Timeouts de PPP por usuário - Cisco
Timeouts de PPP por usuário
ID do documento:10236
Configuração básica (perfis virtuais não ativados)
Intervalos globais
Intervalos por usuário – Configuração do servidor de AAA
Intervalos por usuário - Configuração de NAS
Chamada assíncrona com perfis virtuais – A conexão não fica ociosa
Chamada assíncrona com perfis virtuais – Conexão fica ociosa
Chamada assíncrona sem perfis virtuais
Chamada de ISDN de canal único de multilink sem perfis virtuais
Chamada de ISDN de canal único de não-Multilink sem perfis virtuais
Chamada de ISDN de canal único de não-multilink com perfis virtuais
Esta dica técnica explica como implementar intervalos por usuário nas plataformas de acesso Cisco. Para que os tempos limites por peer funcionem adequadamente, você deve executar a versão 11.3(8)T ou posterior do Cisco IOS. Se você executar uma versão anterior do Cisco IOS, os temporizadores poderão trabalhar somente em determinadas configurações básicas, tais como a assíncrona, que funciona apenas com perfis não virtuais.
Este documento aborda a configuração do servidor de acesso à rede (NAS) e do servidor de autenticação, autorização e contabilização (AAA). Fornece também a saída do comando show and debug para que você possa confirmar se seus dispositivos estão funcionando bem e possa depurar quaisquer problemas.
Cisco IOS versão 11.3(8)T ou posterior
Antes de discutir intervalos por usuário, o que envolve outras variáveis, como configuração AAA e servidores RADIUS/TACACS+, examinaremos como configurar um servidor de acesso para intervalos fixos, ou seja, intervalos aplicados globalmente e a todos que discam.
Os comandos principais do Cisco IOS são dialer idle-timeout e timeout absolute. Ambos são comandos de configuração de interface. Também discutiremos um terceiro comando, ppp timeout idle, que é utilizado em interfaces vaccess.
Esse comando pode ser configurado em qualquer interface habilitada para discador e controla por quanto tempo a conexão pode ficar ociosa (em segundos) antes de ser encerrada. Listado abaixo estão quatro pontos que devem ser observados em relação a este comando:
Esse comando só pode ser aplicado às interfaces que são compatíveis com discador. Por padrão, todas as interfaces ISDN (BRI e PRI) têm capacidade de discador, portanto, adicionar esse comando não é um problema. Por padrão, as interfaces assíncronas (inclusive as interfaces de grupo assíncronas) não têm o recurso de discador. Habilite este recurso, digitando o comando dialer in-band. Só depois de emitir o comando dialer in-band na interface assíncrona, é possível configurar o dialer idle-timeout. Nota
Observação: o vtemplate (e, portanto, as interfaces vaccess) não são compatíveis com o discador (são somente ponto-a-ponto) e, portanto, não podem usar esse comando.
Em uma interface habilitada para discador (ou seja, ISDN ou assíncrona com discador na banda), o padrão é dialer idle-timeout 120 (segundos). Em geral ele é muito curto em um ambiente ISP e, assim, quase sempre deve ser aumentado.
Como padrão, o comando dialer idle-timeout é restaurado somente no tráfego externo (tráfego em direção ao usuário) correspondente a dialer-list (isto é, considerado interessante). É possível redefini-lo para o tráfego de entrada interessante também adicionando a palavra-chave ambas ao final do comando (ou seja, dialer idle-timeout 600 também).
O tráfego considerado "interessante" é definido pelo comando dialer-list <n>, no qual <n> corresponde ao número na instrução de comando<n> dialer-group.
intervalo absoluto <x> <y>
Esse comando pode ser configurado em qualquer interface WAN, incluindo interfaces assíncronas, interfaces ISDN, interfaces de discador e interfaces de vtemplate. Controla por quanto tempo a conexão pode ficar ativa antes de ser encerrada. Observe que a sintaxe é <x> <y> em que <x> está em minutos e <y> em segundos.
