Dodijela staticke ip adrese DSL korisniku

Pozdravljam !

Rijec je o Cisco opremi 3 Cisco 7200 routera koji veze DSL korisnike sa internetom.
Trenutno koristimo PPPoE i RADIUS za korisnicku autentikaciju na mrezu. Ukoliko korisnik zeli staticku ip adresu
samo mu u radiusu obiljezimo jednu koju ce mu RADIUS dati uvijek kad se loguje na internet ukoliko je bio diskonektovan.

Eh sad mene zanima dali iko zna kako da dodijelim staticku ip adresu DIREKTNO sa BRAS-a koristeci VLAN interfaces kao i do sada.
Sada koristimo IP DSLAM Zyxel-ov a na Cisco routerima su konfigurisane "PPPoE VLAN interfaces"

Sad ja znam kako konfigurisati VLAN interfejs za staticke ip adrese i dodijeliti mrezu tom interfejsu npr: 80.80.80.0 255.255.255.0
kako sada da konfigurisemo BEZ DHCP-a ! znaci da samo dam jednom DSL korisniku ip adresu npr: 80.80.80.5 i da taj korisnik
moze samo i SAMO tu ip adresu da koristi i nijednu vise ! tj. ako oproba recimo da uzme 80.80.80.4 ili 80.80.80.6 ili bilo koju drugu osim 80.80.80.5
da jednostavno NE moze na mrezu !

Ovo planiramo jer nam je PPPoE zadavao problema kod nekih tipa modema, pa kontamo da jednostavno damo staticke ip adrese svim DSL korisnicima, da se PPPoE ukine i izbijegne 100 % RADIUS dakle nece trebad neg direktno sa Cisco BRAS-A user dobiva od nas IP adresu.

Mozda neko dodje sa prijedlogom statickog ARP-a ALI ne vjerujem da to moze pomoc, jer korisnik je vlasnik svog modema /routera kuci
i moze da uzme bilo koju adresu bez obzira sto smo kreirali staticku ARP tabelu.

Sto znaci meni logika govori JEDINI nacin je da se IP adresa SVEZE za IP DSLAM (switch) port gdje je taj koriznik prikljucen, ovo omogucava da korisnik moze da ima i mijenja modeme kako hoce znaci moze da ima bilo koj MAC adresu jer IP koju mu dodijelimo ce biti vezana za MAC adresu IP DSLAM porta gdje je taj korisnik prikljucen a NE za MAC adresu kodema kojeg korisnik ima ili router-a.

OVO sam ja samo naveo jedan primjer koje MISLIM da je moguc za sprovest u praksi.

Molim ako ima neko da je ovo vec rijesio ne mora biti to prijedlog rijesenja kojeg sam ja naveo, moze neki drugi samo da se rijesi problem
dodijela staticke ip adrese da korisnik ne moze da koristi ni jednu drugu ip osim one koja mu se da.

U ovom slucaju bi mi poslali korisniku samo ip adresu i subnetmasku koju bi upisao na router i nem nikakve PPPoE aktivacije ni tih problema,
neg je direktno na mrezu BEZ ikakvih problemskih autentikacija.

PS: imao sam u glavi i rijesenje dodijele mreze /30 po interfejsu, ali u ovom slucaju gubmi 2 ip adrese radi jednog korisnika a to nam nije interesantno, ovo sam samo naveo jedan primjer da znate da mi je to na umu al nije rijesenja. Ovo moze da bude rijesenje ukoliko ce samo nekoliko korisnika da ima staticku ip a ostatak PPPoE, al ne SVE ZELIMO na staticku IP ! izbacit PPPoE TOTALNO !

Pozeljan je i primjer konfiguracije ukoliko se nadje neko da ima rijesenje !

Unaprijed puno zahvaljujem !

Pozdrav svima....

Ovo je najlakše izvesti preko DHCP-a upotrebom DHCP snoopinga (za zaštitu od "krađe" IP adresa) i opcije 82 (za informaciju o tome sa kojeg porta dolazi zahtev).



BRAS konfigurišeš tako da imaš interfejs za svaki VLAN na kojem ti se nalaze korisnici - da li je ovo za svaki DSLAM, svaku line card na istom, itd nije mnogo važno.

