Для использования функционала BRAS в схеме включения L3 можно использовать сервисные маршрутизаторы Элтекс ESR-100/200/1000/1200/1500/1700. Данный функционал позволяет предоставить возможность идентификации клиентов Wi-Fi, подключающихся к точкам доступа производства различных производителей. В общем виде от BRAS требуются следующие функции:
BRAS является исполнительным механизмом, применяющим определенные политики к абонентскому трафику в соответствии с директивами, которые передаются ему от вышестоящей системы SoftWLC, в которой как раз принимаются решения на основании данных, передаваемых BRAS. В составе SoftWLC с BRAS взаимодействуют и пересылают ему директивы по работе с абонентами 2 модуля: PCRF и Портал.
Для того, чтобы различать абонентов между собой BRAS-у требуется какой-либо идентификатор, однозначно идентифицирующий абонента. Этим идентификатором является MAC абонентского устройства. Поэтому необходимо, чтобы на BRAS попадал трафик, с MAC-заголовками клиентов. Для этого необходимо обеспечить между абонентом и BRAS L2-сеть или, же пробросить абонентский трафик до BRAS внутри VPN через L3-инфраструктуру оператора. Для организации такого VPN в сети клиента устанавливается маршрутизатор ESR-10/20/100/200, который поднимает GRE-туннели до ESR-100/200/1000/1200/1500/1700, которые могут работать в режиме Wireless-Controller (подробнее о данном режиме можно прочитать в Настройка ESR при подключении ТД через L3 сеть доступа (схема WiFi L3)). Точки доступа Eltex так же могут строить GRE-туннели, что делает возможным их подключение к BRAS через L3-инфраструктуру оператора без дополнительной установки ESR-10/20/100/200. Ниже, на рис. 1.1.1 приведена общая схема включения:
Рис. 1.1.1.
ESR могут выступать в роли:
Ниже, в таблице 1.1 приведены типы ESR и возможные выполняемые ими роли:
| Тип ESR | ESR BRAS L3 | ESR Client |
|---|---|---|
| ESR-10 | - | + |
| ESR-20 | - | + |
| ESR-100 | + | + |
| ESR-200 | + | + |
| ESR-1000 | + | - |
| ESR-1200 | + | - |
| ESR-1500 | + | - |
| ESR-1700 | + | - |
Таблица 1.1.
ТД сторонних производителей далее будут называться "Generic AP".
Схема включения ТД сторонних производителей через инфраструктуру L3 оператора с использованием ESR Client для инкапсуляции трафика клиента в GRE называется "Интероперабельность", или сокращено "Interop".
Кроме идентификации абонента необходимо также понимать, к какому SSID клиент подключился, к какой точке доступа, в каком офисе. Для этого необходимо идентифицировать эти объекты.
С учетом передачи трафика между абонентом и BRAS по L2-сети таким идентификатором является VLAN. В результате, чтобы BRAS отличил трафик одного SSID от трафика другого SSID, нужно трафик одного SSID передавать в одном VLAN, например, 10, а трафик другого SSID - в другом, например, 11. Но если каждый из этих SSID будет настроены на 2 точках доступа, то BRAS на основании 10 и 11 VLAN сможет отличить SSID друг от друга, а вот понять, с какой точки доступа идет трафик - нет. Поэтому для идентификации точек доступа необходимо внедрять дополнительные VLAN: SSID1 на ТД1 - 10 VLAN, SSID2 на ТД2 - 11 VLAN, SSID1 на ТД2 - 12 VLAN, SSID2 на ТД2 - 13 VLAN. Тогда, если на BRAS придет трафик из 12 VLAN, то BRAS поймет, что это трафик абонента, подключившегося к SSID1 на второй точке доступа.
Так же существует возможность идентификации клиентов, подключенных к разным ТД, SSID которых передается в одинаковом влан, при добавлении option 82 в DHCP запросы клиентов на портах коммутатора, через который данные ТД подключены к ESR Client. Начиная с версии ПО 1.11.2 ESR, реализован функционал, анализирующий такие пакеты и обогащающий ими radius трафик в формате, определенном в RFC4679.
Существует 3 группы точек доступа:
В случае с точками доступа Элтекс доступны все механизмы мониторинга, предоставляемые модулями EMS и Личный Кабинет. К ним относятся:
В случае с точками доступа других производителей, которые оператор предоставляет клиенту или клиент согласовывает подсеть управления существующих Generic AP, доступно ограниченное число средств мониторинга:
Т.е. в данном случае производится опрос точек доступа по ICMP и ведется статистика их доступности, а также ведется статистика на основании аккаунтинга, приходящего с BRAS. Для того, чтобы получать статистику по конкретной точке, BRAS должен ее идентифицировать: см. раздел "Идентификация элементов системы". Для работы SoftWLC с точками доступа необходимо выделять для управления точками пул IP адресов, а также, VLAN управления точками. Система SoftWLC не производит опрос точек доступа сторонних производителей по SNMP, и не производит мониторинг параметров, получаемых по SNMP.
В случае, если клиент устанавливает, конфигурирует и мониторит точки доступа самостоятельно, а оператору передает только трафик клеинтов в согласованных влан - то оператор не выделяет для них пулы IP адресов. Для мониторинга со стороны ENS такие ТД недоступны1. Ведется только статистика на основании аккаунтинга, приходящего с BRAS. Для того, чтобы получать статистику по конкретной точке, BRAS должен ее идентифицировать: см. раздел "Идентификация элементов системы".
Рассмотрим взаимодействие абонента, точки доступа, BRAS и SoftWLC (рис 1.3.1):
Рис. 1.3.1.
Абонент, подключаясь к точке доступа, высылает DHCP Discover, который передается через L2 сеть доступа оператора (или в GRE) на ESR/BRAS. ESR, выполняет функцию DHCP-relay, перенаправляет запрос на DHCP сервер, который выдает адрес клиенту на основании данных поля giaddr field. В качестве GW указывается адрес ESR. После получения адреса, клиент отправляет любой IP пакет на маршрутизатор, который в свою очередь создает новую «не авторизованную сессию». Затем ESR запрашивает на SoftWLC параметры канала для данного vlan-интерфейса (шейпера, наименование домена и тд.). Происходит попытка авторизации пользователя ПО МАС адресу (так как пользователь новый – авторизация не проходит).
