...

1. Общее описание работы BRAS.

Для использования функционала Функционала BRAS в схеме включения L3 можно использовать сервисные маршрутизаторы поддерживается сервисными маршрутизаторами Элтекс ESR-100/200/1000/1200/1500/1700. Данный функционал позволяет предоставить возможность идентификации пользователей Wi-Fi, подключающихся к точкам доступа производства различных производителей. В общем виде от BRAS требуются следующие функции:

...

BRAS является исполнительным механизмом, применяющим определенные политики к трафику пользователей WiFi в соответствии с директивами, которые передаются ему от вышестоящей системы SoftWLC, в которой как раз принимаются решения на основании данных, передаваемых BRAS. В составе SoftWLC с BRAS взаимодействуют и пересылают ему директивы по работе с пользователями WiFi 2 модуля: PCRF и Порталмодуль Eltex-PCRF.

1.1 Идентификация элементов системы.

Для того, чтобы различать пользователей WiFi между собой, ESR BRAS -у требуется какой-либо идентификатор, который однозначно его идентифицирует. Этим идентификатором является MAC-адрес устройства пользователя WiFi, с которого он выполняет подключение. Поэтому необходимо, чтобы на BRAS попадал трафик, с MAC-заголовками пользовательского устройства. Для этого необходимо обеспечить между пользователем WiFi и BRAS L2-сеть, или пробросить трафик пользователей WiFi до BRAS внутри VPN через L3-инфраструктуру оператора. Для организации такого VPN в сети клиента устанавливается маршрутизатор ESR-10/20/100/200, который поднимает GRE-туннели до ESR-100/200/1000/1200/1500/1700, которые могут работать работающих в режиме Wireless-Controller (подробнее о данном режиме можно прочитать в Настройка ESR при подключении ТД через L3 сеть доступа (схема WiFi L3) и Настройка ESR в режиме wireless-controller с резервированием роутера "последней мили"). Точки доступа Eltex так же могут строить GRE-туннели, что делает возможным их подключение к BRAS через L3-инфраструктуру оператора без дополнительной установки ESR-10/20/100/200. Ниже, на рис. 1.1.1 приведена общая принципиальная схема включения:

Рис. 1.1.1.

Роли ESR могут выступать в роли:

• ESR BRAS, который выполняет функции терминирования GRE туннелей и функции BRAS - далее он будет называться "ESR BRAS L3".
• ESR, который устанавливается у клиента, и который осуществляет функцию устройства, которое будет производить инкапсуляцию трафика от клиентских ТД в GRE и передавать его для дальнейшей обработки на ESR BRAS L3 - далее такой ESR будем называть "ESR Client".

Ниже, в таблице 1.1.1 приведены типы ESR и возможные выполняемые ими роли:

Таблица 1.1.1.

Так же далее будет применяться терминология:

1. Оператор связи, оказывающий услуги авторизации WiFi и доступа в сеть Интернет: "Оператор"или "ISP".
2. Заказчик услуги, которому требуется авторизация WiFi, с которым оператор связи заключает договор - "Клиент".
3. ТД сторонних производителей: "Generic AP".
4. Клиент, подключающийся к WiFi с помощью различных устройств: "Пользователь WiFi" или "Пользователь".
5. Схема включения generic AP через инфраструктуру L3 оператора с использованием ESR Client для инкапсуляции трафика клиента в GRE: "Интероперабельность", или сокращено "Interop".

...

Существует два способа идентификации с какой generic AP подключился пользователь WiFi:

1. Идентификация по влан.
2. Идентификация с ипользованием option 82.

Идентификация по влан

При подключении каждому Каждому SSID каждой generic AP выделяется уникальный влан. Схема приведена ниже, на рис. 1.2.1 (для упрощения схемы не показан GRE-туннель управления).

Рис. 1.2.1.

Как видно из рис. 1.2.1, трафик абонетов generic AP, к которой пользователь WiFi выполняет подключение, можно идентифицировать по влан, в которых он его трафик приходит на ESR BRAS. Но данная схема приводит к тому, что

Преемуществами данной схемы является:

1) простота схемы включения при небольшом числе generic AP;

2) возможность использования неуправляемого коммутатора для подключения generic AP.

Также данная схема имеет свои недостатки:

1) плохие возможности масштабирования - для каждой вновь подключаемой generic AP надо выделять новый влан, на рисунке для 2 SSID на трех generic AP потребовалось выделить 6 влан. При большом числе ТД данный способ становиться сложно администрируемым

...

.

...

