1. Общее описание работы BRAS.
Для использования функционала BRAS в схеме включения L3 можно использовать сервисные маршрутизаторы Элтекс ESR-100/200/1000/1200/1500/1700. Данный функционал позволяет предоставить возможность идентификации клиентов Wi-Fi, подключающихся к точкам доступа производства различных производителей. В общем виде от BRAS требуются следующие функции:
- При приеме клиентского трафика нужно понять, авторизован этот клиент в системе или нет;
- Если клиент авторизован, то пустить его в Интернет. Если не авторизован, то перенаправить его на Портал авторизации, где он должен подтвердить свою личность (с помощью SMS, звонка или учетной записи ЕСИА);
- После того, как клиент авторизовался на Портале, BRAS должен узнать об этом, применив к трафику клиента различные политики доступа;
- В процессе обработки клиентского трафика BRAS должен считать и пересылать статистику вышестоящей системе для ее последующего анализа и хранения.
BRAS является исполнительным механизмом, применяющим определенные политики к абонентскому трафику в соответствии с директивами, которые передаются ему от вышестоящей системы SoftWLC, в которой как раз принимаются решения на основании данных, передаваемых BRAS. В составе SoftWLC с BRAS взаимодействуют и пересылают ему директивы по работе с абонентами 2 модуля: PCRF и Портал.
1.1 Идентификация элементов системы.
Для того, чтобы различать абонентов между собой BRAS-у требуется какой-либо идентификатор, однозначно идентифицирующий абонента. Этим идентификатором является MAC абонентского устройства. Поэтому необходимо, чтобы на BRAS попадал трафик, с MAC-заголовками клиентов. Для этого необходимо обеспечить между абонентом и BRAS L2-сеть или, же пробросить абонентский трафик до BRAS внутри VPN через L3-инфраструктуру оператора. Для организации такого VPN в сети клиента устанавливается маршрутизатор ESR-10/20/100/200, который поднимает GRE-туннели до ESR-100/200/1000/1200/1500/1700, которые могут работать в режиме Wireless-Controller (подробнее о данном режиме можно прочитать в Настройка ESR при подключении ТД через L3 сеть доступа (схема WiFi L3)). Точки доступа Eltex так же могут строить GRE-туннели, что делает возможным их подключение к BRAS через L3-инфраструктуру оператора без дополнительной установки ESR-10/20/100/200. Ниже, на рис. 1.1.1 приведена общая схема включения:
Рис. 1.1.1.
ESR могут выступать в роли:
- ESR BRAS, который выполняет функции терминирования GRE туннелей и функции BRAS - далее он будет называться "ESR BRAS L3".
- ESR, который устанавливается у клиента, и который осуществляет функцию устройства, которое будет производить инкапсуляцию трафика от клиентских ТД в GRE и передавать его для дальнейшей обработки на ESR BRAS L3 - далее такой ESR будем называть "ESR Client".
Ниже, в таблице 1.1 приведены типы ESR и возможные выполняемые ими роли:
Тип ESR | ESR BRAS L3 | ESR Client |
---|---|---|
ESR-10 | - | + |
ESR-20 | - | + |
ESR-100 | + | + |
ESR-200 | + | + |
ESR-1000 | + | - |
ESR-1200 | + | - |
ESR-1500 | + | - |
ESR-1700 | + | - |
Таблица 1.1.
ТД сторонних производителей далее будут называться "Generic AP".
Схема включения ТД сторонних производителей через инфраструктуру L3 оператора с использованием ESR Client для инкапсуляции трафика клиента в GRE называется "Интероперабельность", или сокращено "Interop".
Кроме идентификации абонента необходимо также понимать, к какому SSID клиент подключился, к какой точке доступа, в каком офисе. Для этого необходимо идентифицировать эти объекты.
С учетом передачи трафика между абонентом и BRAS по L2-сети таким идентификатором является VLAN. В результате, чтобы BRAS отличил трафик одного SSID от трафика другого SSID, нужно трафик одного SSID передавать в одном VLAN, например, 10, а трафик другого SSID - в другом, например, 11. Но если каждый из этих SSID будет настроены на 2 точках доступа, то BRAS на основании 10 и 11 VLAN сможет отличить SSID друг от друга, а вот понять, с какой точки доступа идет трафик - нет. Поэтому для идентификации точек доступа необходимо внедрять дополнительные VLAN: SSID1 на ТД1 - 10 VLAN, SSID2 на ТД2 - 11 VLAN, SSID1 на ТД2 - 12 VLAN, SSID2 на ТД2 - 13 VLAN. Тогда, если на BRAS придет трафик из 12 VLAN, то BRAS поймет, что это трафик абонента, подключившегося к SSID1 на второй точке доступа.
Так же существует возможность идентификации клиентов, подключенных к разным ТД, SSID которых передается в одинаковом влан, при добавлении option 82 в DHCP запросы клиентов на портах коммутатора, через который данные ТД подключены к ESR Client. Начиная с версии ПО 1.11.2 ESR, реализован функционал, анализирующий такие пакеты и обогащающий ими radius трафик в формате, определенном в RFC4679.
1.2 Мониторинг точек доступа.
Существует 3 группы точек доступа:
- Точки доступа "Элтекс";
- Точки доступа других производителей (Generic AP), которые оператор предоставляет клиенту или клиент согласовывает с оператором связи подсеть и настройки, необходимые для мониторинга;
- Точки доступа клиента (Generic AP), мониторинг которых он осуществляет самостоятельно.
В случае с точками доступа Элтекс доступны все механизмы мониторинга, предоставляемые модулями EMS и Личный Кабинет. К ним относятся:
- Мониторинг доступности по SNMP и ICMP
- Мониторинг аварийных сообщений.
- Мониторинг параметров точки: температура, загрузка процессора, оперативной памяти и др. (подробнее в документации EMS)
- Мониторинг параметров радиоокружения
- Мониторинг радиопараметров подключившихся пользователей
- Мониторинг статистики сети
- Cтатистика пользовательских посещений (ЛК, раздел "Статистика Hotspot")
- Статистика пользовательских сессий (ЛК, раздел "Статистика Hotspot")
- Статистика потребляемого трафика (ЛК, раздел "Статистика Hotspot")
- Статистика повторных посещений (ЛК, раздел "Статистика Hotspot")
В случае с точками доступа других производителей, которые оператор предоставляет клиенту или клиент согласовывает подсеть управления существующих Generic AP, доступно ограниченное число средств мониторинга:
- Мониторинг доступности по ICMP
- Cтатистика пользовательских посещений (ЛК, раздел "Статистика Hotspot")
- Статистика пользовательских сессий (ЛК, раздел "Статистика Hotspot")
- Статистика потребляемого трафика (ЛК, раздел "Статистика Hotspot")
- Статистика повторных посещений (ЛК, раздел "Статистика Hotspot")
Т.е. в данном случае производится опрос точек доступа по ICMP и ведется статистика их доступности, а также ведется статистика на основании аккаунтинга, приходящего с BRAS. Для того, чтобы получать статистику по конкретной точке, BRAS должен ее идентифицировать: см. раздел "Идентификация элементов системы". Для работы SoftWLC с точками доступа необходимо выделять для управления точками пул IP адресов, а также, VLAN управления точками. Система SoftWLC не производит опрос точек доступа сторонних производителей по SNMP, и не производит мониторинг параметров, получаемых по SNMP.
В случае, если клиент устанавливает, конфигурирует и мониторит точки доступа самостоятельно, а оператору передает только трафик клиентов в согласованных влан - то оператор не выделяет для них пулы IP адресов. Для мониторинга со стороны ENS такие ТД недоступны. Ведется только статистика на основании аккаунтинга, приходящего с BRAS. Для того, чтобы получать статистику по конкретной точке, BRAS должен ее идентифицировать: см. раздел "Идентификация элементов системы".
1.3 Общее взаимодействие элементов системы
Рассмотрим взаимодействие абонента, точки доступа, BRAS и SoftWLC (рис 1.3.1). На данном рисунке приведена диаграмма авторизации нового клиента.
Рис. 1.3.1.