Весь трафик пользователя попадает под действие правил «дефолтного» сервиса, обычно в этом режиме для пользователя заблокирована передача любого трафика кроме DHCP и DNS.
После того как пользователь откроет браузер, на ESR придет HTTP запрос, в ответ на который будет отправлен HTTP 302 Redirect, с параметрами подключения к порталу. Браузер пользователя перенаправит свой запрос на WEB-portal, в ответ загрузится стартовая страница для прохождения авторизации. Выбор страницы осуществляется на основании параметра «Bridge-location»,указанному в конфигурации на bridge-интерфейсе ESR. По этому параметру, портал узнает имя страницы и наименование сервисного домена, принадлежащего данному интерфейсу.
Введя номер телефона, пользователь нажмет кнопку «получить пароль». Портал генерирует пароль и создает учетную запись в базе данных с логин/паролем и тарифным планом, с привязкой к сервисному домену. Через Notification GW будет осуществлена отправка SMS сообщения с паролем на, указанный пользователем, номер телефона.
Пользовать вводит полученный номер телефона на странице подтверждения WEB портала, который отправляет введенные данные на ESR/BRAS. Маршрутизатор используя полученные логин/пароль/сервисный домен, проводит авторизацию пользователя по RADIUS на PCRF. В ответ PCRF возвращает список сервисов, которые должны быть назначены пользователю. Далее ESR запрашивает атрибуты сервисов, которые содержат данные квот по времени/трафику, имя URL фильтров, применяет их для пользовательской сессии. После чего пользователю открывается доступ в сеть Интернет, согласно полученным параметрам подключения.
Для трафика пользователя может выполняться фильтрация по URL, IP адресам.
Периодически ESR отправляет accounting пакеты с данными по статистике для сессии клиента и назначенному сервису.
Если клиент отключается от ТД, то по истечении Idle Timeout на ESR удаляется сессия, отправляется accounting stop на PCRF, для того чтобы зафиксировать время работы клиента и количество переданного/полученного трафика.
При прохождении авторизации на WEB портале, HTTP запросы пользователя проксируются в ESR, при этом происходит замена Source адреса (USER IP) клиента на адрес ESR (PROXY IP). Поэтому между ESR и SoftWLC весь HTTP(S) трафик будет идти с IP адресом ESR а не клиента. Весь остальной трафик будет идти с USER IP адресом.
После прохождения авторизации HTTP(S) трафик пользователя проксируются в ESR, при этом происходит замена Source адреса (USER IP) клиента на адрес ESR (PROXY IP). Поэтому между ESR и NAT весь HTTP(S) трафик будет идти с IP адресом ESR а не клиента. Весь остальной трафик будет идти с USER IP адресом. При прохождении через NAT, для трафика пользователя будет устанавливаться «Белый» IP адрес NAT.
Между ESR-1000 и точками доступа поднимаются SoftGRE-туннели сквозь L3-инфраструктуру оператора. От каждой точки доступа формируется два туннеля: Management-туннель для передачи трафика управления и Data-туннель для передачи абонентского трафика.
Внутри Management-туннеля передается трафик управления точкой доступа в отдельной сети управления. Данная подсеть невидима для L3-сегмента оператора, скрываясь за заголовками GRE-туннеля. Внутри Data-туннеля передается абонентский трафик. Этот трафик терминируется на ESR-1000 и далее маршрутизируется в сеть оператора (в сторону его NAT).
Трафик управления от ТД, расположенных у разных клиентов, проходит через GRE туннель на ESR, далее попадает на общий для всех ТД bridge 3 и маршрутизируется к SoftWLC. Трафик пользователей от ТД, расположенных у разных клиентов, проходит через GRE туннель на ESR, далее попадает на bridge 5 или bridge6 интерфейс устройства и маршрутизируется на к NAT. На ТД разных клиентов настроены разноименные SSID, и VLAN у них указан уникальный. ESR выполняет редирект, на указанный в конфигурации портал, только для тех клиентов где требуется взаимодействие с HotWi-Fi. Таким образом, устройства с разных клиентов будут в разных L3 доменах, будут изолированы между собой и проходить авторизацию на разных порталах.
Для того, чтобы SoftWLC смог работать с ESR-1000 в режиме BRAS, необходимо настроить взаимодействие между PCRF, Порталом, Личным Кабинетом и ESR-1000. Для этого в SoftWLC выполняются следующие настройки:
Необходимо включить флаг «Взаимодействие с BRAS».
Указать пароли для RADIUS COA пакетов, при обмене с ESR/BRAS и SoftWLC (PCRF), пароли указанные в данном разделе должны совпадать с паролями, указанными в конфигурации в конфигурации ESR-1000 и PCRF.
В разделе "Настройки", вкладке "Интеграция" необходимо указать корректно URL PCRF (по умолчанию это localhost с портом 7070). Это необходимо для корректного взаимодействия между PCRF и Личным Кабинетом.
В разделе "Настройки" вкладке "RADIUS клиенты" необходимо добавить в таблицу ESR-1000, выполняющий функции BRAS. После этого RADIUS сервер начнет обрабатывать RADIUS-сообщения от ESR-1000. При добавлении ESR-1000 в таблицу, необходимо указать IP его интерфейса, с которого будут лететь RADIUS пакеты, домен, а также пароль, прописанный также, в конфигурации ESR-1000.
