MX960BRAS配置手册.docx
- 文档编号:443236
- 上传时间:2022-10-10
- 格式:DOCX
- 页数:18
- 大小:478.78KB
MX960BRAS配置手册.docx
《MX960BRAS配置手册.docx》由会员分享,可在线阅读,更多相关《MX960BRAS配置手册.docx(18页珍藏版)》请在冰豆网上搜索。
MX960BRAS配置手册
MX960BRAS配置手册
2015年04月
Longjiang.Li
V1.0
1IPOE简介
1.1IPoE用户认证的特点
用户认证通过WEB方式进行,使得学校的师生不必安装拨号客户端,认证功能通过IE浏览器即可方便地完成身份认证过程。
认证后台系统由WEBPortal和RADIUS组成,认证平台可调用统一的用户数据库,以实现统一身份认证。
用户的访问权限、上网速率以及其他跟上网相关的行为管理由RADIUS系统根据用户身份下发相应的策略给MX路由器来实现。
这使得网络具备较高的控制能力和可管理性,运维管理更加方便。
在这一架构下,有线、无线(校内师生、访客)用户均可通过同一套设备、同一套软件、同一用户身份验证服务器,经过一次认证,即可根据预先设置的策略访问相应的资源,而不必进行多次认证。
无线和有线用户均做了相同的测试。
1.2Web重定向过程
通过策略路由将目的端口为80的流量引入到防火墙,通过防火墙目的端口转换,实现web重定向。
1.3IPOE认证过程
IPOE认证可分为两个部分,HDCP认证和portal认证两个部分
HDCP认证:
用户首先通过DHCP认证获取IP地址,认证后给逻辑接口下发出入方向策略“prb”和“10M”,不允许用户之间互访。
portal认证:
用户获得IP地址后通过portal认证,此时radius下发COA,MX将用户策略变更为O-1M,I-4M,对用户进行限速。
1.4IPOE下线过程
用户在portal页面申请下线过程:
用户在web页面点击登出,radius下发DM,MX收到DM后,MX清除HDCPBINDING,解除用户关系。
通过radius主动离线用户
管理员在radius界面清除用户,radius下发DM后,MX清除DHCPBINGDING,解除用户关系。
用户异常离线过程
用户异常离线后,在DHCPLEASETIME超时后,MX给radius发送计费停止报文,radius清除用户信息
1.5IPOE基于用户业务的流量计费
MX支持ServiceBasedAccounting(SBA)功能,在每个用户的session基础上,生成多个servicesession,针对每个servicesession实现基于time/volume的statistics,如对campus,cernet,telecom等实现单独的流量统计和计费功能,radius属性如下:
2PPPOE简介
2.1PPPoE认证特点
PPPoE其案简要流程为:
用户PC通过客户端发起PPPoE请求到后台接入服务器BAS,然后交付深澜进行认证及计费。
由于MX直接提供了用户接入网络时的PPPoE认证功能,相应的控制力度也更强。
用户均通过PPPoE会话实现到网络的接入和访问,由于PPPoE通道的隔离而互不影响,因此能够天然抵御ARP欺骗、仿冒源地址攻击等问题,极大减轻网络管理员的工作量,并有效保障了整个校园网络的可靠性和稳定性。
对于每个用户的PPPoE会话,都可以根据用户的身份信息通过深澜的后台管理平台进行策略下发,进行相应的访问权限控制、上下行速率限制以及根据流量、时长等采取不同策略的计费功能。
对于PPPoE方式,在用户认证通过后,由MX向深澜服务器发送计费开始包,在用户下线后(用户主动挂断、异常死机、网络断等),由MX向深澜服务器发送计费结束包。
深澜业务支撑平台便可根据计费起始包、结束包按时长、按流量进行实时计费。
采用这种方式,计费数据相当准确。
另外,由于MX及深澜认证计费系统均为运营商级设备,设备的处理能力,对用户的控制能力完全能够满足校园网网络的需求,可以对每个用户进行带宽限制,权限管理、QoS等各种操作。
并且,在使用BRAS+PPPoE的接入方式下,在接入层是一张大的二层网络,用户间通过VLAN隔离,互相之间没有影响,避免了ARP病毒等问题;同时,对校园网的管理维护来说,管理员只需要管理大的BARS设备,接入层设备仅仅是二层接入,不需要在接入设备上作负责设置,极大的减轻了管理员的维护工作量。
PPPoE方式适合于需要进行精细控制与计费的校园网客户,如学生宿舍等。
2.2PPPOE认证过程
PPPOE认证过程,首先用户发起PPPOE连接,包括PPPOED和LCP协商,同时将用户名发给MX,MX发起accessrequest给radius,radius验证用户信息,回复accessaccept,携带用户接入策略,MX与用户交互IPCP,获得IP地址,同时将计费信息发给radius。
2.3PPPOE下线过程
参考IPOE下线过程,用户主动下线和管理员离线用户通过DM信息实现,用户异常下线在PPPOEkeepalive超时后,由MX发给radius记账停止信息下线。
2.4PPPOE基于用户业务的流量计费
同IPOE
3配置方法
3.1Filter简介
Filter非常关键,radius上所有使用的filter,BRAS中必须定义,如果BRAS没有radius所调用的filter用户将无法认证通过。
深澜和MX960BRAS预定用的限速filter为:
1)IPOE:
I-4M,O-4M(一定大写),I-8M,O-8M等。
(I,O为限速的两个方向)
pbr(小写),pbr为域认证取地址后的策略。