BRAS настроен таким образом, что бы пропускать без авторизации трафик DHCP (udp port 67,68) и DNS запросы (udp 53). Это необходимо для того, что бы пользователь мог получить адрес и выполнить HTTP-get (выполнение которого невозможно без возможности отрезолвить IP-адрес сайта, выполнив DNS-запрос).
Клиент, подключаясь к ТД, высылает DHCP-discover, который передается через через L2 сеть доступа до ESR client, который выполняет инкапсуляцию пакета в GRE и отправляет на ESR BRAS L3. ESR BRAS L3, выполняет функцию DHCP-relay и перенаправляет запрос на DHCP сервер, который выдает адрес клиенту на основании данных поля giaddr field. В качестве gateway указывается адрес ESR. После получения адреса, клиент отправляет любой IP пакет на маршрутизатор, который в свою очередь создает новую «не авторизованную сессию». Происходит попытка авторизации пользователя ПО МАС адресу (так как пользователь новый – авторизация не проходит).
Для возможности идентификации ТД, с которой пришел данный клиент возможно на коммутаторе, к которому подключена ТД в влане клиента настроить добавление option 82. Так же это требует включения на ESR BRAS L3 функции парсинга DHCP-запроса клиентов на наличие в них option 82. В дальнейшем данная информация будет добавляться в radius-трафик по этому клиенту.
Весь трафик пользователя попадает под действие правил «дефолтного» сервиса, обычно в этом режиме для пользователя заблокирована передача любого трафика кроме DHCP и DNS.
После того как пользователь откроет браузер, на ESR BRAS L3 придет HTTP запрос, в ответ на который будет отправлен HTTP 302 Redirect, с параметрами подключения к порталу. Браузер пользователя перенаправит свой запрос на Eltex-Portal и в ответ загрузится стартовая страница для прохождения авторизации. Выбор страницы осуществляется на основании параметра «Bridge-location»,указанному в конфигурации на bridge-интерфейсе ESR. По этому параметру, портал узнает имя страницы и наименование сервисного домена, принадлежащего данному интерфейсу.
Введя номер телефона, пользователь нажмет кнопку «получить пароль». Портал генерирует пароль и создает учетную запись в базе данных с логин/паролем и тарифным планом, с привязкой к сервисному домену. Через Notification GW (NGW) будет осуществлена отправка SMS сообщения с паролем на, указанный пользователем номер телефона.
Пользовать вводит полученный номер телефона на странице подтверждения портала, который отправляет введенные данные на PCRF, который в свою очередь вносит эти данные по пользователю в БД и отправляет команду Account-Loggon на ESR BRAS L3. Маршрутизатор, получив эту команду, выполняет повторную попытку авторизовать сессию пользователя, отправив запрос access-request. Т.к. теперь данные по пользователю есть в БД (логин/пароль/сервисный домен), - то его сессия проходит успешную авторизацию по radius протоколу на PCRF. В ответ PCRF возвращает список сервисов, которые должны быть назначены пользователю. Далее ESR BRAS L3 запрашивает атрибуты сервисов, которые содержат данные квот по времени/трафику, имя URL фильтров, применяет их для пользовательской сессии. После чего пользователю открывается доступ в сеть Интернет, согласно полученным параметрам подключения.
Для трафика пользователя может выполняться фильтрация по URL, IP адресам.
Периодически ESR отправляет accounting пакеты с данными по статистике для сессии клиента и назначенному сервису.
Если клиент отключается от ТД, то по истечении Idle Timeout на ESR BRAS L3 удаляется сессия, отправляется accounting stop на PCRF, для того чтобы зафиксировать время работы клиента и количество переданного/полученного трафика.
При прохождении авторизации на портале, HTTP запросы пользователя проксируются в ESR BRAS L3 , при этом происходит замена Source адреса (USER IP) клиента на адрес ESR BRAS L3 (PROXY IP). Поэтому между ESR BRAS L3 и SoftWLC весь HTTP(S) трафик будет идти с IP адресом ESR BRS L3 а не клиента. Весь остальной трафик будет идти с USER IP адресом.
ЕСли в сервисе, назанченном пользователю после прохождения авториазации есть список URL фильтров - то весь HTTP(S) трафик пользователя проксируются на ESR BRAS L3, при этом происходит замена Source адреса (USER IP) клиента на адрес ESR BRAS L3 (PROXY IP). Поэтому между ESR и NAT весь HTTP(S) трафик будет идти с IP адресом ESR BRAS L3 а не клиента. Весь остальной трафик будет идти с USER IP адресом. При прохождении через NAT, для трафика пользователя будет устанавливаться «Белый» IP адрес NAT.
Начиная с версии ПО ESR 1.11.2 и SOftWLC 1.18 поддержана работа BRAS в VRF. Главной особенностью использования BRAS в VRF является наличие дополнительного инстанса BRAS в VRF, который имеет свои настройки и возможность прослушивать входящие CoA-запросы для BRAS в VRF в дефолтном VRF. При этом для каждого инстанса BRAS будет использоваться свой выделенный CoA порт.
2. Сетевая архитектура
2.1 Общее описание
Общая схема включения приведена ниже, на рис 2.1.1. Используются два ESR BRAS L3, работающие в режиме резервирования Active/Standby. Каждый из них подключен к отдельному роутеру "последней мили" (PE). Каждый ESR BRAS L3 имеет 4 eBGP стыка с соответствующим PE с соответствующим VRF:
- VRF Backbone - используется для управления и взаимодействия между компонентами системы;
- VRF AP - используется для подключения ESR Client, в нем идет передача GRE-трафика до ESR BRAS L3;
- VRF NAT - предназначен для выхода трафика клиентов с сеть Интернет, из этого VRF приходит дефолтный маршрут;
- VRF DPI - предназначен для обеспечения стыка с недефолтным VRF ESR BRAS L3. Это позволяет получит дефолтный маршрут через роутер отличный от используемого для выхода в VRF NAT и направить трафик клиента другим маршрутом через оборудование DPI.
Так же используется стык iBGP между ESR BRAS L3 для обеспечения работоспособности в случае отказа одной из PE. Так же в этом стыке осуществляется резервирование VRRP адресов терминации GRE и дефолтных шлюзов, используемых для адресов управления ESR client и подсети клеинтов. Для недефолтного VRF используется отдельный стык iBGP в этом VRF.
Рис. 2.1.1.
2.2 План адресации
Рассмотрим структуру используемой адресации и подсетей на основе данных, приведенных в таблице 2.2.1:
AS 64603 | VRF | ESR BRAS L3-1 | ESR BRAS L3-2 | |||
назначение | интерфейс / влан | IP адрес | VRRP IP | интерфейс / влан | IP адрес | |
---|---|---|---|---|---|---|
стык с VRF AP (eBGP) | default | gi1/0/1.206 | 100.64.0.34/30 | n/a | gi1/0/1.207 | 100.64.0.38/30 |
стык с VRF backbone (eBGP) | default | gi1/0/1.208 | 100.64.0.42/30 | n/a | gi1/0/1.209 | 100.64.0.46/30 |
стык с VRF NAT (eBGP) | default | gi1/0/1.210 | 100.64.0.50/30 | n/a | gi1/0/1.211 | 100.64.0.54/30 |
внутренний стык с VRF DPI | default | lt 1 | 10.200.200.1/30 | n/a | lt 1 | 10.200.200.5/30 |
терминация GRE трафика от ТД | default | bridge 1 / 101 | 192.168.200.51/28 | 192.168.200.49/32 192.168.200.50/32 | bridge 1 / 101 | 192.168.200.52/28 |
терминация подсети управления ТД | default | bridge 3 / 3 | 198.18.128.2/21 | 198.18.128.1/32 | bridge 3 / 3 | 198.18.128.3/21 |
стыковый адрес с соседним ESR (iBGP) | default | bridge 9 / 9 | 100.64.0.57/30 | n/a | bridge 9 / 9 | 100.64.0.58/30 |
терминация подсети клиентов ТД | default | bridge 10 / 10 | 198.18.192.2/19 | 198.18.140.1/32 | bridge 10 / 10 | 198.18.192.3/19 |
стык с VRF DPI (eBGP в VRF dpi) | dpi | lt 2 | 10.200.200.2/30 | n/a | lt 2 | 10.200.200.6/30 |
внутренний стык с дефолтным VRF | dpi | gi1/0/1.214 | 100.64.0.74/30 | n/a | gi1/0/1.215 | 100.64.0.78/30 |
терминация подсети клиентов ТД в отдельном VRF | dpi | bridge 12 / 12 | 198.19.0.2/19 | bridge 12 / 12 | 198.19.0.3/19 | |
стыковый адрес c соседним ESR (iBGP в VRF dpi) | dpi | bridge 92 / 92 | 100.64.0.97/30 | n/a | bridge 92 / 92 | 100.64.0.98/30 |
Таблица 2.2.1.
