Introdução do Raio
O BQN pode ser configurado para receber mensagens RADIUS para suportar a seguinte funcionalidade:
- Atribuição de políticas tarifárias aos assinantes.
- Definição dinâmica dessas políticas de taxas.
- Gestão de quotas de tempo e/ou volume.
- Atribuição de um atributo RADIUS ao ID de assinante BQN.
- Atribuição de um atributo RADIUS ao grupo de assinantes BQN.
A aplicação de quotas e políticas de taxas é aplicada por endereço IP de assinante, pelo que o BQN tem de ter visibilidade dos endereços IP de assinante, ou seja, não pode haver um NAT entre os assinantes e o BQN porque os limites de taxas serão aplicados por endereço IP de assinante. É igualmente importante que os wires estejam ligados da forma correcta (portas de acesso ligadas do lado dos assinantes).
<div class="paragraph-highlight">Currently, only IPv4 address subscribers are supported via RADIUS.</div>
Existem duas formas de o BQN receber mensagens RADIUS:
- Como servidor de contabilidade RADIUS.
- Como proxy RADIUS entre os clientes RADIUS e o servidor RADIUS (tanto para Autenticação como para Contabilidade RADIUS).
O diagrama seguinte resume uma implementação BQN como um servidor de contabilidade RADIUS:
O diagrama detalha o IP e as portas utilizadas e o fluxo da sinalização RADIUS.
Da mesma forma, para uma implementação BQN como um proxy RADIUS:
O BQN utiliza o seu endereço IP de gestão (o mesmo endereço da GUI) para receber e enviar mensagens RADIUS. Utiliza as seguintes portas:
- Porta UDP 1812 para autenticação/autorização RADIUS
- Porta UDP 1813 para contabilidade RADIUS
- Porta UDP para receber a mensagem Change of Authorization Disconnect (1700 por defeito, embora possam ser configuradas outras portas, como a 3799).
As implementações do servidor de contabilidade RADIUS e do proxy RADIUS têm prós e contras. A principal vantagem da implementação da contabilidade RADIUS é o facto de o BQN não se encontrar no caminho de autenticação RADIUS.
<div class="paragraph-highlight">RADIUS accounting server deployment is the preferred option.</div>
No entanto, a gestão de quotas requer a implementação de um proxy RADIUS. Além disso, a implementação do proxy RADIUS é uma opção válida quando o servidor de contabilidade RADIUS não é possível (por exemplo, com routers Mikrotik em modo DHCP).
Implementação do servidor de contabilidade
Para integrar o BQN no RADIUS no modo de servidor de contabilidade, é necessário efetuar alterações de configuração no BQN e nos clientes RADIUS do NAS. A imagem seguinte apresenta um resumo:
Configuração do BQN
Siga estes passos:
- Aceder a Configuração->RADIUS/REST/Faturação->RADIUS
- Colocar o interrutor do serviço RADIUS em On.
- Seleccione a opção Servidor de contabilidade no campo RADIUSproxy/Servidor de contabilidade .
- Adicione os endereços IP de cada cliente NAS RADIUS, juntamente com o seu segredo. Para o fazer, na GUI do BQN, aceda a Configuration->RADIUS/REST/Billing->RADIUS e clique em Add Client...
A imagem de ecrã seguinte mostra um exemplo:
Pode ser adicionada uma descrição opcional para cada cliente NAS RADIUS (a descrição não pode conter espaços).
Configuração dos clientes RADIUS do NAS
O objetivo é configurar o cliente RADIUS NAS para enviar cópias das mensagens de contabilização RADIUS para o BQN, como se o servidor BQN fosse um servidor RADIUS apenas para contabilização. Os passos para cada cliente RADIUS NAS são os seguintes:
- Configure um servidor de backup RADIUS com o endereço IP BQN e o segredo configurado anteriormente em BQN para este NAS.
- Certifique-se de que a porta utilizada é a UDP 1813.
- Definir actualizações intercalares de contabilidade, com um período intercalar não superior a 5 minutos.
