Recebendo opções de DHCP de um servidor RADIUS

Opções de origem RADIUS

O gerenciamento de assinantes (nos roteadores) ou gerenciamento de DHCP (nos switches) permite que você configure centralmente as opções de DHCP em um servidor RADIUS e depois distribua as opções por assinante ou por DHCP-cliente. Esse método resulta em opções de DHCP de origem RADIUS — as opções de DHCP se originam no servidor RADIUS e são enviadas ao assinante (ou cliente DHCP). Isso difere do método tradicional de origem do cliente (também chamado de DHCP-sourced) de configurar opções de DHCP, nas quais as opções se originam no cliente e são enviadas para o servidor RADIUS. As opções de DHCP de gerenciamento de assinantes (gerenciamento DHCP) de origem RADIUS também são consideradas opacas, pois o servidor local DHCP realiza processamento mínimo e verificação de erro para a seqüência de opções de DHCP antes de passar as opções para o assinante (cliente DHCP).

O gerenciamento de assinantes (ou gerenciamento de DHCP) usa o VSA 26-55 (DHCP-Options) da Juniper Networks para distribuir as opções DHCP de origem RADIUS. O servidor RADIUS inclui VSA 26-55 na mensagem de aceitação de acesso que o servidor retorna durante a autenticação do assinante ou autenticação do cliente DHCP. O servidor RADIUS envia a mensagem de aceitação de acesso para o cliente RADIUS e, em seguida, para o servidor local DHCP para o retorno ao assinante DHCP. O servidor RADIUS pode incluir várias instâncias do VSA 26-55 em uma única mensagem de aceitação de acesso. O cliente RADIUS concatena as múltiplas instâncias e usa o resultado como uma única instância.

Não há configuração CLI necessária para permitir que o gerenciamento de assinantes (gerenciamento DHCP) use as opções de DHCP configuradas centralmente — o procedimento é desencadeado pela presença do VSA 26-55 na mensagem RADIUS Access-Accept.

Ao construir o pacote de oferta para o cliente DHCP, o servidor local DHCP usa a seguinte sequência:

1. Processa quaisquer parâmetros configurados por RADIUS que são passados como atributos RADIUS separados; por exemplo, atributo RADIUS 27 (Tempo de sessão).

2. Processa quaisquer parâmetros de origem cliente; por exemplo, atributos RADIUS 53 (Tipo de mensagem DHCP) e 54 (Identificador de servidor).

3. Apêndice (sem realizar nenhum processamento) a corda opaca de opções DHCP contida no VSA 26-55 recebido do servidor RADIUS.

Configuração de opções de origem do cliente

Além de oferecer suporte à configuração central das opções de DHCP diretamente no servidor RADIUS (opções de origem RADIUS), o gerenciamento de assinantes (gerenciamento DHCP) também oferece suporte à configuração tradicional de opções de origem cliente, na qual o componente DHCP do roteador (switch) envia as opções para o servidor RADIUS. O método de opções de DHCP de origem cliente é compatível com servidor local DHCP e agente de transmissão DHCP; no entanto, o método de configuração central de origem RADIUS é suportado apenas no servidor local DHCP. Ambos os métodos de origem RADIUS e de origem do cliente oferecem suporte aos assinantes DHCPv4 e DHCPv6 (clientes).

Fluxo de dados para opções de DHCP de origem RADIUS

A Figura 1 mostra o procedimento que o gerenciamento de assinantes (gerenciamento DHCP) usa ao configurar opções de DHCP para assinantes (clientes DHCP).

Figura 1: Fluxo de dados das opções de DHCP

A sequência geral a seguir descreve o fluxo de dados quando o gerenciamento de assinantes (gerenciamento DHCP) usa opções DHCP de origem RADIUS e VSA 26-55 para configurar um assinante DHCP (cliente):

1. O assinante (cliente DHCP) envia uma mensagem de descoberta dhcp (ou mensagem de solicitação DHCPv6) para o servidor local DHCP. A mensagem inclui opções de DHCP de origem do cliente.

2. O servidor local DHCP inicia a autenticação com o cliente Junos OS RADIUS.

3. O cliente RADIUS envia uma mensagem de solicitação de acesso em nome do assinante (cliente DHCP) para o servidor RADIUS externo. A mensagem inclui as opções de DHCP do cliente (DHCP do cliente) do assinante.

4. O servidor RADIUS externo responde enviando uma mensagem de aceitação de acesso ao cliente RADIUS. A mensagem de aceitação de acesso inclui as opções DHCP opacas de origem RADIUS no VSA 26-55.