Так же существует ограничение со стороны комплекса SoftWLC, которое не позволяет использовать более 20 различных влан, пропускаемых внутри GRE-туннеля от одного ESR-client.

...

Идентификация по option 82

В данном случае ESR BRAS производит обогащение аккаунтинга пользователей WiFi информацией, получаемой из option82, добавляемой в их DHCP запросы

...

В данном случае предполагается. Предполагается, что для каждого уникального SSID будет выделен один влан, который будет использоваться на всех generic AP. На коммутаторе, к которому подключены generic AP включается функционал добавления option 82 в DHCP-запросы (DHCP snooping). Таким образом, DHCP запросы пользователй пользователей WiFi будут содержать в себе option 82 c информацией о портепорт/влане влан и идентификаторе идентификатор коммутатора, к которому подключена generic AP, что позволит .  Это позволяет однозначно идентифицировать generic AP и SSID, к которому выполнено подключение. На BRAS включается функционал обогащения radius трафика информацией из option 82, полученной при парсинге из DHCP-клиентов запросов пользователей (функционал поддержан с версии ПО 1.11.2 ESR). Обогащение radius трафика выполняется в форметеформате, определнном определенном в RFC4679. Схема приведена ниже, на рис. 1.2.2.

1.3 Мониторинг точек доступа.

Существует 3 группы точек доступа:

• Точки доступа "Элтекс";
• Точки доступа других производителей (Generic AP), которые оператор предоставляет клиенту или клиент согласовывает с оператором связи подсеть и настройки, необходимые для мониторинга;
• Точки доступа клиента (Generic AP), мониторинг которых он осуществляет самостоятельно.

В случае с точками доступа Элтекс доступны все механизмы мониторинга, предоставляемые модулями EMS и Личный Кабинет. К ним относятся:

• Мониторинг доступности по SNMP и ICMP
• Мониторинг аварийных сообщений.
• Мониторинг параметров точки: температура, загрузка процессора, оперативной памяти и др. (подробнее в документации EMS)
• Мониторинг параметров радиоокружения
• Мониторинг радиопараметров подключившихся пользователей
• Мониторинг статистики сети
• Cтатистика пользовательских посещений (ЛК, раздел "Статистика Hotspot")
• Статистика пользовательских сессий (ЛК, раздел "Статистика Hotspot")
• Статистика потребляемого трафика (ЛК, раздел "Статистика Hotspot")
• Статистика повторных посещений (ЛК, раздел "Статистика Hotspot")

В случае с точками доступа других производителей, которые оператор предоставляет клиенту или клиент согласовывает подсеть управления существующих Generic AP, доступно ограниченное число средств мониторинга:

• Мониторинг доступности по ICMP
• Cтатистика пользовательских посещений (ЛК, раздел "Статистика Hotspot")
• Статистика пользовательских сессий (ЛК, раздел "Статистика Hotspot")
• Статистика потребляемого трафика (ЛК, раздел "Статистика Hotspot")
• Статистика повторных посещений (ЛК, раздел "Статистика Hotspot")

Т.е. в данном случае производится опрос точек доступа по ICMP и ведется статистика их доступности, а также ведется статистика на основании аккаунтинга, приходящего с BRAS. Для того, чтобы получать статистику по конкретной точке, BRAS должен ее идентифицировать: см. раздел "Идентификация элементов системы". Для работы SoftWLC с точками доступа необходимо выделять для управления точками пул IP адресов, а также, VLAN управления точками. Система SoftWLC не производит опрос точек доступа сторонних производителей по SNMP, и не производит мониторинг параметров, получаемых по SNMP.

В случае, если клиент устанавливает, конфигурирует и мониторит точки доступа самостоятельно, а оператору передает только трафик клиентов в согласованных влан -  то оператор не выделяет для них пулы IP адресов. Для мониторинга со стороны ENS такие ТД недоступны. Ведется только статистика на основании аккаунтинга, приходящего с BRAS. Для того, чтобы получать статистику по конкретной точке, BRAS должен ее идентифицировать: см. раздел "Идентификация элементов системы".

1.4 Общее взаимодействие элементов системы

...

Рис. 1.2.2.

Преимуществом данной схемы является:

1) простота масштабирования при подключении новых generic AP, т.к. для каждого SSID выделен свой влан, который будет одинаковым для всех вновь подключаемых generic AP.

Недостостатком данной схемы выступает:

1) необходимость включения всех generic AP в управляемый коммутор, поддерживающий функционал "DHCP snooping" и настройка соответствующего функционала на нем.

