Introducción
Este documento describe cómo resolver problemas de la configuración del "buffer" bajo el contexto de intercepción legal en StarOS.
Prerequisites
Requirements
Cisco recomienda que conozca StarOS.
Componentes Utilizados
Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Abreviaturas
| LI |
Lawful Intercept |
| LEA |
Organismo de Aplicación de la Ley |
| AF |
Función de acceso |
| MF |
Función de mediación |
| DF |
Función de entrega |
| CF |
Función de control |
| IRI |
Interceptar información relacionada |
| CC |
Contenido de la comunicación |
| CLI |
Interfaz de la línea de comandos |
AF puede ser cualquier nodo de StarOS. CF reside en las instalaciones de LEA o en el dominio administrativo.
Problema
En el momento de la configuración de la opción de almacenamiento en búfer en el módulo de interceptación legal, se observa que el parámetro relacionado con la opción de almacenamiento en búfer basada en eventos/contenido no estaba disponible en la lista de configuración de CLI.
Esta opción ayuda a definir el valor de búfer de los registros IRI predeterminados de 5000 y los registros de 1000 CC por contexto LI.
La única opción disponible en la lista de configuración era "dest-addr".
[li-context]<hostname>(config-ctx)# lawful-intercept tcp event-delivery
dest-addr - Destination IP address where the intercepted information needs to be forwarded.
Idealmente, debería mostrar la palabra clave "buffer" junto con la opción "dest-addr" en la lista de opciones mencionada anteriormente.
Lawful Intercept
Nota: Lawful Intercept es una función con licencia habilitada. La licencia Basic Lawful Intercept admite UDP como protocolo de transporte para la interceptación de contenido de llamadas (CC) para suscriptores activos. La interceptación de eventos (IRI) y TCP como protocolo de transporte para entrega no se admiten en la licencia básica. La licencia Enhanced Lawful Intercept es compatible con todas las funciones de la licencia Basic LI, además de la intercepción de eventos (IRI) y TCP como protocolo de transporte para la entrega de paquetes interceptados.
La funcionalidad Lawful Intercept proporciona al operador de red la capacidad de interceptar mensajes de control y datos de los usuarios móviles objetivo. Para invocar este soporte, la LEA solicitará al operador de red que comience la interceptación de un usuario móvil en particular. Esta solicitud estará respaldada por una orden u orden judicial. Existen diferentes estándares seguidos para Lawful Intercept en diferentes países.
Un proceso típico de intercepción legal incluye la siguiente secuencia de eventos:
1. El LEA pide al TSP que comience a interceptar una sesión de una persona en particular, que por lo general debe estar respaldada por una orden o orden judicial. Se proporcionará información para identificar a la persona (como número de teléfono, nombre, dirección, etc.).
2. El administrador del proveedor de servicios de telecomunicaciones (TSP) configura la función de acceso/función de entrega del TSP para comenzar a interceptar los eventos de control/datos del suscriptor de destino. Si la Sesión del Suscriptor ya está en curso, la intercepción ocurrirá inmediatamente. De lo contrario, la función de acceso debe esperar hasta que se conecte la sesión del suscriptor.
3. La función de acceso envía una copia de los eventos de control/datos para la sesión interceptada a la función de entrega.
4. La función de entrega envía la información interceptada a una o más funciones de recopilación, que se encuentran en el dominio administrativo de la LEA. Una función de recopilación analiza y almacena la información interceptada.
5. Cuando el LEA solicita detener la interceptación, el administrador del TSP configura la función de acceso y la función de entrega para detener la interceptación para esa sesión de suscriptor en particular.
El DF utiliza una interfaz de línea de comandos (CLI) sobre la sesión SSH para el aprovisionamiento y el desaprovisionamiento de la identidad de destino, así como para supervisar las estadísticas de LI.
Estos protocolos/modos (IPv4 e IPv6) son compatibles con StarOS para proporcionar eventos y contenido de LI al DF:
· Modo UDP (desactivación): La dirección de DF2 y DF3 se proporciona en el momento del aprovisionamiento para el modo UDP no reconocido.
· Modo TCP: Para el modo TCP, la configuración proporciona la dirección de peer solamente. Toda la entrega de eventos interceptados (IRI) se envía al DF2 y toda la entrega de datos interceptados (CC) se envía al DF3.
Troubleshoot
La configuración de StarOS debe tener una licencia adecuada para esta función.
