CMNET城域网BRAS配置规范.doc

BRAS双机热备配置规范多对ME60互联地址注意主备BRAS均需修订限速设置中，对于上行和下行都设置相同值，在多数情况下，可以将用户上行限速适当调小些，这样可以降低P2P类业务上行占资源的情况V.6.9.7-降负荷版本配置待补充V6.9.6 a00版本升级一个问题明确（前期配置应该有，若没有，升级前需增加升级A00版本，前域用户，必须配置网关的PERMIT。原来DHCP报文上送是不做ACL的，现在续租的报文也会做ACL，不配置就会被DENY acl number 6005rule x permit ip source user-group wlan destination ip-address 0 rule y permit ip source ip-address 0 destination user-group wlan V6.9.5调整限速qos-profile limit-1m car cir 1024 green pass red discard inbound /用户上行(用户-me60) car cir 1024 green pass red discard outbound /用户下行(me60-用户)qos-profile limit-2mcar cir 2048 green pass red discard inbound /用户上行(用户-me60)car cir 2048 green pass red discard outbound/用户下行(me60-用户)qos-profile limit-512K car cir 512 green pass red discard inbound /用户上行(用户-me60) car cir 512 pir 768green pass yellow pass red discard outbound /用户下行(me60-用户)V6.9.4调整限速配置，原限速配置突发较大，考虑忙时无线侧拥塞厉害，为避免恶意占用带宽，修改qos-profile limit-1m car cir 1024 green pass red discard inbound /用户上行(用户-me60) car cir 1024 pir 1536 green pass red discard outbound /用户下行(me60-用户)qos-profile limit-2mcar cir 1536 green pass red discard inbound /用户上行(用户-me60)car cir 2048 pir 2536 green pass yellow pass red discard outbound/用户下行(me60-用户)qos-profile limit-512K car cir 512 green pass red discard inbound /用户上行(用户-me60) car cir 512 pir 768green pass yellow pass red discard outbound /用户下行(me60-用户)V6.9.3 删除旧的国漫白名单33、4rule x permit ip source user-group wlan destination ip-address 地址A 0rule y permit ip source ip-address 地址A 0 destination user-group wlanV6.9.2 修订ME60 全局、分域radius源地址地址现网配置：1)全局下radius-server source interface LoopBack02) radius-server group下没有强制要求(3gppaaa-hw, 3gppaaa-zte两个配置了radius-server source interface LoopBack0)近期发现此方式时radius发起的DM消息，Radius下发消息时目的地址是NASIP(对应loopback100)，ME60回复时用loopback0做为原地址，存在问题；修改配置方案如下1)第一步:所有的WLAN相关radius-server group下增加radius-server source interface LoopBack0命令.注意西部12地市需根据关于华为新AAA割接入网的通知(SD-098-110830-31)要求在割接到新AAA时修改radius-server group 3gppaaa-hw中radius-server source interface LoopBack0，9月15日完成2)第二步:全局下radius-server source interface LoopBack0改为radius-server source interface LoopBack1003)第三步:修改配置,收到AAA发的DM消息时以server-group 3gppaaa-zte中定义的原地址返回radius-server authorization 0 shared-key 88-89 server-group 3gppaaa-hw /信任华为新AAA下发的DM消息,用于踢用户,新华为AAA.