Introducción a RADIUS
El BQN puede configurarse para recibir mensajes RADIUS para soportar la siguiente funcionalidad:
- Asignación de políticas de velocidad a los suscriptores.
- Definición dinámica de esas políticas de velocidad.
- Gestión de cuotas de tiempo y/o volumen.
- Asignación de un atributo RADIUS al ID de suscriptor de BQN.
- Asignación de un atributo RADIUS al grupo de suscriptores de BQN.
La aplicación de cuotas y políticas de velocidad se aplica por dirección IP de suscriptor, por lo que el BQN debe tener visibilidad de las direcciones IP de los suscriptores, es decir, no puede haber un NAT entre los suscriptores y el BQN porque los límites de velocidad se aplicarán por dirección IP de suscriptor. También es importante que los wires estén conectados de la forma correcta (puertos de acceso conectados en el lado de los suscriptores).
Hay dos maneras de que BQN reciba mensajes RADIUS:
- Como servidor de contabilidad RADIUS.
- Como proxy RADIUS entre los clientes RADIUS y el servidor RADIUS (tanto para la autenticación como para la contabilidad RADIUS).
El siguiente diagrama resume una implementación de BQN como servidor de contabilidad RADIUS:
El diagrama detalla la IP y los puertos utilizados y el flujo de la señalización RADIUS.
Del mismo modo, para una implementación de BQN como proxy RADIUS:
El BQN utiliza su dirección IP de gestión (la misma dirección que la GUI) para recibir y enviar mensajes RADIUS. Utiliza los siguientes puertos:
- Puerto UDP 1812 para la autenticación/autorización RADIUS
- Puerto UDP 1813 para la contabilidad RADIUS
- Puerto UDP para recibir el mensaje de desconexión de cambio de autorización (1700 por defecto, aunque se pueden configurar otros como el puerto 3799).
Las implementaciones del servidor de contabilidad RADIUS y del proxy RADIUS tienen pros y contras. La principal ventaja de la implementación de la contabilidad RADIUS es que el BQN no está en la ruta de autenticación RADIUS.
<div class="paragraph-highlight">RADIUS accounting server deployment is the preferred option.</div>
Sin embargo, la gestión de cuotas requiere una implementación de proxy RADIUS. Además, la implementación de proxy RADIUS es una opción válida cuando el servidor de contabilidad RADIUS no es posible (por ejemplo, con routers Mikrotik en modo DHCP).
Implementación como servidor de contabilidad
Para integrar el BQN al RADIUS en el modo de servidor de contabilidad, es necesario realizar cambios de configuración en el BQN y en los clientes NAS RADIUS. La siguiente imagen muestra un resumen:
El BQN recibirá mensajes de Accounting de RADIUS: Accounting-Start, Accounting-Interim y Accounting-Stop.
Configuración del BQN
Siga estos pasos:
- Vaya a Configuration->RADIUS/REST/Billing->RADIUS
- Ajuste el interruptor RADIUS service a On.
- Seleccione la opción Accounting server en el campo RADIUSproxy/Accounting server .
- Añada las direcciones IP de cada cliente NAS RADIUS, junto con su secret. Para ello, en la GUI del BQN, vaya a Configuration->RADIUS/REST/Billing->RADIUS y haga clic en Add Client…
La siguiente captura de pantalla muestra un ejemplo:
Se puede añadir una descripción opcional para cada cliente NAS RADIUS (la descripción no puede contener espacios).
Configuración de los clientes NAS RADIUS
El objetivo es configurar el cliente NAS RADIUS para que envíe copias de los mensajes de contabilidad RADIUS al BQN, como si el servidor BQN fuera un servidor RADIUS solo para la contabilidad. Los pasos para cada cliente NAS RADIUS son:
- Configure un servidor de respaldo RADIUS con la dirección IP de BQN y el secreto configurado previamente en BQN para este NAS.
- Asegúrese de que el puerto utilizado sea UDP 1813.
