Документация: ПО Факел — разрабатываемая версия

Аутентификация RADIUS

Обзор

Чтобы использовать аутентификацию на основе протокола RADIUS, необходимо изменить режим аутентификации в конфигурации. Предыдущие настройки, например, локальные пользователи, по-прежнему остаются в конфигурации, однако они не используются, если режим был изменен с локального на RADIUS. После изменения режима на локальный все локальные учетные записи будут снова использоваться.

set vpn l2tp remote-access authentication mode radius

Поскольку одиночный RADIUS сервер будет являться единой точкой отказа в случае выхода из строя, можно настроить несколько RADIUS серверов.

set vpn l2tp remote-access authentication radius server 10.0.0.1 key 'foo'
set vpn l2tp remote-access authentication radius server 10.0.0.2 key 'foo'

Операционные команды L2TP сервера (например, show l2tp-server sessions) описаны в разделе Сервер L2TP.

Примечание

Некоторые RADIUS сервера используют список контроля доступа, который разрешает запросы от определенных RADIUS клиентов. Убедитесь, что ваш маршрутизатор с ПО Факел добавлен в список разрешенных RADIUS клиентов.

Адрес отправителя

Если в качестве внутреннего протокола маршрутизации (IGP) используется протокол OSPF, то всегда используется ближайший интерфейс, подключенный к RADIUS серверу. В ПО Факел можно привязать все исходящие RADIUS запросы к одному IP адресу источника, например, к интерфейсу Dummy.

set vpn l2tp remote-access authentication radius source-address 10.0.0.3

Приведенная выше команда будет использовать адрес 10.0.0.3 в качестве исходного IP адреса для всех RADIUS запросов на этом устройстве.

Примечание

Параметр source-address должен быть ассоциирован с одним из интерфейсов ПО Факел. Рекомендуется использовать интерфейс Dummy.

Ограничение полосы пропускания

Для ограничения полосы пропускания в части пользователей RADIUS необходимо использовать параметр rate-limit.

set vpn l2tp remote-access authentication radius rate-limit enable

Для ограничения полосы пропускания в протоколе RADIUS по умолчанию используется атрибут Filter-Id, который можно переопределить.

set vpn l2tp remote-access authentication radius rate-limit attribute Download-Speed

Примечание

При задании пользовательских параметров в протоколе RADIUS необходимо объявить их в специальных словарях как стороне RADIUS сервера, так и на стороне RADIUS клиента, которым в нашем примере является маршрутизатор с ПО Факел. Словари RADIUS в ПО Факел располагаются по следующему пути: /usr/share/accel-ppp/radius/.

Расширенные функции RADIUS

Значения параметров протокола RADIUS, полученных от сервера, имеют более высокий приоритет по сравнению со значениями, заданными для тех же параметров в конфигурации через Командная строка.

Распределение IP адресов между клиентами

Если RADIUS сервер возвращает параметр Framed-IP-Address, то IP адрес в качестве его значения будет выделен клиенту, а параметр default-pool в конфигурации CLI игнорируется.

Переименование интерфейсов клиентов

Если RADIUS сервер возвращает параметр NAS-Port-Id, то в результате туннельные интерфейсы PPP будут переименованы.

Примечание

Значение параметра NAS-Port-Id должно быть длиной не более 16 символов. В противном случае интерфейс не будет переименован.

Дополнительные параметры RADIUS задают команды vpn l2tp remote-access authentication radius …. Команды server <server> priority и server <server> backup задают приоритет сервера и назначают его резервным, команды server <server> port, server <server> acct-port и server <server> disable-accounting задают порты запросов аутентификации и учета (accounting) и отключают учет, команда server <server> fail-time помечает сервер недоступным на заданное время после сбоя, команда server <server> disable отключает сервер. Команды timeout, acct-timeout и max-try задают время ожидания ответа и количество попыток передачи запросов, команды accounting-interim-interval и acct-interim-jitter — интервал отправки данных учета и максимальное отклонение интервала. Команды nas-identifier, nas-ip-address и preallocate-vif задают атрибуты NAS-Identifier, NAS-IP-Address и NAS-Port-Id запросов, команды dynamic-author server, dynamic-author port и dynamic-author key — адрес и порт маршрутизатора, на которых принимаются запросы Dynamic Authorization Extension (DM/CoA), и ключ этих запросов. Команды rate-limit vendor и rate-limit multiplier дополняют команды rate-limit enable и rate-limit attribute: они задают справочник атрибутов производителя и множитель ограничения полосы пропускания.

