Общие сведения
Функциональность управления RADIUS-приложениями в Avanpost FAM предполагает возможность использования RADIUS-атрибутов для выполнения тонкой настройки передачи данных между сетевым оборудованием и RADIUS-сервером. Описание каждого RADIUS-пакета состоит из описания атрибутов (Attribute) и их значений (Value Pair) для данного типа пакета. Атрибуты, настраиваемые в административной консоли Avanpost FAM, могут быть следующих типов:
- Стандартные атрибуты – регламентируются документами RFC 2865 и RFC 2866;
- Специфические атрибуты вендоров (VSA) – Определяются производителями серверов удаленного доступа.
Настройка RADIUS-атрибутов выполняется в разделе «RADIUS-атрибуты и словари (VSA)» режима «Сервисы». Добавление RADIUS-атрибутов к конкретному приложению осуществляется в его профиле (подробнее в статье Управление RADIUS-приложениями).
Атрибуты VSA
Управление RADIUS-приложениями предполагает возможность управления их специфическими атрибутами. Описание каждого RADIUS-пакета состоит из описания атрибутов (Attribute) и их значений (Value Pair) для данного типа пакета. Атрибуты могут быть как стандартными, так и специфичными атрибутами вендоров VSA (Vendor-Specific Attribute). VSA применяются совместно со стандартными атрибутами RADIUS.
Атрибуты вендоров определяются вендорами серверов удаленного доступа и позволяют провести дополнительную настройку RADIUS-приложений. Использование Vendor Specific-атрибутов позволяет предоставлять пользователям несколько типов прав доступа. Атрибуты вендоров не являются обязательными, кроме случаев когда VSA необходимо добавить в файл словаря для обеспечения правильной работы аппаратного обеспечения.
Описание Vendor-Specific Attribute имеет вид: "Имя атрибута(Номер атрибута): Имя вендора(Номер вендора): Имя VSA: Значение VSA", где:
| Название атрибута | Значение атрибута |
|---|---|
| Имя атрибута | Vendor-Specific - для любых VSA. |
| Номер атрибута | 26 - для любых VSA. |
| Имя вендора | Название вендора - Рекомендуются названия из документа “PRIVATE ENTERPRISE NUMBERS”. |
| Номер вендора | Номер вендора, присвоенный организацией IANA в документе “PRIVATE ENTERPRISE NUMBERS”. |
| Имя VSA | Имя атрибута вендора |
| Значение VSA | Значение атрибута вендора |
Файл стратегии прав доступа, расположенный на RADIUS-сервере, содержит список атрибутов пакета Access-Request, проверяющихся, когда клиент направляет запрос Access-Request к серверу. В случае, когда отправленный пользователем Access-Request не содержит атрибуты, перечисленные в файле стратегии прав доступа, сервер сообщает пользователю о запрете доступа пакетом Access-Reject.
Для того, чтобы в запросе RADIUS-приложения Access-Request, направляемом к серверу, содержались необходимые атрибуты, требуется:
- настройка словарей RADIUS VSA в соответствии с требованиями вендоров аппаратного обеспечения, используемых приложениями;
- добавление в приложения необходимых VSA из настроенных словарей RADIUS VSA.
Стандартные RADIUS-атрибуты
RADIUS-атрибуты – это параметры, передаваемые в составе RADIUS-пакетов между сервером аутентификации (Avanpost FAM) и сетевым оборудованием (Network Access Server). Атрибуты используются для передачи информации о пользователе, применения политик доступа и настройки параметров сетевой сессии. Avanpost FAM поддерживает настройку стандартных RADIUS-атрибутов в соответствии с RFC 2865 «Remote Authentication Dial In User Service (RADIUS)» и RFC 2866 «RADIUS Accounting». Каждый атрибут имеет уникальный код, тип данных и может принимать единственное или множественное значение.
Управление RADIUS-приложениями в Avanpost FAM предполагает возможность использования их стандартных атрибутов, что позволяет выполнять более тонкую настройку передачи данных в пакетах между сетевым оборудованием (клиентом NAS) и RADIUS-сервером.