5. O cliente RADIUS envia a string de opções DHCP para o servidor local DHCP. Se houver várias instâncias VSA 26-55, o cliente RADIUS primeiro as montará em uma única seqüência de opções.

6. O servidor local DHCP processa todas as opções na mensagem de oferta DHCP (ou resposta DHCPv6), com exceção das opções VSA 26-55 DHCP de origem RADIUS. Depois de processar todas as outras opções, o servidor local DHCP então aplica as opções VSA 26-55 DHCP nãomodificadas para a mensagem e envia a mensagem para o assinante (cliente DHCP).

7. O assinante (cliente DHCP) está configurado com as opções DHCP.

8. As operações a seguir ocorrem após o assinante (cliente DHCP) receber as opções de DHCP:

   • Contabilidade — O cliente RADIUS envia solicitações de acct-start e contabilidade provisória para o servidor RADIUS, incluindo as opções DHCP de origem RADIUS no VSA 26-55. Por padrão, as opções de DHCP estão incluídas em solicitações de contabilidade.

   • Renovação — Quando o assinante (cliente DHCP) renova, o valor das opções de DHCP em cache é devolvido na mensagem DHCP renew (ou DHCPv6 ACK). As opções de DHCP originalmente atribuídas não podem ser modificadas durante um ciclo de renovação.

   • Logout — Quando o assinante (cliente DHCP) faz login, o cliente RADIUS envia uma mensagem Acct-Stop para o servidor RADIUS, incluindo o VSA 26-55 de origem RADIUS.

Configuração de múltiplas instâncias VSA 26-55

O VSA 26-55 oferece suporte a um tamanho máximo de 247 bytes. Se o seu campo de opções DHCP de origem RADIUS for superior a 247 bytes, você deve interromper o campo e configurar manualmente várias instâncias do VSA 26-55 para que o servidor RADIUS retorne. Ao usar várias instâncias para um campo de opções, você deve colocar as instâncias no pacote na ordem em que os fragmentos devem ser remontados pelo cliente RADIUS. Os fragmentos podem ser de qualquer tamanho de 247 bytes ou menos.

Quando o cliente RADIUS retorna um campo de opções opacas remontada em uma solicitação de contabilidade ao servidor RADIUS, o cliente usa fragmentos de 247 byte. Se você tivesse criado originalmente instâncias com menos de 247 bytes, os fragmentos devolvidos poderiam não ser os mesmos que você configurou originalmente no servidor RADIUS.

Opções de DHCP que não podem ser configuradas centralmente

A Tabela 1 mostra as opções de DHCP que você não deve configurar centralmente no servidor RADIUS.

Diferenciação de aulas para assinantes com DHCPv6 Option 17 e VSA 26-207

A partir do Junos OS Release 18.3R1, você pode usar o DHCPv6-Options VSA (26-207) para diferenciar entre diferentes classes de assinantes durante a autenticação do transmissão DHCPv6. Por exemplo, você pode querer atribuir diferentes prefixos IPv6 a diferentes classes de assinantes.

Você deve configurar seu servidor RADIUS para incluir as seguintes informações no VSA:

• Número empresarial da Juniper Networks, 2636

• Subopção 5, JDHCPD_VS_OPT_CODE_KT_SUBSCRIBER_CLASS

Você define um valor diferente para a subopção 5 para cada classe que deseja diferenciar. Você desenvolve seu próprio esquema para determinar o mapeamento entre valor e classe.

O VSA 26-207 transmite as informações da classe de assinantes na mensagem de aceitação de acesso devolvida pelo servidor RADIUS durante a autenticação do assinante DHCPv6. O conteúdo do VSA é passado do processo AAA para o processo DHCP no atributo do banco de dados de sessão, SDB_SERVER_DHCPV6_OPTIONS. O agente de transmissão DHCPv6 extrai as informações do atributo SDB e as coloca na opção DHCPv6 17. O agente de retransmissão posteriormente passa a opção 17 para o servidor local DHCPv6 no cabeçalho Relay-Forward. O servidor local pode então devolver a configuração do agente de retransmissão e as informações de serviço específicas para as classes de assinantes relevantes.