收到AAA发的DM消息时以server-group 3gppaaa-hw中定义的原地址返回radius-server authorization 7 shared-key 88-89 server-group 3gppaaa-zte /信任中兴AAA下发的DM消息,用于踢用户, 收到AAA发的DM消息时以server-group 3gppaaa-zte中定义的原地址返回4)备用ME60按上述步骤修改修改完毕后测试内容：1)省内用户2)省外用户(或电子卡)3)计费验证4)省内用户在portal页面自助下线V6.9 新增白名单数据根据集团要求国漫新白名单：8、7、1 /20110908在ACL6005中增加，注意每个地址对应两条策略rule xyz(根据配置需要定数值) permit ip source user-group wlan destination ip-address x.x.x.x 0rule abc(根据配置需要定数值) permit ip source ip-address x.x.x.x destination user-group wlanV6.8 6.7日割接后,省内radius/portal根据强制portal页面携带SSID区分是社会热点还是校园热点1)携带SSID=CMCC-EDU,对外省用户不让使用，有提示语；对省内用户不加后缀；校园用户默认认证后域wlan-sd-new2)不携带SSID或SSID=CMCC，对外省用户不加后缀，对省内用户加后缀wlan-sd-new，仍然使用wlan-sd-new这个认证后域由此导致校园与社会热点只能用相同的限速策略。目前存在校园与社会热点只能不同限速策略的需求，需要：1)BRAS侧先新建一个wlan-moni-jituan域，配置同wlan-sd-new这个域，用于CMCC热点使用模特集团portal时省内用户的认证后域,8.25日前完成2)portal侧模拟集团portal页面，对省内用户由加后缀wlan-sd-new改为wlan-moni-jituan(BRAS侧做好后调整,8月底前)3此后若对校园和社会热点采取不同限速策略，可以在不同的域中修改domain wlan-moni-jituan /WLAN认证后域（省内radius/portal，新的华为radius，模拟集团portal页面用户认证过后进此域） authentication-scheme cmcc accounting-scheme cmcc service-type hsiradius-server group sd-radius-newdns primary-ip 6 /优选POOL下的DNS dns second-ip 30 /优选POOL下的DNS user-group wlan-afteridle-cut 60 10 /idle rate ,单位是Kbyte qos-profile limit-2m inbound /或限速1Mqos-profile limit-2m outbound /或限速1MV6.7SPC800的命令修改2处地方（在SPC800升级时即修改）1)AAA视图下http-redirect enable、调整ACL /主备设备均需修改.2)radius-server source interface 由loopback100改为LoopBack0 /主备设备均需修改idle-cut 60 10 /idle rate ,单位是Kbyte V6.5/V6.62011.6.10日1、清理亚信radius/portal退网后的垃圾邮件,主备设备均需radius-server group sd-radiusdomain wlan-before-sddomain wlan-sddomain eap-simaka2、解决SIM认证AAA服务器给ME60下发DM消息失败问题1)radius-server group 3gppaaa-zte、3gppaaa-hw下删除radius-attribute translate NAS-Identifier HW-Own-NAS-Identify-SIM send命令2)每个开启sim认证热点(802.1x)对应的BAS接口下增加nas logic-sysname ，如nas logic-sysname 0104054353100460.注意如果是双机热备场景 需要保证主备的nas logic-sysname一致nas logic-sysname与bas-interface-name配置相同即可，若NASID变化，两者均需修改access-type layer2-subscriber bas-interface-name 2300053353100460 default-domain pre-authentication wlan-before-jituan authentication wlan-jituan roam-domain wlan-jituan nas logic-sysname 2300053353100460注意新增CMCC热点时均需注意此配置注意部分区域只有CMCC-EDU，因此CMCC-EDU下已配置了sim认证(authentication-method 命令中有802.1x )，此类热点下也需配置nas logic-sysname; 简单办法是凡是authentication-method 命令中有802.1x的热点都配置nas logic-sysname3、sim认证cui enable功能完善,主备设备均需在如下6个sim认证相关domain下增加cui enable配置domain domain domain domain domain domain 4、5月15-16、6月7日晚割接后均指向省内portal、增加参数;portal页面根据SSID推送不同portal页面相关配置修改6月7日割接工单已要求完成，此处列出考虑完整性列出，详细参考(附录)V6.42011.3.7日近期发现，我方WLAN覆盖中有部分热点竞争对手也重点覆盖，若竞争对手不限速，我方单独限速，因为WLAN AP频点有限，会有较多同频干扰问题。同频干扰导致多个AP下用户共享无线信道带宽，在移动AP与非移动AP同时存在情况下，本质上是双方互相争抢带宽关系。此情况下，针对此类热点，我方可以灵活采取措施，如取消限速或将限速设置在比较大的值。ME60支持此功能设置：1)新建认证后域，配置与普通认证后域相同，只是限速配置不同。