SUR CETTE PAGE
 

Serveurs RADIUS et paramètres d’accès abonné

La configuration des paramètres et des options des serveurs RADIUS constitue une partie importante de la configuration de la gestion de vos abonnés. Après avoir défini les serveurs d’authentification et de comptabilité, vous configurez des options pour tous les serveurs RADIUS. Vous configurez également des profils d’accès qui vous permettent de spécifier les paramètres de configuration de l’authentification, de l’autorisation et de la comptabilité de l’accès des abonnés pour les abonnés ou les groupes d’abonnés. Les paramètres de profil remplacent les paramètres globaux. Bien que certaines options soient disponibles à la fois au niveau global et au niveau du profil d’accès, de nombreuses options ne sont disponibles que dans les profils d’accès.

Après avoir créé un profil d’accès, vous devez spécifier où le profil est utilisé avec une access-profile instruction ; c’est ce qu’on appelle l’attachement du profil. Les profils d’accès peuvent être attribués à différents niveaux. Par exemple, vous pouvez joindre des profils d’accès à certains endroits

  • À l’échelle mondiale pour une instance de routage.

  • Dans les profils dynamiques.

  • Dans un mappage de domaine, qui mappe les options d’accès et les paramètres de session pour les sessions d’abonné.

  • Sur les interfaces pour les VLAN dynamiques et les VLAN empilés dynamiques.

  • Sur l’interface ou dans un groupe d’abonnés pour les abonnés avec des interfaces configurées de manière statique pour le provisionnement dynamique des services.

  • Sur les agents de relais DHCP et les serveurs locaux DHCP pour les clients ou abonnés DHCP.

Comme vous pouvez joindre des profils d’accès à plusieurs niveaux, le profil d’accès le plus spécifique a la priorité sur toute autre affectation de profil pour éviter les conflits. L’authentification et la comptabilité ne s’exécutent que si vous joignez le profil.

Authentification RADIUS et définition du serveur de comptabilité

Lorsque vous utilisez RADIUS pour la gestion des abonnés, vous devez définir un ou plusieurs serveurs RADIUS externes avec lesquels le routeur communique pour l’authentification et la comptabilité des abonnés. Outre la spécification de l’adresse IPv4 ou IPv6 du serveur, vous pouvez configurer des options et des attributs qui déterminent la façon dont le routeur interagit avec les serveurs spécifiés.

Vous pouvez définir des serveurs RADIUS et des options de connectivité au niveau de la [edit access radius-server] hiérarchie, au niveau de la [edit access profile name radius-server] hiérarchie ou aux deux niveaux.

Remarque :

Le processus AAA (authd) détermine les définitions de serveur à utiliser comme suit :

  • Lorsque les définitions de serveur RADIUS sont présentes uniquement dans [edit access radius-server], authd utilise ces définitions.

  • Lorsque les définitions de serveur RADIUS sont présentes uniquement dans le profil d’accès, authd utilise ces définitions.

  • Lorsque des définitions de serveur RADIUS sont présentes dans [edit access radius-server] le profil d’accès et dans celui-ci, authd utilise uniquement les définitions de profil d’accès.

Pour utiliser un serveur RADIUS, vous devez le désigner comme serveur d’authentification, serveur de comptabilité, ou les deux, dans un profil d’accès. Vous devez le faire pour les serveurs, qu’ils soient définis dans un profil d’accès ou au niveau de la [edit access radius-server] hiérarchie.

Pour définir des serveurs RADIUS et spécifier comment le routeur interagit avec le serveur :

Remarque :

Cette procédure affiche uniquement le niveau hiérarchique [edit access radius-server] . Vous pouvez éventuellement configurer l’un de ces paramètres au niveau de la [edit access profile profile-name] radius-server] hiérarchie. Vous pouvez le faire en plus du paramètre global ou à la place du paramètre global. Lorsque vous appliquez un profil, les paramètres du profil remplacent la configuration globale.
  1. Spécifiez l’adresse IPv4 ou IPv6 du serveur RADIUS.
  2. (Facultatif) Configurez le numéro de port de comptabilité du serveur RADIUS.
  3. (Facultatif) Configurez le numéro de port utilisé par le routeur pour contacter le serveur RADIUS.
  4. Configurez le secret (mot de passe) requis que le routeur local transmet au client RADIUS. Les secrets entre guillemets peuvent contenir des espaces.
  5. (Facultatif) Configurez le nombre maximal de demandes en attente qu’un serveur RADIUS peut gérer. Une demande en attente est une demande à laquelle le serveur RADIUS n’a pas encore répondu.
  6. Configurez l’adresse source du serveur RADIUS. Chaque requête RADIUS envoyée à un serveur RADIUS utilise l’adresse source spécifiée. L’adresse source est une adresse IPv4 ou IPv6 valide configurée sur l’une des interfaces du routeur.
  7. (Facultatif) Configurez les valeurs de nouvelle tentative et de délai d’expiration pour les messages d’authentification et de comptabilisation.
    1. Configurez le nombre de fois que le routeur tente de contacter un serveur RADIUS sans recevoir de réponse.
    2. Configurez le temps que le routeur attend pour recevoir une réponse d’un serveur RADIUS avant de réessayer le contact.
    Remarque :