As instruções seguintes estão relacionadas com um servidor Mikrotik PPPoE, mas podem ser seguidos passos semelhantes para outros fornecedores:
- Em primeiro lugar, a configuração RADIUS existente não deve ser alterada
- Um novo servidor RADIUS será configurado com o BQN como um servidor de cópia de segurança de contabilidade. Para criar um novo servidor RADIUS, aceda à secção RADIUS e clique em "Add New" (Adicionar novo). É apresentado o seguinte ecrã:
Como se pode observar:
- O serviço do router/switch deve ser activado (normalmente ppp).
- Em "Endereço" o endereço IP será o endereço IP de gestão BQN (pode ver qual deles se encontra em ConfiguraçãoGUI BConfiguration->Interfaces->Management).
- O campo Accounting Backup deve ser selecionado (caso contrário, o BQN receberia mensagens de Autenticação e Autorização RADIUS, que não suporta).
- O porto contabilístico é deixado no seu valor por padrão(1813).
- Opcionalmente, pode ser especificado um segredo (se usado, deve corresponder ao configurado na configuração do BQN RADIUS).
- Opcionalmente, um Comentário pode acrescentar uma descrição do servidor RADIUS (por exemplo, "BQN RADIUS").
Depois de criar o servidor RADIUS, a lista deve ser a seguinte:
Certifique-se de que o serviço tem as actualizações intermédias RADIUS activadas e com um período razoável (1-5 minutos). Por exemplo, para PPP, na opção PPP->Secrets->PPP Authentication & Accounting.
O processo deve ser repetido em todos os nós cujo RADIUS deve ser enviado para o BQN.
Implantação de proxy
Para integrar o BQN no RADIUS em modo proxy, é necessário efetuar alterações de configuração no BQN, nos clientes RADIUS do NAS e no servidor RADIUS. A imagem seguinte apresenta um resumo:
Configuração do BQN
Siga estes passos:
- Aceder a Configuração->RADIUS/REST/Faturação->RADIUS
- Colocar o interrutor do serviço RADIUS em On.
- Seleccione a opção Proxy RADIUS no campo Proxy RADIUS/Servidor de contabilidade .
- Configure o endereço IP e o segredo do servidor RADIUS nos campos Endereço IP do servidor e Segredo do servidor , respetivamente.
- Adicione os endereços IP de cada cliente NAS RADIUS, juntamente com o seu segredo. Para o fazer, na GUI do BQN, aceda a Configuration->RADIUS/REST/Billing->RADIUS e clique em Add Client...
- Configurar a porta de desconexão utilizada pelo servidor RADIUS (1700 por predefinição).
A imagem de ecrã seguinte mostra um exemplo:
Configuração dos clientes RADIUS do NAS
Os passos para cada cliente NAS RADIUS são os seguintes:
- Configurar o endereço IP do BQN como servidor RADIUS primário, utilizando o segredo configurado anteriormente no BQN.
- Certifique-se de que as portas utilizadas são UDP 1812 para autenticação, UDP 1813 para contabilidade e UDP 1700 para receber desconexões.
- Definir o servidor RADIUS como RADIUS de reserva, se possível.
Configuração do servidor RADIUS
Siga estes passos:
- Configure o endereço IP do BQN como um cliente NAS RADIUS válido, com um segredo igual ao configurado anteriormente no BQN.
Tratamento de AVP RADIUS
O BQN processa alguns AVPs (Attribute-Value Pairs) do RADIUS para implementar funcionalidades próprias do BQN, como a aplicação da política de preços, quotas ou informações para identificação do assinante.
Por predefinição, o BQN reage a todas as AVP suportadas (mais adiante neste capítulo), mas é configurável para ignorar algumas delas. Quando em modo de implementação proxy, o BQN retransmitirá as AVPs ignoradas, mas não executará qualquer outra ação. Uma razão possível para ignorar AVPs é quando outras com menor prioridade são preferidas. A secção de taxa de política fornece um exemplo concreto.
Quando no modo de implementação proxy BQN, o BQN também pode remover alguns AVPs recebidos numa mensagem Accept-Accept do servidor RADIUS antes de a retransmitir para o cliente NAS RADIUS. Uma razão possível para remover AVPs é impedir que o cliente NAS tente atuar sobre elas, interferindo com as acções da BQN. A secção de quotas fornece um exemplo concreto.