Портал.
Необходимо включить флаг «Взаимодействие с BRAS».
Указать пароли для RADIUS COA пакетов, при обмене с ESR/BRAS и SoftWLC (PCRF), пароли указанные в данном разделе должны совпадать с паролями, указанными в конфигурации в конфигурации ESR-1000 и PCRF.
Личный кабинет.
В разделе "Настройки", вкладке "Интеграция" необходимо указать корректно URL PCRF (по умолчанию это localhost с портом 7070). Это необходимо для корректного взаимодействия между PCRF и Личным Кабинетом.
В разделе "Настройки" вкладке "RADIUS клиенты" необходимо добавить в таблицу ESR-1000, выполняющий функции BRAS. После этого RADIUS сервер начнет обрабатывать RADIUS-сообщения от ESR-1000. При добавлении ESR-1000 в таблицу, необходимо указать IP его интерфейса, с которого будут лететь RADIUS пакеты, домен, а также пароль, прописанный также, в конфигурации ESR-1000.
Общая настройка ESR-1000 для работы в режиме BRAS
Добавить в список разрешенных хостов ядра SoftWLC адрес PCRF сервера:
object-group network SoftWLC
ip address-range 10.62.18.20
exit
Добавить адрес RADIUS сервера (PCRF), указать для него ключ безопасности, таймеры обмена и порт 31812, а также source адрес для отправки пакетов:
radius-server host 10.62.18.20
key ascii-text testing123
timeout 10
source-address 10.204.144.1
auth-port 31812
retransmit 5
dead-interval 10
exit
aaa radius-profile bras_radius_servers
radius-server host 10.62.18.20
exit
Добавить в список порт 3799 для обмена RADIUS-COA сообщениями с SoftWLC, указать пароль:
das-server SoftWLC
key ascii-text testing123
port 3799
exit
aaa das-profile bras_das_servers
das-server SoftWLC
exit
Перевести ESR в режим поднятия GRE туннелей по команде с SoftWLC (PCRF сервера), указать настроенный выше профиль взаимодействия при передача COA и RADIUS пакетов
wireless-controller
nas-ip-address 10.204.144.1
data-tunnel configuration radius
aaa das-profile bras_das_servers
aaa radius-profile bras_radius_servers
exit
Добавить в список разрешенных хостов ядра SoftWLC адрес портала:
object-group network SoftWLC
ip address-range 10.62.18.22
exit
Добавить в список портов для внутреннего использования ESR:
object-group service redirect
port-range 3128
port-range 3129
exit
Добавить описание сервиса Интернет, который будет назначаться пользователям после прохождения авторизации:
ip access-list extended INTERNET
rule 10
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
class-map class-internet
match access-group INTERNET
exit
Добавить описание сервиса для не авторизованных пользователей, который будет позволять получать адрес по DHCP и обмен с DNS:
ip access-list extended unauthUSER
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port 68
match destination-port 67
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port any
match destination-port 53
enable
exit
exit
class-map default_rule
match access-group unauthUSER
exit
Добавить описание сервиса для авторизованных пользователей, перенаправляемых на страницу WELCOME портала. Это служебный сервис, который будет позволять пользователю взаимодействовать с порталом:
ip access-list extended WELCOME
rule 1
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 443
enable
exit
rule 2
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 8443
enable
exit
rule 3
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 80
enable
exit
rule 4
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 8080
enable
exit
exit
Указать URL-адрес PCRF сервера для загрузки файлов, содержащих списки URL для фильтрации пользовательского трафика:
subscriber-control filters-server-url http://10.62.18.20:7070/filters/file
Добавить блок конфигурации для взаимодействия с порталом и PCRF серверами, указать созданные ранее профили для обмена COA и RADIUS сообщениями, указать source IP адрес. Сделать привязку к VRRP группе для корректной работы резервирования, включить режим МАС авторизации пользователей. По умолчанию трафик пользователей будет проходить по правилу bypass – unauthUSER (разрешен DHCP и DNS). Описать дефолтный сервис для не авторизованных пользователей, в котором будет разрешен обмен по URL, указанным в файле с именем gosuslugi, а для всех остальных запросов будет выполняться редирект на портал:
subscriber-control
aaa das-profile SoftWLC
aaa sessions-radius-profile bras_radius_servers
aaa services-radius-profile bras_radius_servers
nas-ip-address 10.204.144.1
session mac-authentication
bypass-traffic-acl unauthUSER
vrrp-group 1
default-service
class-map unauthUSER
filter-name remote gosuslugi
filter-action permit
default-action redirect http://10.62.18.22:8080/eltex_portal/
session-timeout 601
exit
enable
exit
Настройка SoftWLC, ESR-1000 и ESR-10 при добавлении нового клиента.
В данном случае, под клиентом подразумевается юр. лицо, с которым оператор заключает договор об оказании услуг. Для того, чтобы завести в систему нового клиента, необходимо:
- Выделить пул IP адресов для клиентской сети
- Выделить пул IP адресов для точек доступа
- Прописать в DHCP сервере связку между MAC точки доступа и ее IP
- Выделить VLAN для идентификации SSID клиента и его точек доступа
- Создать в Личном Кабинете домен
Добавление точек доступа в дерево объектов
Добавление ESR-10 в дерево объектов
Настройка SSID
Установка ограничения скорости на офис
Настройка взаимодействия с RADIUS-server
Добавление сервисов
Добавление тарифа
Создание списка фильтрации URL
Настройка портала
В случае, если оператор предоставляет клиенту собственные точки доступа, то необходимо выделить для их управления отдельный VLAN на ESR-1000 (не попадающий под действие функционала BRAS). На сервере DHCP необходимо прописать связки MAC точек доступа с их IP, чтобы в процессе работы IP не изменялись. Это нужно для корректной работы EMS с точками доступа. Привязка MAC прописывается следующим образом:
host ap1
{
hardware ethernet f0:9f:c2:67:25:f8;
fixed-address 126.0.0.250;
}
Для идентификации SSID и точек доступа необходимо выделить VLAN (см. раздел "Идентификация элементов системы"). Размер пулов IP адресов выбирается исходя из предполагаемого количества абонентов в клиентской сети. Обычно это не более 100 человек на 1 точку доступа.
Далее в Личном Кабинете в разделе "Настройки" добавляем новые домены для объектов нового клиента: SSID, точек доступа, тарифных планов...
Добавление точек доступа в дерево объектов
Для мониторинга доступности, управления ТД они могут быть добавлены в дерево объектов EMS. После создания доменов автоматически в дереве добавятся узлы, для которых тип домена был выбран «АР». Добавляется ТД с типом Generic AP.
В случае, если оператор не предоставляет клиенту точки доступа, а клиент использует собственные точки, мониторинг которых осуществляет самостоятельно, то при добавлении устройств указывается «серый» IP адрес, а в параметрах устройства устанавливается флаг «Выведено из обслуживания». В таком режиме система не будет выполнять контроль доступности устройств (ICMP/SNMP ping). Добавление в систему точек доступа, которые не обслуживаются оператором необходимо для того, чтобы в дальнейшем видеть статистику по абонентским подключениям в разрезе точек доступа.
Добавление ESR-10 в дерево объектов
Настройка SSID
Новый SSID добавляется из меню «Wireless» - «Менеджер SSID» «База SSID». Указывается имя сети, описание, домен, location, VLAN ID.