Пример настройки

Настройка аутентификации RADIUS:

Шаг

Команда

Описание

1

set vpn l2tp remote-access authentication mode radius

Включает аутентификацию пользователей средствами RADIUS

2

set vpn l2tp remote-access authentication radius server 10.0.0.1 key foo

Добавляет RADIUS сервер 10.0.0.1 и задает общий секретный ключ foo

3

set vpn l2tp remote-access authentication radius server 10.0.0.2 key foo

Добавляет RADIUS сервер 10.0.0.2 и задает общий секретный ключ foo

4

set vpn l2tp remote-access authentication radius source-address 10.0.0.3

Задает адрес 10.0.0.3 в качестве адреса источника всех RADIUS запросов

5

set vpn l2tp remote-access authentication radius rate-limit enable

Включает ограничение полосы пропускания пользователей средствами RADIUS

6

set vpn l2tp remote-access authentication radius rate-limit attribute Download-Speed

Задает атрибут RADIUS Download-Speed, содержащий значение ограничения полосы пропускания

Список команд


Режим «Конфигурирование»


vpn l2tp remote-access authentication mode <mode>

Описание:
Задает режим аутентификации пользователей на сервере L2TP. Для аутентификации на основе протокола RADIUS необходимо задать режим radius.
Ранее настроенные параметры, например, локальные пользователи, остаются в конфигурации, но не используются, пока задан режим radius. После возврата к режиму local локальные учетные записи снова используются.
В режиме radius необходимо настроить хотя бы один RADIUS сервер с ключом.

Синтаксис:

  • set vpn l2tp remote-access authentication mode <mode>

  • delete vpn l2tp remote-access authentication mode <mode>

  • show vpn l2tp remote-access authentication mode

Аргументы:

  • <mode> — режим аутентификации. Возможные значения: local — локальные пользователи, заданные в конфигурации; radius — пользователи RADIUS сервера; noauth — аутентификация отключена. Значение по умолчанию: local.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius server <server> key <key>

Описание:
Добавляет RADIUS сервер и задает общий секретный ключ (shared secret) для обмена данными с ним.
Чтобы использовать несколько RADIUS серверов, команду необходимо выполнить для каждого сервера. Для каждого сервера необходимо задать ключ.

Синтаксис:

  • set vpn l2tp remote-access authentication radius server <server> key <key>

  • delete vpn l2tp remote-access authentication radius server <server> key <key>

  • show vpn l2tp remote-access authentication radius server <server> key

Аргументы:

  • <server> — IP-адрес RADIUS сервера. Формат: IPv4-адрес (x.x.x.x).

  • <key> — общий секретный ключ. Формат: строка ASCII-символов длиной от 1 до 128 символов.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius source-address <source-address>

Описание:
Привязывает все исходящие RADIUS запросы к одному IP-адресу источника, например, к адресу интерфейса Dummy.
Адрес должен быть ассоциирован с одним из интерфейсов маршрутизатора.

Синтаксис:

  • set vpn l2tp remote-access authentication radius source-address <source-address>

  • delete vpn l2tp remote-access authentication radius source-address <source-address>

  • show vpn l2tp remote-access authentication radius source-address

Аргументы:

  • <source-address> — IP-адрес источника RADIUS запросов. Формат: IPv4-адрес (x.x.x.x).

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius rate-limit enable

Описание:
Включает ограничение полосы пропускания пользователей RADIUS. Значения ограничений передаются в атрибуте RADIUS, заданном командой rate-limit attribute.