    La durée maximale des nouvelles tentatives (le nombre de nouvelles tentatives multiplié par la durée du délai d’expiration) ne peut pas dépasser 2700 secondes. Un message d’erreur s’affiche si vous configurez une durée plus longue.
    Remarque :

    Les retry paramètres et timeout s’appliquent à la fois aux messages d’authentification et de comptabilité, sauf si vous configurez à la fois l’instruction et l’instruction accounting-retry accounting-timeout. Dans ce cas, les paramètres et timeout s’appliquent retry uniquement aux messages d’authentification.
  8. (Facultatif) Configurez les valeurs de nouvelle tentative et de délai d’expiration pour les messages de comptabilité séparément des paramètres des messages d’authentification.
    Remarque :

    Vous devez configurer à la fois les instructions et les accounting-retry accounting-timeout instructions. Si vous ne le faites pas, la valeur que vous configurez est ignorée en faveur des valeurs configurées avec les retry instructions and timeout .
    1. Configurez le nombre de fois que le routeur tente d’envoyer des messages de comptabilité au serveur de comptabilité RADIUS lorsqu’il n’a reçu aucune réponse.
    2. Configurez le temps que le routeur attend pour recevoir une réponse d’un serveur de comptabilité RADIUS avant de réessayer la demande.
  9. Indiquez si vous souhaitez que le serveur RADIUS inclue l’attribut Authentificateur de message dans les réponses aux messages de demande d’accès.

    • L’attribut Authentificateur de message offre une protection supplémentaire contre les attaques de l’homme du milieu. Nous vous recommandons d’activer cette fonctionnalité. Pour activer cette fonctionnalité :

    • Pour une rétrocompatibilité avec les serveurs RADIUS qui ne prennent pas en charge cet attribut, désactivez cette fonctionnalité comme suit :

    Remarque :

    Ces paramètres s’excluent mutuellement. Nous vous recommandons de définir explicitement l’un ou l’autre. Ne vous fiez pas aux valeurs par défaut.
  10. (Facultatif) Configurez le routeur pour qu’il contacte le serveur RADIUS pour les demandes de préauthentification LLID (Logical Line Identification). Voir Identification de la ligne logique RADIUS.
  11. (Facultatif) Configurez le port que le routeur surveille pour les demandes dynamiques (CoA) du serveur spécifié. Voir Gestion dynamique des services avec RADIUS.

Configuration des options qui s’appliquent à tous les serveurs RADIUS

Vous pouvez configurer les options RADIUS qui s’appliquent à tous les serveurs RADIUS du monde entier.

Pour configurer les options RADIUS globalement :

  1. Indiquez que vous souhaitez configurer les options RADIUS.
  2. (Facultatif) Configurez la vitesse à laquelle les demandes de mise à jour intermédiaire RADIUS sont envoyées au serveur.
  3. (Facultatif) Configurez l’écart maximal autorisé par rapport à l’intervalle de mise à jour configuré que le routeur envoie des mises à jour comptables intermédiaires au serveur RADIUS. La tolérance est relative à l’intervalle de mise à jour configuré.

    Par exemple, si la tolérance est définie sur 60 secondes, le routeur envoie des mises à jour comptables intermédiaires au plus tôt 30 secondes avant l’intervalle de mise à jour configuré. Lorsqu’un abonné se connecte, la première mise à jour comptable intermédiaire peut être envoyée jusqu’à 30 secondes plus tôt (en moyenne 15 secondes plus tôt).

    Vous configurez l’intervalle de mise à jour avec l’instruction update-interval au niveau de la [edit access profile profile-name accounting] hiérarchie.