Location и VLAN ID должны соответствовать, настроенным на ESR/BRAS параметрам конфигурации bridge интерфейса. Параметры Location и VLAN являются общими для ESR-1000 и SoftWLC. С помощью этих параметров ESR-1000 сообщает SoftWLC, с каких SSID и точек доступа идут сообщения абонентов, чтобы SoftWLC правильно записывал и выдавал статистику, а также принимал верные решения по управлению клиентскими сессиями.
Привязка SSID осуществляется к домену, в котором эти SSID будут работать из меню «Wireless» - «Менеджер SSID» - «База SSID»
Установка ограничения скорости на офис
В EMS меню «Администрирование» - «Права и пользователи» - «Домены» выбирается домен узла на который требуется установить ограничение скорости на офис и добавить все SSID этого офиса.
Настройка (добавление SSID) проводится для ВСЕХ офисов всех клиентов, не зависимо требуется ли выполнять ограничение скорости или нет.
Настройка взаимодействия с RADIUS-server
В меню «Администрирование» - «Настройка сервера» - «Системные модули», закладка «radius» указать secret, для взаимодействия с RADIUS-сервером. Соответствующий пароль должен быть указан в конфигурации сервера.
Добавление сервисов
Добавление новых сервисов производится в Личном Кабинете в разделе "Тарифы и Сервисы". Сервис описывает алгоритм обработки трафика пользователя при прохождении их через ESR/BRAS. Необходимо добавить сервис INTERNET, используя который пользователь будет выходить в сеть Интернет после прохождения авторизации.
- Указать произвольное имя сервиса
- Выбрав домен, можно определить область применения данного сервиса.
- Класс трафика «INTERNET» должен соответствовать классу установленному в параметрах конфигурации ESR/BRAS
- Указать интервал отправки RADIUS accounting сообщений для данного сервиса пользователя.
- Установить приоритет для данного сервиса (если для сессии пользователя будет назначено несколько сервисов, на основании приоритета будет выбираться очередность применения правил)
- Действие по умолчанию разрешает передавать любой трафик.
Также необходимо создать служебный сервис, который необходим для корректной работы процедуры авторизации по МАС адресу.
- Указать имя сервиса WELCOME.
- Указать корневой домен, так как это правило будет общее для всех.
- Класс трафика «WELCOM» должен соответствовать классу установленному в параметрах конфигурации ESR/BRAS
- Указать интервал отправки RADIUS accounting сообщений для данного сервиса пользователя.
- Установить приоритет для данного сервиса (если для сессии пользователя будет назначено несколько сервисов, на основании приоритета будет выбираться очередность применения правил)
- Действие по умолчанию будет выполнять редирект на портал для всего трафика на URL
- http://<IP портала>:8080/eltex_portal/welcome
- Для того, чтобы после редиректа пользователю загрузилась страница портала, нужно добавить фильтр с именем «welcome»(описание фильтра будет дано ниже), с действием permit.
Добавление тарифа
Группы сервисов могут быть объединены в тарифный план, в котором описывается последовательность сценариев обработки пользовательского трафика.
Необходимо добавить тариф INTERNET, используя который пользователь будет выходить в сеть Интернет после прохождения авторизации, имя этого тарифа выбирается в конфигурации портала при настройке.
- Указать произвольное имя тарифа
- Указать произвольно описание тарифа
- Указать уникальный код тарифа
- Указать домен, в рамках которого будет действовать данный тариф
- Время жизни сессии – время, в течении которого будет храниться сессия пользователя на ESR/BRAS, рекомендуется не указывать
- Время жизни сессии при бездействии пользователя (idle timeout) – время, по истечении которого сессия будет удалена с ESR/BRAS при неактивности пользователя. Рекомендуется устанавливать меньше или равной времени leases, настроенному на DHCP сервере.
- Количество одновременных сессий пользователей для одной учетной записи рекомендуется не ограничивать.
- Включить сервис INTERNET в список доступных.
Создание списка фильтрации URL
Для фильтрации трафика пользователей по адресу сайта (URL) настраиваются списки, в которых указываются перечень адресов URL.
- Добавить в список адрес портала для обеспечения доступа пользователя к служебной странице welcome
- Указать имя списка welcome, оно должно соответствовать имени указанному в сервисе WELCOME.
- Указать домен, в рамках которого будет действовать фильтр
- Указать тип списка – белый.
- Добавить URL http://<IPпортала>:8080/eltex_portal/
Создание списков интерфейсов ESR/BRAS
В данной таблице осуществляется привязка location интерфейсов ESR к доменам и узлам СУ.
Каждый L3-Bridge интерфейс ESR, участвующий в передаче трафика пользователей содержит идентификатор – location который однозначно соотносится к Captive Portal SoftWLC - SSID интерфейс.
Каждый L2 интерфейс ESR/BRAS (sub.gre или vlan) идентифицирует точку подключения клиента (его домен узла, ssid, ТД) – интерфейс ТД
Добавить описание bridge 1 интерфейса ESR/BRAS (см рисунок 10)
Указать произвольное наименование правила
Указать NAS IP - IP адрес ESR
Установить флаг VRF по умолчанию
Указать Location интерфейса, он должен совпадать с настройкой на bridge интерфейсе ESR/BRAS
Указать сервисный домен SSID, к которому этот интерфейс будет относиться
Указать имя портала, на который будет выполняться редирект пользователя при подключении.
Указать имя SSID которому принадлежит данное правило.
Аналогичные настройки выполняются для всех SSID всех пользователей.
Добавить описание интерфейса ТД, через который подключены пользователи к ESR/BRAS.
Указать произвольное наименование правила
Указать IP адрес ESR/BRAS
Установить флаг VRF по умолчанию
Указать Location интерфейса, он должен совпадать с именем интерфейса ESR/BRAS
Указать сервисный домен SSID, к которому этот интерфейс будет относиться
Указать имя портала, на который будет выполняться редирект пользователя при подключении.
Указать AP домен , в котором располагается ТД
Указать имя ТД, указанное в EMS.
Указать имя SSID которому принадлежит данное правило.
Формат location интерфейса <iftype>1/0/<port>.<vlan> или softgre <index>.<vlan>
Где iftype тип интерфейса , может принимать значения gi или te
port – номер порта, может принимать значение 1..24 или 1..2 (для gi или te соответственно)
index – номер GRE туннеля
Например: gi1/0/1.11, gi1/0/1.20.200 или softgre 1.10
Настройка портала
WEB портал – сервис выполняющий загрузку в браузере пользователя страниц авторизации.
При подключении нового пользователя портал генерирует новую учетную запиц1сь пользователя в базе с определенными атрибутами. В каждом портале требуется выбирать тарифный план, с которым будут генерироваться новые учетные записи
Новый портал создается с параметрами конфигурации дефолтного портала, все картинки, оформление, URL и т.д. копируются с него.
Необходимо указать уникальное Имя портала, это же имя должно быть указано в параметрах конфигурации интерфейсов SSID, выполненных в ЛК (см. выше)
Домен области видимости должен соответствовать домену клиента.
Для каждого пользователя/SSID можно провести кастомизацию портала:
Внешний вид и стили в оформлении
URL для перенаправления и подписи на странице и т.д.
В файле конфигурации /etc/eltex-portal/config.txt, указать URL сайта, на который будет производиться редирект при возникновении таймаута сессии.
Заменить portal.global_redirect_url=http://1.1.1.1,
на portal.global_redirect_url=http://eltex-co.ru
Для каждого портала настраивается индивидуально способ подтверждения данных пользователя.
Указать созданный в личном кабинете тарифный план, и ввести название этого тарифа.
Если выбрать несколько тарифных планов, то при регистрации пользователю будет доступен выбор из списка. В списке будут отображаться наименования указанные в поле «название тарифа на портале». Если тариф выбран один, то пользователю не будет отображаться список тарифов и ему, по умолчанию, будет присваиваться выбранный тарифный план.