Добавить в список разрешенных хостов ядра SoftWLC адрес PCRF сервера:
object-group network SoftWLC
ip address-range 10.62.18.20
exit
Добавить адрес RADIUS сервера (PCRF), указать для него ключ безопасности, таймеры обмена и порт 31812, а также source адрес для отправки пакетов:
radius-server host 10.62.18.20
key ascii-text testing123
timeout 10
source-address 10.204.144.1
auth-port 31812
retransmit 5
dead-interval 10
exit
aaa radius-profile bras_radius_servers
radius-server host 10.62.18.20
exit
Добавить в список порт 3799 для обмена RADIUS-COA сообщениями с SoftWLC, указать пароль:
das-server SoftWLC
key ascii-text testing123
port 3799
exit
aaa das-profile bras_das_servers
das-server SoftWLC
exit
Перевести ESR в режим поднятия GRE туннелей по команде с SoftWLC (PCRF сервера), указать настроенный выше профиль взаимодействия при передача COA и RADIUS пакетов
wireless-controller
nas-ip-address 10.204.144.1
data-tunnel configuration radius
aaa das-profile bras_das_servers
aaa radius-profile bras_radius_servers
exit
Добавить в список разрешенных хостов ядра SoftWLC адрес портала:
object-group network SoftWLC
ip address-range 10.62.18.22
exit
Добавить в список портов для внутреннего использования ESR:
object-group service redirect
port-range 3128
port-range 3129
exit
Добавить описание сервиса Интернет, который будет назначаться пользователям после прохождения авторизации:
ip access-list extended INTERNET
rule 10
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
class-map class-internet
match access-group INTERNET
exit
Добавить описание сервиса для не авторизованных пользователей, который будет позволять получать адрес по DHCP и обмен с DNS:
ip access-list extended unauthUSER
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port 68
match destination-port 67
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port any
match destination-port 53
enable
exit
exit
class-map default_rule
match access-group unauthUSER
exit
Добавить описание сервиса для авторизованных пользователей, перенаправляемых на страницу WELCOME портала. Это служебный сервис, который будет позволять пользователю взаимодействовать с порталом:
ip access-list extended WELCOME
rule 1
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 443
enable
exit
rule 2
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 8443
enable
exit
rule 3
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 80
enable
exit
rule 4
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 8080
enable
exit
exit
Указать URL-адрес PCRF сервера для загрузки файлов, содержащих списки URL для фильтрации пользовательского трафика:
subscriber-control filters-server-url http://10.62.18.20:7070/filters/file
Добавить блок конфигурации для взаимодействия с порталом и PCRF серверами, указать созданные ранее профили для обмена COA и RADIUS сообщениями, указать source IP адрес. Сделать привязку к VRRP группе для корректной работы резервирования, включить режим МАС авторизации пользователей. По умолчанию трафик пользователей будет проходить по правилу bypass – unauthUSER (разрешен DHCP и DNS). Описать дефолтный сервис для не авторизованных пользователей, в котором будет разрешен обмен по URL, указанным в файле с именем gosuslugi, а для всех остальных запросов будет выполняться редирект на портал:
subscriber-control
aaa das-profile SoftWLC
aaa sessions-radius-profile bras_radius_servers
aaa services-radius-profile bras_radius_servers
nas-ip-address 10.204.144.1
session mac-authentication
bypass-traffic-acl unauthUSER
vrrp-group 1
default-service
class-map unauthUSER
filter-name remote gosuslugi
filter-action permit
default-action redirect http://10.62.18.22:8080/eltex_portal/
session-timeout 601
exit
enable
exit
В данном случае, под клиентом подразумевается юр. лицо, с которым оператор заключает договор об оказании услуг. Для того, чтобы завести в систему нового клиента, необходимо:
Добавление точек доступа в дерево объектов
Добавление ESR-10 в дерево объектов
Настройка SSID
Установка ограничения скорости на офис
Настройка взаимодействия с RADIUS-server
Добавление сервисов
Добавление тарифа
Создание списка фильтрации URL
Настройка портала
В случае, если оператор предоставляет клиенту собственные точки доступа, то необходимо выделить для их управления отдельный VLAN на ESR-1000 (не попадающий под действие функционала BRAS). На сервере DHCP необходимо прописать связки MAC точек доступа с их IP, чтобы в процессе работы IP не изменялись. Это нужно для корректной работы EMS с точками доступа. Привязка MAC прописывается следующим образом:
host ap1
{
hardware ethernet f0:9f:c2:67:25:f8;
fixed-address 126.0.0.250;
}
Для идентификации SSID и точек доступа необходимо выделить VLAN (см. раздел "Идентификация элементов системы"). Размер пулов IP адресов выбирается исходя из предполагаемого количества абонентов в клиентской сети. Обычно это не более 100 человек на 1 точку доступа.
Далее в Личном Кабинете в разделе "Настройки" добавляем новые домены для объектов нового клиента: SSID, точек доступа, тарифных планов...
Для мониторинга доступности, управления ТД они могут быть добавлены в дерево объектов EMS. После создания доменов автоматически в дереве добавятся узлы, для которых тип домена был выбран «АР». Добавляется ТД с типом Generic AP.
В случае, если оператор не предоставляет клиенту точки доступа, а клиент использует собственные точки, мониторинг которых осуществляет самостоятельно, то при добавлении устройств указывается «серый» IP адрес, а в параметрах устройства устанавливается флаг «Выведено из обслуживания». В таком режиме система не будет выполнять контроль доступности устройств (ICMP/SNMP ping). Добавление в систему точек доступа, которые не обслуживаются оператором необходимо для того, чтобы в дальнейшем видеть статистику по абонентским подключениям в разрезе точек доступа.
Новый SSID добавляется из меню «Wireless» - «Менеджер SSID» «База SSID». Указывается имя сети, описание, домен, location, VLAN ID.
Location и VLAN ID должны соответствовать, настроенным на ESR/BRAS параметрам конфигурации bridge интерфейса. Параметры Location и VLAN являются общими для ESR-1000 и SoftWLC. С помощью этих параметров ESR-1000 сообщает SoftWLC, с каких SSID и точек доступа идут сообщения абонентов, чтобы SoftWLC правильно записывал и выдавал статистику, а также принимал верные решения по управлению клиентскими сессиями.
Привязка SSID осуществляется к домену, в котором эти SSID будут работать из меню «Wireless» - «Менеджер SSID» - «База SSID»
В EMS меню «Администрирование» - «Права и пользователи» - «Домены» выбирается домен узла на который требуется установить ограничение скорости на офис и добавить все SSID этого офиса.
Настройка (добавление SSID) проводится для ВСЕХ офисов всех клиентов, не зависимо требуется ли выполнять ограничение скорости или нет.
В меню «Администрирование» - «Настройка сервера» - «Системные модули», закладка «radius» указать secret, для взаимодействия с RADIUS-сервером. Соответствующий пароль должен быть указан в конфигурации сервера.
Добавление новых сервисов производится в Личном Кабинете в разделе "Тарифы и Сервисы". Сервис описывает алгоритм обработки трафика пользователя при прохождении их через ESR/BRAS. Необходимо добавить сервис INTERNET, используя который пользователь будет выходить в сеть Интернет после прохождения авторизации.
Также необходимо создать служебный сервис, который необходим для корректной работы процедуры авторизации по МАС адресу.
Группы сервисов могут быть объединены в тарифный план, в котором описывается последовательность сценариев обработки пользовательского трафика.
