HA アカウンティングの概要
この機能は主として、CMX ソリューションにおいて、Home Agent（HA）と Service Selection Gateway（SSG）を相互運用する目的で開発されました。しかし、SSG と相互運用しない場合でも、この機能を使用できます。
このリリースは、次のアカウンティング機能をサポートしています。
•
冗長設定での HA アカウンティング
• アカウンティング レコードのパケット カウントおよびバイト カウント
• アカウンティング レコードで追加されたアトリビュート
• 追加されたアカウンティング方式：中間アカウンティングのサポート
バイトおよびパケットのカウントは HA 上で実行されるので、このアカウンティング機能では、完全なアカウンティング情報を生成するためにネットワーク上の SSG を使用する必要はありません。
HA のアカウンティング機能には、次のアクティビティが含まれます。
• HA は、モバイルの初回バインディングの作成時に、アカウンティング開始レコードを送信します。
• HA は、モバイルの最終バインディングの削除時に、アカウンティング停止レコードを送信します。
• HA は、ハンドオフの発生時にアカウンティング アップデートを送信します。
• スタートストップおよび中間アカウンティング方式がサポートされます。
• 認証済み Network Access Identifier（NAI: ネットワーク アクセス識別子） について、エラー コードを含むモバイル IP 登録応答が送信されると（その NAI のバインディングが存在しない場合など）、アカウンティング停止レコードが送信されます。
• 既存バインディングの再登録に失敗すると、認証済み NAI について、対応する拒否コードを含むウォッチドッグ メッセージが送信されます。
次のアトリビュートが、アカウンティング レコードにより送信されます。
• Username アトリビュートの NAI（1）
• Framed IP Address アトリビュートの MN IP アドレス（8）
• HA IP アドレス（26/7、3gpp2 アトリビュート）
• トンネル エンド ポイントの Care-of-Address（CoA; 気付アドレス）（66）
• Network Access Server（NAS） IP アドレス アトリビュート（4）
• Accounting Status Type アトリビュート（40）
• アカウンティング セッション ID（44）
• アカウンティング終了理由（49）：アカウンティング停止時のみ
• アカウンティング遅延時間（41）
• Acct-Input-Octets（42）
• Acct-Output-Octets（43）
• Acct-Input-Packets（47）
• Acct-Output-Packets（48）
• Acct-Input-Gigawords（52）
• Acct-Output-Gigawords（53）
• "mobileip-mn-flags" cisco-avpair アトリビュートの登録フラグ
• "mobileip:ip-vrf" cisco-avpair アトリビュートの Vrf 名
単一 IP HA アカウンティングのサポート
単一 IP HA 設計により、単一 IP モデルのトラフィック プロセッサで AAA サービスを実行するための基盤となる機能がサポートされます。アカウンティング サービスの場合、Radius アカウンティングはトラフィック プロセッサで実行されます。各トラフィック プロセッサは、Radius トラフィックを発信する際に固有の UDP ソース ポートを使用します。Radius 応答はこのポートを UDP 宛先ポートとして使用し、Radius メッセージを発信したトラフィック プロセッサを識別する際に使用します。
これらのメッセージには、Start、Update、および Stop が含まれます。
この機能がサポートされるのは、Service Application Module for IP（SAMI）ブレードを備えた Cisco 7600 スイッチだけです。
単一 IP HA アカウンティング サポートを設定するには、次の手順を実行します。
| |
|
|
ステップ 1 |
Router(config)# sami balance ports start-port end-port |
この設定は、リロード後に限り有効です。特定のプロセッサ向けにポートを設定して、AAA へアカウンティング メッセージを送信するようポートを設定します。このコマンドが設定されていない場合、45000 ～ 46535 のデフォルト ポートはカード用に設定されます。このコマンドで指定する範囲は、6 の倍数であることが必要です。 （注） デフォルト設定を使用することをお勧めします。 |
ステップ 2 |
router#show sami port-range |
show コマンドは、現在設定されているポート範囲を表示します。またリロード後に有効になるポート範囲も表示します。 |
ステップ 3 |
router#debug radius |
このデバッグにより、Remote Authentication Dial-In User Service（RADIUS）デバッグがイネーブルになり、アカウンティング パケットが目的のポート上の AAA に送信されているかどうかをチェックできます。 |
ステップ 4 |
router#debug aaa accounting |
アカウンティング デバッグ メッセージをイネーブルにします。 |
次に設定例を示します。
Slot4#show sami port-range
Current Start Port range 30000 End port range 35999 Range Per PPC 1000
Processor 3: 30000 to 30999
Processor 4: 31000 to 31999
Processor 5: 32000 to 32999
Processor 6: 33000 to 33999