- Establezca Accounting Interim Updates, con un período intermedio no superior a 5 minutos.
Las siguientes instrucciones están relacionadas con un servidor PPPoE Mikrotik, pero se pueden seguir pasos similares para otros proveedores:
- Primero, la configuración RADIUS existente no debe modificarse.
- Se configurará un nuevo servidor RADIUS con el BQN como servidor de respaldo de contabilidad. Para crear un nuevo servidor RADIUS, vaya a la sección RADIUS y haga clic en “Añadir nuevo”. Se mostrará la siguiente pantalla:
Como se puede observar:
- El servicio del router/switch debe estar habilitado (generalmente ppp).
- En "Address" la dirección IP será la dirección IP de gestión de BQN (puede ver cuál es en BQN GUI Configuration->Interfaces->Management).
- El campo Accounting Backup debe estar seleccionado (de lo contrario, el BQN recibiría mensajes de autenticación y autorización RADIUS, lo cual no admite).
- El puerto de contabilidad se deja en su valor predeterminado (1813).
- Opcionalmente, se puede especificar un secreto (si se usa, debe coincidir con el configurado en la configuración RADIUS de BQN).
- Opcionalmente, un Comentario puede añadir una descripción del servidor RADIUS (p. ej., “BQN RADIUS”).
Después de crear el servidor RADIUS, la lista debería ser la siguiente:
Asegúrese de que el servicio tenga RADIUS Interim Updates habilitado y con un período razonable (1-5 minutos). Por ejemplo, para PPP, en la opción PPP->Secrets->PPP Authentication & Accounting.
El proceso debe repetirse en todos los nodos cuyo RADIUS se va a enviar al BQN.
Implementación de Proxy
Para integrar el BQN al RADIUS en modo proxy, es necesario realizar cambios de configuración en el BQN, los clientes NAS RADIUS y el servidor RADIUS. La siguiente imagen muestra un resumen:
El BQN recibirá:
- Mensajes de autenticación RADIUS: Access-Request, Access-Accept, Access-Reject, Access-Challenge.
- Mensajes de Accounting de RADIUS: Accounting-Start, Accounting-Interim y Accounting-Stop.
- Mensaje de desconexión RADIUS
- Peticiones CoA RADIUS: el BQN realizará un relay puro de las peticiones y respuestas CoA. Cualquier cambio en los atributos de sesión realizado por el mensaje de petición CoA tendrá efecto en el BQN solo si el cambio se refleja en el siguiente mensaje de Accounting recibido por el BQN.
Configuración del BQN
Siga estos pasos:
- Vaya a Configuration->RADIUS/REST/Billing->RADIUS
- Ajuste el interruptor RADIUS service a On.
- Seleccione la opción RADIUS proxy en el campo RADIUS proxy/Accounting server .
- Configure la dirección IP y el secreto del servidor RADIUS en los campos Server IP address y Server secret respectivamente.
- Añada las direcciones IP de cada cliente NAS RADIUS, junto con su secret. Para ello, en la GUI del BQN, vaya a Configuration->RADIUS/REST/Billing->RADIUS y haga clic en Add Client…
- Configure el puerto de desconexión utilizado por el servidor RADIUS (1700 por defecto).
La siguiente captura de pantalla muestra un ejemplo:
Configuración de los clientes NAS RADIUS
Los pasos para cada cliente NAS RADIUS son:
- Configure la dirección IP del BQN como servidor RADIUS primario, utilizando el secreto configurado previamente en el BQN.
- Asegúrese de que los puertos utilizados sean UDP 1812 para la autenticación, UDP 1813 para la contabilidad y UDP 1700 para recibir desconexiones o CoA.
- Establezca el servidor RADIUS como RADIUS de respaldo, si es posible.
Configuración del servidor RADIUS
Siga estos pasos:
- Configure la dirección IP de BQN como un cliente NAS RADIUS válido, con un secreto igual al configurado previamente en el BQN.