Необходимо добавить тариф INTERNET, используя который пользователь будет выходить в сеть Интернет после прохождения авторизации, имя этого тарифа выбирается в конфигурации портала при настройке.
Для фильтрации трафика пользователей по адресу сайта (URL) настраиваются списки, в которых указываются перечень адресов URL.
В данной таблице осуществляется привязка location интерфейсов ESR к доменам и узлам СУ.
Каждый L3-Bridge интерфейс ESR, участвующий в передаче трафика пользователей содержит идентификатор – location который однозначно соотносится к Captive Portal SoftWLC - SSID интерфейс.
Каждый L2 интерфейс ESR/BRAS (sub.gre или vlan) идентифицирует точку подключения клиента (его домен узла, ssid, ТД) – интерфейс ТД
Добавить описание bridge 1 интерфейса ESR/BRAS (см рисунок 10)
Указать произвольное наименование правила
Указать NAS IP - IP адрес ESR
Установить флаг VRF по умолчанию
Указать Location интерфейса, он должен совпадать с настройкой на bridge интерфейсе ESR/BRAS
Указать сервисный домен SSID, к которому этот интерфейс будет относиться
Указать имя портала, на который будет выполняться редирект пользователя при подключении.
Указать имя SSID которому принадлежит данное правило.
Аналогичные настройки выполняются для всех SSID всех пользователей.
Добавить описание интерфейса ТД, через который подключены пользователи к ESR/BRAS.
Указать произвольное наименование правила
Указать IP адрес ESR/BRAS
Установить флаг VRF по умолчанию
Указать Location интерфейса, он должен совпадать с именем интерфейса ESR/BRAS
Указать сервисный домен SSID, к которому этот интерфейс будет относиться
Указать имя портала, на который будет выполняться редирект пользователя при подключении.
Указать AP домен , в котором располагается ТД
Указать имя ТД, указанное в EMS.
Указать имя SSID которому принадлежит данное правило.
Формат location интерфейса <iftype>1/0/<port>.<vlan> или softgre <index>.<vlan>
Где iftype тип интерфейса , может принимать значения gi или te
port – номер порта, может принимать значение 1..24 или 1..2 (для gi или te соответственно)
index – номер GRE туннеля
Например: gi1/0/1.11, gi1/0/1.20.200 или softgre 1.10
WEB портал – сервис выполняющий загрузку в браузере пользователя страниц авторизации.
При подключении нового пользователя портал генерирует новую учетную запиц1сь пользователя в базе с определенными атрибутами. В каждом портале требуется выбирать тарифный план, с которым будут генерироваться новые учетные записи
Новый портал создается с параметрами конфигурации дефолтного портала, все картинки, оформление, URL и т.д. копируются с него.
Необходимо указать уникальное Имя портала, это же имя должно быть указано в параметрах конфигурации интерфейсов SSID, выполненных в ЛК (см. выше)
Домен области видимости должен соответствовать домену клиента.
Для каждого пользователя/SSID можно провести кастомизацию портала:
Внешний вид и стили в оформлении
URL для перенаправления и подписи на странице и т.д.
В файле конфигурации /etc/eltex-portal/config.txt, указать URL сайта, на который будет производиться редирект при возникновении таймаута сессии.
Заменить portal.global_redirect_url=http://1.1.1.1,
на portal.global_redirect_url=http://eltex-co.ru
Для каждого портала настраивается индивидуально способ подтверждения данных пользователя.
Указать созданный в личном кабинете тарифный план, и ввести название этого тарифа.
Если выбрать несколько тарифных планов, то при регистрации пользователю будет доступен выбор из списка. В списке будут отображаться наименования указанные в поле «название тарифа на портале». Если тариф выбран один, то пользователю не будет отображаться список тарифов и ему, по умолчанию, будет присваиваться выбранный тарифный план.
На ESR-10 реализована возможность автопровиженинга. ESR-10 на основании информации, получаемой по DHCP может скачать с tftp-сервера файл конфигурации. Для настройки DHCP сервера необходимо:
На DHCP сервере добавить VLAN интерфейс для обмена с DHCP-relay, который служит для выдачи адресов для ESR-10,
sudo vconfig add eth0 1107
sudo ifconfig eth0.1107 192.168.107.100/24
sudo route add -net 192.168.109.0/24 gw 192.168.107.10
В конфигурации DHCP сервера (/etc/dhcp/dhcpd.conf) добавить подсеть созданного выше интерфейса, и подсеть для клиентов. Добавить МАС адрес ESR-10 и указать фиксированный IP, который он будет получать, а также указать адрес TFTP сервера и имя файла конфигурации, который будет загружаться на ESR:
subnet 192.168.107.0 netmask 255.255.255.0 {}
subnet 192.168.109.0 netmask 255.255.255.0 {
option routers 192.168.109.1;
option subnet-mask 255.255.255.0;
option broadcast-address 192.168.109.255;
default-lease-time 600;
max-lease-time 1200;
option domain-name-servers 8.8.8.8;
host ESR-10-OFFICE2USER1 {
option tftp-server-name "192.168.107.100";
option bootfile-name "conf.txt";
hardware ethernet a8:f9:4b:ab:65:e8;
fixed-address 192.168.109.10;
}
МАС адрес на ESR-10 можно получить с этикетки или при подключении по команде из CLI:
show system
Для подключения клиентов в подсети 192.168.100.32/28
#BRIDGE1
subnet 192.168.100.32 netmask 255.255.255.240 {
option routers 192.168.100.33;
option subnet-mask 255.255.255.240;
option broadcast-address 192.168.100.47;
default-lease-time 600;
max-lease-time 1200;
option domain-name-servers 8.8.8.8;
pool {
range 192.168.100.36 192.168.100.46;
}
}
Для подключения клиентов в подсети 192.168.100.48/28
#BRIDGE2
subnet 192.168.100.48 netmask 255.255.255.240 {
option routers 192.168.100.49;
option subnet-mask 255.255.255.240;
option broadcast-address 192.168.100.63;
default-lease-time 600;
max-lease-time 1200;
option domain-name-servers 8.8.8.8;
pool {
range 192.168.100.52 192.168.100.62;
}
}
Для подключения клиентов в подсети 192.168.100.112/28
#BRIGGE5
subnet 192.168.100.112 netmask 255.255.255.240 {
option routers 192.168.100.113;
option subnet-mask 255.255.255.240;
option broadcast-address 192.168.100.127;
default-lease-time 600;
max-lease-time 1200;
option domain-name-servers 8.8.8.8;
pool {
range 192.168.100.116 192.168.100.126;
}
}
Прописать маршрут для клиентской подсети через ESR-1000
sudo route add -net 192.168.100.0/24 gw 192.168.107.10
Перезапуск DHCP сервера для применения конфигурации:
sudo service isc-dhcp-server restart
На tftp сервере создать файл /tftpboot/conf.txt, в котором указать следующую конфигурацию:
Служебные параметры для загрузки файла
#!/usr/bin/clish
#8
Имя устройства:
hostname ESR-10GRE
Создать VLAN (2 – управление, 10 – в него будет попадать трафик пользователей с 3го порта ESR-10, 11 – в него будет попадать трафик пользователей с 4го порта ESR-10)
vlan 2,10-11
exit
Создать зону безопасности firewall
security zone trusted
exit
security zone GRE
exit
Настроить конфигурацию доступа к устройству по протоколу SNMP.
