MX960BRAS配置手册

来源：星星旅游

MX960 BRAS配置手册

2015年04月

1 ............................................................................ IPOE 简介错误

IPoE用户认证的特点 .......................................... 错误!未定义书签。 Web重定向过程 ............................................... 错误!未定义书签。 IPOE认证过程 ................................................ 错误!未定义书签。 IPOE下线过程 ................................................ 错误!未定义书签。

IPOE基于用户业务的流量计费 .................................. 错误!未定义书签。

2 ........................................................................... PPPOE 简介 PPPoE认证特点 ............................................... 错误!未定义书签。 PPPOE认证过程 ............................................... 错误!未定义书签。 PPPOE下线过程 ............................................... 错误!未定义书签。

PPPOE基于用户业务的流量计费 ................................. 错误!未定义书签。

3 ............................................................................. 配置方法 Filter 简介 ................................................. 错误!未定义书签。 Filter配置方法 ................................................. 错误!未定义书签。 IPOE BRAS配置方法 ........................................... 错误!未定义书签。认证服务器配置 ................................................. 错误!未定义书签。 dynamic-profiles配置 ........................................... 错误!未定义书签。 DHCP配置 ....................................................... 错误!未定义书签。接口配置 ....................................................... 错误!未定义书签。 PPPOE BRAS配置方法 .......................................... 错误!未定义书签。认证服务器配置 ................................................. 错误!未定义书签。 dynamic-profiles配置 ........................................... 错误!未定义书签。 DHCP配置 ....................................................... 错误!未定义书签。

接口配置 ....................................................... 错误!未定义书签。

错误

1 IPOE 简介

1.1 IPoE用户认证的特点

用户认证通过WEB方式进行，使得学校的师生不必安装拨号客户端，认证功能通过IE浏览器即可方便地完成身份认证过程。认证后台系统由WEB Portal和RADIUS组成，认证平台可调用统一的用户数据库，以实现统一身份认证。用户的访问权限、上网速率以及其他跟上网相关的行为管理由RADIUS系统根据用户身份下发相应的策略给MX路由器来实现。这使得网络具备较高的控制能力和可管理性，运维管理更加方便。

在这一架构下，有线、无线（校内师生、访客）用户均可通过同一套设备、同一套软件、同一用户身份验证服务器，经过一次认证，即可根据预先设置的策略访问相应的资源，而不必进行多次认证。

无线和有线用户均做了相同的测试。

1.2 Web重定向过程

通过策略路由将目的端口为80的流量引入到防火墙，通过防火墙目的端口转换，实现web重定向。

1.3 IPOE认证过程

IPOE认证可分为两个部分，HDCP认证和portal认证两个部分

HDCP 认证：用户首先通过DHCP认证获取IP地址，认证后给逻辑接口下发出入方向策略“prb”和“10M”，不允许用户之间互访。

portal认证：用户获得IP地址后通过portal认证，此时radius下发COA，MX将用户策略变更为O-1M，I-4M，对用户进行限速。

1.4 IPOE下线过程

用户在portal页面申请下线过程：

用户在web页面点击登出，radius下发DM，MX收到DM后，MX清除HDCP BINDING，解除用户关系。

通过radius主动离线用户

管理员在radius界面清除用户，radius下发DM后，MX清除DHCP BINGDING，解除用户关系。

用户异常离线过程

用户异常离线后，在DHCP LEASE TIME超时后，MX给radius发送计费停止报文，radius清除用户信息

1.5 IPOE基于用户业务的流量计费

MX支持Service Based Accounting（SBA）功能，在每个用户的session基础上，生成多个service session，针对每个service session实现基于time/volume的statistics，如对campus，cernet，telecom等实现单独的流量统计和计费功能， radius属性如下：

2 PPPOE 简介

2.1 PPPoE认证特点

PPPoE其案简要流程为：用户PC通过客户端发起PPPoE请求到后台接入服务器BAS，然后交付深澜进行认证及计费。

由于MX直接提供了用户接入网络时的PPPoE认证功能，相应的控制力度也更强。用户均通过PPPoE会话实现到网络的接入和访问，由于PPPoE通道的隔离而互不影响，因此能够天然抵御ARP欺骗、仿冒源地址攻击等问题，极大减轻网络管理员的工作量，并有效保障了整个校园网络的可靠性和稳定性。

对于每个用户的PPPoE会话，都可以根据用户的身份信息通过深澜的后台管理平台进行策略下发，进行相应的访问权限控制、上下行速率以及根据流量、时长等采取不同策略的计费功能。对于PPPoE方式，在用户认证通过后，由MX向深澜服务器发送计费开始包，在用户下线后（用户主动挂断、异常死机、网络断等），由MX向深澜服务器发送计费结束包。深澜业务支撑平台便可根据计费起始包、结束包按时长、按流量进行实时计费。采用这种方式，计费数据相当准确。