Синтаксис:

  • set vpn l2tp remote-access authentication radius rate-limit enable

  • delete vpn l2tp remote-access authentication radius rate-limit enable

  • show vpn l2tp remote-access authentication radius rate-limit enable

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius rate-limit attribute <attribute>

Описание:
Задает атрибут RADIUS, который содержит значение ограничения полосы пропускания.
Пользовательский атрибут необходимо объявить в словарях RADIUS как на стороне RADIUS сервера, так и на стороне маршрутизатора.

Синтаксис:

  • set vpn l2tp remote-access authentication radius rate-limit attribute <attribute>

  • delete vpn l2tp remote-access authentication radius rate-limit attribute <attribute>

  • show vpn l2tp remote-access authentication radius rate-limit attribute

Аргументы:

  • <attribute> — имя атрибута RADIUS. Формат: строка. Значение по умолчанию: Filter-Id.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius accounting-interim-interval <accounting-interim-interval>

Описание:
Задает интервал в секундах, с которым на RADIUS сервер отправляются данные учета (accounting).

Синтаксис:

  • set vpn l2tp remote-access authentication radius accounting-interim-interval <accounting-interim-interval>

  • delete vpn l2tp remote-access authentication radius accounting-interim-interval <accounting-interim-interval>

  • show vpn l2tp remote-access authentication radius accounting-interim-interval

Аргументы:

  • <accounting-interim-interval> — интервал в секундах. Формат: целое число. Диапазон значений: от 1 до 3600.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius acct-interim-jitter <acct-interim-jitter>

Описание:
Задает максимальное значение отклонения (jitter) в секундах, которое добавляется к интервалу отправки данных учета.

Синтаксис:

  • set vpn l2tp remote-access authentication radius acct-interim-jitter <acct-interim-jitter>

  • delete vpn l2tp remote-access authentication radius acct-interim-jitter <acct-interim-jitter>

  • show vpn l2tp remote-access authentication radius acct-interim-jitter

Аргументы:

  • <acct-interim-jitter> — максимальное значение отклонения в секундах. Формат: целое число. Диапазон значений: от 1 до 60.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius acct-timeout <acct-timeout>

Описание:
Определяет время ожидания в секундах ответа на пакеты Interim Update от RADIUS сервера. По истечении времени ожидания сеанс завершается.

Синтаксис:

  • set vpn l2tp remote-access authentication radius acct-timeout <acct-timeout>

  • delete vpn l2tp remote-access authentication radius acct-timeout <acct-timeout>

  • show vpn l2tp remote-access authentication radius acct-timeout

Аргументы:

  • <acct-timeout> — время ожидания в секундах. Формат: целое число. Диапазон значений: от 0 до 60, значение 0 оставляет сеанс активным. Значение по умолчанию: 3.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius dynamic-author key <key>

Описание:
Задает общий ключ для защиты коммуникаций с сервером Dynamic Authorization Extension (DM/CoA).

Синтаксис:

  • set vpn l2tp remote-access authentication radius dynamic-author key <key>

  • delete vpn l2tp remote-access authentication radius dynamic-author key <key>

  • show vpn l2tp remote-access authentication radius dynamic-author key

Аргументы:

  • <key> — общий секретный ключ. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius dynamic-author port <port>

Описание:
Задает порт, на котором маршрутизатор принимает запросы Dynamic Authorization Extension (DM/CoA).

Синтаксис:

  • set vpn l2tp remote-access authentication radius dynamic-author port <port>

  • delete vpn l2tp remote-access authentication radius dynamic-author port <port>

  • show vpn l2tp remote-access authentication radius dynamic-author port

Аргументы:

  • <port> — номер порта. Формат: целое число. Диапазон значений: от 1 до 65535. Значение по умолчанию: 1700.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius dynamic-author server <server>

Описание:
Задает IP-адрес маршрутизатора, на котором принимаются запросы Dynamic Authorization Extension (DM/CoA) от сервера RADIUS (например, запрос на завершение сеанса). Адрес должен быть настроен на маршрутизаторе.