IP DSLAM konfigurišeš tako da sa korisničih portova (p1) dozvoljava saobraćaj samo sa IP adresa koje su dodeljene DHCP-om (DHCP snooping) kao i ubacivanje opcije 82 u DHCP discovery i request pakete. (Ukoliko koristiš Cisco access mrežu, obavezno konfiguriši "DHCP snooping trust" na odgovarajućim portovima, inače ovo rešenje neće raditi). Dodatno, konfiguriši IP DSLAM da ne dozvoljava direktnu komunikaciju između korisničih portova, nego da sav korisniči saobraćaj šalje na uplink(ove). Na BRAS-u konfiguriši dovoljno veliki subnet za sve korisnike u tom VLAN-u i nekoliko dodatnih opcija. Npr. ovo ispod će da radi OK:



DHCP server konfigurišeš da izdaje statičke IP adrese na osnovu informacije iz opcije 82, a ne na osnovu MAC adrese.

Samo par napomena, ovo rešenje ima mana ukoliko imaš korisnike koji se sele - ne mogu da zadrže svoje adrese, što nije problem sa PPPoE rešenjima. Jedna prednost u odnosu na PPPoE sa statičkim rutiranjem je što ne moraš da propagiraš /32 adrese ka svim BRAS-ovima ili kroz backbone, već samo sumirane subnete iz access VLAN-ova, što je u zavisnosti od broja korisnika bitna stvar.

Alternativno, angažuj konsultanta (hint, hint :->)

P.S. Što se tiče PPPoE problema - jel' problem bio sa "čistim" PPPoE sesijama ili sa sesijama koje DSLAM konvertuje iz PPPoA u PPPoE? Na Ciscu postoji default ograničenje u broju korisnika sa jedne MAC adrese, a isto tako i mnogi DSLAM-ovi se prilično zbune kod oA/oE konverzije sa velikim brojem aktivnih sesija.

Potpis

OV SM
LA PK

Ovo je zanimljiva ideja. Ericsson DSLAM-ovi imaju "proxy MAC" funkciju, tj. koju god MAC adresu da korisnik ima, DSLAM će uvek da je zameni svojom za taj port. Ukoliko ZyXel ima nešto takvo, možda može da se upotrebi u kombinaciji sa statičim ARP-om koji spominješ, ali ovde opet imaš problema. Ukoliko modemi/ruteri imaju uključen ARP, neko može da lažira da je gateway za taj subnet, itd.

Potpis

OV SM
LA PK

Pozdrav Marko !!!

Puno ti se zahvaljujem na odgovoru !!

Tvoja ideja isto djeluje jako zanimljiva, samo mi nije jasno nasto si mislio kad spomenes "opcija 82" ? ili sam se ja zbunio malo hm?

Sto se tice PPPoE imali smo problema sa speedtouch i ZyXel modemima, jednostavno moraso si vise puta da ponovis proceduru
kad upises USERNAME i LOZINKU da bi se modem aktivirao.

Sto se tice IP DSLAM-a, njega koristimo kao CISTI WAN Switch, tu je samo definisan VLAN po portu, znaci port ide na taj i taj VLAN i onda je LAN port na DSLAM-u Trunkovan. Zatim definisani VC/VPI kanali 0/33 i to je sve. RADIUS je spojen na BRAS i ip subneti su definisani na RADIUS serveru, a korisnici su na posebnom linux serveru koji komunicira sa RADIUSOM.

Jos jednom puno zahvaljujem !!

Pozdrav

Bas ovdje kod nas ima jedan ISP koji dodijeljuje SAMO staticke ip adrese, bice imaju ANTI PPPoE admina ko ja :), jednostavno mrzim PPPoE.
Ovaj ISP ne koristi ni DHCP server, nego su jednostavno na jedan ili drugi nacin svezali ip adrese, tako da korisnik NEMA sanse da ukrade neku drugu IP, kako je to rijeseno to je misticno meni, al bas radi, cak sam licno probao kod jednog mog komsije da uzmem drugu ip nema sanse, samo mozes koristiti onu koju su ti oni dali.

A sto je jos interesantno kod ovog ISP-a kad naprimer od ovog mog komsije upisem TRACERT komandu prvi HOP poslije njegovog lokalnog routera DOLAZI ip adresa range 10.x.x.x a onda 2. hop router, CAK ne vidi ni SVOJ WAN gateway koji je dobio od isp-a, znaci nesto su vezali sa BRAS-a an IP DSLAM interesantno ? ....


I ako korisnik zeli staticku ip, oni minimalno roturaju mrezu /30 tako da korisnik ima 2 ip adrese u dodatku na njegovu primarnu.
Mada se ovo isto vrzi kad korisnik ima PPPoE samo mu se na njegovu ip routira drugi subnet, al u ovom slucaju mu primarna ip mora da bude FIKSNA na RADIUS-u kako bi to funksionisalo ako dodje do rekonektovanja.