另外，由于MX及深澜认证计费系统均为运营商级设备，设备的处理能力，对用户的控制能力完全能够满足校园网网络的需求，可以对每个用户进行带宽，权限管理、QoS等各种操作。并且，在使用BRAS+PPPoE的接入方式下，在接入层是一张大的二层网络，用户间通过VLAN隔离，互相之间没有影响，避免了ARP病毒等问题；同时，对校园网的管理维护来说，管理员只需要管理大的BARS设备，接入层设备仅仅是二层接入，不需要在接入设备上作负责设置，极大的减轻了管理员的维护工作量。PPPoE方式适合于需要进行精细控制与计费的校园网客户，如学生宿舍等。

2.2 PPPOE认证过程

PPPOE认证过程，首先用户发起PPPOE连接，包括PPPOED和LCP协商，同时将用户名发给MX，MX发起access request给radius，radius验证用户信息，回复access accept，携带用户接入策略，MX与用户交互IPCP，获得IP地址，同时将计费信息发给radius。

2.3 PPPOE下线过程

参考IPOE下线过程，用户主动下线和管理员离线用户通过DM信息实现，用户异常下线在PPPOE keepalive超时后，由MX发给radius记账停止信息下线。

2.4 PPPOE基于用户业务的流量计费

同IPOE

3 配置方法

3.1 Filter 简介

Filter非常关键，radius上所有使用的filter，BRAS中必须定义，如果BRAS没有radius所调用的filter用户将无法认证通过。

深澜和MX960 BRAS 预定用的限速filter为：

1） IPOE : I-4M,O-4M(一定大写)，I-8M,O-8M等。（I,O为限速的两个方向） pbr（小写），pbr为域认证取地址后的策略。pbr为重定向filter。 2） PPPOE：up4m，down4m（一定要小写），up8m，down8m等。（up，down为限速的两个方向）

3.1.1 Filter配置方法

firewall { family inet {

filter pbr {#重定向filter interface-specific; term 5 { from {

service-filter-hit; #标记 }

then accept; }

term 20 {#标记认证前开始的端口，UDP 53为DNS服务，如果不开，客户端打域名无法重定向。 from {

protocol udp; destination-port 53; }

then accept; }

term 30 {#访问radius webport服务器直通过。 from {

destination-address { /32; } }

then {

routing-instance webport; } }

term 40 {#所有TCP 80端口服务全部使用策略路由 webport，也就是数据全部扔到防火墙，让防火墙做目的地址转换（重定向）。如果需要开重定向前可以访问的服务，可以在这条前添加策略。（注：所有正常数据流通过BRAS直接转发，重定向防火墙在radius和bras中间，认证后的正常数据流不通过重定向防火墙）

from {

protocol tcp;

destination-port 80; }

then {

routing-instance webport; } }

term 50 {#拒绝其他数据流 then {

discard; } } }

filter I-4M {#IPOE的限速filter。 interface-specific; term 30 { then {

policer 4m; accept; } }

}#PPPOE up4m，down4m写法相同。

3.2 IPOE BRAS配置方法

3.2.1 认证服务器配置

access {

profile sbr {

accounting-order radius; #计费方式为radius

authentication-order radius; #认证方式为radius radius {

authentication-server ; #认证服务器IP地址 accounting-server ; #计费服务器IP地址 options {#radius参数

ethernet-port-type-virtual;

accounting-session-id-format decimal; vlan-nas-port-stacked-format; } }

radius-server {#radius server配置 {

port 1812;

accounting-port 1813;

secret \"$9$\"; ## SECRET-DATA source-address ; } }

accounting {#计费配置

order radius; immediate-update; coa-immediate-update; update-interval 10; statistics volume-time; } }

3.2.2 dynamic-profiles配置

dynamic-profiles {

dhcp-demux { #定义IPOE vlan demux接口 routing-instances {

\"$junos-routing-instance\" {

interface \"$junos-interface-name\" { any; } } }

interfaces { demux0 {

unit \"$junos-interface-unit\" {#生产动态子接口 no-traps;

proxy-arp unrestricted; demux-options {

underlying-interface \"$junos-underlying-interface\"; #定义demux物理接口 }

family inet {

demux-source {

$junos-subscriber-ip-address; #调用DHCP分配的地址 } filter {

input \"$junos-input-filter\" precedence 1; #调用radius下发的filter output \"$junos-output-filter\"precedence1;#调用radius下发的filter }

unnumbered-address \"$junos-loopback-interface\" preferred-source-address \"$junos-preferred-source-address\";#调用loopback IP地址作为DHCP与网关转发

}

family inet6 {#IPV6 相关配置与IPV4同理。 filter {

input \"$junos-input-ipv6-filter\" precedence 1; output \"$junos-output-ipv6-filter\" precedence 1; }

demux-source {

\"$junos-subscriber-ipv6-multi-address\"; }

unnumbered-address \"$junos-loopback-interface\" preferred-source-address \"$junos-preferred-source-ipv6-address\";

} } } } }

IPOE-HEU-WLAN {#定义不同的动态配置，用于接口调用。

interfaces {

\"$junos-interface-ifd-name\" {#接收接口的变量 unit \"$junos-interface-unit\" {#子接口变量 demux-source inet;

vlan-tags outer \"$junos-vlan-id\";#接收接口终结的VLAN标签 family inet {

mac-validate strict; #防止用户私设IP地址 unnumbered-address preferred-source-address ; #调用的的接口IP，这里的地址与DHCP绑定。