Manejo de AVP de RADIUS
El BQN procesa algunos AVP (pares atributo-valor) de RADIUS para implementar la propia funcionalidad del BQN, como la aplicación de políticas de velocidad, las cuotas o la información para la identificación del suscriptor.
De forma predeterminada, el BQN reacciona a todos los AVP admitidos (de los que se hablará más adelante en este capítulo), pero se puede configurar para que ignore algunos de ellos. Cuando está en modo de despliegue de proxy, el BQN retransmitirá los AVP ignorados, pero aun así no realizará ninguna otra acción. Una posible razón para ignorar los AVP es cuando se prefieren otros con menor prioridad. La sección de política de velocidad proporciona un ejemplo concreto.
Cuando está en modo de implementación de proxy BQN, el BQN también puede eliminar algunos AVP recibidos en un mensaje Accept-Accept del servidor RADIUS antes de retransmitirlo al cliente NAS RADIUS. Una posible razón para eliminar los AVP es evitar que el cliente NAS intente actuar sobre ellos, interfiriendo con las acciones del BQN. La sección de cuotas proporciona un ejemplo concreto.
La configuración del manejo de AVP se encuentra en Configuration->RADIUS/REST/Billing->RADIUS, bajo el campo AVP Selection.
Control de la política de velocidad
Los mensajes de inicio y provisionales de RADIUS Accounting vinculan una dirección IP de suscriptor con una política de velocidad de suscriptor. La dirección IP del suscriptor se recibe en el campo Framed-IP-Address. Hay dos formas de especificar la política de velocidad del suscriptor:
- Especificar los parámetros de la política de velocidad del suscriptor (como el límite de velocidad), donde el atributo RADIUS proporciona la definición de la política y el BQN crea una política basada en esa información.
- Especificar el nombre de la política de velocidad del suscriptor, donde el atributo RADIUS contiene el nombre de la política a elegir entre las políticas que forman parte de la configuración del BQN.
Tanto el servidor de contabilidad como las implementaciones de proxy se pueden utilizar para el control de la política de velocidad.
AVP de RADIUS admitidos para las políticas de velocidad
Los siguientes AVP de RADIUS son compatibles con la gestión de políticas de velocidad. Los enumeramos por orden de prioridad (los parámetros evaluados primero tendrán prioridad):
Cuando hay más de un AVP presente, la política se gestionará de acuerdo con el orden de prioridad. Por ejemplo, si están presentes tanto Mikrotik-Rate-Limit como Ascend-Data-Rate, Mikrotik-Rate-Limit tendrá prioridad. Además, si tanto Ascend-Data-Rate como Mikrotik-Address-List están en el mensaje Radius, Mikrotik-Address-List se ignorará. En cualquier caso, es posible utilizar cualquiera de esos elementos de información, ya que el BQN se puede configurar para ignorar los que tienen más prioridad, como se puede ver en la siguiente sección.
Si un mensaje RADIUS no contiene ninguno de los AVP admitidos, la política de velocidad de suscriptor asignada previamente a la dirección IP del suscriptor en este mensaje RADIUS, si la hay, se eliminará y se elegirá una nueva basada en las reglas de política de velocidad de suscriptor configuradas en el BQN.
RADIUS proporciona la definición de la política de velocidad
Esto no requiere básicamente ninguna configuración específica. Sólo asegúrese de que en Configuración->RADIUS/REST/Facturación->RADIUS, los parámetros RADIUS que especificarán la política no se ignoren (no se ignoran por defecto). Una vez que el BQN empiece a recibir los mensajes RADIUS, asignará a cada suscriptor (para el que se recibe un mensaje RADIUS) una política de velocidad de suscriptor con los límites de velocidad definidos en el mensaje RADIUS.
El nombre de la política creada dinámicamente se compone basándose en el contenido del AVP, con el siguiente formato:
donde:
- RA-: un prefijo que indica que es una política creada desde RADIUS.
- rx-rate: límite de velocidad de subida.