A configuração do tratamento de AVP encontra-se em Configuração->RADIUS/REST/Faturação->RADIUS, no campo Seleção de AVP.
Controlo da política de taxas
As mensagens RADIUS Accounting Start e Interim associam um endereço IP de assinante a uma política de tarifas de assinante. O endereço IP do assinante é recebido no campo Framed-IP-Address. Existem duas formas de especificar a política de preços de assinante:
- Especificação dos parâmetros da política de débito do assinante (como o limite de débito), em que o atributo RADIUS fornece a definição da política e o BQN cria uma política com base nessa informação.
- Especificar o nome da política de taxa de subscrição, em que o atributo RADIUS contém o nome da política a escolher entre as políticas que fazem parte da configuração BQN.
Tanto as implementações do servidor de contabilidade como do proxy podem ser utilizadas para o controlo da política de preços.
AVPs RADIUS suportadas para políticas de taxas
Os seguintes AVPs RADIUS são suportados para a gestão da política de débito. Listamo-las por ordem de prioridade (os parâmetros avaliados em primeiro lugar terão precedência):
Quando estiver presente mais do que um AVP, a política será gerida de acordo com a ordem de prioridade. Por exemplo, se tanto o Mikrotik-Rate-Limit como o Ascend-Data-Rate estiverem presentes, o Mikrotik-Rate-Limit terá precedência. Além disso, se tanto Ascend-Data-Rate como Mikrotik-Address-List estiverem na mensagem Radius, Mikrotik-Address-List será ignorado. Em qualquer caso, é possível utilizar qualquer um destes elementos de informação, já que o BQN pode ser configurado para ignorar os que têm mais precedência, como se pode ver na secção seguinte.
Se uma mensagem RADIUS não contiver nenhum dos AVPs suportados, a política de preços de subscrição anteriormente atribuída ao endereço IP do subscritor nessa mensagem RADIUS, caso exista, será removida e será escolhida uma nova política com base nas regras da política de preços de subscrição configuradas pelo BQN.
O RADIUS fornece a definição da política de taxas
Isto não requer basicamente nenhuma configuração específica. Basta certificar-se de que, em Configuração-> RADIUS/REST/Faturação->RADIUS, os parâmetros RADIUS que especificarão a política não são ignorados (não são ignorados por defeito). Assim que a BQN começa a receber as mensagens RADIUS, atribui a cada assinante (para o qual é recebida uma mensagem RADIUS) uma política de preços de assinante com os limites de preços definidos na mensagem RADIUS.
O nome da política criada dinamicamente é composto com base no conteúdo da AVP, com o seguinte formato:
onde:
- RA-: um prefixo que indica que se trata de uma política criada a partir do RADIUS.
- rx-rate: limite de taxa em uplink.
- tx-rate: limite de taxa em downlink.
- rx-burst-rate: taxa de rebentamento na ligação ascendente.
- tx-burst-rate: taxa de rebentamento em downlink.
- rx-burst-threshold: limiar de rajada na ligação ascendente (velocidade média que não deve ser excedida antes de se conceder uma nova rajada).
- tx-burst-threshold: limiar de rajada na ligação descendente (velocidade média que não deve ser excedida antes de se conceder uma nova rajada).
- rx-burst-time: duração da ligação ascendente, em segundos.
- tx-burst-time downlink burst duração, em segundos.
As taxas e os limiares incluirão as suas unidades (K para Kbps, M para Mbps e G para Gbps).
Uma vez que o BQN tenha as políticas de taxa, ele as aplicará com base no endereço IP do assinante. Relativamente à aplicação no NAS (por exemplo, o servidor PPPoE), existem três opções:
- Remova os limites de taxa no NAS (por exemplo, remova as filas do Mikrotik).
- Faça com que o BQN aplique os limites da política reduzidos por um fator configurável, para que o BQN seja o ponto de aplicação e não o NAS. O NAS continua a ser uma cópia de segurança com o limite de débito total, caso a aplicação do BQN falhe.
