Interfaces de desmultiplexação de IP em serviços de assinantes acionados por pacotes
Leia este tópico para saber sobre o recurso de subscrivers acionados por pacotes disponível no Junos e como configurá-lo. O recurso de assinantes acionados por pacote cria interfaces de demultiplexação de IP (IP demux IFL) ao receber um pacote de dados de clientes com endereço IP pré-atribuído.
Interfaces de desmultiplexação de IP em assinantes acionados por pacotes Visão geral dos serviços
O recurso de assinantes acionados por pacote cria interfaces de demultiplexação de IP (IP demux IFL) ao receber um pacote de dados de clientes com endereço IP pré-atribuído. Ao receber o primeiro pacote, o plano de controle verifica o endereço IP. Se o endereço IP de origem corresponder a um dos intervalos de endereços IP configurados, o assinante será autenticado com o servidor de autenticação. Na autenticação bem-sucedida, o IFL de demux de IP é criado usando o perfil dinâmico especificado na CLI. O IP demux IFL adiciona a rota emoldurada e a fonte de demux para o assinante usando a máscara passada pelo servidor de autenticação. Se a máscara não for enviada pelo servidor de autenticação, as rotas de acesso e demux serão instaladas usando a máscara especificada na CLI.
Para assinantes IPv4 residenciais, todo o tráfego de uma única família normalmente tem o mesmo endereço IPv4 de origem. Assim, para cada domicílio, apenas um IP demux IFL com um único endereço IPv4 é criado. Para assinantes IPv4 corporativos, vários endereços IPv4 podem ser atribuídos usando rotas emolduradas, resultando em um IFL de demux de IP representando vários endereços IPv4. Para IPv6, o endereço de origem do tráfego proveniente da mesma casa ou empresa é diferente, pois cada dispositivo tem um endereço IPv6 separado. A representação ideal de uma família ou empresa, neste caso, consiste em um IP demux IFL com um prefixo IPv6, representando todos os endereços IPv6 na residência/empresa.
Durante a criação do IP demux IFL, se a autenticação falhar, o IP demux IFL ainda será criado, mas esse IP demux IFL não poderá encaminhar nenhum tráfego. Qualquer tráfego recebido para o assinante associado é descartado. Todos esses IFLs de demux de IP rejeitados permanecem no estado configurado e são chamados de assinantes configurados. A criação de IP demux IFL, mesmo que a autenticação falhe, evitará o thrashing, pois os pacotes subsequentes serão descartados no PFE e não serão direcionados para o RE. Todos os assinantes no estado 'Configurado' serão removidos periodicamente. Depois que esses assinantes forem removidos, todos os novos pacotes recebidos da mesma fonte serão direcionados para o RE.
O suporte ao assinante acionado por pacote requer que o endereço MAC do dispositivo conectado permaneça inalterado durante a sessão do assinante. Se o endereço MAC for alterado para um assinante acionado por pacote depois que o assinante tiver feito login e a sessão estiver ativa, o assinante não poderá se conectar a partir do novo dispositivo com o mesmo endereço IP. Você pode evitar isso definindo um período durante o qual a sessão é monitorada quanto à atividade do assinante. Use a client-idle-timeout opção no [edit access profile profile-name session-options nível de hierarquia ]. Quando o tempo limite expira, o assinante é normalmente desconectado. O assinante pode então fazer login com êxito a partir do segundo dispositivo. Consulte Configurar opções de tempo limite da sessão do assinante.
Benefícios das interfaces de demultiplexação de IP em serviços de assinantes acionados por pacotes
- Permite o gerenciamento de assinantes e a configuração dinâmica da interface do assinante nos casos em que os dispositivos em casa ou na empresa já têm endereços IPv4/IPv6 atribuídos por outros meios, por exemplo, atribuídos estaticamente, ou por meio de um sistema de terminação de modem a cabo (CMTS).
-
Oferece suporte a assinantes acionados por pacotes usando autenticação e seleção de serviço pelo servidor RADIUS e permite um máximo de 16 intervalos de endereços IPv4 e 16 IPv6 por IFL subjacente.
-
Permite que o servidor de autenticação passe o perfil dinâmico a ser usado. Quando o servidor de autenticação passa esses valores, eles têm precedência sobre os valores configurados por meio da CLI.