Конфигурация ESR-10
На ESR-10 реализована возможность автопровиженинга. ESR-10 на основании информации, получаемой по DHCP может скачать с tftp-сервера файл конфигурации. Для настройки DHCP сервера необходимо:
На DHCP сервере добавить VLAN интерфейс для обмена с DHCP-relay, который служит для выдачи адресов для ESR-10,
sudo vconfig add eth0 1107
sudo ifconfig eth0.1107 192.168.107.100/24
sudo route add -net 192.168.109.0/24 gw 192.168.107.10
В конфигурации DHCP сервера (/etc/dhcp/dhcpd.conf) добавить подсеть созданного выше интерфейса, и подсеть для клиентов. Добавить МАС адрес ESR-10 и указать фиксированный IP, который он будет получать, а также указать адрес TFTP сервера и имя файла конфигурации, который будет загружаться на ESR:
subnet 192.168.107.0 netmask 255.255.255.0 {}
subnet 192.168.109.0 netmask 255.255.255.0 {
option routers 192.168.109.1;
option subnet-mask 255.255.255.0;
option broadcast-address 192.168.109.255;
default-lease-time 600;
max-lease-time 1200;
option domain-name-servers 8.8.8.8;
host ESR-10-OFFICE2USER1 {
option tftp-server-name "192.168.107.100";
option bootfile-name "conf.txt";
hardware ethernet a8:f9:4b:ab:65:e8;
fixed-address 192.168.109.10;
}
МАС адрес на ESR-10 можно получить с этикетки или при подключении по команде из CLI:
show system
Для подключения клиентов в подсети 192.168.100.32/28
#BRIDGE1
subnet 192.168.100.32 netmask 255.255.255.240 {
option routers 192.168.100.33;
option subnet-mask 255.255.255.240;
option broadcast-address 192.168.100.47;
default-lease-time 600;
max-lease-time 1200;
option domain-name-servers 8.8.8.8;
pool {
range 192.168.100.36 192.168.100.46;
}
}
Для подключения клиентов в подсети 192.168.100.48/28
#BRIDGE2
subnet 192.168.100.48 netmask 255.255.255.240 {
option routers 192.168.100.49;
option subnet-mask 255.255.255.240;
option broadcast-address 192.168.100.63;
default-lease-time 600;
max-lease-time 1200;
option domain-name-servers 8.8.8.8;
pool {
range 192.168.100.52 192.168.100.62;
}
}
Для подключения клиентов в подсети 192.168.100.112/28
#BRIGGE5
subnet 192.168.100.112 netmask 255.255.255.240 {
option routers 192.168.100.113;
option subnet-mask 255.255.255.240;
option broadcast-address 192.168.100.127;
default-lease-time 600;
max-lease-time 1200;
option domain-name-servers 8.8.8.8;
pool {
range 192.168.100.116 192.168.100.126;
}
}
Прописать маршрут для клиентской подсети через ESR-1000
sudo route add -net 192.168.100.0/24 gw 192.168.107.10
Перезапуск DHCP сервера для применения конфигурации:
sudo service isc-dhcp-server restart
На tftp сервере создать файл /tftpboot/conf.txt, в котором указать следующую конфигурацию:
Служебные параметры для загрузки файла
#!/usr/bin/clish
#8
Имя устройства:
hostname ESR-10GRE
Создать VLAN (2 – управление, 10 – в него будет попадать трафик пользователей с 3го порта ESR-10, 11 – в него будет попадать трафик пользователей с 4го порта ESR-10)
vlan 2,10-11
exit
Создать зону безопасности firewall
security zone trusted
exit
security zone GRE
exit
Настроить конфигурацию доступа к устройству по протоколу SNMP.
snmp-server
snmp-server community private1 rw
snmp-server community public11 ro
snmp-server host 192.168.107.100
exit
Создать список адресов с которых будет разрешен обмен трафиком с ESR-10 (указать адрес сервера SoftWLC и адрес ESR/BRAS с которым будет подниматься GRE туннель
object-group network MNG
ip address-range 192.168.109.1-192.168.109.4
ip address-range 192.168.107.100
exit
Создать интерфейс bridge 1 – на нем запустить DHCP клиента, для получения адреса. C этого адреса будет подниматься GRE туннель. Для ограничения доступа на нем включен firewall
bridge 1
description "TunnelIP"
vlan 2
ip address dhcp
ip dhcp client ignore router
security-zone GRE
enable
exit
Создать интерфейс bridge2, через который будут идти все пользовательские данные
bridge 2
description "UserDATA"
enable
exit
Создать интерфейс bridge3, через который будет производиться управление ESR-10
bridge 3
description "MNGESR10"
security-zone trusted
ip address dhcp
enable
exit
Настроить порт 1 в режиме access – весь принимаемый трафик будет помечаться VLAN ID2 , что позволит передать его в bridge 2 интерфейс.
interface gigabitethernet 1/0/1
switchport access vlan 2
exit
Настроить порт 2 в режиме trunk, весь принятый трафик с данного порта будет передан в bridge 2 и далее в GRE туннель. Тегированный трафик будет передаваться как есть (дополнительно прописывать vlan не требуется), не тегированный трафик будет передаваться без тега в GRE туннеле.
interface gigabitethernet 1/0/2
switchport mode trunk
bridge-group 2
exit
Настроить порт 3 в режиме access. Тегированный трафик не будет проходить через данный порт, для не тегированного трафика будет добавляться VLANID10 , и с ним передаваться через bridge 1 в GRE туннель
interface gigabitethernet 1/0/3
switchport access vlan 10
bridge-group 2 tagged
exit
Настроить порт 4 в режиме access. Тегированный трафик не будет проходить через данный порт, для не тегированного трафика будет добавляться VLANID11 , и с ним передаваться через bridge 1в GRE туннель
interface gigabitethernet 1/0/4
switchport access vlan 11
bridge-group 2 tagged
exit
Создать GRE туннель 1, установить максимальный размер MTU 1458 байт (так как при передаче в GRE туннеле для пакетов добавляются заголовки Ethernet 14 байт , VLAN – 4 байта, IP- 20 байт, GRE – 4 байта), установть режим работы L2GRE – Ethernet, привязать к bridge интерфейсу 1, по которому будет передаваться клиентский трафик, source адрес GRE туннеля будет браться с bridge 2 интерфейса, адрес удаленного ESR/BRAS 192.168.109.1
tunnel gre 1
mtu 1458
mode ethernet
local interface bridge 1
remote address 192.168.109.1
enable
exit
tunnel gre 1.1
bridge-group 3
snmp init-trap
enable
exit
tunnel gre 2
mtu 1458
mode ethernet
bridge-group 2
local interface bridge 1
remote address 192.168.109.2
enable
exit
Включить ssh сервер, для возможности удаленного подключения к устройству
ip ssh server
Описать правила приема трафика из зоны trusted на host ESR-10, позволяющее принимать любой трафик с IP адресов указанных в списке MNG.
security zone-pair trusted self
rule 10
action permit
match protocol any
match source-address MNG
match destination-address any
enable
exit
exit
security zone-pair GRE self
rule 10
action permit
match protocol any
match source-address MNG
match destination-address any
enable
exit
exit
Настройка интеграции с HotWiFi
Интеграция решения Элтекс с Hotwifi производится исключительно с помощью функционала BRAS на ESR-1000. Точки доступа Элтекс интеграцию с Hotwifi не поддерживают.
Сценарий взаимодействия элементов систем приведен ниже:
Для настройки интеграции с Hotwifi необходимо проделать следующие действия:
- Заходим в Личный Кабинет
- Переходим в меню Настойки → Списки URL, создаем список URL "test_wifi".