Синтаксис:

  • set vpn l2tp remote-access authentication radius dynamic-author server <server>

  • delete vpn l2tp remote-access authentication radius dynamic-author server <server>

  • show vpn l2tp remote-access authentication radius dynamic-author server

Аргументы:

  • <server> — IP-адрес сервера. Формат: IPv4-адрес (x.x.x.x).

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius max-try <max-try>

Описание:
Определяет количество попыток передачи серверу запросов Access Request и Accounting Request.

Синтаксис:

  • set vpn l2tp remote-access authentication radius max-try <max-try>

  • delete vpn l2tp remote-access authentication radius max-try <max-try>

  • show vpn l2tp remote-access authentication radius max-try

Аргументы:

  • <max-try> — количество попыток. Формат: целое число. Диапазон значений: от 1 до 20. Значение по умолчанию: 3.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius nas-identifier <nas-identifier>

Описание:
Задает значение идентификатора NAS-Identifier, который будет передан RADIUS серверу соответствующим атрибутом и должен соответствовать запросам Dynamic Authorization Extension (DM/CoA).

Синтаксис:

  • set vpn l2tp remote-access authentication radius nas-identifier <nas-identifier>

  • delete vpn l2tp remote-access authentication radius nas-identifier <nas-identifier>

  • show vpn l2tp remote-access authentication radius nas-identifier

Аргументы:

  • <nas-identifier> — идентификатор NAS. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius nas-ip-address <nas-ip-address>

Описание:
Определяет значение адреса NAS-IP-Address, который будет передан RADIUS серверу соответствующим атрибутом и должен соответствовать запросам Dynamic Authorization Extension (DM/CoA).

Синтаксис:

  • set vpn l2tp remote-access authentication radius nas-ip-address <nas-ip-address>

  • delete vpn l2tp remote-access authentication radius nas-ip-address <nas-ip-address>

  • show vpn l2tp remote-access authentication radius nas-ip-address

Аргументы:

  • <nas-ip-address> — IP-адрес NAS. Формат: IPv4-адрес (x.x.x.x).

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius preallocate-vif

Описание:
Включает передачу атрибута NAS-Port-Id в запросах Access Request.

Синтаксис:

  • set vpn l2tp remote-access authentication radius preallocate-vif

  • delete vpn l2tp remote-access authentication radius preallocate-vif

  • show vpn l2tp remote-access authentication radius preallocate-vif

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius rate-limit multiplier <multiplier>

Описание:
Задает множитель (shaper multiplier), который применяется к значению ограничения полосы пропускания, переданному средствами RADIUS.

Синтаксис:

  • set vpn l2tp remote-access authentication radius rate-limit multiplier <multiplier>

  • delete vpn l2tp remote-access authentication radius rate-limit multiplier <multiplier>

  • show vpn l2tp remote-access authentication radius rate-limit multiplier

Аргументы:

  • <multiplier> — множитель. Формат: число. Диапазон значений: от 0.001 до 1000. Значение по умолчанию: 1.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius rate-limit vendor <vendor>

Описание:
Задает справочник атрибутов RADIUS производителя, из которого берется атрибут с предельным значением полосы пропускания.

Синтаксис:

  • set vpn l2tp remote-access authentication radius rate-limit vendor <vendor>

  • delete vpn l2tp remote-access authentication radius rate-limit vendor <vendor>

  • show vpn l2tp remote-access authentication radius rate-limit vendor

Аргументы:

  • <vendor> — имя справочника атрибутов производителя. Формат: строка.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius server <server> acct-port <acct-port>

Описание:
Определяет RADIUS сервер и задает порт для отправки запросов учета (accounting).

Синтаксис:

  • set vpn l2tp remote-access authentication radius server <server> acct-port <acct-port>

  • delete vpn l2tp remote-access authentication radius server <server> acct-port <acct-port>

  • show vpn l2tp remote-access authentication radius server <server> acct-port

Аргументы:

  • <server> — IP-адрес RADIUS сервера. Формат: IPv4-адрес (x.x.x.x).