建议domain名称如下domain wlan-sd-nolimit：省内radius/portal情况下认证后域,不限速或者限速比较大domain wlan-jituan-nolimit：集团radius/portal情况下认证后域, 不限速或者限速比较大2)在需要特殊限速热点对应的子接口VLAN上，配置即可放开限速设置是个双刃剑，对于竞争对手同时重点覆盖热点，需注意认真评估对比V6.31)白名单增加网站地址 9,方便未认证用户直接访问公司网站2)信任AAA服务器发的DM消息radius-server authorization 2 shared-key 88-89 /信任华为AAA下发的DM消息,用于踢用户radius-server authorization 7 shared-key 88-89 /信任中兴AAA下发的DM消息,用于踢用户V6.2 调整SIM认证配置(原配置影响WLAN国漫来访)一、新建国漫radius组、域radius-server group roam-radius /WLAN国漫radius,也是集团radius,需要带域后缀domain wlan-roam-jituan /WLAN国漫域(集团radius/portal）二、考虑是有46000,46002,46007三个网号,需配置如下域,以便当客户端发起的报文中携带这些后缀账号时就能匹配到这些域domain domain domain domain domain domain 三、SSID为CMCC子接口下需新增如下命令(其它SSID下对应的子接口下不需要添加)1)新增roam-domain wlan-roam-jituan命令 /漫游域设置，确保国漫账号送到集团radius2)authentication-method web dot1x 做完后，删除domain eap-simaka即可v6.1 1、新增华为radius/portal相关数据（CMCC-EDU，取代亚信radius/portal）新建sd-radius-new radius组新增wlan-before-sd-new、wlan-sd-new两个域（前域、后域）在相应的热点下配置即可（配置时间根据公司正式割接安排）2、增加策略，防止互联网公网-前域用户这个方向的流量（目前策略只阻止前域用户-互联网公网这个方向的）1)创建新的acl 6006 -若没有acl 6006就用6006，若有冲突6000-9999范围内任一空闲acl均可。MSE_01acl 6006 MSE_01-acl-ucl-6006rule per ip source any destination user-group wlan2)创建新的traffic policy、traffic classfier、traffic behaviorMSE_01traffic classifier wlan-outMSE_01-classifier-wlan-outif-match acl 6006MSE_01traffic behavior wlan-outMSE_01-behavior-wlan-outdenyMSE_01traffic policy wlan-outMSE_01-trafficpolicy-wlan-outclassifier wlan-be-permit behavior perm1 MSE_01-trafficpolicy-wlan-outclassifier wlan-out behavior wlan-out注意顺序permit的配置在前，deny的配置在后3)在全局配置出方向的流策略。MSE_01traffic-policy wlan-out outbound v6.0 V1R6版本转换为V6R2版本、增加SIM认证配置(old)新增radius、domainSSID为CMCC子接口下需新增如下命令(其它SSID下对应的子接口下不需要添加)1)新增roam-domain eap-simaka命令2)authentication-method web dot1x 注意相关参数在主备设备上配置的一致性版本：V600R002C02SPC200B215地址：BRAS互联链路/29,各个备份组/29开始S93口字形互联：1)要求S93互联链路必须放在在2个板卡上；2)若万一都坏，只能人工干预主备约定：奇数BRAS主用，偶数BRAS备用remote-backup-profile以及VRRP热备数量规格变化,详见下文V600R002C02SPC200B215暂不支持GE捆绑1)BRAS与WLAN汇聚交换机单GE互联，不用trunk2)对于流量850M链路需进行VLAN分拆,新增GE链路，将部分业务VLAN移到新的GE上3)此时BRAS与同一对汇聚交换机多GE互连、不捆绑的情况，BRAS心跳VRRP VLAN从99/98/97顺序用，WLAN汇聚交换机侧透传VLAN修改；需按规范新增VRRP地址、BFD配置1、user-group描述定义:user-group wlan:WLAN业务别的类型业务使用别的用户组，用户组定义需通俗易懂2、radius-server group描述定义sd-radius:省内wlan radius组jituan-radius:集团wlan radius组别的业务类型定义别的radius组，定义需通俗易懂,如tietong-radius3、authentication-scheme、accounting-schemeauthentication-scheme cmcc /WLAN认证后域需要认证authentication-scheme none /认证前域引用的策略 authentication-mode noneaccounting-scheme cmcc /WLAN认证后域需要认证accounting-scheme none /认证前域引用的策略accounting-mode none/删除没有引用的认证和计费策略，对于不认证，不计费的策略，统一采用authentication-scheme none和accounting-scheme none，其它全部删除，不要再单独定义。