Список должен содержать адрес портала http://192.168.107.213:8080/eltex_portal/ и URL для корректной работы рекламной площадки HotWiFi
Пример списка:
URL:
http://192.168.107.213:8080/eltex_portal/
http://connectivitycheck.gstatic.com/generate_204/
https://connectivitycheck.gstatic.com/generate_204/
Шаблоны:
^((https|http):\/\/)(.+\.)?abs\.twimg\.com
^((https|http):\/\/)(.+\.)?accounts\.google\.com
^((https|http):\/\/)(.+\.)?api\.instagram\.com
^((https|http):\/\/)(.+\.)?apple\.com
^((https|http):\/\/)(.+\.)?captive\.apple\.com
^((https|http):\/\/)(.+\.)?facebook\.com
^((https|http):\/\/)(.+\.)?facebook\.net
^((https|http):\/\/)(.+\.)?fbcdn\.net
^((https|http):\/\/)(.+\.)?fbstatic-a\.akamaihd\.net
^((https|http):\/\/)(.+\.)?googleapis\.com
^((https|http):\/\/)(.+\.)?googleusercontent\.com
^((https|http):\/\/)(.+\.)?hot-wifi\.ru
^((https|http):\/\/)(.+\.)?inkedin\.com
^((https|http):\/\/)(.+\.)?instagram\.c10r\.facebook\.com
^((https|http):\/\/)(.+\.)?instagram\\.com
^((https|http):\/\/)(.+\.)?licdn\.com
^((https|http):\/\/)(.+\.)?oauth\.vk\.com
^((https|http):\/\/)(.+\.)?odnoklassniki\.ru
^((https|http):\/\/)(.+\.)?ok\.ru
^((https|http):\/\/)(.+\.)?top-fwz1\.mail\.ru
^((https|http):\/\/)(.+\.)?twimg\.com
^((https|http):\/\/)(.+\.)?twitter\.com
^((https|http):\/\/)(.+\.)?userapi\.com
^((https|http):\/\/)(.+\.)?userapi\\.com
^((https|http):\/\/)(.+\.)?vk\.com
^((https|http):\/\/)(.+\.)?vk\.me
^((https|http):\/\/)(.+\.)?wifiworld\.me
^((https|http):\/\/)(.+\.)?www\.instagram\.com
^((https|http):\/\/)(.+\.)gosuslugi\.ru
^((https|http):\/\/)api\.instagram\.com
^((https|http):\/\/)cdn\.hot-wifi\.ru
^((https|http):\/\/)cp\.hot-wifi\.ru
^((https|http):\/\/)fbstatic-a\.akamaihd\.net
^((https|http):\/\/)instagram\.c10r\.facebook\.commail
^((https|http):\/\/)instagram\.com
^((https|http):\/\/)mc\.yandex\.ru
^((https|http):\/\/)platform\.linkedin\.com
^((https|http):\/\/)ssl\.gstatic\.com
^((https|http):\/\/)static\.licdn\.com
^((https|http):\/\/)www\.instagram\.com
^((https|http):\/\/)www\.linkedin\.com
^((https|http):\/\/)auth-pro\.wifi\.rt\.ru
Актуальный список можно получить по URL http://be.hot-wifi.ru/api/walledgarden/get, но для загрузки его нужно привести к нужному виду, как в примере. - Переходим в меню Сервисы и тарифы → Cервисы PCRF, создаем сервис servhot (любое имя)
Класс трафика: WELCOME (Имя должно совпадать с классом трафика в конфигурации ESR-1000)
Действие по умолчанию: redirect
URL по умолчанию : http://192.168.107.213:8080/eltex_portal/adv-redirect
Фильтр
Действие: permit
Имя фильтра: test_wifi - Переходим в меню Сервисы и тарифы → Тарифы, выбираем фильтр PCRF/BRAS, создаем тарифный план hotwifitp с сервисом servhot
- Переходим в Конструктор порталов
- Создаем портал, переходим в меню "Рекламные площадки", активируем настройку "Включить интеграцию"
- Выбираем рекламную площадку Hot WiFi, заполняем поля
Адрес: адрес в формате http://oauth.hot-wifi.ru, предоставляется сотрудниками Hot WiFi
ID клиента: идентификатор клиента, предоставляется сотрудниками Hot WiFi
Рекламный тарифный план BRAS: выбираем тарифный план созданный в п.4
Тарифный план BRAS после прохождения рекламы: любой тарифный план
Интеграция с HotWiFi работает только в схеме с BRAS. Если активирована рекламная площадка, используются тарифный планы из меню "Рекламные площадки", остальные тарифный планы будут игнорироваться.
Пример перенастройки ESR
Исходная конфигурация ESR (на примере ESR1 филиала Казань)
ip firewall sessions allow-unknown
hostname KAZN-ESR1
tech-support login enable
syslog max-files 3
syslog file-size 512
syslog console debug
syslog monitor none
object-group service telnet
port-range 23
exit
object-group service ssh
port-range 22
exit
object-group service dhcp_server
port-range 67
exit
object-group service dhcp_client
port-range 68
exit
object-group service ntp
port-range 123
exit
object-group service HTTP8080
port-range 8080
exit
object-group service snmp
port-range 161
exit
object-group service sunctun
port-range 1337
exit
object-group service bgp
port-range 179
exit
object-group network AP_GRE
ip prefix 10.203.14.112/28
exit
object-group network INTERNET
ip prefix 100.122.192.0/22
ip prefix 100.122.196.0/22
ip prefix 100.122.200.0/22
ip prefix 100.122.204.0/22
exit
object-group network MNG
ip prefix 10.204.144.0/23
ip prefix 100.122.192.0/22
ip prefix 100.122.196.0/22
ip prefix 100.122.200.0/22
ip prefix 100.122.204.0/22
exit
object-group network SoftWLC
ip address-range 10.62.18.18
exit
vlan 8
name "FTTX_MNG"
exit
vlan 9
name "Inter-BGP"
exit
vlan 301
name "SSID1"
exit
vlan 303
name "SSID2"
exit
vlan 305
name "SSID3"
exit
vlan 307
name "SSID4"
exit
vlan 1264
name "VRF-AP"
exit
vlan 1268
name "VRF-NAT"
exit
vlan 1266
name "VRF-Backbone"
exit
no spanning-tree
spanning-tree bpdu filtering
security zone trusted
exit
security zone untrusted
exit
security zone user
exit
security zone gre
exit
ip prefix-list AP_GRE
permit object-group AP_GRE
exit
ip prefix-list INTERNET
permit object-group INTERNET
exit
ip prefix-list MNG
permit object-group MNG
exit
route-map INPREF
rule 1
action set local-preference 150
action permit
exit
exit
route-map OUTPREFAP
rule 1
match ip address object-group AP_GRE
action set metric bgp 20
action permit
exit
exit
route-map OUTPREFMNG
rule 1
match ip address object-group MNG
action set metric bgp 20
action permit
exit
exit
route-map OUTPREFINTERNET
rule 1
match ip address object-group INTERNET
action set metric bgp 20
action permit
exit
exit
router bgp 65068
address-family ipv4
router-id 10.203.212.221
neighbor 10.203.212.205
remote-as 12389
prefix-list MNG out
route-map INPREF in
route-map OUTPREFMNG out
enable
exit
neighbor 10.203.212.213
remote-as 12389
prefix-list INTERNET out
route-map INPREF in
route-map OUTPREFINTERNET out
enable
exit
neighbor 10.203.212.222
remote-as 65068
next-hop-self
enable
exit
neighbor 10.203.212.197
remote-as 12389
prefix-list AP_GRE out
route-map INPREF in
route-map OUTPREFAP out
enable
exit
enable
exit
exit
snmp-server
snmp-server community private rw
snmp-server community public ro
snmp-server host 10.62.18.18
exit
snmp-server filter links status
bridge 1
description "AP 1264 GRE Tunnels Termination"
vlan 1264
security-zone gre
ip address 10.203.14.115/28
vrrp id 1
vrrp ip 10.203.14.113
vrrp ip 10.203.14.114
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
enable
exit
bridge 3
description "Management AP"
vlan 8
unknown-unicast-forwarding disable
security-zone trusted
ip address 10.204.144.2/23
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 3
vrrp ip 10.204.144.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 9
description "Inter-BGP"
vlan 9
security-zone untrusted
ip firewall disable
ip address 10.203.212.221/30
enable
exit
bridge 5
description "SSID1"
vlan 301
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.192.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 10
vrrp ip 100.122.192.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 6
description "SSID2"
vlan 303
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.196.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 11
vrrp ip 100.122.196.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 7
description "SSID3"
vlan 305
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.200.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 12
vrrp ip 100.122.200.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 8
description "SSID4"
vlan 307
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.204.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 13
vrrp ip 100.122.204.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
interface gigabitethernet 1/0/1
description "to esr2"
switchport forbidden default-vlan
switchport general allowed vlan add 8-9,301,303,305,307,1264,1266 tagged
spanning-tree disable
exit
interface tengigabitethernet 1/0/1
description "to KAZN-RGR1 xe-0/2/3"
spanning-tree disable
switchport forbidden default-vlan
exit
interface tengigabitethernet 1/0/1.1264
description "VRF AP GRE"
security-zone gre
ip address 10.203.212.198/30
exit
interface tengigabitethernet 1/0/1.1268
description "VRF NAT"
security-zone untrusted
ip address 10.203.212.214/30
exit