snmp-server
snmp-server community private1 rw
snmp-server community public11 ro
snmp-server host 192.168.107.100
exit
Создать список адресов с которых будет разрешен обмен трафиком с ESR-10 (указать адрес сервера SoftWLC и адрес ESR/BRAS с которым будет подниматься GRE туннель
object-group network MNG
ip address-range 192.168.109.1-192.168.109.4
ip address-range 192.168.107.100
exit
Создать интерфейс bridge 1 – на нем запустить DHCP клиента, для получения адреса. C этого адреса будет подниматься GRE туннель. Для ограничения доступа на нем включен firewall
bridge 1
description "TunnelIP"
vlan 2
ip address dhcp
ip dhcp client ignore router
security-zone GRE
enable
exit
Создать интерфейс bridge2, через который будут идти все пользовательские данные
bridge 2
description "UserDATA"
enable
exit
Создать интерфейс bridge3, через который будет производиться управление ESR-10
bridge 3
description "MNGESR10"
security-zone trusted
ip address dhcp
enable
exit
Настроить порт 1 в режиме access – весь принимаемый трафик будет помечаться VLAN ID2 , что позволит передать его в bridge 2 интерфейс.
interface gigabitethernet 1/0/1
switchport access vlan 2
exit
Настроить порт 2 в режиме trunk, весь принятый трафик с данного порта будет передан в bridge 2 и далее в GRE туннель. Тегированный трафик будет передаваться как есть (дополнительно прописывать vlan не требуется), не тегированный трафик будет передаваться без тега в GRE туннеле.
interface gigabitethernet 1/0/2
switchport mode trunk
bridge-group 2
exit
Настроить порт 3 в режиме access. Тегированный трафик не будет проходить через данный порт, для не тегированного трафика будет добавляться VLANID10 , и с ним передаваться через bridge 1 в GRE туннель
interface gigabitethernet 1/0/3
switchport access vlan 10
bridge-group 2 tagged
exit
Настроить порт 4 в режиме access. Тегированный трафик не будет проходить через данный порт, для не тегированного трафика будет добавляться VLANID11 , и с ним передаваться через bridge 1в GRE туннель
interface gigabitethernet 1/0/4
switchport access vlan 11
bridge-group 2 tagged
exit
Создать GRE туннель 1, установить максимальный размер MTU 1458 байт (так как при передаче в GRE туннеле для пакетов добавляются заголовки Ethernet 14 байт , VLAN – 4 байта, IP- 20 байт, GRE – 4 байта), установть режим работы L2GRE – Ethernet, привязать к bridge интерфейсу 1, по которому будет передаваться клиентский трафик, source адрес GRE туннеля будет браться с bridge 2 интерфейса, адрес удаленного ESR/BRAS 192.168.109.1
tunnel gre 1
mtu 1458
mode ethernet
local interface bridge 1
remote address 192.168.109.1
enable
exit
tunnel gre 1.1
bridge-group 3
snmp init-trap
enable
exit
tunnel gre 2
mtu 1458
mode ethernet
bridge-group 2
local interface bridge 1
remote address 192.168.109.2
enable
exit
Включить ssh сервер, для возможности удаленного подключения к устройству
ip ssh server
Описать правила приема трафика из зоны trusted на host ESR-10, позволяющее принимать любой трафик с IP адресов указанных в списке MNG.
security zone-pair trusted self
rule 10
action permit
match protocol any
match source-address MNG
match destination-address any
enable
exit
exit
security zone-pair GRE self
rule 10
action permit
match protocol any
match source-address MNG
match destination-address any
enable
exit
exit
Интеграция решения Элтекс с Hotwifi производится исключительно с помощью функционала BRAS на ESR-1000. Точки доступа Элтекс интеграцию с Hotwifi не поддерживают.