比如authentication-scheme/ accounting-scheme test、authentication-scheme zczeyacun、wlan-be等。对于Radius认证和计费的，如果Radius一致，不再单独定义认证和计费策略。4、domaindomain wlan-before-sd：省内radius/portal情况下认证前域domain wlan-before-jituan：集团radius/portal情况下认证前域domain wlan-sd：省内radius/portal情况下认证后域domain wlan-jituan集团radius/portal情况下认证后域5.若BRAS接小区宽带，需在其单独的radius服务器视图下定义radius sourceRADIUS服务器的源接口可以配置在系统视图下，作为全局的RADIUS服务器源接口，也可以配置在RADIUS服务器组视图下，作为该RADIUS服务器组的源接口。如果RADIUS服务器组下配置了源接口，则组下RADIUS服务器与ME60通信时使用该组下配置的源接口，否则使用全局的源接口BRASdisp cu# sysname SDZIB-MC-CMNET-RT01-ME60-HGL5# super password level 3 cipher IEY#3*09%DJL.:OE)Q!# info-center loghost source LoopBack0 /参照CMNET数据配置规范 info-center loghost 2 /参照CMNET数据配置规范 info-center loghost 6 /参照CMNET数据配置规范 info-center timestamp debugging date /参照CMNET数据配置规范# router id 8 /参照CMNET数据配置规范，用loopback0#dhcp through-packet /若不配置此命令,BRAS收到DHCP Discover、DHCP Offer、DHCP Request等报文时会先让用户下线，解决用户网卡禁用和AP切换时，用户重新获取地址不下线。dhcp-decline ip-address idle /配置此命令后,对于decline报文的IP地址标记为idle，不再标记为conflict#user-group wlan /定义wlan业务认证前域用户组，用户组是用于控制用户访问权限的分组，是进行用户ACL控制的条件之一。默认WLAN认证用户都在该用户组内，认证前，只能访问省内DNS、集团DNS、省内radius/Portal服务器、集团radius/portal服务器、省内WLAN自服务、集团wlan自服务、国漫白名单user-group wlan-after /定义wlan认证后域用户组# radius-server source interface LoopBack100 /主备均使用loopback100,全局参数，radius-server group中配置的话优先级高于全局radius-server group jituan-radius /用来设置wlan web认证业务相关域使用的radius服务器组（集团） radius-server authentication 38 1645 weight 0 radius-server accounting 38 1646 weight 0 radius-server shared-key 88-89radius-server source interface LoopBack0 /主备均使用loopback0,SPC800版本开始修改 radius-server class-as-car radius-server attribute translate undo radius-server user-name domain-included /不带域后缀 radius-attribute translate NAS-Identifier HW-Own-NAS-Identify-SIM sendradius-server group 3gppaaa-hw /华为3GPP AAA服务器,用于SIM认证 radius-server authentication 0 1812 weight 0 /新AAA地址 radius-server accounting 0 1813 weight 0 /新AAA地址 radius-server shared-key 88-89 radius-server source interface LoopBack0 /主备均使用loopback0,SPC800版本开始修改 radius-server attribute translate radius-attribute translate NAS-Identifier HW-Own-NAS-Identify-SIM send#radius-server group 3gppaaa-zte /中兴3GPP AAA服务器,用于SIM认证;新AAA地址为9radius-server authentication 7 1812 weight 0radius-server accounting 7 1813 weight 0 radius-server shared-key 88-89radius-server source interface LoopBack0 /主备均使用loopback0,SPC800版本开始修改radius-server attribute translate radius-attribute translate NAS-Identifier HW-Own-NAS-Identify-SIM send radius-server group sd-radius-new /省内新建华为radius系统, wlan web认证业务相关域使用 