeitraum für Authentifizierungssitzungen steuern.

Eine Authentifizierungssitzung kann beendet werden, wenn die mit dem authentifizierten Host verknüpfte MAC-Adresse aus der Ethernet-Switching-Tabelle veraltet ist. Wenn die MAC-Adresse aus der Ethernet-Switching-Tabelle gelöscht wird, endet die authentifizierte Sitzung für diesen Host, und der Host muss die Authentifizierung erneut versuchen.

So verhindern Sie, dass die Authentifizierungssitzung beendet wird, wenn die MAC-Adresse aus der Ethernet-Switching-Tabelle herauskommt:

  • Bei Sitzungen, die mit 802.1X- oder MAC-RADIUS-Authentifizierung authentifiziert wurden, können Sie Zeitüberschreitungen bei der Authentifizierung von Sitzungen aufgrund des Alterns der MAC-Adresse verhindern, indem Sie die Zuordnung der Tabelle der Authentifizierungssitzung zur Ethernet-Switching-Tabelle mit der no-mac-table-binding folgenden Anweisung aufheben:
  • Für Sitzungen, die mit der Captive Portal-Authentifizierung authentifiziert wurden, können Sie Zeitüberschreitungen bei der Authentifizierung von Sitzungen aufgrund von MAC-Adressen verhindern, indem Sie den Zeitüberschreitungszeitraum mit der user-keepalive folgenden Anweisung verlängern:

Sie können auch Timeoutwerte für Authentifizierungssitzungen konfigurieren, um eine authentifizierte Sitzung zu beenden, bevor der MAC-Alterungstimer abläuft.

Hinweis:

Wenn Sie das Sitzungstimeout für eine Authentifizierungssitzung konfigurieren, wird die Sitzung nach Ablauf des MAC-Alterungstimers nicht verlängert. Sie müssen entweder die Anweisung für die no-mac-table-binding 802.1X- und MAC-RADIUS-Authentifizierung oder die Anweisung für die user-keepalive Captive Portal-Authentifizierung konfigurieren, um Sitzungszeitüberschreitungen aufgrund von MAC-Alterung zu verhindern.

Konfigurieren Sie für 802.1X- und MAC RADIUS-Authentifizierungssitzungen den Timeoutwert mithilfe der reauthentication Anweisung.

  • So konfigurieren Sie den Timeout-Wert auf einer einzelnen Schnittstelle:

  • So konfigurieren Sie den Timeoutwert für alle Schnittstellen:

Konfigurieren Sie für Captive Portal-Authentifizierungssitzungen den Zeitüberschreitungswert mithilfe der session-expiry Anweisung.

  • So konfigurieren Sie den Timeout-Wert auf einer einzelnen Schnittstelle:

  • So konfigurieren Sie den Timeoutwert für alle Schnittstellen:

Hinweis:

Wenn der Authentifizierungsserver eine Zeitüberschreitung der Authentifizierungssitzung an den Client sendet, hat dies Vorrang vor dem Wert, der mit der reauthentication Anweisung oder der session-expiry Anweisung konfiguriert wurde. Der Sitzungstimeoutwert wird vom Server an den Client als Attribut der RADIUS Access-Accept-Nachricht gesendet.

Siehe auch

Beibehaltung der Authentifizierungssitzung basierend auf IP-MAC-Adressbindungen

Die MAC-RADIUS-Authentifizierung wird häufig verwendet, um Hosts, die nicht für die 802.1X-Authentifizierung aktiviert sind, den Zugriff auf das LAN zu ermöglichen. Endgeräte wie Drucker sind im Netzwerk wenig aktiv. Wenn die mit einem Endgerät verknüpfte MAC-Adresse aufgrund von Inaktivität ausfällt, wird die MAC-Adresse aus der Ethernet-Switching-Tabelle gelöscht und die Authentifizierungssitzung beendet. Das bedeutet, dass andere Geräte das Endgerät bei Bedarf nicht erreichen können.

Wenn die veraltete MAC-Adresse einer IP-Adresse in der DHCP-, DHCPv6- oder SLAAC-Snooping-Tabelle zugeordnet ist, wird diese MAC-IP-Adressbindung aus der Tabelle gelöscht. Dies kann zu verlorenem Datenverkehr führen, wenn der DHCP-Client versucht, seine Lease zu verlängern.