1.3 Взаимодействие элементов системы

Рассмотрим взаимодействие пользователя WiFi, genericAP, BRAS и SoftWLC (рис 1.43.1). На данном рисунке приведена диаграмма авторизации нового клиентапользователя WiFi.

Рис. 1.43.1.

BRAS настроен таким образом, что бы пропускать без авторизации трафик DHCP (udp port 67,68) и DNS запросы (udp 53). Это необходимо для того, что бы пользователь мог получить адрес и выполнить HTTP-get запрос (выполнение которого невозможно без возможности отрезолвить IP-адрес сайта, выполнив DNS-запрос).Клиент

1. Пользователь WiFi, подключаясь к

...

1. generic AP, высылает DHCP-discover

...

1. .
2. В зависимости от выбранного способа идентификации generic AP, к которой подключается пользователь, на коммутаторе, к которому подключена generic AP может быть включено добавление option 82 - информация о порте/влане/коммутаторе добавляется в DHCP запрос.
3. Далее запрос передается через через L2 сеть доступа до ESR client (в диаграмме не указан, т.к. его роль сводится к организации канала L2 до ESR BRAS L3), который выполняет инкапсуляцию пакета в GRE и отправляет на ESR BRAS L3. ESR BRAS L3,

...

1.   парсит DHCP-запрос на наличие option 82 (при необходимости), сохраняет в памяти информацию о mac-адресе/option 82 (при наличии), и, выполняя функцию DHCP-relay

...

1. , перенаправляет запрос на DHCP сервер, который выдает адрес

...

1. пользователю WiFi на основании данных поля giaddr field. В качестве gateway указывается адрес ESR. После получения адреса,

...

1. пользователь WiFi отправляет любой IP пакет на маршрутизатор, который в свою очередь создает новую «не авторизованную сессию». Происходит попытка авторизации пользователя

...

1. WiFi по МАС адресу (так как пользователь новый – авторизация не проходит).

1. Весь трафик пользователя WiFi попадает под действие правил «дефолтного» сервиса, обычно в этом режиме

...

1. заблокирована передача любого трафика кроме DHCP и DNS.
2. После того как пользователь WiFi откроет браузер, на ESR BRAS L3 придет HTTP запрос, в ответ на который будет отправлен HTTP 302 Redirect, с параметрами подключения к порталу. Браузер пользователя перенаправит свой запрос на Eltex-Portal и в ответ загрузится стартовая страница для прохождения авторизации. Выбор страницы осуществляется на основании параметра «Bridge-location»,указанному в конфигурации на bridge-интерфейсе ESR. По этому параметру, портал узнает имя страницы и наименование сервисного домена, принадлежащего данному интерфейсу.
3. Введя номер телефона, пользователь WiFi нажмет кнопку «получить пароль». Портал генерирует пароль и создает учетную запись в базе данных с логин/паролем и тарифным планом, с привязкой к сервисному домену. Через Notification GW (NGW) будет осуществлена отправка SMS сообщения с паролем на, указанный пользователем номер телефона.
4. Пользовать вводит полученный

...

1. пароль на странице подтверждения портала, который отправляет введенные данные на PCRF, который в свою очередь вносит эти данные по пользователю в БД и отправляет команду Account-Loggon на ESR BRAS L3. Маршрутизатор, получив эту команду, выполняет повторную попытку авторизовать сессию пользователя WiFi, отправив запрос access-request. Т.к. теперь данные по пользователю есть в БД (логин/пароль/сервисный домен), - то его сессия проходит успешную авторизацию по radius протоколу на PCRF. В ответ PCRF возвращает список сервисов, которые должны быть назначены пользователю WiFi. Далее ESR BRAS L3 запрашивает атрибуты сервисов, которые содержат данные квот по времени/трафику, имя URL фильтров, применяет их для пользовательской сессии.  После чего пользователю WiFi открывается доступ в сеть Интернет, согласно полученным параметрам подключения.
2. Для трафика пользователя WiFi может выполняться фильтрация по URL, IP адресам.
3. Периодически ESR отправляет accounting пакеты с данными по статистике для сессии

...

1. пользователя и назначенному сервису.
2. Если

...

1. пользователь WiFi отключается от ТД,

...

1. сессия пользователя удаляется на ESR BRAS L3

...

1. по истечению idle-timeout, отправляется accounting stop на PCRF, для того чтобы зафиксировать время работы клиента и количество переданного/полученного трафика.

При прохождении авторизации на портале, HTTP запросы пользователя WiFi проксируются в ESR BRAS L3 , при этом происходит замена Source source адреса (USER IP) клиента пользователя на адрес ESR BRAS L3 (PROXY IP). Поэтому между ESR BRAS L3 и SoftWLC весь HTTP(S) трафик будет идти с IP адресом ESR BRS L3 а не клиентапользователя. Весь остальной трафик будет идти с USER IP адресом.