Сценарий взаимодействия элементов систем приведен ниже:
Для настройки интеграции с Hotwifi необходимо проделать следующие действия:
ip firewall sessions allow-unknown
hostname KAZN-ESR1
tech-support login enable
syslog max-files 3
syslog file-size 512
syslog console debug
syslog monitor none
object-group service telnet
port-range 23
exit
object-group service ssh
port-range 22
exit
object-group service dhcp_server
port-range 67
exit
object-group service dhcp_client
port-range 68
exit
object-group service ntp
port-range 123
exit
object-group service HTTP8080
port-range 8080
exit
object-group service snmp
port-range 161
exit
object-group service sunctun
port-range 1337
exit
object-group service bgp
port-range 179
exit
object-group network AP_GRE
ip prefix 10.203.14.112/28
exit
object-group network INTERNET
ip prefix 100.122.192.0/22
ip prefix 100.122.196.0/22
ip prefix 100.122.200.0/22
ip prefix 100.122.204.0/22
exit
object-group network MNG
ip prefix 10.204.144.0/23
ip prefix 100.122.192.0/22
ip prefix 100.122.196.0/22
ip prefix 100.122.200.0/22
ip prefix 100.122.204.0/22
exit
object-group network SoftWLC
ip address-range 10.62.18.18
exit
vlan 8
name "FTTX_MNG"
exit
vlan 9
name "Inter-BGP"
exit
vlan 301
name "SSID1"
exit
vlan 303
name "SSID2"
exit
vlan 305
name "SSID3"
exit
vlan 307
name "SSID4"
exit
vlan 1264
name "VRF-AP"
exit
vlan 1268
name "VRF-NAT"
exit
vlan 1266
name "VRF-Backbone"
exit
no spanning-tree
spanning-tree bpdu filtering
security zone trusted
exit
security zone untrusted
exit
security zone user
exit
security zone gre
exit
ip prefix-list AP_GRE
permit object-group AP_GRE
exit
ip prefix-list INTERNET
permit object-group INTERNET
exit
ip prefix-list MNG
permit object-group MNG
exit
route-map INPREF
rule 1
action set local-preference 150
action permit
exit
exit
route-map OUTPREFAP
rule 1
match ip address object-group AP_GRE
action set metric bgp 20
action permit
exit
exit
route-map OUTPREFMNG
rule 1
match ip address object-group MNG
action set metric bgp 20
action permit
exit
exit
route-map OUTPREFINTERNET
rule 1
match ip address object-group INTERNET
action set metric bgp 20
action permit
exit
exit
router bgp 65068
address-family ipv4
router-id 10.203.212.221
neighbor 10.203.212.205
remote-as 12389
prefix-list MNG out
route-map INPREF in
route-map OUTPREFMNG out
enable
exit
neighbor 10.203.212.213
remote-as 12389
prefix-list INTERNET out
route-map INPREF in
route-map OUTPREFINTERNET out
enable
exit
neighbor 10.203.212.222
remote-as 65068
next-hop-self
enable
exit
neighbor 10.203.212.197
remote-as 12389
prefix-list AP_GRE out
route-map INPREF in
route-map OUTPREFAP out
enable
exit
enable
exit
exit
snmp-server
snmp-server community private rw
snmp-server community public ro
snmp-server host 10.62.18.18
exit
snmp-server filter links status
bridge 1
description "AP 1264 GRE Tunnels Termination"
vlan 1264
security-zone gre
ip address 10.203.14.115/28
vrrp id 1
vrrp ip 10.203.14.113
vrrp ip 10.203.14.114
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
enable
exit
bridge 3
description "Management AP"
vlan 8
unknown-unicast-forwarding disable
security-zone trusted
ip address 10.204.144.2/23
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 3
vrrp ip 10.204.144.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 9
description "Inter-BGP"
vlan 9
security-zone untrusted
ip firewall disable
ip address 10.203.212.221/30
enable
exit
bridge 5
description "SSID1"
vlan 301
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.192.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 10
vrrp ip 100.122.192.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 6
description "SSID2"
vlan 303
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.196.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 11
vrrp ip 100.122.196.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 7
description "SSID3"
vlan 305
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.200.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 12
vrrp ip 100.122.200.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 8
description "SSID4"
vlan 307
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.204.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 13
vrrp ip 100.122.204.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
interface gigabitethernet 1/0/1
description "to esr2"
switchport forbidden default-vlan
switchport general allowed vlan add 8-9,301,303,305,307,1264,1266 tagged
spanning-tree disable
exit
interface tengigabitethernet 1/0/1
description "to KAZN-RGR1 xe-0/2/3"
spanning-tree disable
switchport forbidden default-vlan
exit
interface tengigabitethernet 1/0/1.1264
description "VRF AP GRE"
security-zone gre
ip address 10.203.212.198/30
exit
interface tengigabitethernet 1/0/1.1268
description "VRF NAT"
security-zone untrusted
ip address 10.203.212.214/30
exit
interface tengigabitethernet 1/0/1.1266
description "VRF Backbone"
security-zone trusted
ip address 10.203.212.206/30
exit
tunnel softgre 1
mode management
local address 10.203.14.113
default-profile
enable
exit
tunnel softgre 1.1
bridge-group 3
enable
exit
tunnel softgre 2
mode data
local address 10.203.14.114
default-profile
enable
exit
tunnel softgre 2.301
bridge-group 5
enable
exit
tunnel softgre 2.303
bridge-group 6
enable
exit
tunnel softgre 2.305
bridge-group 7
enable
exit
tunnel softgre 2.307
bridge-group 8
enable
exit
security zone-pair gre self
rule 1
action permit
match protocol gre
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol vrrp
match source-address any
match destination-address any
enable
exit
rule 3
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port sunctun
enable
exit
rule 4
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
exit
security zone-pair trusted self
rule 1
action permit
match protocol vrrp
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_server
match destination-port dhcp_server
enable
exit
rule 3
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
rule 4
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
rule 10
action permit
match protocol any
match source-address SoftWLC
match destination-address any
enable
exit
exit
security zone-pair trusted trusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair gre gre
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair user untrusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair user self
rule 1
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
exit
security zone-pair user trusted
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
exit
security zone-pair trusted user
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_server
match destination-port dhcp_client
enable
exit
exit
security zone-pair trusted untrusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
ip dhcp-relay
wireless-controller
peer-address 10.203.14.116
vrrp-group 1
enable
exit
ip telnet server
ip ssh server
clock timezone gmt +3
ntp enable
ntp server 10.62.18.18
exit
ip firewall sessions allow-unknown
hostname KAZN-ESR1
tech-support login enable
syslog max-files 3
syslog file-size 512
syslog console debug
syslog monitor none
object-group service telnet
port-range 23
exit
object-group service ssh
port-range 22
exit
object-group service dhcp_server
port-range 67
exit
object-group service dhcp_client
port-range 68
exit
object-group service ntp
port-range 123
exit
object-group service HTTP8080
port-range 8080
exit
object-group service snmp
port-range 161
exit
object-group service sunctun
port-range 1337
exit
object-group service bgp
port-range 179
exit
object-group network AP_GRE
ip prefix 10.203.14.112/28
exit
object-group network INTERNET
ip prefix 100.122.192.0/22
ip prefix 100.122.196.0/22
ip prefix 100.122.200.0/22
ip prefix 100.122.204.0/22
exit
object-group network MNG
ip prefix 10.204.144.0/23
ip prefix 100.122.192.0/22
ip prefix 100.122.196.0/22
ip prefix 100.122.200.0/22
ip prefix 100.122.204.0/22
exit
object-group network SoftWLC
ip address-range 10.62.18.18
exit
object-group service redirect
port-range 3128
port-range 3129
exit
object-group network SoftWLC
ip address-range 10.62.18.20
exit
object-group network SoftWLC
ip address-range 10.62.18.22
exit
radius-server host 10.62.18.20
key ascii-text testing123
timeout 10
source-address 10.204.144.1
auth-port 31812
retransmit 5
dead-interval 10
exit
aaa radius-profile bras_radius_servers
radius-server host 10.62.18.20
exit
das-server SoftWLC
key ascii-text testing123