Sie können das Switching-Gerät so konfigurieren, dass es in der DHCP-, DHCPv6- oder SLAAC-Snooping-Tabelle nach einer IP-MAC-Adresse-Bindung sucht, bevor die Authentifizierungssitzung beendet wird, wenn die MAC-Adresse veraltet ist. Wenn die MAC-Adresse für das Endgerät an eine IP-Adresse gebunden ist, bleibt sie in der Ethernet-Switching-Tabelle erhalten, und die Authentifizierungssitzung bleibt aktiv.

Diese Funktion kann global für alle authentifizierten Sitzungen über die CLI oder für jede Sitzung mit RADIUS-Attributen konfiguriert werden.

Vorteile

Diese Funktion bietet die folgenden Vorteile:

  • Stellt sicher, dass ein Endgerät auch dann von anderen Geräten im Netzwerk erreicht werden kann, wenn die MAC-Adresse veraltet ist.

  • Verhindert, dass Datenverkehr verloren geht, wenn das Endgerät versucht, seine DHCP-Lease zu erneuern.

CLI-Konfiguration

Bevor Sie dieses Feature konfigurieren können:

  • DHCP-Snooping, DHCPv6-Snooping oder SLAAC-Snooping müssen auf dem Gerät aktiviert sein.

  • Die no-mac-table-binding CLI-Anweisung muss konfiguriert sein. Dadurch wird die Authentifizierungssitzungstabelle von der Ethernet-Switching-Tabelle getrennt, sodass die Authentifizierungssitzung bis zur nächsten erneuten Authentifizierung verlängert wird, wenn eine MAC-Adresse veraltet ist.

So konfigurieren Sie diese Funktion global für alle authentifizierten Sitzungen:

Konfigurieren Sie das Switching-Gerät so, dass es in der DHCP-, DHCPv6- oder SLAAC-Snooping-Tabelle nach einer IP-MAC-Adresse-Bindung sucht, bevor die Authentifizierungssitzung beendet wird, wenn die MAC-Adresse mithilfe der Schaltfläche ip-mac-session-binding CLI-Anweisung:
Hinweis:

Sie können die ip-mac-session-binding Konfiguration nur bestätigen, wenn sie no-mac-table-binding ebenfalls konfiguriert ist.

RADIUS Server-Attribute

Sie können diese Funktion für eine bestimmte Authentifizierungssitzung mithilfe von RADIUS-Serverattributen konfigurieren. RADIUS-Serverattribute sind Klartextfelder, die in Access-Accept-Nachrichten gekapselt sind, die vom Authentifizierungsserver an das Switching-Gerät gesendet werden, wenn ein mit dem Switch verbundener Supplicant erfolgreich authentifiziert wurde.

Um die Authentifizierungssitzung basierend auf IP-MAC-Adressen-Bindungen beizubehalten, konfigurieren Sie die beiden folgenden Attribut-Wert-Paare auf dem RADIUS-Server:

  • Juniper-AV-Pair = "ip-mac-session-binding"

  • Juniper-AV-Pair = "Keine Mac-Bindung-erneute Authentifizierung"

Das Attribut "Juniper-AV-Pair" ist ein anbieterspezifisches Attribut (VSA) von Juniper Networks. Stellen Sie sicher, dass das Juniper Wörterbuch auf dem RADIUS-Server geladen ist und das Juniper-AV-Pair VSA (ID# 52) enthält.

Wenn Sie das Attribut dem Wörterbuch hinzufügen müssen, suchen Sie die Wörterbuchdatei (juniper.dct) auf dem RADIUS-Server, und fügen Sie der Datei den folgenden Text hinzu:

Hinweis:

Spezifische Informationen zum Konfigurieren des RADIUS-Servers finden Sie in der AAA-Dokumentation, die im Lieferumfang des Servers enthalten ist.

Verifizierung

Überprüfen Sie die Konfiguration, indem Sie den Befehl show dot1x interface interface-name detail Betriebsmodus ausgeben, und vergewissern Sie sich, dass die Ip Mac Session Binding Felder und No Mac Session Binding output angeben, dass das Feature aktiviert ist.

Mit MAC RADIUS authentifizierte Clients sollten authentifiziert bleiben, und MAC-Adresseinträge in der Ethernet-Switching-Tabelle sollten auch nach Ablauf des MAC-Timers beibehalten werden.

Zugehörige Dokumentation