Esse comando só pode ser configurado em interfaces de vtemplate (e está até oculto no analisador) e controla por quanto tempo a conexão pode ficar ociosa (em segundos) antes de ser encerrada. Sua função é muito similar àquela do comando dialer idle-timeout em interfaces de discadores, somente o ppp timeout idle é para as interfaces vtemplate/vaccess. Como é usado especificamente em interfaces vtemplate/vaccess, esse comando é apropriado para configurações de perfil virtual (onde uma interface vaccess é sempre criada para um usuário) e gateways domésticos de rede de discagem privada virtual (VPDN) (onde as interfaces projetadas são sempre terminadas em uma interface vaccess). Ao contrário do comando dialer idle-timeout, não há um conceito de tráfego interessante e, dessa forma, todo tráfego de usuário reiniciará o temporizador ocioso. O tráfego de não-usuário como as manutenções de atividades de LCP (Protocolo de controle de enlace) e pacotes de negociações do NCP (Protocolo de controle de rede) não reinicializa o temporizador.
Para fins didáticos, iremos supor uma configuração de base como a descrita abaixo. O recurso perfis virtuais não está ativo.
Para o próximo exemplo, imporemos um tempo limite ocioso de 30 minutos (1800 segundos) e um tempo limite absoluto de 3 horas (180 minutos) para os usuários. A alteração de configuração delta que ativará os tempos limite globais de ppp será a seguinte:
Se você não tiver uma lista de discadores 1, precisará definir uma. O mais simples seria dialer-list 1 protocol ip permit.
Se você estivesse usando perfis virtuais, sua configuração poderia ser mais fácil porque você poderia simplesmente colocar o timeout na interface virtual-modelo, como mostrado abaixo:
Agora que já trabalhamos com timeouts globais, estenderemos este conhecimento para timeouts por usuário. Seus valores de cronômetro por usuário cairão durante a autorização da rede, então você precisa ter o comando aaa authorization network configurado para o método que você estiver utilizando, RADIUS ou TACACS+. Observe também que os temporizadores por usuário sempre substituirão quaisquer valores globais pré-configurados no NAS. A forma como os temporizadores por usuário funcionam é que quando o servidor de acesso recebe os atributos de tempo limite durante a fase de autorização da rede, ele converterá esses atributos em um conjunto de comandos de configuração que serão inseridos na interface à qual o usuário será conectado. Esses comandos de configuração inseridos na interface por um processo em segundo plano são temporários; eles são removidos quando o usuário se desconecta.
Listados abaixo estão vários perfis de usuário de exemplo no servidor:
Perfis RADIUS
Observação: sua sintaxe pode variar dependendo de como o dicionário está configurado.
Perfis TACACS+
Se você estiver fazendo somente assíncrono (sem ISDN) sem usar perfis virtuais, assim que tiver configurado o discador associado nas interfaces assíncronas (ou grupo assíncrono), os cronômetros por usuário deverão funcionar. O processo em segundo plano inserirá os temporizadores na interface assíncrona, usando os comandos dialer idle-timeout e timeout absolute com os valores transmitidos de RADIUS/TACACS+, e os removerá quando o usuário se desconectar.
Se você estiver fazendo apenas comutação assíncrona (sem ISDN) e usando perfis virtuais, não precisará de discador associado configurado na interface assíncrona (ou assíncrona por grupo). Deve funcionar. O processo em segundo plano inserirá os temporizadores na interface vaccess, usando os comandos pp timeout idle e timeout absolute com os valores transmitidos de RADIUS/TACACS+, e os descartará quando o usuário desconectar.