interface tengigabitethernet 1/0/1.1266
description "VRF Backbone"
security-zone trusted
ip address 10.203.212.206/30
exit
tunnel softgre 1
mode management
local address 10.203.14.113
default-profile
enable
exit
tunnel softgre 1.1
bridge-group 3
enable
exit
tunnel softgre 2
mode data
local address 10.203.14.114
default-profile
enable
exit
tunnel softgre 2.301
bridge-group 5
enable
exit
tunnel softgre 2.303
bridge-group 6
enable
exit
tunnel softgre 2.305
bridge-group 7
enable
exit
tunnel softgre 2.307
bridge-group 8
enable
exit
security zone-pair gre self
rule 1
action permit
match protocol gre
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol vrrp
match source-address any
match destination-address any
enable
exit
rule 3
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port sunctun
enable
exit
rule 4
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
exit
security zone-pair trusted self
rule 1
action permit
match protocol vrrp
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_server
match destination-port dhcp_server
enable
exit
rule 3
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
rule 4
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
rule 10
action permit
match protocol any
match source-address SoftWLC
match destination-address any
enable
exit
exit
security zone-pair trusted trusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair gre gre
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair user untrusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair user self
rule 1
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
exit
security zone-pair user trusted
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
exit
security zone-pair trusted user
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_server
match destination-port dhcp_client
enable
exit
exit
security zone-pair trusted untrusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
ip dhcp-relay
wireless-controller
peer-address 10.203.14.116
vrrp-group 1
enable
exit
ip telnet server
ip ssh server
clock timezone gmt +3
ntp enable
ntp server 10.62.18.18
exit
Целевая конфигурация ESR
ip firewall sessions allow-unknown
hostname KAZN-ESR1
tech-support login enable
syslog max-files 3
syslog file-size 512
syslog console debug
syslog monitor none
object-group service telnet
port-range 23
exit
object-group service ssh
port-range 22
exit
object-group service dhcp_server
port-range 67
exit
object-group service dhcp_client
port-range 68
exit
object-group service ntp
port-range 123
exit
object-group service HTTP8080
port-range 8080
exit
object-group service snmp
port-range 161
exit
object-group service sunctun
port-range 1337
exit
object-group service bgp
port-range 179
exit
object-group network AP_GRE
ip prefix 10.203.14.112/28
exit
object-group network INTERNET
ip prefix 100.122.192.0/22
ip prefix 100.122.196.0/22
ip prefix 100.122.200.0/22
ip prefix 100.122.204.0/22
exit
object-group network MNG
ip prefix 10.204.144.0/23
ip prefix 100.122.192.0/22
ip prefix 100.122.196.0/22
ip prefix 100.122.200.0/22
ip prefix 100.122.204.0/22
exit
object-group network SoftWLC
ip address-range 10.62.18.18
exit
object-group service redirect
port-range 3128
port-range 3129
exit
object-group network SoftWLC
ip address-range 10.62.18.20
exit
object-group network SoftWLC
ip address-range 10.62.18.22
exit
radius-server host 10.62.18.20
key ascii-text testing123
timeout 10
source-address 10.204.144.1
auth-port 31812
retransmit 5
dead-interval 10
exit
aaa radius-profile bras_radius_servers
radius-server host 10.62.18.20
exit
das-server SoftWLC
key ascii-text testing123
port 3799
exit
aaa das-profile bras_das_servers
das-server SoftWLC
exit
ip access-list extended INTERNET
rule 10
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
ip access-list extended unauthUSER
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port 68
match destination-port 67
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port any
match destination-port 53
enable
exit
exit
ip access-list extended WELCOME
rule 1
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 443
enable
exit
rule 2
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 8443
enable
exit
rule 3
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 80
enable
exit
rule 4
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 8080
enable
exit
exit
class-map class-internet
match access-group INTERNET
exit
class-map default_rule
match access-group unauthUSER
exit
subscriber-control filters-server-url http://10.62.18.20:7070/filters/file
subscriber-control
aaa das-profile SoftWLC
aaa sessions-radius-profile bras_radius_servers
aaa services-radius-profile bras_radius_servers
nas-ip-address 10.204.144.1
session mac-authentication
bypass-traffic-acl unauthUSER
default-service
class-map unauthUSER
filter-name remote gosuslugi
filter-action permit
default-action redirect http://10.62.18.22:8080/eltex_portal/
session-timeout 601
exit
enable
exit
vlan 8
name "FTTX_MNG"
exit
vlan 9
name "Inter-BGP"
exit
vlan 301
name "SSID1"
exit
vlan 303
name "SSID2"
exit
vlan 305
name "SSID3"
exit
vlan 307
name "SSID4"
exit
vlan 1264
name "VRF-AP"
exit
vlan 1268
name "VRF-NAT"
exit
vlan 1266
name "VRF-Backbone"
exit
no spanning-tree
spanning-tree bpdu filtering
security zone trusted
exit
security zone untrusted
exit
security zone user
exit
security zone gre
exit
ip prefix-list AP_GRE
permit object-group AP_GRE
exit
ip prefix-list INTERNET
permit object-group INTERNET
exit
ip prefix-list MNG
permit object-group MNG
exit
route-map INPREF
rule 1
action set local-preference 150
action permit
exit
exit
route-map OUTPREFAP
rule 1
match ip address object-group AP_GRE
action set metric bgp 20
action permit
exit
exit
route-map OUTPREFMNG
rule 1
match ip address object-group MNG
action set metric bgp 20
action permit
exit
exit
route-map OUTPREFINTERNET
rule 1
match ip address object-group INTERNET
action set metric bgp 20
action permit
exit
exit
router bgp 65068
address-family ipv4
router-id 10.203.212.221
neighbor 10.203.212.205
remote-as 12389
prefix-list MNG out
route-map INPREF in
route-map OUTPREFMNG out
enable
exit
neighbor 10.203.212.213
remote-as 12389
prefix-list INTERNET out
route-map INPREF in
route-map OUTPREFINTERNET out
enable
exit
neighbor 10.203.212.222
remote-as 65068
next-hop-self
enable
exit
neighbor 10.203.212.197
remote-as 12389
prefix-list AP_GRE out
route-map INPREF in
route-map OUTPREFAP out
enable
exit
enable
exit
exit
snmp-server
snmp-server community private rw
snmp-server community public ro
snmp-server host 10.62.18.18
exit
snmp-server filter links status
bridge 1
description "AP 1264 GRE Tunnels Termination"
vlan 1264
security-zone gre
ip address 10.203.14.115/28
vrrp id 1
vrrp ip 10.203.14.113
vrrp ip 10.203.14.114
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
enable
exit
subscriber-control
vrrp-group 1
exit
bridge 3
description "Management AP"
vlan 8
unknown-unicast-forwarding disable
security-zone trusted
ip address 10.204.144.2/23
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 3
vrrp ip 10.204.144.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 9
description "Inter-BGP"
vlan 9
security-zone untrusted
ip firewall disable
ip address 10.203.212.221/30
enable
exit
bridge 5
description "SSID1"
vlan 301
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.192.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 10
vrrp ip 100.122.192.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 6
description "SSID2"
vlan 303
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.196.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 11
vrrp ip 100.122.196.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 7
description "SSID3"
vlan 305
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.200.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 12
vrrp ip 100.122.200.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 8
description "SSID4"
vlan 307
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.204.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 13
vrrp ip 100.122.204.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 5
location SSID1[1]
exit
bridge 6
location SSID2
exit
bridge 7