- tx-rate: límite de velocidad de bajada.
- rx-burst-rate: tasa de ráfagas de subida.
- tx-burst-rate: tasa de ráfagas de bajada
- rx-burst-threshold: umbral de ráfaga en el enlace ascendente (velocidad promedio que no se debe exceder antes de otorgar una nueva ráfaga).
- tx-burst-threshold: umbral de ráfaga en el enlace descendente (velocidad promedio que no se debe exceder antes de otorgar una nueva ráfaga).
- rx-burst-time: duración de la ráfaga de subida, en segundos.
- tx-burst-time duración de la ráfaga de bajada, en segundos.
Las tarifas y los umbrales incluirán sus unidades (K para Kbps, M para Mbps y G para Gbps).
Una vez que el BQN tiene las políticas de velocidad, las aplicará sobre la base de la dirección IP del suscriptor. En cuanto a la aplicación en el NAS (por ejemplo, el servidor PPPoE), hay tres opciones:
- Eliminar los límites de velocidad en el NAS (por ejemplo, eliminar las colas de Mikrotik).
- Hacer que el BQN aplique los límites de la política reducidos por un factor configurable, de modo que el BQN sea el punto de aplicación, no el NAS. El NAS sigue siendo una copia de seguridad al límite de velocidad total, en caso de que la aplicación del BQN falle.
- Haga que el BQN elimine el parámetro recibido del servidor RADIUS para que el NAS no lo reciba (disponible solo en implementaciones de proxy RADIUS que utilizan el parámetro Mikrotik Rate-Limit).
A continuación, se muestra un ejemplo de reducción del límite de política:
Por ejemplo, con un porcentaje del 80%, un límite de 125 Mbps en RADIUS se convertirá en un límite de 100 Mbps en el BQN (125*0,8).
El porcentaje se aplica a todos los parámetros de la política de planes de abonado (límite de velocidad, velocidad de ráfaga y umbral de ráfaga).
Este parámetro también se puede establecer en un valor más alto (por ejemplo, 200%) para aplicar límites de velocidad más altos que el NAS actual, de modo que se le asignen políticas de velocidad a los suscriptores, pero las velocidades seguirán siendo controladas por el NAS. Esto puede ser útil durante las pruebas iniciales de la interfaz RADIUS. Además, es apropiado si solo desea que el BQN obtenga la política de velocidad sin aplicarla (por ejemplo, para usarla para seleccionar una política de flujo apropiada).
Para evitar que Mikrotik-Rate-Limit llegue al NAS en implementaciones proxy:
RADIUS Proporciona el nombre de la política de velocidad
Cuando un parámetro RADIUS compatible no sigue el formato que permite al BQN extraer la definición de la política, el valor del parámetro se interpretará como el nombre de una de las políticas de velocidad de suscriptor configuradas en el BQN.
En nuestro ejemplo, se utiliza Mikrotik-Address-List, pero es similar con otros parámetros RADIUS admitidos.
Primero, asegúrese de que el parámetro no se ignore y de que los parámetros con mayor prioridad sean:
El nombre de la política configurada en el BQN se basa en el contenido de AVP, con los espacios reemplazados por guiones bajos («_»). Esos son los nombres que se deben utilizar al configurar las políticas en el BQN. Con Mikrotik-Address-List, el contenido AVP «GOLD PLAN» se convierte en «GOLD_PLAN».
Es posible que las políticas especificadas por RADIUS para cada suscriptor ya estén configuradas en el BQN, en cuyo caso simplemente se asignarán. Sin embargo, es posible que ciertos nombres de políticas especificados en Radius aún no existan en el BQN.
En Estado->Suscriptores->Atributos del suscriptor, los suscriptores asociados a una política no definida se marcan en rojo en la columna RATE-POLICY.
Al hacer clic en el nombre de la política no definida, se accede a una página para configurarla, con el nombre correcto ya rellenado.
El proceso se repite para cada política de velocidad de suscriptor pendiente de configuración.