} } } } } }

3.2.3 DHCP配置

1）DHCP认证配置

system {

services {

dhcp-local-server {

dhcpv6 {#DHCP IPV6配置 group 1 {

authentication {

password Juniper6; #IPOE 域认证是所用的密码，只有通过与深澜认证，才可下发地址 username-include {

user-prefix Juniper6; #域认证用户名 } }

dynamic-profile dhcp-demux; #调用dhcp-demux动态配置 interface ge-8/2/; #可以获取IP的接口 interface ge-8/2/; } }

group 1 {#DHCP IPV4配置 authentication {

password Juniper; username-include {

user-prefix Juniper; } }

dynamic-profile dhcp-demux; interface ge-8/2/; interface ge-8/2/; } } }

2）DHCP地址池配置

access {

pool ipoe {#地址池名称 family inet {

network /25; #地址池网段 range 1 {

low ; #地址池开始地址 high ; #地址池结束地址 }

dhcp-attributes {

maximum-lease-time 43200; #地址池超时时间 name-server {#DNS地址 ; }

router {

; #网关地址，lookback地址。 } } } }

3.2.4 接口配置

interfaces { ge-8/2/0 {

flexible-vlan-tagging; #QINQ封装方式，flexible为单双层都可以。 speed 1g;

auto-configure { vlan-ranges {

dynamic-profile dhcp-wlan-vlan {#调用dhcp-wlan-vlan动态配置 accept inet;

ranges {#终结的VLAN ID 214-214; } } } }

3.3 PPPOE BRAS配置方法

3.3.1 认证服务器配置

access {

profile sbr {

accounting-order radius; #计费方式为radius

authentication-order radius; #认证方式为radius radius {

authentication-server ; #认证服务器IP地址 accounting-server ; #计费服务器IP地址 options {#radius参数

ethernet-port-type-virtual;

accounting-session-id-format decimal; vlan-nas-port-stacked-format; } }

radius-server {#radius server配置 {

port 1812;

accounting-port 1813;

secret \"$9$\"; ## SECRET-DATA source-address ; } }

accounting {#计费配置 order radius; immediate-update; coa-immediate-update; update-interval 10; statistics volume-time; } }

3.3.2 dynamic-profiles配置

dynamic-profiles { pppoe {

predefined-variable-defaults {#默认下发的限速策略，在radius未下发的限速策略时调用 input-filter up4m; output-filter down4m; }

routing-instances {

\"$junos-routing-instance\" {

interface \"$junos-interface-name\" { any; } } }

interfaces { pp0 {

unit \"$junos-interface-unit\" {#动态生成pp子接口

ppp-options { chap; pap; }

pppoe-options {

underlying-interface \"$junos-underlying-interface\";#定义pppoe物理接口 server; }

keepalives interval 60; #keepalives心跳报文，在非正常下线需要等待5次心跳报文，用户才能下线。

family inet { filter {

input \"$junos-input-filter\" precedence 20; #动态调用filter output \"$junos-output-filter\" precedence 20; }

unnumbered-address \"$junos-loopback-interface\";#借用loopback接口转发数据 }

family inet6 {

address $junos-ipv6-address; } } } }

protocols {

router-advertisement {

interface \"$junos-interface-name\" { link-mtu;

prefix $junos-ipv6-ndra-prefix; } } } }

pppoe-stacked-vlan {#定义不同的动态配置，用于接口调用。 interfaces {

\"$junos-interface-ifd-name\" {#接收的接口变量

unit \"$junos-interface-unit\" {#接收的子接口变量

vlan-tags outer \"$junos-stacked-vlan-id\" inner \"$junos-vlan-id\";#接收的QINQ变量 family pppoe {# 接口类型为pppoe

duplicate-protection; #pppoe安全防护配置

dynamic-profile pppoe; #调用上述pppoe动态配置。 short-cycle-protection { lockout-time-min 1; lockout-time-max 60; } } } } } }

3.3.3 DHCP配置

1）DHCP地址池配置

access {

group-profile dns {#PPPOE 用户DNS配置 ppp {

primary-dns ;

secondary-dns ; } }

address-assignment { pool test {#pppoe地址池名称，这个和IPOE不同的是不需要配置那么多，只配置开始和结束地址段。Pppoe的地址池指定为radius下发。只有本地有radius下发的DHCP池名称即可。如果radius下发的地址池本地没有，用户会在住地址池取地址，也就是配置中第一个地址池。

family inet { network /24; range 1 { low ; high ; } } }

3.3.4 接口配置

interfaces { ge-4/2/8 {

flexible-vlan-tagging;

auto-configure {#QINQ封装方式，flexible为单双层都可以 stacked-vlan-ranges {

dynamic-profile pppoe-stacked-vlan {#调用pppoe-stacked-vlan动态配置 accept pppoe; #接收pppoe流量 ranges {#终结的QINQ配置。 any,any; } } } }

因篇幅问题不能全部显示，请点此查看更多更全内容

查看全文