- Faça com que o BQN remova o parâmetro recebido do servidor RADIUS para que o NAS não o receba (disponível apenas em implementações de proxy RADIUS utilizando o parâmetro Mikrotik Rate-Limit).
Segue-se um exemplo de redução do limite da apólice:
Por exemplo, com uma percentagem de 80%, um limite de 125 Mbps no RADIUS será convertido num limite de 100 Mbps no BQN (125*0,8).
A percentagem é aplicada a todos os parâmetros da política de taxas de assinantes (limite de taxa, velocidade de ruptura e limiar de ruptura).
Este parâmetro também pode ser definido para um valor mais elevado (por exemplo, 200%) para impor limites de taxa mais elevados do que o NAS atual, de modo a obter políticas de taxa atribuídas aos assinantes, mas as taxas continuarão a ser controladas pelo NAS. Isto pode ser útil durante o teste inicial da interface RADIUS. Além disso, é adequado se apenas pretender que o BQN obtenha a política de débito sem a aplicar (por exemplo, para a utilizar para selecionar uma política de débito adequada).
Para evitar que o Mikrotik-Rate-Limit chegue ao NAS em implementações de proxy:
RADIUS fornece o nome da política de taxas
Quando um parâmetro RADIUS suportado não segue o formato que permite ao BQN extrair a definição da política, o valor do parâmetro será interpretado como o nome de uma das políticas de taxa de subscrição configuradas no BQN.
No nosso exemplo, é utilizada a Mikrotik-Address-List, mas é semelhante a outros parâmetros RADIUS suportados.
Em primeiro lugar, certifique-se de que o parâmetro não é ignorado e que os parâmetros com maior prioridade o são:
O nome da política configurada no BQN é baseado no conteúdo da AVP, com espaços substituídos por sublinhados ("_"). Estes são os nomes que devem ser utilizados aquando da configuração das políticas no BQN. Com Mikrotik-Address-List, o conteúdo AVP "GOLD PLAN" torna-se "GOLD_PLAN".
As políticas especificadas pelo RADIUS para cada assinante podem já estar configuradas no BQN, caso em que serão apenas atribuídas. No entanto, certos nomes de políticas especificados no Radius podem ainda não existir no BQN.
Em Estado->Subscritores->Atributos dos subscritores, os subscritores associados a uma política indefinida são assinalados a vermelho na coluna POLÍTICA DE TAXA.
Clicar no nome da política indefinida leva a uma página para a configurar, com o nome correcto já preenchido.
O processo é repetido para cada política de taxa de subscrição pendente de configuração.
À medida que as atribuições RADIUS são recebidas, o contador SUBS_PROVISIONED cresce e, à medida que o tráfego de assinantes é recebido, o contador "SUBS-ACTIVE" irá aumentar.
Para aceder à lista dos assinantes associados a uma política tarifária de assinantes via RADIUS, vá a Estado->Subscritores->Atributos dos assinantes.
Verificar o estado das políticas de taxas RADIUS
Status->Subscribers->Subscriber Attributes mostra uma tabela com todos os subscritores onde se pode ver a política de preços atribuída( colunaRATE-POLICY ) e se vem do RADIUS(ASSIGNED-BY mostrando radius).
Estado->Políticas->Políticas de tarifas mostra uma tabela com todas as políticas de tarifas. Aquelas criadas a partir do RADIUS terão um "não" na coluna CONFIGURADO . SUBS-PROVISIONED indica quantos assinantes estão associados a esta política e SUBS-ACTIVE quantos deles estão atualmente activos (com tráfego).
Gestão de quotas de tempo e volume
As quotas de tempo e de volume são recebidas da mensagem Access Accept do servidor RADIUS e associadas ao endereço IP do assinante recebido no campo Framed-IP-Address.
A implementação do proxy RADIUS deve ser utilizada para a gestão de quotas.
Segue-se uma tabela com os AVPs RADIUS suportados para a gestão de quotas (recebidos em AccesssAccept do servidor RADIUS). São ignoradas por predefinição, por isso desmarque a caixa de seleção ignorar para configurar o BQN para as utilizar:
O BQN comunica a utilização nos seus pedidos intermédios de contabilidade, utilizando os seguintes parâmetros RADIUS:
Note-se que o tráfego de ligação ascendente e descendente é comunicado em conjunto utilizando o mesmo par de AVP.
