Различия
Показаны различия между двумя версиями страницы.
| Предыдущая версия справа и слеваПредыдущая версия | |||
| dpi:bras_bng:use_cases:dpi_bestpractice_brasl2radiusproxy [2023/08/30 07:54] – elena.krasnobryzh | dpi:bras_bng:use_cases:dpi_bestpractice_brasl2radiusproxy [2024/09/26 15:29] (текущий) – внешнее изменение 127.0.0.1 | ||
|---|---|---|---|
| Строка 1: | Строка 1: | ||
| - | ====== dpi_bestpractice_brasl2radiusproxy ====== | + | ====== |
| + | {{indexmenu_n> | ||
| + | ===== Описание схемы ===== | ||
| + | {{ : | ||
| + | BRAS DHCP L2 означает, | ||
| + | |||
| + | Для организации работы СКАТ в режиме BRAS L2 DHCP Radius Proxy участвуют следующие элементы: | ||
| + | - Клиент с типом доступа Q-in-Q | ||
| + | - FastDPI - обработка трафика и применение политик | ||
| + | - FastPCRF - проксирование запросов между fastDPI и Radius | ||
| + | - Radius сервер - принимает запросы от fastPCRF и формирует ответы с заданными атрибутами | ||
| + | - Router - отвечает за передачу пакетов в интернет и обратный маршрут, | ||
| + | ===== Сценарий ===== | ||
| + | {{ : | ||
| + | По DHCP запросу - В этом случае, | ||
| + | Идентификатором оборудования абонента является - MAC-адрес, | ||
| + | ===== Настройка FastDPI ===== | ||
| + | |||
| + | ==== 1. Редактирование файла конфигурации DPI ==== | ||
| + | |||
| + | Сперва необходимо раскомментировать (добавить) следующие строчки в файл конфигурации /// | ||
| + | |||
| + | < | ||
| + | # | ||
| + | udr=1 | ||
| + | # | ||
| + | bras_enable=1 | ||
| + | enable_auth=1 | ||
| + | |||
| + | #" | ||
| + | bras_arp_ip=192.168.1.2 | ||
| + | #" | ||
| + | bras_arp_mac=a0: | ||
| + | |||
| + | #IP адрес бордера | ||
| + | bras_gateway_ip=192.168.1.1 | ||
| + | #MAC адрес интерфейса, | ||
| + | bras_gateway_mac=c4: | ||
| + | |||
| + | # | ||
| + | auth_servers=127.0.0.1%lo: | ||
| + | |||
| + | # | ||
| + | bras_dhcp_mode=2 | ||
| + | |||
| + | # | ||
| + | bras_vlan_terminate=1 | ||
| + | # | ||
| + | bras_terminate_l2=1 | ||
| + | # | ||
| + | bras_term_by_as=1 | ||
| + | # | ||
| + | bras_terminate_local=1 | ||
| + | |||
| + | # | ||
| + | enable_acct=1 | ||
| + | # | ||
| + | netflow=4 | ||
| + | # | ||
| + | netflow_timeout=60 | ||
| + | </ | ||
| + | |||
| + | <note important> | ||
| + | * bras_arp_ip | ||
| + | * bras_arp_mac | ||
| + | * bras_gateway_ip | ||
| + | * bras_gateway_mac | ||
| + | </ | ||
| + | |||
| + | ==== Указание AS для терминирования ==== | ||
| + | |||
| + | Следующим шагом следует пометить, | ||
| + | |||
| + | Список AS готовится в текстовом формате, | ||
| + | |||
| + | < | ||
| + | 192.168.2.0/ | ||
| + | </ | ||
| + | |||
| + | Потом он преобразуется во внутренний формат утилитой as2bin и размещается в файле /// | ||
| + | |||
| + | < | ||
| + | cat aslocal.txt | as2bin / | ||
| + | </ | ||
| + | |||
| + | Список локальных AS для терминирования подготавливается в текстовом файле в формате номер_AS< | ||
| + | |||
| + | < | ||
| + | 65550 local | ||
| + | 65550 term | ||
| + | </ | ||
| + | |||
| + | Конвертирование во внутренний формат и размещение в рабочем каталоге, | ||
| + | |||
| + | < | ||
| + | cat my_as_dscp.txt | as2dscp / | ||
| + | </ | ||
| + | ===== Настройка FastPCRF ===== | ||
| + | Необходимо настроить FastPCRF. Для этого редактируем файл /// | ||
| + | |||
| + | < | ||
| + | # | ||
| + | # | ||
| + | #eth0 - интерфейс, | ||
| + | #1812 - порт, на который FastPCRF отправляет запросы авторизации | ||
| + | # | ||
| + | radius_server=secret123@192.168.1.10%eth0: | ||
| + | </ | ||
| + | |||
| + | ===== Настройка Radius ===== | ||
| + | Настройка приводится в качестве **примера** на freeRADIUS 3 и может отличаться от конфигурации Вашего Radius сервера. | ||
| + | |||
| + | ==== Словарь VasExperts ==== | ||
| + | Сперва необходимо добавить VSA словарь | ||
| + | * копируем словарь / | ||