Список стандартных RADIUS-атрибутов, доступных для настройки в административной консоли Avanpost FAM, представлен в приложении A.
Настройки словарей RADIUS VSA
Настройки словаря VSA доступны во вкладке «Словари VSA» (раздел «RADIUS-атрибуты и словари (VSA)» режима «Сервис»). Вкладка содержит реестр словарей атрибутов вендоров со следующей информацией и возможностями:
- Название вендора – Нажать, чтобы редактировать существующий словарь;
- Код вендора;
- Действия – Нажать
для удаления вендора; - Кнопка «Добавить вендора» – Нажать, чтобы перейти во вкладку добавления нового словаря.
При нажатии кнопки "Добавить" открывается вкладка добавления словаря RADIUS VSA с настройкой следующих параметров:
| Название параметра | Описание |
|---|---|
| Имя вендора | Название вендора - Рекомендуются названия из документа “PRIVATE ENTERPRISE NUMBERS”. |
| Описание | Описание вендора, которое допускается добавить для удобства. |
| Код вендора | Номер вендора, присвоенный организацией IANA в документе “PRIVATE ENTERPRISE NUMBERS”. |
| Атрибуты вендора | Vendor Specific-атрибуты, настраиваемые для данного вендора. Для добавления нового атрибута следует нажать
|
Для сохранения словаря VSA требуется нажать кнопку "Сохранить", чтобы отменить изменения - "Отмена".
Настройка стандартных RADIUS-атрибутов
Управление стандартными RADIUS-атрибутами доступно во вкладке «Стандартные атрибуты» (раздел «RADIUS-атрибуты и словари (VSA)» режима «Сервисы»). Администратору недоступно удаление или добавление стандартных RADIUS-атрибутов.
Вкладка содержит список стандартных атрибутов со следующей информацией и возможностями:
| Параметр | Значение |
|---|---|
| Наименование | Наименование RADIUS-атрибута. |
| Код | Числовой идентификатор, определяющий назначение RADIUS-атрибута. |
| Тип | Тип атрибута, определяющий формат и структуру передаваемого значения:
|
| Множественное значение | Переключатель, определяющий количество передаваемых значений:
|
Приложение А. Список стандартных RADIUS-атрибутов
Перечень стандартных RADIUS-атрибутов, доступных для настройки из административной консоли Avanpost FAM представлен в таблице ниже.
| Наименование | Код | Тип | Описание |
|---|---|---|---|
| Class | 25 | octets | Используется для передачи произвольных данных между сервером аутентификации и NAS. Например, для передачи идентификатора сессии, VLAN ID, политик QoS или другой служебной информации. |
| Filter-Id | 11 | string | Имя или идентификатор фильтра пакетов, применяемого к сессии пользователя. Фильтр предварительно настраивается на сетевом оборудовании. Используется для ограничения доступа к сетевым ресурсам. |
| Framed-IP-Address | 8 | ipaddr | IP-адрес, назначаемый пользователю для установления соединения. Если атрибут не передан, NAS может назначить адрес динамически из пула. |
| Framed-Pool | 88 | string | Имя пула IP-адресов на NAS, из которого должен быть назначен адрес пользователю. Позволяет централизованно управлять распределением адресов через RADIUS. |
| Framed-Route | 22 | string | Маршрут (или список маршрутов), который должен быть добавлен в таблицу маршрутизации NAS для данного пользователя. |
| Idle-Timeout | 28 | integer | Максимальное время бездействия сессии (в секундах), после которого NAS должен завершить соединение. |
| NAS-Filter-Rule | 92 | string | Фильтр пакетов в формате RFC 3580. Позволяет задавать правила фильтрации трафика непосредственно через RADIUS. |
| Port-Limit | 62 | integer | Максимальное количество одновременных сессий, разрешённых для одного пользователя. Используется для ограничения параллельных подключений. |
| Service-Type | 6 | integer | Тип запрашиваемой услуги. Определяет способ аутентификации и доступа. Возможные значения:
|
| Session-Timeout | 27 | integer | Максимальная продолжительность сессии (в секундах), после которой NAS должен завершить соединение. |