  4. (Facultatif) Configurez le nombre de requêtes par seconde que le routeur peut envoyer collectivement à tous les serveurs RADIUS configurés. En limitant le flux de requêtes du routeur vers les serveurs RADIUS, vous pouvez éviter que les serveurs RADIUS ne soient inondés de requêtes.
  5. (Facultatif) Configurez le nombre de secondes que le routeur attend après qu’un serveur soit devenu inaccessible avant de revérifier la connexion. Si le routeur atteint le serveur à l’expiration de l’intervalle de rétablissement, le serveur est alors utilisé selon l’ordre de la liste des serveurs.
    Remarque :

    Vous pouvez également configurer le revert-interval dans un profil d’accès pour remplacer cette valeur globale. Reportez-vous à la section Configuration des options de profil d’accès pour les interactions avec les serveurs RADIUS.
  6. (Facultatif) Configurez la durée d’une période pendant laquelle les serveurs d’authentification RADIUS qui ne répondent pas sont encore considérés comme inaccessibles ou inopérants. Vous pouvez varier la période selon que vous souhaitez rediriger les demandes d’authentification plus rapidement vers un autre serveur ou donner au serveur qui ne répond pas plus de temps pour récupérer et répondre.

    Pour plus d’informations, reportez-vous à Configuration d’une période de grâce de délai d’expiration pour spécifier quand les serveurs RADIUS sont considérés comme inutilisables ou inaccessibles .

  7. (Facultatif) Configurez une valeur de port NAS unique sur tous les routeurs MX Series du réseau. Vous pouvez configurer une valeur de port NAS unique au sein du routeur uniquement ou unique sur les différents routeurs MX du réseau.

    Voir .. /tâche/.. /topic-map/radius-nas-port-id-attributes-options.html#id-enabling-unique-nas-port-attributes-radius-attribute-5-for-subscribers pour plus d’informations.

Configuration d’un délai d’expiration pour spécifier quand les serveurs RADIUS sont considérés comme indisponibles ou inaccessibles

Lorsqu’un serveur d’authentification RADIUS ne parvient à répondre à aucune des tentatives d’une demande d’authentification donnée et expire, authd note l’heure de référence, mais il ne marque pas immédiatement le serveur comme étant en panne (si d’autres serveurs sont disponibles) ou inaccessible (s’il s’agit du seul serveur configuré). Au lieu de cela, un minuteur de période de grâce configurable démarre à l’heure de référence. La période de grâce est effacée si le serveur répond à une demande ultérieure avant l’expiration de cette période.

Pendant la période de grâce, le serveur n’est pas marqué comme inactif ou inaccessible. Chaque fois que le serveur expire pour les requêtes suivantes à ce serveur, authd vérifie si la période de grâce a expiré. Lorsque la vérification détermine que la période de grâce a expiré et que le serveur n’a toujours pas répondu à une demande, le serveur est marqué comme inaccessible ou en panne.

L’utilisation d’une courte période de grâce vous permet d’abandonner plus rapidement un serveur qui ne répond pas et de diriger les demandes d’authentification vers d’autres serveurs disponibles. Une longue période de grâce donne à un serveur plus d’opportunités de répondre et peut éviter d’abandonner inutilement une ressource. Vous pouvez spécifier une période de grâce plus longue lorsque vous n’avez qu’un seul serveur configuré ou un petit nombre.

Pour configurer la période de grâce pendant laquelle un serveur RADIUS qui ne répond pas n’est pas marqué comme inaccessible ou inactif :

  • Spécifiez la durée de la période de grâce.

Configuration des options de profil d’accès pour les interactions avec les serveurs RADIUS

Vous pouvez utiliser un profil d’accès pour spécifier les options que le routeur utilise lorsqu’il communique avec les serveurs d’authentification et de comptabilité RADIUS pour l’accès des abonnés. Cette procédure décrit les options disponibles uniquement dans les profils d’accès. Pour connaître les options disponibles à la fois au niveau du profil d’accès et au niveau global, reportez-vous à la section Serveurs et paramètres RADIUS pour l’accès abonné.

Pour configurer les options du serveur d’authentification et de comptabilité RADIUS :

  1. Indiquez que vous souhaitez configurer les options RADIUS.
  2. (Facultatif) Configurez le format utilisé par le routeur pour identifier la session de comptabilité. L’identificateur peut être dans l’un des formats suivants :

    • decimal: format par défaut. Par exemple, 435264

    • description—Au format, jnpr interface-specifier:subscriber-session-id. Par exemple, jnpr fastEthernet 3/2.6:1010101010101

  3. (Facultatif) Configurez le caractère de délimitation que le routeur insère entre les valeurs de l’attribut RADIUS 31 (Calling-Station-Id).
  4. (Facultatif) Configurez les informations que le routeur inclut dans l’attribut RADIUS 31 (Calling-Station-Id).

    Voir Configuration d’un identifiant de station appelante avec des options supplémentaires pour plus d’informations.