Se você tiver usuários ISDN e precisar fazer temporizadores por usuário, talvez precise usar perfis virtuais. O motivo é que o processo em segundo plano discutido anteriormente não funciona para interfaces ISDN; ou seja, você não pode configurar o canal B ao qual o usuário está conectado. A única coisa que você pode configurar é o canal D que afeta todos. Entretanto, se um usuário negocia multilink em uma sessão, o servidor de acesso automaticamente criará uma interface de acesso virtual que atue como a interface do conjunto para o usuário. O processo de fundo trabalha em interfaces de acesso virtual, mas não trabalha em uma chamada de ISDN que não seja multienlace, em que não há interface de acesso virtual. Então, se você terá usuários do canal B únicos que não negociam multilink e deseja instalar timeouts de usuário para eles, é necessário ativar perfis virtuais. Habilitar perfis virtuais força a criação de uma interface vaccess para todos os usuários (não apenas os usuários multilink) e o processo de fundo pode inserir com êxito os comandos ppp timeout idle e timeout absolute. Se você optar por não ativar perfis virtuais, os usuários assíncronos e os usuários de ISDN multilink poderão ter intervalos por usuário aplicados a eles. Mas não é possível aplicar intervalos por usuário a usuários de ISDN não-multiponto. Somente os tempos limite globais configurados estaticamente na interface (se houver) serão aplicados. Se você tentar aplicar intervalos de parada por usuário a um usuário ISDN não-multilink e não tiver perfis virtuais ativados, a conexão do usuário falhará durante o processo de autorização, pois o servidor de acesso não será capaz de processar os atributos obrigatórios de intervalo de parada por usuário.
Além disso, um recurso foi adicionado ao Cisco IOS 11.3(8.1)T e versões posteriores, o que permite que os tempos limite por usuário sejam aplicados a usuários ISDN não-multilink. Essencialmente, ele ignora o modo de configuração de processo de fundo que em geral é usado e define os cronômetros diretamente para o canal B sem usar a interface de linha de comando.
Para resumir essa configuração complicada, você pode seguir estas duas regras:
Se não estiver usando perfis virtuais, configure dialer in-band nas interfaces assíncronas e execute o Cisco IOS 11.3(8.1)T ou posterior. Se você estiver executando o Cisco IOS 11.3(8)T, esteja ciente de que os usuários de ISDN que não sejam multienlace não podem ter intervalos por usuário aplicados a eles, caso contrário, eles falharão ao conectar.
Se estiver usando perfis virtuais, o Cisco IOS 11.3(8) ou mais recente funcionará bem.
Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração. Para fins de depuração, seis exemplos de saída de chamada são incluídos. Para ir diretamente para uma seção específica, selecione um dos links abaixo:
Observação: para ver os mesmos comandos e saída apresentados abaixo, você deve estar executando o Cisco IOS versão 11.3AA ou versão 12.0T.
Segue abaixo uma chamada assíncrona com perfis virtuais. O perfil instala um intervalo absoluto de 90 segundos e um intervalo ocioso de 60 segundos. Neste exemplo, não deixaremos que a conexão tenha tempo ocioso. Consulte os comentários na saída abaixo para obter mais detalhes. Os comentários são destacados e em texto em itálico.
Segue abaixo uma chamada assíncrona com perfis virtuais. Tem o mesmo nome de usuário que o exemplo acima. O perfil instala um intervalo absoluto de 90 segundos e um intervalo ocioso de 60 segundos. Neste exemplo, deixaremos a conexão ociosa. Não há comentários abaixo, mas a saída importante foi realçada.
Abaixo, uma chamada assíncrona sem os perfis virtuais habilitados. Observe que o comando idle-timeout é usado no lugar do comando ppp timeout idle, pois não estamos usando perfis virtuais e não há interfaces vaccess. Você também nos verá criar o comando per-user timeout e, ao mesmo tempo, a versão no dos comandos. Os comandos per-user timer são instalados imediatamente, enquanto a nenhuma versão dos comandos é enfileirada para a interface a ser processada quando o usuário se desconecta.
Abaixo está uma chamada ISDN multilink sem perfis virtuais ativados. Como uma chamada multilink cria uma interface vaccess, os temporizadores podem ser instalados facilmente.
Abaixo, uma chamada de ISDN de canal simples sem multilink cujos perfis virtuais não estão habilitados. Neste exemplo, estamos executando o Cisco IOS 11.3(8.2)AA para que esses temporizadores possam ser instalados corretamente. No entanto, observe que nenhum comando de configuração foi criado para causar isso; os temporizadores foram definidos internamente no código.
Abaixo está o mesmo usuário ISDN de canal único não multilink, mas desta vez com perfis virtuais ativados. Observe que a interface vaccess é criada mesmo que o multilink não seja negociado e criemos os comandos de configuração para instalar os temporizadores.