Como o BQN está no modo proxy, sua contagem de volume conduzirá a aplicação da cota de volume. Por exemplo, é possível configurar as regras do BQN com base na ID do assinante ou no grupo (consulte a secção Identificação do assinante) para que algumas aplicações sejam excluídas da contagem.
Na maioria dos casos, é importante que a quota seja imposta apenas pelo BQN. Para tal, configure o BQN de modo a que os AVPs relacionados com a quota sejam removidos da mensagem Access-Accept transmitida ao cliente NAS e dos Accounting-Requests provenientes do cliente NAS.
Alguns NAS (por exemplo, Mikrotik) podem enviar um valor de Session-Timeout igual a zero, mesmo que a mensagem Access-Accept não tenha devolvido qualquer Session-Timeout. Isto será considerado como uma quota de tempo esgotada e o assinante será bloqueado. Para evitar esta situação, pode definir o BQN para ignorar um valor zero na AVP Session-Timeout seleccionando Ignorar em Session-Timeout-If-Zero:
Verificar o estado das quotas RADIUS
Estado->Subscritores->Atributos dos subscritores mostra uma tabela com todos os subscritores onde pode ver quais os subscritores que têm uma quota( colunaQUOTA com ativado). Clicando em " enabled " (ativado), acederá aos detalhes da quota.
Status->Subscribers->Subscriber Quotas mostra uma tabela com todos os detalhes da quota. Indica se a quota está esgotada (QUOTA-BLOCK yes), o limite de tempo da quota, o limite de volume da quota em GB e quanto da quota de volume foi consumida.
Identificação do subscritor
As informações RADIUS podem ser a fonte das informações de identificação do assinante.
Tanto as implementações de servidor de contabilidade como de proxy podem ser utilizadas para a identificação de assinantes.
Identificação do assinante
O BQN mantém um ID de subscritor para rastrear o subscritor através de alterações do endereço IP. A fonte deste ID pode ser obtida a partir do RADIUS. A lista de parâmetros RADIUS suportados é a seguinte:
Em Configuration->RADIUS/REST/Billling->RADIUS, vá para o campo Subscriber-ID source e seleccione o valor apropriado (deixar inalterado por defeito).
Para verificar a informação sobre o ID do assinante, vá a Status->Subscribers->Subscriber Attributes e veja a coluna SUBSCRIBER-ID.
Grupo de assinantes
Pode atribuir assinantes a grupos de assinantes com base em informações RADIUS. Pode ver as métricas discriminadas por grupos de assinantes ou definir regras de política que tratem esses grupos de forma diferente (por exemplo, fazer com que os assinantes de um grupo com um serviço não sejam contabilizados como parte das quotas de volume desses assinantes).
Os parâmetros RADIUS que podem ser fonte de grupos de assinantes estão listados na tabela seguinte:
São ignorados por predefinição, por isso desmarque a caixa de verificação para configurar o BQN para os utilizar, como se mostra no ecrã seguinte:
Uma vez ativado, os assinantes serão adicionados a um grupo com o nome do seu valor Filter-Id. Se o RADIUS enviar várias instâncias de Filter-Id AVP, o assinante será adicionado a mais de um grupo, um para cada valor de Filter-Id, até um máximo de 3 grupos.
Para verificar a informação do grupo de assinantes, vá a Status->Subscribers->Subscriber Attributes e veja a coluna SUBSCRIBER-GROUPS .
Status->Subscribers->Subscriber Groups mostrará a lista de grupos de subscritores e o número de subscritores atribuídos (provisionados) e o número deles activos.
Se não quiser que os assinantes sejam agrupados através do RADIUS, defina a AVP para ser ignorada:
Activar/desactivar a optimização ACM
A ACM está activada por predefinição para todas as políticas dinâmicas RADIUS. Para ativar ou desativar a ACM, altere o campo "Automatic Congestion Management" (Gestão automática de congestionamentos) na configuração de RADIUS/REST/Billing->RADIUS:
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.