  5. (Facultatif) Configurez le routeur pour utiliser le comportement facultatif qui insère le défi aléatoire généré par le NAS dans le champ Authentificateur de demande des paquets de demande d’accès, plutôt que d’envoyer le défi aléatoire en tant qu’attribut CHAP-Challenge (attribut RADIUS 60) dans les paquets de demande d’accès. Ce comportement facultatif nécessite que la valeur du défi soit de 16 octets ; sinon, l’instruction est ignorée et le challenge est envoyé en tant qu’attribut CHAP-Challenge.
  6. (Facultatif) Configurez la méthode utilisée par le routeur pour accéder aux serveurs d’authentification et de comptabilité RADIUS lorsque plusieurs serveurs sont configurés :

    • direct: méthode par défaut, dans laquelle il n’y a pas d’équilibrage de charge. Le premier serveur configuré est le serveur principal ; Les serveurs sont accessibles par ordre de configuration. Si le serveur principal est inaccessible, le routeur tente d’atteindre le deuxième serveur configuré, et ainsi de suite.

    • round-robin: méthode qui assure l’équilibrage de charge en faisant pivoter les demandes de routeur parmi la liste des serveurs RADIUS configurés. Le serveur choisi pour l’accès fait l’objet d’une rotation en fonction du serveur utilisé en dernier. Le premier serveur de la liste est traité comme serveur principal pour la première demande d’authentification, mais pour la deuxième demande, le deuxième serveur configuré est traité comme principal, et ainsi de suite. Avec cette méthode, tous les serveurs configurés reçoivent à peu près le même nombre de requêtes en moyenne, de sorte qu’aucun serveur n’a à traiter toutes les requêtes.

      Remarque :

      Lorsqu’un serveur RADIUS de la liste Round-Robin devient inaccessible, le serveur accessible suivant dans la liste Round-Robin est utilisé pour la requête en cours. Ce même serveur est également utilisé pour la requête suivante car il est en tête de liste des serveurs disponibles. Par conséquent, après une panne de serveur, le serveur utilisé prend la charge de deux serveurs.

    • Pour configurer la méthode utilisée par le routeur pour accéder aux serveurs de comptabilité RADIUS :

    • Pour configurer la méthode utilisée par le routeur pour accéder aux serveurs d’authentification RADIUS :

  7. (Facultatif) Configurez le routeur pour utiliser le comportement facultatif lorsqu’une opération CoA ne peut pas appliquer une modification demandée à une variable dynamique de profil client.

    Le comportement facultatif est que la gestion des abonnés n’applique aucune modification aux variables dynamiques du profil client dans la demande CoA, puis répond avec un NACK. Le comportement par défaut est que la gestion des abonnés n’applique pas la mise à jour incorrecte, mais applique les autres modifications aux variables dynamiques du profil client, puis répond avec un message ACK.

  8. (Facultatif) Configurez le routeur pour utiliser un type de port physique ou pour virtual authentifier les clients. Le type de port est transmis dans l’attribut RADIUS 61 (type de port NAS). Par défaut, le routeur transmet un type de port dans l’attribut ethernet RADIUS 61.
    Remarque :

    Cette instruction est prioritaire sur l’instruction nas-port-type si vous incluez les deux dans le même profil d’accès.
  9. (Facultatif) Spécifiez les informations qui sont exclues de la description de l’interface que le routeur transmet à RADIUS pour inclusion dans l’attribut RADIUS 87 (NAS-Port-ID). Par défaut, la description de l’interface inclut des informations sur l’adaptateur, le canal et la sous-interface.
  10. (Facultatif) Pour les abonnés PPP à double pile, incluez le VSA IPv4-Release-Control (26-164) dans la demande d’accès envoyée lors de l’attribution d’adresses IP à la demande et dans les messages de comptabilité provisoire envoyés pour signaler un changement d’adresse.

    Vous pouvez également configurer un message inclus dans le VSA IPv4-Release-Control (26-164) lorsqu’il est envoyé au serveur RADIUS

    La configuration de cette instruction n’a aucun effet si l’attribution ou la désallocation d’adresses IP à la demande n’est pas configurée.

  11. (Facultatif) Ajoutez des VSA de ligne d’accès Juniper Networks aux messages de demande d’authentification et de comptabilité RADIUS destinés aux abonnés. Si le routeur n’a pas reçu et traité les attributs ANCP correspondants du nœud d’accès, AAA fournit uniquement les éléments suivants dans ces messages RADIUS :

    • Downstream-Calculated-QoS-Rate (IANA 4874, 26-141) : vitesse de transmission recommandée configurée par défaut.

    • Upstream-Calculated-QoS-Rate (IANA 4874, 26-142) : vitesse de réception des avis configurée par défaut.