A medida que se reciben las asignaciones RADIUS, el contador SUBS_PROVISIONED aumenta y, a medida que se recibe el tráfico de suscriptores, el contador “SUBS-ACTIVE” se incrementará.
Para ir a la lista de suscriptores asociados a una política de velocidad de suscriptor a través de RADIUS, vaya a Estado->Suscriptores->Atributos del suscriptor.
Comprobación del estado de las políticas de velocidad RADIUS
Estado->Suscriptores->Atributos del suscriptor muestra una tabla con todos los suscriptores donde puede ver la política de velocidad asignada (columna RATE-POLICY ) y si proviene de RADIUS (ASSIGNED-BY que muestra radius).
Estado->Políticas->Políticas de velocidad muestra una tabla con todas las políticas de velocidad. Aquellas creadas desde RADIUS tendrán un “no” en la columna CONFIGURADO . SUBS-PROVISIONED indica cuántos suscriptores están asociados a esta política y SUBS-ACTIVE cuántos de ellos están actualmente activos (con tráfico).
Pila Dual IPv4/IPv6
En una red con dual stack, es posible aplicar los límites de velocidad de la política de velocidad conjuntamente a las direcciones IPv4 e IPv6 del mismo suscriptor. Por conjuntamente, queremos decir que el tráfico combinado de las direcciones IPv4 e IPv6 no puede exceder el límite definido por la política de velocidad.
La dirección IPv4 se obtiene del Framed-IP-Address AVP y la IPv6 del Delegated-IPv6-Prefix o Framed-IPv6-Prefix AVP.
Esos AVP deben aparecer en el mensaje RADIUS Accounting Start o, en una implementación proxy, en el Access Accept. Delegated-IPv6-Prefix tiene prioridad sobre Framed-IPv6-Prefix: el valor de Framed-IPv6-Prefix se considera solo si no hay Delegated-IPv6-Prefix en Access Accept y Accounting Start.
Framed-Route y Framed-IPv6-Route se ignoran por defecto. Para tenerlos en cuenta en la creación de doble pila, vaya a Configuration->RADIUS/REST/Billing->RADIUS y desmarque la casilla Ignore en la AVP Selection.
La pila dual está desactivada de forma predeterminada. Para habilitarla, elija una opción en Nombre del grupo de pila dual IPv6:
Esto creará un grupo de suscriptores por suscriptor con pila dual con las direcciones IPv4 e IPv6 y los miembros y la política de tarifas asociada al grupo. En el ejemplo, los grupos se nombrarán utilizando el RADIUS AVP Calling-Station-Id. Los grupos creados para implementar la pila dual tienen un prefijo DS- y serán de tipo pila dual.
Si solo hay Framed-IP-Address y Framed-Route (sin IPv6), se creará un grupo de doble pila para asociar la dirección IPv4 y el rango.
Gestión de cuotas de tiempo y volumen
Las cuotas de tiempo y volumen se reciben del mensaje Access Accept del servidor RADIUS y se asocian a la dirección IP del suscriptor recibida en el campo Framed-IP-Address.
Se debe utilizar el despliegue del proxy RADIUS para la gestión de cuotas.
A continuación, se muestra una tabla con los AVP de RADIUS admitidos para la gestión de cuotas (recibidos en AccessAccept desde el servidor RADIUS). Se ignoran de forma predeterminada, así que desmarque la casilla de verificación para configurar el BQN para que los utilice:
El BQN informa del uso en sus solicitudes provisionales de contabilidad, utilizando los siguientes parámetros RADIUS:
Tenga en cuenta que el tráfico de enlace ascendente y descendente se informa combinado utilizando el mismo par de AVP.
Debido a que BQN está en modo proxy, su conteo de volumen impulsará la aplicación de la cuota de volumen. Por ejemplo, es posible configurar reglas de BQN basadas en el ID o grupo del suscriptor (consulte la sección Identificación del suscriptor) para que algunas aplicaciones se excluyan del conteo.