Tako da ja trazim neko rijesenje da izbijegnem i DHCP, npr kod ATM DSLAM-a ima mogucnost na BRASU:

interface ATM1/0.x multipoint
ip address 80.80.80.1 255.255.255.0

pvc user_pvc 1/2
protocol ip 80.80.80.2
ubr/cbr xxx

Gdje je ip adresa korisniku 80.80.80.2 i gateway mu je 80.80.80.1, u ovom slucaju razdvaja se kanalima, ali mi ne koristimo ATM DSLAM neg IP DSLAM, jer je ATM starija tehnogolija i na putu je da se ukine za koju godinu.


Pozdrav

Ovo rešenje sa ATM-om iznad je "ekvivalentno" statičkoj ARP tabeli, pošto koristi statičko mapiranje IP adresa na ATM PVC.

"Opcija 82" je broj opcione onformacije u DHCP paketu koja identifikuje "lokaciju" odakle je došao DHCP zahtev, tj. tačnije DHCP Relay Agent Information Option

Kao i sve ostalo, ovaj problem može da se reši na najmanje 100 različitih načina. Možeš da implementiraš filtere na svakom DSLAM portu da dozvoljavaju samo jednu IP adresu, možeš da koristiš DHCP.

Ja inače preferiram PPPoE/oA za Internet servise. U triple-play rešenjima ovo sa DHCP-om koristimo za TV i VoIP. No, svako ima svojih razloga zašto nešto koristi ili ne koristi.

Potpis

OV SM
LA PK

Nekako mi ovo rijesenje dijeluje najinteresantnije do sada :

"Kao i sve ostalo, ovaj problem može da se reši na najmanje 100 različitih načina. Možeš da implementiraš filtere na svakom DSLAM portu da dozvoljavaju samo jednu IP adresu, možeš da koristiš DHCP"

Znaci u ovom slucaju bi trebao napravit jedan VLAN interfejs na kojem bi bio dodijeljen veliki subnet, zatim na DSLAMU samo po portu definisat na njegovom filteru da propusta samo TU i TU ip adresu.

ALI ! sta u slucaju da nekom od korisnika rutiramo jos jedan SUBNET sa BRAS-a na njegovu primarnu ip adresu, sta se u tom slucaju desafa sa DSLAM filterom ? tad se on mora rekonfigurisati da propusti jos ip adresa koje smo mu rutirali kao SUBNET ?

Jel imas mozda savjet da ti ja, a da ne zelis PPPoE i DHCP kako bi to ovo izveo na najsigurniji nacin ?

Puno zahvaljujem !!

Pozdrav

Pa tačno tako kako si napisao, s tim da to naravno zavisi od toga da li DSLAM to može ili ne može. Ne sećam se tačno kakav je ZyXel po tom pitanju, poslednji put smo ih testirali pre tri godine (inače trošimo Paradyne/Zhone koji su odlični). S ovim rešenjem sebi stvaraš jedan novi problem - konfiguracija i praćenje toga koji je korisnik gde, update filtera - sve u svemu jedna provisioning noćna mora. Toplo preporučujem da ne kreneš tim putem :-)

Potpis

OV SM
LA PK

hehe, znaci sve u svemu skeptican si na moj prijedlog :-) al nemas pojma koliko mi je PPPoE omrzo, bas potencionalne musterije bilo ih je oko 200, skoro 30 % od njih se tuzilo na aktivacije PPPoE-a, sad je isto moguce da je problem u RADIUS serveru jer imas i puno tipa RADIUSA isto..

Al ok, probam pa ti javim kako je islo, prvo cu da vidim dali DSLAM-i podrzavaju jer nam nisu svi isti modeli, a svi su iste tipe ZyXel.

Jos jednom Marko puno se zahvaljujem na pomoci i savjetima !!!

Pozdrav

Naravno kao sto sam se i nadao nasi Zyxel dslam-i nemaju podrsu za moju ideju, pa moram vidjet koja je slijedeca najbolja alternativa hmm..
Al jedino mi je drago radi glupog sefa sto ne moze, jer kad sam ja govorio da uzmemo samo i SAMO Cisco IP DSLAM, jok on nije bio za to, to je skupo, eh eto ti sada jeftinije ccccc. Da se ja pitam ne ovisno o cijene sve firme bi MORALE da koriste samo Cisco, jer to je jdina najkvalitetnija oprema sa bas svim mogucim konfiguracijama i prilagodjavanjima, al et....

Pozdrav !!