[local]<hostname># show license information | grep -i lawful
Monday December 10 01:54:13 UTC 2018
Lawful Intercept [ ASR5K-XX-CSXZZLI ]
+ Enhanced Lawful Intercept [ ASR5K-XX-CS0ZZELI / ASR5K-00-CS00XZI ]
Persistent Lawful Intercept [ ASR5K-XX-CS1ZZPLI ]
Segregating Lawful Intercept Context based on Count [ ASR5K-XX-PWXZZICS ]
StarOS también debe tener "li-configuración segregada".
Con esta función, solo el "li-administrator" podrá ver y editar los detalles de integración de la interfaz LI en un contexto li dedicado.
El usuario administrador de LI debe asignarse a li-administration en la configuración.
administrator liadmin encrypted password *** ftp li-administration
Sin embargo, se encontró que StarOS no permitía definir la opción "buffer" bajo el módulo de configuración de intercepción legal.
[local]<hostname># context li
[li]<hostname># config
[li]<hostname>(config-ctx)# lawful-intercept tcp event-delivery
dest-addr - Destination IP address where the intercepted information needs to be forwarded. ====> customer do see only this option
[li]<hostname>(config-ctx)# lawful-intercept tcp event-delivery buff
Unknown command - "buff", unrecognized keyword
Idealmente, debería ver una opción con la palabra clave "buffer" para completar la CLI de esta manera para la configuración del búfer.
configure
context
lawful-intercept tcp event-delivery buffer max-limit <1000 ... 50000>
end
Resolución
Para obtener los derechos li-admin para cualquier usuario de StarOS, ese usuario debe definirse bajo el contexto li con privilegios admin. Es el usuario li-admin el que debe iniciar sesión desde un servidor externo (desde LEA) para habilitar esta opción de "búfer". Cualquier otro usuario administrador que intente iniciar sesión en el nodo bajo el contexto local no podrá definir esta opción "buffer".
Estos son los pasos para lograr el requisito de obtener la opción "buffer" en StarOS bajo el módulo LI.
1. Inicie sesión en el nodo con el usuario administrador local.
2. Crear contexto li (ya que no había ningún contexto li dedicado).
3. Cree un usuario li con privilegios li-admin en el contexto local.
4. Crear usuario li con privilegios li-admin en contexto li.
<< hemos eliminado li-admin del contexto local para agregar li dedicado, lo que nos ayudará a habilitar la segregación del contexto li del contexto local >>
5. Quite el usuario li con el privilegio li-admin del contexto local.
6. Cree un contexto dedicated-li para habilitar la configuración de li segregada.
7. Defina la lista de acceso en contexto li.
8. Cierre la sesión del nodo.
9. Vuelva a iniciar sesión en el nodo con el usuario "li" que tenga privilegios como li-admin.
10. Configure la opción de búfer necesaria, que debe permitirle configurarla.
Configuración
[local]<hostname>(config)# context local
[local]<hostname>(config-ctx)# administrator li-admin password *** li-administration ftp
[local]<hostname>(config-ctx)# end
[local]<hostname>(config)# context li
[li]<hostname>(config-ctx)# administrator li-admin password *** ftp li-administration
< we removed li-admin from local context to add dedicated li which will help us to enable the segregate the li context from local context >
[local]<hostname>(config-ctx)# no administrator li-admin
[local]<hostname>(config-ctx)# exit
[local]<hostname>(config)# dedicated-li context li
Warning: Creating a dedicated LI context is a permanent configuration setting
Info: Context li is dedicated to Lawful-Intercept configuration
Info: Undefined ACLs will be set to deny-all within this context
[li]<hostname>(config-ctx)#
[li]<hostname>(config-ctx)# access-list undefined permit-all
[li]<hostname>(config-ctx)# end
Por ejemplo, después de iniciar sesión con el uso del usuario li-admin, puede ver todas las opciones que necesitamos:
<local-node><hostname>$ ssh li-admin@li@
Cisco Systems QvPC-SI Intelligent Mobile Gateway
li-admin@li@aa.bb.cc.dd's password:
Last login: Wed Jan 23 17:32:31 -0500 2019 on pts/2 from 10.xx.yy.zz.
Cisco Systems QvPC-SI
Lawful Intercept Interface
No entry for terminal type "xterm-256color";
using dumb terminal settings.
[li]
# configure
Warning: One or more other administrators may be configuring this system
[li]
(config-ctx)# lawful-intercept tcp event-delivery
buffer - This is used to configure the LI buffering >>>>>>> We can see the buffer option now.
dest-addr - Destination IP address where the intercepted information needs to be forwarded.
Comentarios