    À partir de la version 19.2R1 de Junos OS, l’option juniper-access-line-attributes remplace l’option juniper-dsl-attributes . Pour des raisons de rétrocompatibilité avec les scripts existants, l’option juniper-dsl-attributes redirige vers la nouvelle juniper-access-line-attributes option. Nous vous recommandons d’utiliser juniper-access-line-attributes.

    Remarque :

    L’option juniper-access-line-attributes n’est pas rétrocompatible avec Junos OS version 19.1 ou une version antérieure. Cela signifie que si vous avez configuré juniper-access-line-attributes l’option dans Junos OS version 19.2 ou ultérieure, vous devez effectuer les étapes suivantes pour rétrograder vers Junos OS version 19.1 ou versions antérieures :

    1. Supprimez l’option juniper-access-line-attributes de tous les profils d’accès qui l’incluent.

    2. Effectuez la rétrogradation du logiciel.

    3. Ajoutez l’option juniper-dsl-attributes aux profils d’accès concernés.
  12. (Facultatif) Configurez la valeur de l’attribut client RADIUS 32 (NAS-Identifier), qui est utilisé pour les demandes d’authentification et de comptabilité.
  13. (Facultatif) Configurez le client RADIUS pour utiliser le format étendu pour l’attribut RADIUS 5 (NAS-Port) et spécifiez la largeur des champs dans l’attribut NAS-Port, qui spécifie le numéro de port physique du NAS qui authentifie l’utilisateur.

    • Pour les abonnés Ethernet :

    • Pour les abonnés aux guichets automatiques :

  14. (Facultatif) Configurez le caractère de délimitation que le routeur insère entre les valeurs de l’attribut RADIUS 87 (NAS-Port-Id).
  15. (Facultatif) Configurez les informations facultatives que le routeur inclut dans l’attribut RADIUS 87 (NAS-Port-Id). Vous pouvez spécifier une ou plusieurs options à afficher dans l’ordre par défaut. Vous pouvez également spécifier à la fois les options et l’ordre dans lequel elles apparaissent. Les commandes s’excluent mutuellement et la configuration échoue si vous configurez un ID de port NAS qui inclut des valeurs dans les deux types de commande.

    Voir .. /tâche/.. /topic-map/radius-nas-port-id-attributes-options.html#id-configuring-a-nas-port-id-with-additional-options et .. /tâche/.. /topic-map/radius-nas-port-id-attributes-options.html#id-configuring-the-order-in-which-optional-values-appear-in-the-nas-port-id pour obtenir des informations détaillées.

  16. (Facultatif) Configurez le type de port inclus dans l’attribut RADIUS 61 (type de port NAS). Spécifie le type de port utilisé par le routeur pour authentifier les abonnés.
    Remarque :

    Cette instruction est ignorée si vous configurez le dans le même profil d’accès ethernet-port-type-virtual .
  17. (Facultatif) Configurez le LAC pour remplacer le format Calling-Station-ID configuré pour la valeur envoyée dans le numéro d’appel L2TP AVP 22. Vous pouvez remplacer le format Calling-Station-ID et configurer le LAC pour utiliser l’ACI, l’ARI ou l’ACI et l’ARI reçus du client L2TP dans le paquet PADR. Vous pouvez également spécifier un délimiteur à utiliser entre les composants de la chaîne AVP et une valeur de secours à utiliser lorsque les composants de remplacement configurés ne sont pas reçus dans le paquet PADR.
    Remarque :

    Pour plus d’informations, consultez Remplacer le format d’ID de la station appelante pour le numéro appelant AVP .
  18. (Facultatif) Remplacez la valeur de l’attribut RADIUS NAS-IP-Address (4) au niveau du LNS par la valeur de l’adresse IP du point de terminaison LAC de la session si elle est présente dans la base de données de la session. Si elle n’est pas présente, la valeur d’attribut d’origine est utilisée.
  19. (Facultatif) Remplacez la valeur de l’attribut NAS-Port RADIUS (5) au niveau du LNS par la valeur de la base de données de session si les informations du port NAS LAC ont été transmises au LNS dans l’AVP des informations de port NAS Cisco Systems (100). Si elle n’est pas présente, la valeur d’attribut d’origine est utilisée.
  20. (Facultatif) Remplacez la valeur de l’attribut RADIUS NAS-Port-Type (61) au niveau du LNS par la valeur de la base de données de session si les informations de port LAC NAS ont été transmises au LNS dans l’AVP des informations de port NAS Cisco Systems (100). Si elle n’est pas présente, la valeur d’attribut d’origine est utilisée.
  21. (Facultatif) Configurez un caractère de délimitation pour la chaîne d’ID de circuit distant lorsque vous utilisez l’instruction remote-circuit-id-format pour configurer la chaîne à utiliser à la place de l’ID de la station d’appel dans le numéro d’appel L2TP AVP 22. Si plusieurs valeurs sont configurées pour le format d’ID de circuit distant, le caractère de délimitation est utilisé comme séparateur entre les valeurs concaténées dans la chaîne d’ID de circuit distant résultante.
    Remarque :