radius-server authentication 05 1812 weight 0 radius-server accounting 05 1813 weight 0 radius-server shared-key 88-89radius-server source interface LoopBack0 /主备均使用loopback0,SPC800版本开始修改 radius-server class-as-car radius-server attribute translate undo radius-server user-name domain-included radius-attribute translate NAS-Identifier HW-Own-NAS-Identify-SIM sendradius-server group roam-radius /WLAN国漫radius,也是集团radius,需要带域后缀radius-server shared-key 88-89 radius-server authentication 38 1645 weight 0 radius-server accounting 38 1646 weight 0 radius-server source interface LoopBack0 /主备均使用loopback0,SPC800版本开始修改radius-server class-as-car radius-server attribute translate radius-server user-name domain-included该命令为默认配置。 radius-attribute translate NAS-Identifier HW-Own-NAS-Identify-SIM sendradius-server authorization 05 shared-key 88-89 /信任radius下发的DM消息,用于踢用户;没有绑定server-group,以配置全局radius-server源地址返回DM消息#radius-server authorization 2 shared-key 88-89 /信任华为AAA下发的DM消息,用于踢用户, 老华为AAA地址,割到新AAA后可以删除radius-server authorization 0 shared-key 88-89 server-group 3gppaaa-hw /信任华为新AAA下发的DM消息,用于踢用户,新华为AAA.收到AAA发的DM消息时以server-group 3gppaaa-hw中定义的原地址返回radius-server authorization 7 shared-key 88-89 server-group 3gppaaa-zte /信任中兴AAA下发的DM消息,用于踢用户, 收到AAA发的DM消息时以server-group 3gppaaa-zte中定义的原地址返回mpls lsr-id 8 /双机认证需要MPLS-TE隧道 mpls mpls templs rsvp-templs ldp#acl number 2000 /参照CMNET数据配置规范，配置SNMP ACL rule 0 permit source 3 rule 5 permit source 5 rule 500 deny# acl number 2007 rule 1 permit source 5 rule 5 permit source 6 rule 10 permit source 5rule 15permit source 省网互连地址段 /互联地址网段，详见集成方案附录3rule 20 permit source 本设备所在地市城域网互连地址段 /地址段详见集成方案附录3，4台省网汇接不必配置rule 30 地市维护终端地址rule 35地市维护终端地址rule 500 deny any any /Deny其它访问 #acl number 6004 /定义user-group用户的权限rule 3 permit ip source user-group wlan destination user-group wlan /限制认证前域用户互访rule 4 permit ip source user-group wlan destination user-group wlan-after /限制认证前域与认证后域用户互访 rule 5 permit ip source user-group wlan destination ip-address any#acl number 6005/定义user-group用户的权限，需按如下原则重新定义rule 5 permit ip source user-group wlan destination ip-address 6 0rule 10 permit ip source ip-address 6 0 destination user-group wlan 按照此原则重复如下地址1)DNS地址(集团2个：07、03,省内两个:6,30)2)42（集团portal自服务页面）、47（省portal自服务页面）3)国漫白名单4、33(20111103删除)国漫新白名单：8、7、1 /201109084)省内radius,portal地址（06/107）；下载服务器地址085)集团radius,portal地址(38, 40)6)网站地址 9,方便未认证用户直接访问公司网站7)下述策略需要增加，以rule xyz(根据配置需要定数值) permit ip source user-group wlan destination ip-address 0rule abc(根据配置需要定数值) permit ip source ip-address 0 destination user-group