location SSID3
exit
bridge 8
location SSID4
exit
object-group network MNG
ip prefix 100.122.208.0/24[2]
exit
object-group network INTERNET
ip prefix 100.122.208.0/24
exit
bridge 10
description "SSID5"
vlan 309
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.208.2/24
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 14
vrrp ip 100.122.208.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
location SSID5
service-subscriber-control any
exit
interface gigabitethernet 1/0/1
description "to esr2"
switchport forbidden default-vlan
switchport general allowed vlan add 8-9,301,303,305,307,1264,1266 tagged
spanning-tree disable
exit
interface tengigabitethernet 1/0/1
description "to KAZN-RGR1 xe-0/2/3"
spanning-tree disable
switchport forbidden default-vlan
exit
interface tengigabitethernet 1/0/1.1264
description "VRF AP GRE"
security-zone gre
ip address 10.203.212.198/30
exit
interface tengigabitethernet 1/0/1.1268
description "VRF NAT"
security-zone untrusted
ip address 10.203.212.214/30
exit
interface tengigabitethernet 1/0/1.1266
description "VRF Backbone"
security-zone trusted
ip address 10.203.212.206/30
exit
tunnel softgre 1
mode management
local address 10.203.14.113
default-profile
enable
exit
tunnel softgre 1.1
bridge-group 3
enable
exit
tunnel softgre 2
mode data
local address 10.203.14.114
default-profile
enable
exit
tunnel softgre 2.301
bridge-group 5
enable
exit
tunnel softgre 2.303
bridge-group 6
enable
exit
tunnel softgre 2.305
bridge-group 7
enable
exit
tunnel softgre 2.307
bridge-group 8
enable
exit
security zone-pair gre self
rule 1
action permit
match protocol gre
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol vrrp
match source-address any
match destination-address any
enable
exit
rule 3
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port sunctun
enable
exit
rule 4
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
exit
security zone-pair trusted self
rule 1
action permit
match protocol vrrp
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_server
match destination-port dhcp_server
enable
exit
rule 3
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
rule 4
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
rule 10
action permit
match protocol any
match source-address SoftWLC
match destination-address any
enable
exit
exit
security zone-pair trusted trusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair gre gre
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair user untrusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair user self
rule 1
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
exit
security zone-pair user trusted
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
exit
security zone-pair trusted user
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_server
match destination-port dhcp_client
enable
exit
exit
security zone-pair trusted untrusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
ip dhcp-relay
wireless-controller
peer-address 10.203.14.116
vrrp-group 1
enable
exit
wireless-controller
nas-ip-address 10.204.144.1
data-tunnel configuration radius
aaa das-profile bras_das_servers
aaa radius-profile bras_radius_servers
exit
ip telnet server
ip ssh server
clock timezone gmt +3
ntp enable
ntp server 10.62.18.18
exit
Резервирование ESR/BRAS
Резервирование по протоколу VRRP
Логическая схема резервирования ESR/BRAS
Для резервирования ESR/BRAS используется протокол VRRP.
ESR включаются в стек коммутаторов на которые подключены все пользовательские VLAN, а так же VLAN для доступа к SoftWLC и к NAT оператора.
На оба ESR приходят все VLAN, таким образом резервируются:
- ESR/BRAS,
- порты, через которые подключены маршрутизаторы
- коммутатор, в который включен ESR.
Сетевая схема резервирования ESR/BRAS
В VLAN X - MNG происходит управление ESR, в нем настраивается адрес VRRP. Весь служебный трафик передается с VRRP IP адресов ESR, по ним же происходит подключение для управления с СУ.
В VLAN Y - NAT происходит передача трафика в сеть Интернет для клиентов. VRRP адрес используется как адрес шлюза для подсетей, в которых работают клиенты.
Клиенты работающие в VLAN xx и VLAN zz включаются в общий бридж. Для них адресом шлюза будет являться VRRP адрес интерфейса BR1. Аналогично, для клиентов из VLAN yy и qq адресом шлюза является VRRP IP адрес интерфейса BR2.
Таки образом со стороны сети будут использоваться только VRRP адреса ESR для передачи трафика. При возникновении аварии, например отключении питания на ESR1 VRRP адрес назначается на рабочий (доступный) ESR2 и сеть продолжает работать. При этом переключении для клиентов IP и МАС адрес шлюза не изменится, а трафик будет передаваться через ESR2.
Во время работы функции BRAS на ESR (master) создаются клиентские сессии, отправляется данные accounting на PCRF, в тот же момент времени на ESR (slave) сессии не созданы, данных по статистике нет. При возникновении аварии, VRRP адрес переключается на ESR2, и на маршрутизаторе запускается процедура МАС авторизации, создаются все сессии.
GRE туннели поднимаются на VRRP IP адрес ESR/BRAS (master). Резервный ESR постоянно синхронизируются список туннелей с мастером. При возникновении аварии, VRRP адрес переключается на ESR2, на котором уже созданы все GRE туннели, трафик поступает на соответствующие bridge интерфейсы. На маршрутизаторе запускается процедура МАС авторизации.
Резервирование по протоколу BGP для L3 схемы включения
Схема организации связи
Пример реализации отказоустойчивой сети с резервированием ESR, изображен на рисунке выше.
Точки доступа «Элтекс», размещаемые у клиента, позволяют передавать трафик через L3 сеть доступа оператора к ESR/BRAS. Трафик пользователей и управления передается в GRE туннелях.
Точки доступа сторонних производителей для подключения к L3 сети доступа используют ESR-10, которые упаковывают весь трафик в GRE туннели, и передают его к ESR/BRAS.
Вся сеть доступа, для включения ТД, объединена в VRF AP-Core.
Выход в сеть Интернет, осуществляется через VRF NAT, в котором расположен NAT.
Сеть управления через VRF Backbone, позволяет организовать связность между ESR и SoftWLC.
ESR включены в разные PE маршрутизаторы, для обеспечения физического резервирования элементов. Так же ESR связаны между собой для обмена служебной информации о списке и статусе GRE туннелей.
Таким образом, при выходе любого PE маршрутизатора или ESR, а также при потере физической или логической связности – система продолжает предоставлять комплекс услуг с минимальным перерывом связи.
Сетевая схема резервирования ESR/BRAS
На примере рисунка выше, на котором изображена схема организации связи на сетевом уровне.
Для подключения ESR к PE используется интерфейс 10GE, на котором расстроено 3 IP интерфейсе для организации BGP соединений в 3 соответствующих VRF:
AP-Core – VPN, в котором осуществляется включение всех точек доступа. По нему идет весь обмен между ТД и ESR.
Backbone – VPN управления, в нем происходит передача всего трафика управления и мониторинга ESR и ТД, так же через него получают адреса по DHCP устройства клиента.
NAT – VPN через который осуществляется выход в сеть Интернет, используя NAT оператора.
Через VRF AP-Core на ESR принимается маршрут для сети, в которой ESR-10 или ТД «Элтекс» получили первичные адреса. В этот же VRF с ESR анонсируется подсеть в которой расположены адреса для поднятия GRE туннелей.
Через VRF Backbone на ESR принимается маршрут для сети, в которой расположены сервера SoftWLC (EMS, DHCP). В этот же VRF с ESR анонсируется подсеть управление ESR, управление ТД «Элтекс», и подсети клиентов (для получения адресов по DHCP от клиента).
Через VRF NAT на ESR принимается маршрут 0.0.0.0/0. В этот же VRF с ESR анонсируется клиентские подсети для прохождения трафика в сеть Интернет.
Оба ESR находятся в одной автономной системе, и обмениваются маршрутной информацией по iBGP. Интерфейсом для взаимодействия служит интерфейс Bridge 9. Физическое подключение рекомендуется выполнять через Port Channel, тем самым обеспечивается резервирование данного канала и увеличивается пропускная способность соединения.
При доступности PE master он будет лучшим маршрутом для обоих ESR, при его недоступности трафик пойдет через PE backup.