    Vous devez configurer l’instruction override calling-circuit-id remote-circuit-id pour le format d’ID de circuit distant à utiliser dans le numéro AVP appelant.
  22. (Facultatif) Configurez la valeur de secours pour que le LAC envoie le numéro d’appel L2TP AVP 22, soit l’ID de la station appelante configuré, soit l’interface sous-jacente par défaut. L’utilisation de la valeur de secours est déclenchée lorsque les composants de la chaîne de remplacement que vous avez configurée avec l’instruction remote-circuit-id-format (ACI, ARI ou ACI et ARI) ne sont pas reçus par le LAC dans le paquet PPPoE Active Discovery Request (PADR).
  23. (Facultatif) Configurez le format de la chaîne qui remplace le format Calling-Station-ID dans l’AVP du numéro d’appelant L2TP. Vous pouvez spécifier l’ACI, l’ARI ou l’ACI et l’ARI.
    Remarque :

    Vous devez configurer l’instruction override calling-circuit-id remote-circuit-id pour le format d’ID de circuit distant à utiliser dans le numéro AVP appelant.
  24. (Facultatif) Configurez le nombre de secondes que le routeur attend après qu’un serveur est devenu inaccessible avant d’effectuer une nouvelle tentative pour atteindre le serveur. Si le serveur est alors accessible, il est utilisé conformément à l’ordre de la liste des serveurs.
    Remarque :

    Vous pouvez également configurer cette option pour tous les serveurs RADIUS. Voir Configuration des options pour les serveurs RADIUS.
  25. (Facultatif) Configurez si l’abonné nouvellement authentifié peut se connecter avec succès lorsque des échecs d’activation de service liés à des erreurs de configuration se produisent pendant le traitement AUHD de la demande d’activation de la famille d’adresses de l’abonné. Vous pouvez spécifier ce comportement pour les services configurés dans des profils dynamiques ou dans des scripts d’opération ESSM (Extensible Subscriber Services Manager) :

    • optional-at-login: l’activation du service est facultative. L’échec d’activation dû à des erreurs de configuration n’empêche pas l’activation de la famille d’adresses ; Il permet l’accès des abonnés. Les échecs d’activation du service dus à des causes autres que des erreurs de configuration entraînent l’échec de l’activation de la famille réseau. La tentative de connexion est terminée sauf si une autre famille d’adresses est déjà active pour l’abonné.

    • required-at-login: l’activation du service est requise. L’échec de l’activation, quelle qu’en soit la raison, entraîne l’échec de l’activation de la famille réseau. La tentative de connexion est terminée sauf si une autre famille d’adresses est déjà active pour l’abonné.

  26. (Facultatif) Spécifiez que l’attribut RADIUS 5 (port NAS) inclut l’ID S-VLAN, en plus de l’ID VLAN, pour les abonnés sur les interfaces Ethernet.

Configuration d’un identifiant de station d’appel avec des options supplémentaires

Utilisez cette section pour configurer une valeur alternative pour l’ID de station d’appel (attribut IETF RADIUS 31) dans un profil d’accès sur le routeur MX Series.

Vous pouvez configurer l’ID de la station d’appel pour inclure une ou plusieurs des options suivantes, dans n’importe quelle combinaison, dans la hiérarchie [edit access profile profile-name radius options calling-station-id-format] :

  • Identificateur de circuit d’agent (agent-circuit-id) : identificateur du nœud d’accès de l’abonné et de la ligne d’abonné numérique (DSL) sur le nœud d’accès. La chaîne ACI (agent circuit identifier) est stockée dans le champ de l’option DHCP 82 des messages DHCP pour le trafic DHCP, ou dans le forum DSL Agent-Circuit-ID VSA [26-1] des paquets de contrôle PPPoE Active Discovery Initiation (PADI) et PPPoE Active Discovery Request (PADR) pour le trafic PPPoE.

  • Identificateur distant de l’agent (agent-remote-id) : identificateur du abonné de l’interface DSLAM (Digital abonné line access multiplexer) à l’origine de la demande de service. La chaîne de l’identificateur à distance de l’agent (ARI) est stockée dans le champ de l’option DHCP 82 pour le trafic DHCP ou dans le DSL Forum Agent-Remote-ID VSA [26-2] pour le trafic PPPoE.

  • Description de l’interface (interface-description) : valeur de l’interface.