wlanacl number 6006 /定义ACL 源地址为any，目的为前域用户 rule 5 permit ip destination user-group wlanacl number 6008 /定义80/8080端口的策略 /SPC800新增策略，优化HTTP重定向性能 rule 5 permit tcp source user-group wlan destination-port eq www rule 10 permit tcp source user-group wlan destination-port eq 8080#traffic classifier wlan-out operator or if-match acl 6006traffic classifier wlan-be-permit operator or /流分类引用，定义user-group用户的权限 if-match acl 6005traffic classifier wlan-be-deny operator or /流分类引用，定义user-group用户的权限 if-match acl 6004traffic classifier redirect operator or /SPC800新增策略，优化HTTP重定向性能 if-match acl 6008#traffic behavior perm1/流动作 hitcounttraffic behavior deny1/流动作 deny hitcounttraffic behavior wlan-out /流动作，拒绝互联网公网-前域用户方向 denytraffic behavior redirect /SPC800新增策略，优化HTTP重定向性能 http-redirect#traffic policy wlan-out /注意顺序permit的配置在前，deny的配置在后 share-mode classifier wlan-be-permit behavior perm1 classifier wlan-out behavior wlan-outtraffic policy wlan /策略流分类关联动作，定义WLAN用户认证前权限classifier wlan-be-permit behavior perm1classifier redirect behavior redirect /SPC800新增策略，优化HTTP重定向性能classifier wlan-be-deny behavior deny1traffic-policy wlan inbound/全局下发策略，WLAN用户认证前，只能访问指定地址(前域用户-互联网方向)traffic-policy wlan-out outbound /全局下发策略，WLAN用户认证前，只能访问指定地址(互联网方向-前域用户)#diffserv domain default# qos-profile default# session-group-profile default# family-profile default#interface Aux0/0/1#interface Virtual-Template0#interface Virtual-Template1 /PPPOE用户终结模版，终结PPP报文 ppp authentication-mode pap#interface NULL0#interface LoopBack0 /作为城域网设备互访地址使用 ip address 8 55#interface LoopBack100 /作为与radius和protal交互时的source-ip、nas-ip使用 ip address 0 55#interface Tunnel2/0/0 /双机热备使用，隧道作为用户流量回程使用。 ip address unnumbered interface LoopBack0 tunnel-protocol mpls te destination 9 mpls te tunnel-id 1 mpls te commit# l2tp-group default-lac tunnel name Quidway#l2tp-group default-lns tunnel name Quidway#ip pool user-pool1 local /定义用户地址池POOL，user-pool1、user-pool2形式；BRAS上定义的地址池最大16*C为单位分配，如96*C分成6个POOL,BRAS同一域下多个POOL可以共用、顺序分配使用gateway section 0 54 /多组VRRP情况下,可以分成2个section,备用section0用后半段,setion1用前半段如果不同的remote-backup-server绑定相同的ip-pool。则在配置pool时，不能把pool归到一个section0中，而是要把pool配置section0和section1两个（建议section0与section1的大小一致）。主设备section0的地址同备设备section1的地址范围相同；主设备section1的地址同备设备section0的地址范围相同。 dns-server 6 30 /注意顺序代表主备lease 1 0 0reserved ip-address lease /当用户的租期未到时一直为该用户预留IP地址.当用户下线后，如果没有超过Dhcp的租约期，保持该地址此命令暂时不配置#iptn# dpi pts# dpi global-policy# dpi dsu-mac#dpi restricted-policy# ancp neighbor-profile default-neighbor#配置CBS和PBS后限速不太准确，优化改为设定CIR和PIR下述限速设置中，对于上行和下行都设置相同值，在多数情况下，可以将用户上行