pbr为重定向filter。
2)PPPOE:
up4m,down4m(一定要小写),up8m,down8m等。
(up,down为限速的两个方向)
3.1.1Filter配置方法
firewall{
familyinet{
filterpbr{#重定向filter
interface-specific;
term5{
from{
service-filter-hit;#标记
}
thenaccept;
}
term20{#标记认证前开始的端口,UDP53为DNS服务,如果不开,客户端打域名无法重定向。
from{
protocoludp;
destination-port53;
}
thenaccept;
}
term30{#访问radiuswebport服务器直通过。
from{
destination-address{
172.16.108.13/32;
}
}
then{
routing-instancewebport;
}
}
term40{#所有TCP80端口服务全部使用策略路由webport,也就是数据全部扔到防火墙,让防火墙做目的地址转换(重定向)。
如果需要开重定向前可以访问的服务,可以在这条前添加策略。
(注:
所有正常数据流通过BRAS直接转发,重定向防火墙在radius和bras中间,认证后的正常数据流不通过重定向防火墙)
from{
protocoltcp;
destination-port80;
}
then{
routing-instancewebport;
}
}
term50{#拒绝其他数据流
then{
discard;
}
}
}
filterI-4M{#IPOE的限速filter。
interface-specific;
term30{
then{
policer4m;
accept;
}
}
}#PPPOEup4m,down4m写法相同。
3.2IPOEBRAS配置方法
3.2.1认证服务器配置
access{
profilesbr{
accounting-orderradius;#计费方式为radius
authentication-orderradius;#认证方式为radius
radius{
authentication-server172.16.108.13;#认证服务器IP地址
accounting-server172.16.108.13;#计费服务器IP地址
options{#radius参数
ethernet-port-type-virtual;
accounting-session-id-formatdecimal;
vlan-nas-port-stacked-format;
}
}
radius-server{#radiusserver配置
172.16.108.13{
port1812;
accounting-port1813;
secret"$9$uhkGBRSvWxwYoreYoJGq.0BI";##SECRET-DATA
source-address222.27.244.1;
}
}
accounting{#计费配置
orderradius;
immediate-update;
coa-immediate-update;
update-interval10;
statisticsvolume-time;
}
}
3.2.2dynamic-profiles配置
dynamic-profiles{
dhcp-demux{#定义IPOEvlandemux接口
routing-instances{
"$junos-routing-instance"{
interface"$junos-interface-name"{
any;
}
}
}
interfaces{
demux0{
unit"$junos-interface-unit"{#生产动态子接口
no-traps;
proxy-arpunrestricted;
demux-options{
underlying-interface"$junos-underlying-interface";#定义demux物理接口
}
familyinet{
demux-source{
$junos-subscriber-ip-address;#调用DHCP分配的地址
}
filter{
input"$junos-input-filter"precedence1;#调用radius下发的filter
output"$junos-output-filter"precedence1;#调用radius下发的filter
}
unnumbered-address"$junos-loopback-interface"preferred-source-address"$junos-preferred-source-address";#调用loopbackIP地址作为DHCP与网关转发
}
familyinet6{#IPV6相关配置与IPV4同理。
filter{
input"$junos-input-ipv6-filter"precedence1;
output"$junos-output-ipv6-filter"precedence1;
}
demux-source{
"$junos-subscriber-ipv6-multi-address";
}
unnumbered-address"$junos-loopback-interface"preferred-source
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- MX960BRAS 配置 手册