Em versão anterior ao Junos OS 18.3R1, apenas o servidor local DHCP oferece suporte ao VSA 26-207. São suportados apenas a subopção 1 (JDHCPD_VS_OPT_CODE_HOST_NAME) e a subopção 4 (JDHCPD_VS_OPT_CODE_LOCATION_NAME). O agente de retransmissão DHCP também descarta o atributo SDB_SERVER_DHCPV6_OPTIONS se for recebido.

As subopções recebidas do RADIUS têm uma precedência maior do que as informações configuradas localmente. Por exemplo, se o nome do host e a localização estiverem configurados com a host-name declaração no nível de [edit forwarding-options dhcp-relay dhcpv6 relay-option-vendor-specific] hierarquia e forem recebidos em subopções 1 e 4 do RADIUS, os valores RADIUS serão usados.

Excluindo os VSAs das mensagens RADIUS

Você pode excluir qualquer um desses VSAs de ser enviado usando a exclude declaração conforme mostrado no exemplo a seguir:

Opções para clientes

As opções de cliente podem ser configuradas em vários locais, como servidores DHCPv4 ou DHCPv6, ou no servidor RADIUS. Se a configuração do cliente estiver disponível em vários locais, um conflito pode surgir em relação à fonte dos detalhes da configuração. No caso de tais conflitos, considera-se a seguinte ordem de preferência:

• Opções recebidas do servidor RADIUS por meio de atributos específicos do fornecedor (VSAs)

• Opções recebidas do servidor RADIUS através dos respectivos bancos de dados de sessão

• Opções da configuração local dhcp, que estão presentes no servidor DHCP

Como exemplo da preferência supracitada, considere o caso do tempo de locação DHCPv4. Se a opção AUTHD_ATTR_SESSION_TIMEOUT , que é uma VSA armazenada no servidor RADIUS, for devolvida do servidor RADIUS, a preferência será dada a ela. Se essa opção não for devolvida, é dada preferência à opção 51 no respectivo banco de dados de sessão para DHCPv4. Se essa opção também não for devolvida, a opção será originada na configuração local do DHCP.

Da mesma forma, para o tempo de locação DHCPv6, a primeira preferência é dada ao AUTHD_ATTR_SESSION_TIMEOUT VSA do servidor RADIUS. Se AUTHD_ATTR_SESSION_TIMEOUT não estiver presente, a opção de origem valid-lifetime RADIUS ou preferred-lifetime prevalecerá. Se isso também não estiver disponível, a opção será originada na configuração local do DHCPv6.

Troca de opções de cliente DHCPv4, servidor DHCPv4 e radius

As etapas a seguir ilustram o processo de troca de opções de configuração entre um cliente DHCPv4, um servidor DHCPv4 e o servidor RADIUS:

• Uma mensagem de descoberta de um cliente DHCPv4 é recebida pelo servidor DHCPv4.

• A opção DHCP é salva no respectivo banco de dados de sessão.

  Em versões do Junos OS antes do 17.4R1, o mesmo atributo é usado para armazenar opções DHCPv4 e DHCPv6. No entanto, com o suporte para DHCP dual-stack de sessão única, existem atributos de banco de dados de sessão separados para DHCPv4 e DHCPv6.

• As informações de cabeçalho DHCP são salvas no banco de dados da sessão.

  Um novo atributo de banco de dados de sessão é adicionado para armazenar as informações de cabeçalho, e essas informações são enviadas ao servidor RADIUS para autenticação.

• Uma mensagem de solicitação de acesso é enviada do servidor DHCPv4 para o servidor RADIUS, e quando uma mensagem de aceitação de acesso é recebida do servidor RADIUS, as opções DHCPv4 são salvas para os respectivos atributos de banco de dados de sessão e enviadas ao cliente.

• Opções específicas do servidor DHCPv4 são adicionadas ao pacote.

  Nota:

  O servidor DHCPv4 pode obter opções solicitadas e não solicitadas a partir da configuração local. Assim, é importante evitar a duplicação enquanto as opções são adicionadas.

• As informações de leasing DHCPv4 são extraídas da opção DHCP 51 de origem RADIUS.

  O respectivo atributo do banco de dados de sessão é usado para verificar se a opção 51 (tempo de locação) é originada pelo RADIUS. Se for, então o valor do atributo é extraído e economizado na estrutura de dados do cliente. Se não for originado pelo RADIUS, o valor do atributo é retirado da configuração do pool local ou da configuração do atributo DHCPv4, que é uma funcionalidade existente. Uma verificação semelhante é realizada para a opção 58 (tempo de renovação (T1)) e opção 59 (tempo de reencação (T2)).