ЕСли Если в сервисе, назанченном назначенном пользователю WiFi после прохождения авториазации авторизации есть список URL фильтров - то весь HTTP(S) трафик пользователя WiFi проксируются на ESR BRAS L3, при этом происходит замена Source адреса (USER IP) клиента пользователя на адрес ESR BRAS L3 (PROXY IP). Поэтому между ESR и NAT весь HTTP(S) трафик будет идти с IP адресом ESR BRAS L3 а не клиентапользователя. Весь остальной трафик будет идти с USER IP IP  source-адресом. При прохождении через NAT, для трафика пользователя будет устанавливаться «Белый» IP адрес NAT.

...

• VRF Backbone - используется для управления и взаимодействия между компонентами системы;
• VRF AP - используется для подключения ESR Client, в нем идет передача GRE-трафика до ESR BRAS L3;
• VRF NAT - предназначен для выхода трафика клиентов пользователей WiFi с сеть Интернет, из этого VRF приходит дефолтный маршрут;
• VRF DPI - предназначен для обеспечения стыка с недефолтным VRF ESR BRAS L3. Это позволяет получит дефолтный маршрут через роутер отличный от используемого для выхода в VRF NAT и направить трафик клиента gjkmpjdftntktq другим маршрутом через оборудование DPI.

Так же используется стык iBGP между ESR BRAS L3 для Для обеспечения работоспособности в случае отказа одной из PE используется стык iBGP между ESR BRAS L3. Так же в этом стыке осуществляется резервирование VRRP адресов терминации GRE и дефолтных шлюзов, используемых для адресов управления ESR client и подсети клеинтовпользователей WiFi. Для недефолтного VRF используется отдельный стык iBGP в этом VRF.

Рис. 2.1.1.

2.2 Схема включения ESR BRAS L3 и план адресации

...

Рис. 2.2.1.

...

...

3. ESR client получают первичный IP в VRF AP и строят из него использует его в качестве локального адреса для GRE-туннелитуннелей. Взаимодействие с данным VRF осуществляется через стыки с VRF AP.

4. Выход в сеть Интернет для клиентовпользователей WiFi, которые продят проходят авторизацию в VRF dpi и получают адрес из адресного пространства bridge 12, осуществялется осуществляется через стык с VRF DPI.

5. Получение адреса по DHCP и редирект на портал для клиентов пользователей WiFi VRF dpi осуществляется через стык с VRF backbone в дефолтном VRF. Для обеспечения IP-связности между VRF используются lt-туннели, через которые осуществляется маршрутизация данного трафика.

3. Особенности настройки BRAS в VRF

...

Настройка BRAS в VRF имеет следующие особенности:

1. Для каждого VRF на ESR настраивается свой

...

1. экземпляр BRAS.
2. Каждый

...

1. экземпляр BRAS использует одни и теже настройки взаимодействия с RADIUS-сервером, данное взаимодействие осуществляется из дефолтного VRF.
2. Для каждого инстанса BRAS конфигурируется отдельная настройка das-server в дефолтном VRF, что бы RADIUS-сервер при выполнении CoA-запросов мог различать, к какому экзепляру BRAS он обращается.

В качестве RADIUS-сервера, с которым BRAS осуществляет непосредственное взаимодействие, используется сервис Eltex-PCRF комплекса SoftWLC. Eltex-PCRF использует следующие дефолтные порты порты:

• UDP:31812 - для получения запросов авторизации (access-request)
• UDP:31813 - для получения запросов аккаунтинга (accounting-request)
• UDP:3799 - для отправки CoA запросов к BRAS (CoA-request) в дефолтном VRF

Приведенные выше настройки являются дефолтными для PCRF. Для взаимодействия с инстансом экземпляром BRAS в недефолтном VRF необходимо выбрать имя VRF, CoA порт отличный от того, что используется в дефолтном VRF. ВыберемВыбираем:

• UDP:30799 - для отправки CoA запросов к BRAS в VRF dpi

Как видно из приведенной выше информации, предполагается, что на всех ESR будет использоваться одинаковый Приведем VRF, CoA-порт и пароль для взаимодействия с каждым инстансом BRAS. Приведем их , используемый ESR в виде таблицы 3.1 ниже:

Имя VRF	CoA port	secret
1	3799	testing123
dpi	30799	testing123

Таблица 3.1.