Fornece mecanismo de limitação para mitigar ataques semelhantes a DoS e limitar a taxa de pacotes de exceção enviados ao RE para autenticação e criação de IP demux. O mecanismo de limitação usa o mecanismo DDoS existente.
Veja a visão geral da interface de desmultiplexação
Interfaces de desmultiplexação de IP em assinantes acionados por pacotes Visão geral dos serviços
O recurso de assinantes acionados por pacote cria interfaces de demultiplexação de IP (IP demux IFL) ao receber um pacote de dados de clientes com endereço IP pré-atribuído. Ao receber o primeiro pacote, o plano de controle verifica o endereço IP. Se o endereço IP de origem corresponder a um dos intervalos de endereços IP configurados, o assinante será autenticado com o servidor de autenticação. Na autenticação bem-sucedida, o IFL de demux de IP é criado usando o perfil dinâmico especificado na CLI. O IP demux IFL adiciona a rota emoldurada e a fonte de demux para o assinante usando a máscara passada pelo servidor de autenticação. Se a máscara não for enviada pelo servidor de autenticação, as rotas de acesso e demux serão instaladas usando a máscara especificada na CLI.
Para assinantes IPv4 residenciais, todo o tráfego de uma única família normalmente tem o mesmo endereço IPv4 de origem. Assim, para cada domicílio, apenas um IP demux IFL com um único endereço IPv4 é criado. Para assinantes IPv4 corporativos, vários endereços IPv4 podem ser atribuídos usando rotas emolduradas, resultando em um IFL de demux de IP representando vários endereços IPv4. Para IPv6, o endereço de origem do tráfego proveniente da mesma casa ou empresa é diferente, pois cada dispositivo tem um endereço IPv6 separado. A representação ideal de uma família ou empresa, neste caso, consiste em um IP demux IFL com um prefixo IPv6, representando todos os endereços IPv6 na residência/empresa.
Durante a criação do IP demux IFL, se a autenticação falhar, o IP demux IFL ainda será criado, mas esse IP demux IFL não poderá encaminhar nenhum tráfego. Qualquer tráfego recebido para o assinante associado é descartado. Todos esses IFLs de demux de IP rejeitados permanecem no estado configurado e são chamados de assinantes configurados. A criação de IP demux IFL, mesmo que a autenticação falhe, evitará o thrashing, pois os pacotes subsequentes serão descartados no PFE e não serão direcionados para o RE. Todos os assinantes no estado 'Configurado' serão removidos periodicamente. Depois que esses assinantes forem removidos, todos os novos pacotes recebidos da mesma fonte serão direcionados para o RE.
O suporte ao assinante acionado por pacote requer que o endereço MAC do dispositivo conectado permaneça inalterado durante a sessão do assinante. Se o endereço MAC for alterado para um assinante acionado por pacote depois que o assinante tiver feito login e a sessão estiver ativa, o assinante não poderá se conectar a partir do novo dispositivo com o mesmo endereço IP. Você pode evitar isso definindo um período durante o qual a sessão é monitorada quanto à atividade do assinante. Use a client-idle-timeout opção no [edit access profile profile-name session-options nível de hierarquia ]. Quando o tempo limite expira, o assinante é normalmente desconectado. O assinante pode então fazer login com êxito a partir do segundo dispositivo. Consulte Configurar opções de tempo limite da sessão do assinante.
Benefícios das interfaces de demultiplexação de IP em serviços de assinantes acionados por pacotes
- Permite o gerenciamento de assinantes e a configuração dinâmica da interface do assinante nos casos em que os dispositivos em casa ou na empresa já têm endereços IPv4/IPv6 atribuídos por outros meios, por exemplo, atribuídos estaticamente, ou por meio de um sistema de terminação de modem a cabo (CMTS).
-
Oferece suporte a assinantes acionados por pacotes usando autenticação e seleção de serviço pelo servidor RADIUS e permite um máximo de 16 intervalos de endereços IPv4 e 16 IPv6 por IFL subjacente.
-
Permite que o servidor de autenticação passe o perfil dinâmico a ser usado. Quando o servidor de autenticação passa esses valores, eles têm precedência sobre os valores configurados por meio da CLI.
Fornece mecanismo de limitação para mitigar ataques semelhantes a DoS e limitar a taxa de pacotes de exceção enviados ao RE para autenticação e criação de IP demux. O mecanismo de limitação usa o mecanismo DDoS existente.
Veja a visão geral da interface de desmultiplexação