• Uma mensagem de oferta é enviada do servidor DHCPv4 para o cliente DHCPv4.

Troca de opções de cliente DHCPv6, servidor DHCPv6 e radius

As etapas a seguir ilustram o processo de troca de opções de configuração entre um cliente DHCPv6, um servidor DHCPv6 e o servidor RADIUS:

• Uma mensagem de solicitação de um cliente DHCP é recebida pelo servidor DHCPv6.

• As opções DHCPv6 são salvas no banco de dados de sessão do servidor DHCPv6.

  Nas versões do Junos OS antes do 17.4R1, as opções DHCPv6 são salvas no respectivo atributo de banco de dados de sessão. Devido ao suporte atual de dupla pilha DHCP de sessão única, é necessário ter atributos de banco de dados de sessão separados para economizar opções DHCPv4 e DHCPv6. Se o cliente fizer parte de uma configuração de pilha dupla de sessão única, o respectivo atributo de banco de dados de sessão de opções DHCPv6 é usado. As opções DHCPv6 são diretamente copiadas para o banco de dados de sessão sem alterações e depois enviadas ao servidor RADIUS.

  Nota:

  O DHCPv6 auth-option (opção 11) também faz parte dessas opções.

• Um cabeçalho de mensagem DHCPv6 é salvo no banco de dados da sessão.

  Um novo atributo de banco de dados de sessão é adicionado para copiar o cabeçalho de mensagem DHCPv6.

• Uma mensagem de solicitação de acesso é enviada do servidor DHCPv6, que por sua vez recebe uma mensagem de aceitação de acesso do servidor RADIUS. Esta mensagem contém opções DHCPv6 de origem RADIUS que são armazenadas em um novo atributo de banco de dados de sessão.

• As informações de leasing DHCPv6 são extraídas da opção DHCPv6 de origem RADIUS.

  No caso do DHCPv6, o tempo de locação está incorporado nas opções OPTION_IA_NA eOPTION_IA_PD. O tempo de locação do cliente começa com esses valores do RADIUS Server. Se a IA_ADDRESSopção , IA_PREFIXIA_NAou IA_PD opção não for originada do RADIUS, essas opções serão retiradas do pool local e da configuração do pool delegado.

• Opções específicas do servidor DHCPV6 são adicionadas ao pacote.

  Nota:

  Um servidor DHCPv6 pode obter opções solicitadas e não solicitadas a partir da configuração local. Assim, é importante evitar a duplicação enquanto as opções são adicionadas.

• Uma mensagem de anúncio é enviada do servidor DHCPv6 para o cliente DHCPv6.

Propósito

Veja as informações para opções de DHCP que estão configuradas centralmente em um servidor RADIUS e que são distribuídas usando o Juniper Networks VSA 26-55 (DHCP-Options).

Ação

Para exibir informações para opções opacas de DHCP:

Significado

A saída de opções de DHCP fornece as seguintes informações:

• O len campo é o número total de valores hex na mensagem.

• Os valores de hex especificam o tipo, comprimento e valor (TLV) das opções de DHCP, e são convertidos em decimais para identificar as opções de DHCP, conforme definido na RFC 2132.

O número de valores de hex que compõem uma determinada opção DHCP varia, dependendo da duração da opção. Por exemplo, a primeira opção DHCP especificada na saída inclui três conjuntos de valores hex (35 01 01). O primeiro valor hex (35) identifica o tipo de opção, o segundo valor (01) indica o comprimento da entrada de valor, que é este caso um conjunto de valores hex. O terceiro valor de hex (01) especifica o valor para a opção DHCP.

Na segunda especificação de opção de DHCP (39 02 02 40), o valor 39 de hex é do tipo, e o comprimento 02 especifica que dois conjuntos de entradas hex compõem o valor para a opção. Portanto, essa especificação de opção usa quatro conjuntos de entradas hex; um para o tipo (39), um para especificar o comprimento (02) e dois para o valor da opção (02 40).

A terceira opção de DHCP é especificada pelos valores 3d 07 01 00 10 94 00 00 08de hex. O valor 3d de hex é do tipo, seguido pelo comprimento (07), que especifica que os próximos sete conjuntos de entradas hex compõem o valor para a opção. Portanto, essa especificação de opção usa um total de nove conjuntos de entradas hex; um para o tipo (3d), um para especificar o comprimento (07) e sete para o valor da opção DHCP (01 00 10 94 00 00 08).

A Tabela 2 descreve as duas primeiras opções com mais detalhes.