En la mayoría de los casos, es importante que la cuota sea aplicada únicamente por el BQN. Para lograr esto, configure BQN para que los AVP relacionados con la cuota se eliminen tanto del mensaje Access-Accept retransmitido al cliente NAS como de las solicitudes de contabilidad (Accounting-Requests) provenientes del cliente NAS.
Algunos NAS (por ejemplo, Mikrotik) pueden enviar un valor de Session-Timeout de cero, incluso cuando el mensaje Access-Accept no ha devuelto ningún Session-Timeout. Esto se considerará como una cuota de tiempo agotada y el suscriptor será bloqueado. Para evitar esto, puede configurar el BQN para que ignore un valor cero en el AVP Session-Timeout seleccionando Ignore en Session-Timeout-If-Zero:
Comprobación del estado de las cuotas RADIUS
Estado->Suscriptores->Atributos del suscriptor muestra una tabla con todos los suscriptores donde puede ver qué suscriptores tienen una cuota (columna CUOTA con habilitado). Al hacer clic en habilitado le llevará a los detalles de la cuota.
Estado->Suscriptores->Cuotas de suscriptores muestra una tabla con todos los detalles de la cuota. Le indicará si la cuota está agotada (QUOTA-BLOCK sí), el límite de tiempo de la cuota, el límite de volumen de la cuota en GB y la cantidad de volumen de la cuota que se ha consumido.
Identificación del suscriptor (ID del suscriptor)
La información de RADIUS puede ser la fuente de información de identificación del suscriptor.
Tanto el servidor de contabilidad como las implementaciones de proxy se pueden utilizar para la identificación del suscriptor.
El BQN mantiene un ID de suscriptor para rastrear al suscriptor a través de los cambios de dirección IP. La fuente de este ID se puede tomar de RADIUS. La lista de parámetros RADIUS admitidos es:
En Configuration->RADIUS/REST/Billling->RADIUS, vaya al campo Subscriber-ID source y seleccione el valor apropiado (Dejar sin cambios de forma predeterminada).
Para comprobar la información del ID del suscriptor, vaya a Estado->Suscriptores->Atributos del suscriptor y consulte la columna SUBSCRIBER-ID.
Grupo de suscriptores
Puede asignar suscriptores a grupos de suscriptores basándose en la información de RADIUS. Puede ver las métricas desglosadas por grupos de suscriptores o definir reglas de política que traten a esos grupos de forma diferente (por ejemplo, hacer que los suscriptores de un grupo con un servicio no se contabilicen como parte de las cuotas de volumen de esos suscriptores).
Los parámetros RADIUS que pueden ser fuente de grupos de suscriptores se enumeran en la siguiente tabla:
Se ignoran por defecto, así que desmarque la casilla de ignorar para configurar el BQN para que los utilice, como se muestra en la siguiente pantalla para el AVP Filter-Id:
Una vez habilitado, los suscriptores se añadirán a un grupo con el nombre de su valor Filter-Id. Si RADIUS envía varias instancias de Filter-Id AVP, el suscriptor se añadirá a más de un grupo, uno por cada valor Filter-Id, hasta un máximo de 8 grupos.
Para comprobar la información del grupo de suscriptores, vaya a Estado->Suscriptores->Atributos del suscriptor y consulte la columna GRUPOS-DE-SUSCRIPTORES.
Estado->Suscriptores->Grupos de suscriptores mostrará la lista de grupos de suscriptores y el número de suscriptores asignados (aprovisionados) y el número de ellos activos.
Si no desea que los suscriptores se agrupen mediante RADIUS, configure todos los AVP relacionados para que se ignoren:
Activar/Desactivar la optimización de ACM
ACM está habilitado de forma predeterminada para todas las políticas dinámicas de RADIUS. Para habilitar o deshabilitar ACM, cambie el campo “Automatic Congestion Management” en la configuración de RADIUS/REST/Billing->RADIUS:
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.