  • Description textuelle de l’interface (interface-text-description) : description textuelle de l’interface. La description textuelle de l’interface est configurée séparément, à l’aide de l’instruction set interfaces interface-name description description ou de l’instruction set interfaces interface-name unit unit-number description description

  • Adresse MAC (mac-address) : adresse MAC du périphérique source de l’abonné.

  • Identifiant NAS (nas-identifier) : nom du NAS à l’origine de la demande d’authentification ou de comptabilité. L’identifiant NAS est l’attribut RADIUS IETF 32.

  • VLAN (stacked-vlan)empilé : ID de VLAN empilé.

  • VLAN (vlan): ID DU VLAN.

Si vous configurez le format de Calling-Station-ID avec plusieurs valeurs facultatives, un caractère dièse (#) est le délimiteur par défaut que le routeur utilise comme séparateur entre les valeurs concaténées dans la chaîne Calling-Station-ID résultante. Vous pouvez également configurer un autre caractère de délimitation pour l’ID de la station d’appel. L’exemple suivant montre l’ordre de sortie lorsque vous configurez plusieurs valeurs facultatives :

Pour configurer un profil d’accès afin de fournir des informations facultatives dans l’ID de la station d’appel :

  1. Spécifiez le profil d’accès que vous souhaitez configurer.
  2. Indiquez que vous souhaitez configurer les options RADIUS.
  3. Spécifiez le caractère différent par défaut à utiliser comme délimiteur entre les valeurs concaténées dans l’ID de la station d’appel.

    Par défaut, la gestion des abonnés utilise le caractère dièse (#) comme délimiteur dans les chaînes Calling-Station-ID qui contiennent plusieurs valeurs facultatives.

  4. Configurez la valeur de l’identificateur NAS (attribut RADIUS 32), qui est utilisé pour les demandes d’authentification et de comptabilité.
  5. Spécifiez que vous souhaitez configurer le format de l’ID de la station d’appel.
  6. (Facultatif) Incluez la description textuelle de l’interface dans l’ID de la station appelante.
  7. (Facultatif) Incluez la valeur de description de l’interface dans l’ID de la station d’appel.
  8. (Facultatif) Incluez l’identifiant du circuit de l’agent dans l’ID de la station appelante.
  9. (Facultatif) Incluez l’identifiant distant de l’agent dans l’ID de la station appelante.
  10. (Facultatif) Incluez la valeur de l’identifiant NAS configuré dans l’ID de la station appelante.
  11. (Facultatif) Incluez l’ID de VLAN empilé dans l’ID de la station appelante.
  12. (Facultatif) Incluez l’ID du VLAN dans l’ID de la station appelante.
  13. (Facultatif) Incluez l’adresse MAC dans l’ID de la station appelante.

Exemple : Calling-Station-ID avec options supplémentaires dans un profil d’accès

L’exemple suivant crée un profil d’accès nommé retailer01 qui configure une chaîne Calling-Station-ID qui inclut les options d’identifiant NAS (fox), de description d’interface, d’identifiant de circuit d’agent et d’identifiant à distance d’agent.

La chaîne appelante-station-ID résultante est mise en forme comme suit :

fox*ge-1/2/0.100:100*as007*ar921

où :

  • La valeur de l’identifiant NAS est fox.

  • Le caractère délimiteur Appel-Station-ID est * (astérisque).

  • La valeur de description de l’interface est ge-1/2/0.100:100.

  • La valeur de l’identificateur de circuit d’agent est as007.

  • La valeur de l’identificateur distant de l’agent est ar921.

Prenons un exemple où toutes les options sont configurées, mais aucune valeur n’est disponible pour l’ID de circuit d’agent, l’ID de distant d’agent ou l’identifiant de VLAN empilé. Les autres valeurs sont les suivantes :

  • Identificateur NAS—solarium

  • Description de l’interface : GE-1/0/0.1073741824:101

  • Description textuelle de l’interface : exemple d’interface

  • Adresse MAC—00:00:5E :00:53:00

  • Identifiant de VLAN : 101

Ces valeurs donnent l’ID de station d’appel suivant :

Filtrage des attributs RADIUS et des VSA des messages RADIUS

Les attributs standard et les attributs spécifiques au fournisseur (VSA) reçus dans les messages RADIUS sont prioritaires sur les valeurs d’attribut provisionnées en interne. Les attributs de filtrage consistent à choisir d’ignorer certains attributs lorsqu’ils sont reçus dans les paquets Access Accept et d’exclure certains attributs de l’envoi au serveur RADIUS. Si vous ignorez les attributs reçus du serveur RADIUS, vous pouvez utiliser vos valeurs allouées localement à la place. Il est utile d’exclure des attributs de l’envoi, par exemple, pour les attributs qui ne changent pas pendant la durée de vie d’un abonné. Il vous permet de réduire la taille des paquets sans perte d’informations.