Как видим из приведенной выше информации, предполагается, что на всех ESR будут использоваться одинаковые настройки VRF и соответствующие им das-server/secret.

Информация
title Замечание
Каждый экземпляр BRAS на ESR может использовать различные настройки для обращения к radius-серверу и и настройки das-server для обработки CoA-запросов. Так же данные настройки могут быть выполнены в различных VRF отличных от того, в которых сконфигурированы экземпляры BRAS. Но данный подход существенно усложняет настройку как ESR,  так и взаимодействие с комплексом SoftWLC, поэтому его использование не рекомендуется.

4. Настройка ESR BRAS L3.

4.1. Общие настройки ESR BRAS L3.

Первоначально проверяем Для возможности настройки ESR BRAS в схеме L3 необходима лицензия BRAS-WiFi. Проверяем и устанавливаем её на ESR лицензию BRAS-WiFi (для её получения лицензии необходимо обратится в коммерческий отдел предприятия Элтекс). Затем выполняем

esr# show licence 
Licence information
-------------------
Name:    eltex
Version: 1.0
Type:    ESR-1000
S/N:     NP01000415
MAC:     A8:F9:4B:AA:34:99
Features:
 WIFI - Wi-Fi controller
 BRAS - Broadband Remote Access Server

Выполняем настройку ip-адресов, BGP, wirelees-controller.Рекомендуется

Т.к. схема Схема включения ESR повторяет собой схемы схему Настройка ESR в режиме wireless-controller с резервированием роутера "последней мили" и Настройка ESR при терминировании одного из саб-туннелей softgre в Bridge в другом VRF - то ниже .  Ниже будет сразу приведена общая конфигурация ESR (без настроек BRAS).

...

При доступности PE master он будет лучшим маршрутом для обоих ESR, при его недоступности трафик пойдет через PE backup. 

1.3 Мониторинг точек доступа.

Существует 3 группы точек доступа:

• Точки доступа "Элтекс";
• Точки доступа других производителей (Generic AP), которые оператор предоставляет клиенту или клиент согласовывает с оператором связи подсеть и настройки, необходимые для мониторинга;
• Точки доступа клиента (Generic AP), мониторинг которых он осуществляет самостоятельно.

В случае с точками доступа Элтекс доступны все механизмы мониторинга, предоставляемые модулями EMS и Личный Кабинет. К ним относятся:

• Мониторинг доступности по SNMP и ICMP
• Мониторинг аварийных сообщений.
• Мониторинг параметров точки: температура, загрузка процессора, оперативной памяти и др. (подробнее в документации EMS)
• Мониторинг параметров радиоокружения
• Мониторинг радиопараметров подключившихся пользователей
• Мониторинг статистики сети
• Cтатистика пользовательских посещений (ЛК, раздел "Статистика Hotspot")
• Статистика пользовательских сессий (ЛК, раздел "Статистика Hotspot")
• Статистика потребляемого трафика (ЛК, раздел "Статистика Hotspot")
• Статистика повторных посещений (ЛК, раздел "Статистика Hotspot")

В случае с точками доступа других производителей, которые оператор предоставляет клиенту или клиент согласовывает подсеть управления существующих Generic AP, доступно ограниченное число средств мониторинга:

• Мониторинг доступности по ICMP
• Cтатистика пользовательских посещений (ЛК, раздел "Статистика Hotspot")
• Статистика пользовательских сессий (ЛК, раздел "Статистика Hotspot")
• Статистика потребляемого трафика (ЛК, раздел "Статистика Hotspot")
• Статистика повторных посещений (ЛК, раздел "Статистика Hotspot")

Т.е. в данном случае производится опрос точек доступа по ICMP и ведется статистика их доступности, а также ведется статистика на основании аккаунтинга, приходящего с BRAS. Для того, чтобы получать статистику по конкретной точке, BRAS должен ее идентифицировать: см. раздел "Идентификация элементов системы". Для работы SoftWLC с точками доступа необходимо выделять для управления точками пул IP адресов, а также, VLAN управления точками. Система SoftWLC не производит опрос точек доступа сторонних производителей по SNMP, и не производит мониторинг параметров, получаемых по SNMP.

В случае, если клиент устанавливает, конфигурирует и мониторит точки доступа самостоятельно, а оператору передает только трафик клиентов в согласованных влан -  то оператор не выделяет для них пулы IP адресов. Для мониторинга со стороны ENS такие ТД недоступны. Ведется только статистика на основании аккаунтинга, приходящего с BRAS. Для того, чтобы получать статистику по конкретной точке, BRAS должен ее идентифицировать: см. раздел "Идентификация элементов системы".