| + | * Добавляем в главный словарь $freeRadius/ | ||
| + | |||
| + | < | ||
| + | $INCLUDE dictionary.vasexperts | ||
| + | </ | ||
| + | |||
| + | ==== Создание Radius клиента ==== | ||
| + | Добавляем в raddb/ | ||
| + | |||
| + | < | ||
| + | client fastdpi1 { | ||
| + | ipaddr = 192.168.1.5 | ||
| + | secret = secret123 | ||
| + | require_message_authenticator = yes | ||
| + | # add_cui = yes | ||
| + | virtual_server = fastdpi-vs | ||
| + | } | ||
| + | </ | ||
| + | |||
| + | ==== Создание виртуального сервера ==== | ||
| + | Для создания конфигурации виртуального сервера копируем файл raddb/ | ||
| + | * задаем имя виртуального сервера - меняем в начале файла строку server default на server fastdpi-vs | ||
| + | * в секции listen для auth-запросов (type = auth) прописываем, | ||
| + | |||
| + | < | ||
| + | ipaddr = 192.168.1.10 | ||
| + | port = 1812 | ||
| + | interface = eth0 | ||
| + | </ | ||
| + | |||
| + | ==== Создание учетной записи для авторизации ==== | ||
| + | Добавляем в файл /// | ||
| + | |||
| + | < | ||
| + | 08: | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | </ | ||
| + | |||
| + | В файл /// | ||
| + | |||
| + | < | ||
| + | VasExperts.FastDPI.unknownUser Cleartext-Password := " | ||
| + | DEFAULT Cleartext-Password := " | ||
| + | </ | ||
| + | ===== Настройка Маршрутизатора ===== | ||
| + | На маршрутизаторе добавляем статический маршрут в подсеть, | ||
| + | |||
| + | < | ||
| + | /ip route add dst-address=192.168.2.0/ | ||
| + | </ | ||
| + | ===== Подключение тестового абонента ===== | ||
| + | При подключении неизвестного абонента FastPCRF шлет Access-Request со следующим содержанием: | ||
| + | |||
| + | < | ||
| + | User-Name = " | ||
| + | User-Password = " | ||
| + | Calling-Station-Id = " | ||
| + | NAS-Port-Type = 5 | ||
| + | NAS-Port = 100 | ||
| + | NAS-Identifier = " | ||
| + | Service-Type = 2 | ||
| + | VasExperts-Service-Type =1 | ||
| + | VasExperts-DHCP-Request = Discover | ||
| + | VasExperts-DHCP-RelayRemoteId = 0x3137322e31372e312e32 | ||
| + | VasExperts-DHCP-RelayCurcuitId = 0x000601360100000a | ||
| + | </ | ||
| + | |||
| + | <note tip>По умолчанию FastPCRF в поле User-Name помещает MAC адрес абонента. В кофигурационном файле FastPCRF возможно указать, | ||
| + | |||
| + | При успешной авторизации данного абонента FastPCRF помимо сетевых параметров также ожидает получить список необходимых услуг и тарифный для данного абонента в Access-Accept | ||
| + | |||
| + | < | ||
| + | Session-Timeout = 84600 | ||
| + | User-Name = " | ||
| + | Framed-IP-Address = 10.0.0.10 | ||
| + | Framed-IP-Netmask = 255.255.255.0 | ||
| + | VasExperts-DHCP-Gateway = 10.0.0.1 | ||
| + | VasExperts-DHCP-DNS = 8.8.8.8 | ||
| + | VasExperts-DHCP-DNS = 8.8.4.4 | ||
| + | VasExperts-Policing-Profile = " | ||
| + | VasExperts-Service-Profile = " | ||
| + | VasExperts-Service-Enable = " | ||
| + | </ | ||
| + | ===== Диагностика ===== | ||
| + | При внедрении L2 BRAS могут возникать различные ошибки, | ||
| + | |||
| + | ==== Нет запросов на авторизацию. ==== | ||
| + | Проверить, | ||
| + | |||
| + | ==== Не доходят запросы на авторизацию до Radius сервера. ==== | ||
| + | Проверить, | ||
| + | |||
| + | ==== Пингуется DPI, но до бордера пинг не доходит. ==== | ||
| + | - Необходимо прописать статичный маршрут в сторону абонентов на бордере. Так как СКАТ, пока не умеет анонсировать абонентские подсети, | ||
| + | - В случае использования NAT для абонентов необходим аналогичный маршрут для подсетей, | ||
| + | - Корректно ли заданы параметры **bras_gateway_ip** и **bras_gateway_mac** | ||
| + | |||
| + | ==== Не отправляется статистика для Accounting. ==== | ||
| + | - Проверить, | ||
| + | - Проверить, | ||
| + | - Проверить, | ||
| + | - Проверить, | ||
| + | |||
| + | ==== Не доходят CoA до BRAS. ==== | ||
| + | Проверить, | ||