port 3799
exit
aaa das-profile bras_das_servers
das-server SoftWLC
exit
ip access-list extended INTERNET
rule 10
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
ip access-list extended unauthUSER
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port 68
match destination-port 67
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port any
match destination-port 53
enable
exit
exit
ip access-list extended WELCOME
rule 1
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 443
enable
exit
rule 2
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 8443
enable
exit
rule 3
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 80
enable
exit
rule 4
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port 8080
enable
exit
exit
class-map class-internet
match access-group INTERNET
exit
class-map default_rule
match access-group unauthUSER
exit
subscriber-control filters-server-url http://10.62.18.20:7070/filters/file
subscriber-control
aaa das-profile SoftWLC
aaa sessions-radius-profile bras_radius_servers
aaa services-radius-profile bras_radius_servers
nas-ip-address 10.204.144.1
session mac-authentication
bypass-traffic-acl unauthUSER
default-service
class-map unauthUSER
filter-name remote gosuslugi
filter-action permit
default-action redirect http://10.62.18.22:8080/eltex_portal/
session-timeout 601
exit
enable
exit
vlan 8
name "FTTX_MNG"
exit
vlan 9
name "Inter-BGP"
exit
vlan 301
name "SSID1"
exit
vlan 303
name "SSID2"
exit
vlan 305
name "SSID3"
exit
vlan 307
name "SSID4"
exit
vlan 1264
name "VRF-AP"
exit
vlan 1268
name "VRF-NAT"
exit
vlan 1266
name "VRF-Backbone"
exit
no spanning-tree
spanning-tree bpdu filtering
security zone trusted
exit
security zone untrusted
exit
security zone user
exit
security zone gre
exit
ip prefix-list AP_GRE
permit object-group AP_GRE
exit
ip prefix-list INTERNET
permit object-group INTERNET
exit
ip prefix-list MNG
permit object-group MNG
exit
route-map INPREF
rule 1
action set local-preference 150
action permit
exit
exit
route-map OUTPREFAP
rule 1
match ip address object-group AP_GRE
action set metric bgp 20
action permit
exit
exit
route-map OUTPREFMNG
rule 1
match ip address object-group MNG
action set metric bgp 20
action permit
exit
exit
route-map OUTPREFINTERNET
rule 1
match ip address object-group INTERNET
action set metric bgp 20
action permit
exit
exit
router bgp 65068
address-family ipv4
router-id 10.203.212.221
neighbor 10.203.212.205
remote-as 12389
prefix-list MNG out
route-map INPREF in
route-map OUTPREFMNG out
enable
exit
neighbor 10.203.212.213
remote-as 12389
prefix-list INTERNET out
route-map INPREF in
route-map OUTPREFINTERNET out
enable
exit
neighbor 10.203.212.222
remote-as 65068
next-hop-self
enable
exit
neighbor 10.203.212.197
remote-as 12389
prefix-list AP_GRE out
route-map INPREF in
route-map OUTPREFAP out
enable
exit
enable
exit
exit
snmp-server
snmp-server community private rw
snmp-server community public ro
snmp-server host 10.62.18.18
exit
snmp-server filter links status
bridge 1
description "AP 1264 GRE Tunnels Termination"
vlan 1264
security-zone gre
ip address 10.203.14.115/28
vrrp id 1
vrrp ip 10.203.14.113
vrrp ip 10.203.14.114
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
enable
exit
subscriber-control
vrrp-group 1
exit
bridge 3
description "Management AP"
vlan 8
unknown-unicast-forwarding disable
security-zone trusted
ip address 10.204.144.2/23
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 3
vrrp ip 10.204.144.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 9
description "Inter-BGP"
vlan 9
security-zone untrusted
ip firewall disable
ip address 10.203.212.221/30
enable
exit
bridge 5
description "SSID1"
vlan 301
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.192.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 10
vrrp ip 100.122.192.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 6
description "SSID2"
vlan 303
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.196.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 11
vrrp ip 100.122.196.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 7
description "SSID3"
vlan 305
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.200.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 12
vrrp ip 100.122.200.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 8
description "SSID4"
vlan 307
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.204.2/22
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 13
vrrp ip 100.122.204.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
exit
bridge 5
location SSID1[1]
exit
bridge 6
location SSID2
exit
bridge 7
location SSID3
exit
bridge 8
location SSID4
exit
object-group network MNG
ip prefix 100.122.208.0/24[2]
exit
object-group network INTERNET
ip prefix 100.122.208.0/24
exit
bridge 10
description "SSID5"
vlan 309
unknown-unicast-forwarding disable
security-zone user
ip address 100.122.208.2/24
ip helper-address 10.62.18.23
ip helper-address 10.62.18.24
vrrp id 14
vrrp ip 100.122.208.1
vrrp priority 200
vrrp group 1
vrrp preempt disable
vrrp
protected-ports
protected-ports exclude vlan
enable
location SSID5
service-subscriber-control any
exit
interface gigabitethernet 1/0/1
description "to esr2"
switchport forbidden default-vlan
switchport general allowed vlan add 8-9,301,303,305,307,1264,1266 tagged
spanning-tree disable
exit
interface tengigabitethernet 1/0/1
description "to KAZN-RGR1 xe-0/2/3"
spanning-tree disable
switchport forbidden default-vlan
exit
interface tengigabitethernet 1/0/1.1264
description "VRF AP GRE"
security-zone gre
ip address 10.203.212.198/30
exit
interface tengigabitethernet 1/0/1.1268
description "VRF NAT"
security-zone untrusted
ip address 10.203.212.214/30
exit
interface tengigabitethernet 1/0/1.1266
description "VRF Backbone"
security-zone trusted
ip address 10.203.212.206/30
exit
tunnel softgre 1
mode management
local address 10.203.14.113
default-profile
enable
exit
tunnel softgre 1.1
bridge-group 3
enable
exit
tunnel softgre 2
mode data
local address 10.203.14.114
default-profile
enable
exit
tunnel softgre 2.301
bridge-group 5
enable
exit
tunnel softgre 2.303
bridge-group 6
enable
exit
tunnel softgre 2.305
bridge-group 7
enable
exit
tunnel softgre 2.307
bridge-group 8
enable
exit
security zone-pair gre self
rule 1
action permit
match protocol gre
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol vrrp
match source-address any
match destination-address any
enable
exit
rule 3
action permit
match protocol tcp
match source-address any
match destination-address any
match source-port any
match destination-port sunctun
enable
exit
rule 4
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
exit
security zone-pair trusted self
rule 1
action permit
match protocol vrrp
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_server
match destination-port dhcp_server
enable
exit
rule 3
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
rule 4
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
rule 10
action permit
match protocol any
match source-address SoftWLC
match destination-address any
enable
exit
exit
security zone-pair trusted trusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair gre gre
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair user untrusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
security zone-pair user self
rule 1
action permit
match protocol icmp
match source-address any
match destination-address any
enable
exit
rule 2
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
exit
security zone-pair user trusted
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_client
match destination-port dhcp_server
enable
exit
exit
security zone-pair trusted user
rule 1
action permit
match protocol udp
match source-address any
match destination-address any
match source-port dhcp_server
match destination-port dhcp_client
enable
exit
exit
security zone-pair trusted untrusted
rule 1
action permit
match protocol any
match source-address any
match destination-address any
enable
exit
exit
ip dhcp-relay
wireless-controller
peer-address 10.203.14.116
vrrp-group 1
enable
exit
wireless-controller
nas-ip-address 10.204.144.1
data-tunnel configuration radius
aaa das-profile bras_das_servers
aaa radius-profile bras_radius_servers
exit
ip telnet server
ip ssh server
clock timezone gmt +3
ntp enable
ntp server 10.62.18.18
exit
Логическая схема резервирования ESR/BRAS
Для резервирования ESR/BRAS используется протокол VRRP.