Vous pouvez spécifier des attributs RADIUS standard et des VSA que le routeur ou le commutateur ignore par la suite lorsqu’ils sont reçus dans des messages d’accès-acceptation RADIUS. Vous pouvez également spécifier des attributs et des VSA que le routeur ou le commutateur exclut des types de messages RADIUS spécifiés . L’exclusion signifie que le routeur ou le commutateur n’inclut pas l’attribut dans les messages spécifiés qu’il envoie au serveur RADIUS.

À partir de la version 18.1R1 de Junos OS, vous pouvez configurer le routeur ou le commutateur pour ignorer ou exclure les attributs standard RADIUS et les VSA en spécifiant le numéro d’attribut standard ou l’ID de fournisseur attribué par l’IANA et le numéro VSA, respectivement. Avec cette méthode de configuration flexible, vous pouvez configurer n’importe quel attribut standard et VSA pris en charge par votre plateforme pour qu’il soit ignoré ou exclu. La configuration n’a aucun effet si vous configurez des attributs, des fournisseurs et des VSA non pris en charge.

La méthode héritée vous permet de configurer uniquement les attributs et les VSA pour lesquels la syntaxe de l’instruction inclut une option spécifique. Par conséquent, vous pouvez utiliser la méthode héritée pour ignorer uniquement un sous-ensemble de tous les attributs qui peuvent être reçus dans les messages Accès-Acceptation.

Pour configurer les attributs ignorés ou exclus par votre routeur ou commutateur :

  1. Indiquez que vous souhaitez configurer RADIUS dans le profil d’accès.
  2. Spécifiez que vous souhaitez configurer le filtrage des attributs RADIUS.
  3. (Facultatif) Spécifiez un ou plusieurs attributs que vous souhaitez que votre routeur ou commutateur ignore lorsque les attributs se trouvent dans les messages Accès-Acceptation.

    • Méthode héritée : Spécifiez l’option dédiée pour l’attribut :

    • Méthode flexible : spécifiez le numéro d’attribut standard ou l’ID de fournisseur attribué par l’IANA et le numéro VSA :

  4. (Facultatif) Configurez un attribut que vous souhaitez que votre routeur ou commutateur exclue d’un ou de plusieurs types de messages RADIUS spécifiés. Vous ne pouvez pas configurer une liste d’attributs, mais vous pouvez spécifier une liste de types de messages pour chaque attribut.

    • Méthode héritée : Spécifiez une option dédiée pour l’attribut et le type de message :

    • Méthode flexible : spécifiez le numéro d’attribut standard ou l’ID du fournisseur attribué par l’IANA, le numéro VSA et le type de message :

L’exemple suivant compare les méthodes de configuration héritées et flexibles pour ignorer l’attribut RADIUS standard, Framed-IP-Netmask (9), et les VSA de Juniper Networks, Ingress-Policy-Name (26-10) et Egress-Policy-Name (26-11).

  • Méthode héritée :

  • Méthode flexible :

L’exemple suivant compare les méthodes de configuration héritées et flexibles pour exclure l’attribut RADIUS standard, Framed-IP-Netmask (9), et les VSA de Juniper Networks, Ingress-Policy-Name (26-10) et Egress-Policy-Name (26-11).

  • Méthode héritée :

  • Méthode flexible : spécifiez le numéro d’attribut standard ou l’ID du fournisseur attribué par l’IANA, le numéro VSA et le type de message :

Que se passe-t-il si vous spécifiez un attribut avec les deux méthodes dans le même profil ? La configuration efficace est le OU logique des deux méthodes. Considérons l’exemple suivant pour l’attribut standard, accounting-delay-time (41) :

Le résultat est que l’attribut est exclu des quatre types de message : Accounting-Off, Accounting-On, Accounting-Start et Accounting-Stop. L’effet est le même que si l’une des configurations suivantes est utilisée :

Tableau de l’historique des modifications

La prise en charge des fonctionnalités est déterminée par la plateforme et la version que vous utilisez. Utilisez l’explorateur de fonctionnalités pour déterminer si une fonctionnalité est prise en charge sur votre plateforme.

Libération
Descriptif
18.1R1
À partir de la version 18.1R1 de Junos OS, vous pouvez configurer le routeur ou le commutateur pour ignorer ou exclure les attributs standard RADIUS et les VSA en spécifiant le numéro d’attribut standard ou l’ID de fournisseur attribué par l’IANA et le numéro VSA, respectivement.