  • <acct-port> — номер порта. Формат: целое число. Диапазон значений: от 1 до 65535. Значение по умолчанию: 1813.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius server <server> backup

Описание:
Назначает RADIUS сервер резервным: он используется, если остальные серверы недоступны.

Синтаксис:

  • set vpn l2tp remote-access authentication radius server <server> backup

  • delete vpn l2tp remote-access authentication radius server <server> backup

  • show vpn l2tp remote-access authentication radius server <server> backup

Аргументы:

  • <server> — IP-адрес RADIUS сервера. Формат: IPv4-адрес (x.x.x.x).

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius server <server> disable

Описание:
Отключает настроенный RADIUS сервер.

Синтаксис:

  • set vpn l2tp remote-access authentication radius server <server> disable

  • delete vpn l2tp remote-access authentication radius server <server> disable

  • show vpn l2tp remote-access authentication radius server <server> disable

Аргументы:

  • <server> — IP-адрес RADIUS сервера. Формат: IPv4-адрес (x.x.x.x).

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius server <server> disable-accounting

Описание:
Отключает отправку на RADIUS сервер запросов учета (accounting).

Синтаксис:

  • set vpn l2tp remote-access authentication radius server <server> disable-accounting

  • delete vpn l2tp remote-access authentication radius server <server> disable-accounting

  • show vpn l2tp remote-access authentication radius server <server> disable-accounting

Аргументы:

  • <server> — IP-адрес RADIUS сервера. Формат: IPv4-адрес (x.x.x.x).

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius server <server> fail-time <fail-time>

Описание:
Помечает настроенный RADIUS сервер как «не в сети» на заданный в секундах промежуток времени.

Синтаксис:

  • set vpn l2tp remote-access authentication radius server <server> fail-time <fail-time>

  • delete vpn l2tp remote-access authentication radius server <server> fail-time <fail-time>

  • show vpn l2tp remote-access authentication radius server <server> fail-time

Аргументы:

  • <server> — IP-адрес RADIUS сервера. Формат: IPv4-адрес (x.x.x.x).

  • <fail-time> — время в секундах. Формат: целое число. Диапазон значений: от 0 до 600. Значение по умолчанию: 0.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius server <server> port <port>

Описание:
Определяет RADIUS сервер и задает порт для отправки запросов на аутентификацию.

Синтаксис:

  • set vpn l2tp remote-access authentication radius server <server> port <port>

  • delete vpn l2tp remote-access authentication radius server <server> port <port>

  • show vpn l2tp remote-access authentication radius server <server> port

Аргументы:

  • <server> — IP-адрес RADIUS сервера. Формат: IPv4-адрес (x.x.x.x).

  • <port> — номер порта. Формат: целое число. Диапазон значений: от 1 до 65535. Значение по умолчанию: 1812.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius server <server> priority <priority>

Описание:
Задает приоритет RADIUS сервера.

Синтаксис:

  • set vpn l2tp remote-access authentication radius server <server> priority <priority>

  • delete vpn l2tp remote-access authentication radius server <server> priority <priority>

  • show vpn l2tp remote-access authentication radius server <server> priority

Аргументы:

  • <server> — IP-адрес RADIUS сервера. Формат: IPv4-адрес (x.x.x.x).

  • <priority> — приоритет сервера. Формат: целое число. Диапазон значений: от 1 до 255.

Режим: «Конфигурирование».

vpn l2tp remote-access authentication radius timeout <timeout>

Описание:
Определяет время ожидания в секундах ответа от сервера.

Синтаксис:

  • set vpn l2tp remote-access authentication radius timeout <timeout>

  • delete vpn l2tp remote-access authentication radius timeout <timeout>

  • show vpn l2tp remote-access authentication radius timeout

Аргументы:

  • <timeout> — время ожидания в секундах. Формат: целое число. Диапазон значений: от 1 до 60. Значение по умолчанию: 3.

Режим: «Конфигурирование».