ESR включаются в стек коммутаторов на которые подключены все пользовательские VLAN, а так же VLAN для доступа к SoftWLC и к NAT оператора.
На оба ESR приходят все VLAN, таким образом резервируются:
Сетевая схема резервирования ESR/BRAS
В VLAN X - MNG происходит управление ESR, в нем настраивается адрес VRRP. Весь служебный трафик передается с VRRP IP адресов ESR, по ним же происходит подключение для управления с СУ.
В VLAN Y - NAT происходит передача трафика в сеть Интернет для клиентов. VRRP адрес используется как адрес шлюза для подсетей, в которых работают клиенты.
Клиенты работающие в VLAN xx и VLAN zz включаются в общий бридж. Для них адресом шлюза будет являться VRRP адрес интерфейса BR1. Аналогично, для клиентов из VLAN yy и qq адресом шлюза является VRRP IP адрес интерфейса BR2.
Таки образом со стороны сети будут использоваться только VRRP адреса ESR для передачи трафика. При возникновении аварии, например отключении питания на ESR1 VRRP адрес назначается на рабочий (доступный) ESR2 и сеть продолжает работать. При этом переключении для клиентов IP и МАС адрес шлюза не изменится, а трафик будет передаваться через ESR2.
Во время работы функции BRAS на ESR (master) создаются клиентские сессии, отправляется данные accounting на PCRF, в тот же момент времени на ESR (slave) сессии не созданы, данных по статистике нет. При возникновении аварии, VRRP адрес переключается на ESR2, и на маршрутизаторе запускается процедура МАС авторизации, создаются все сессии.
GRE туннели поднимаются на VRRP IP адрес ESR/BRAS (master). Резервный ESR постоянно синхронизируются список туннелей с мастером. При возникновении аварии, VRRP адрес переключается на ESR2, на котором уже созданы все GRE туннели, трафик поступает на соответствующие bridge интерфейсы. На маршрутизаторе запускается процедура МАС авторизации.
Схема организации связи
Пример реализации отказоустойчивой сети с резервированием ESR, изображен на рисунке выше.
Точки доступа «Элтекс», размещаемые у клиента, позволяют передавать трафик через L3 сеть доступа оператора к ESR/BRAS. Трафик пользователей и управления передается в GRE туннелях.
Точки доступа сторонних производителей для подключения к L3 сети доступа используют ESR-10, которые упаковывают весь трафик в GRE туннели, и передают его к ESR/BRAS.
Вся сеть доступа, для включения ТД, объединена в VRF AP-Core.
Выход в сеть Интернет, осуществляется через VRF NAT, в котором расположен NAT.
Сеть управления через VRF Backbone, позволяет организовать связность между ESR и SoftWLC.
ESR включены в разные PE маршрутизаторы, для обеспечения физического резервирования элементов. Так же ESR связаны между собой для обмена служебной информации о списке и статусе GRE туннелей.
Таким образом, при выходе любого PE маршрутизатора или ESR, а также при потере физической или логической связности – система продолжает предоставлять комплекс услуг с минимальным перерывом связи.
Сетевая схема резервирования ESR/BRAS
На примере рисунка выше, на котором изображена схема организации связи на сетевом уровне.
Для подключения ESR к PE используется интерфейс 10GE, на котором расстроено 3 IP интерфейсе для организации BGP соединений в 3 соответствующих VRF:
AP-Core – VPN, в котором осуществляется включение всех точек доступа. По нему идет весь обмен между ТД и ESR.
Backbone – VPN управления, в нем происходит передача всего трафика управления и мониторинга ESR и ТД, так же через него получают адреса по DHCP устройства клиента.
NAT – VPN через который осуществляется выход в сеть Интернет, используя NAT оператора.
Через VRF AP-Core на ESR принимается маршрут для сети, в которой ESR-10 или ТД «Элтекс» получили первичные адреса. В этот же VRF с ESR анонсируется подсеть в которой расположены адреса для поднятия GRE туннелей.
Через VRF Backbone на ESR принимается маршрут для сети, в которой расположены сервера SoftWLC (EMS, DHCP). В этот же VRF с ESR анонсируется подсеть управление ESR, управление ТД «Элтекс», и подсети клиентов (для получения адресов по DHCP от клиента).
Через VRF NAT на ESR принимается маршрут 0.0.0.0/0. В этот же VRF с ESR анонсируется клиентские подсети для прохождения трафика в сеть Интернет.
Оба ESR находятся в одной автономной системе, и обмениваются маршрутной информацией по iBGP. Интерфейсом для взаимодействия служит интерфейс Bridge 9. Физическое подключение рекомендуется выполнять через Port Channel, тем самым обеспечивается резервирование данного канала и увеличивается пропускная способность соединения.
При доступности PE master он будет лучшим маршрутом для обоих ESR, при его недоступности трафик пойдет через PE backup.