Processor 7: 34000 to 34999
Processor 8: 35000 to 35999
After Reload Start Port range 30000 End port range 35999 Range Per PPC 1000
aaa authentication login default local
aaa authentication ppp default group radius
aaa authorization ipmobile default group radius
aaa authorization network default group radius
aaa accounting update periodic 1
aaa accounting network default start-stop group radius
ip local pool fasim-pool-82 16.82.0.1 16.82.100.254
ip mobile home-agent revocation
ip mobile home-agent dynamic-address 48.48.48.48
ip mobile home-agent accounting default
ip mobile host nai @fasim48.com address pool local fasim-pool-82 virtual-network
16.82.0.0 255.255.0.0 aaa load-sa lifetime 7400
radius-server host 12.1.3.2 auth-port 1645 acct-port 1646 key lab
radius-server vsa send accounting
ドメイン単位のアカウンティング
HA の VPN Routing and Forwarding（VRF; VPN ルーティングおよびフォワーディング）機能を使用して、アカウンティング グループや認証グループを設定したり、アカウンティングが VRF 定義の一部としてイネーブルかどうかを設定できます。Cisco Mobile Wireless Home Agent Release 5.0 では、VRF 内でアカウンティングの中間アップデート間隔タイマーをレルム単位の設定として定義できるようになりました。
この機能をイネーブルにするには、次の作業を実行します。
| |
|
|
ステップ 1 |
Router(config)#ip mobile realm @xyz.com ha-addr ip-address [aaa-group [accounting aaa-acct-group | authentication aaa-auth-group]] periodic minutes |
VRF に依存せず、レルム単位の設定をイネーブルにします。 |
ステップ 2 |
Router(config)#ip mobile realm @xyz.com vrf vrf-name ha-addr ip-address [aaa-group [accounting aaa-acct-group | authentication aaa-auth-group]] periodic minutes |
VRF コンフィギュレーション コマンドが、アカウンティング サポートを行うよう強化されます。 periodic キーワードは、中間アカウンティング レコードを minutes 値で設定された間隔で送信する方法を定義します。 |
（注） VRF 単位の設定はレルム単位の設定よりも優先され、レルム単位の設定は aaa accounting update periodic 設定より優先されます。
show コマンドには、従来表示されていたパラメータに加えて、期間（分）に関するパラメータも含まれるようになりました。
次に、ドメイン単位のアカウンティングのルータ設定例を示します。
ip mobile host nai @yahoo.com address pool local mypool virtual-network 60.0.0.0 255.255.0.0 aaa load-sa
ip mobile host nai @cisco.com address pool local hapool virtual-network 65.0.0.0 255.255.0.0 aaa load-sa
ip mobile host nai @xyz.com address pool local nextpool virtual-network 61.0.0.0 255.255.0.0 aaa load-sa
ip mobile host nai @abc.com address pool local vrf-pool1 virtual-network 55.1.1.0 255.255.255.0 aaa load-sa
ip mobile realm @yahoo.com aaa-group accounting mylist authentication mylist periodic 2 accounting
中間アカウンティングの同期化
Home Agent Release 5.0 では、次のセッション単位のフィールドがスタンバイ HA と定期的に同期化されます。
• Input octets
• Output octets
• Input bytes
• Output bytes
• Input octets gigawords
• Output octets gigawords
• Input packet gigawords
• Output packet gigawords
• Data Path Idle Timer
アップデート間隔は分単位で設定可能で、中間アカウンティング アップデートの Radius メッセージを送信する設定からは独立しています。
入力/出力カウントの値に変更があった場合に限り、情報がスタンバイ HA へ送信されます。
この機能をイネーブルにするには、次の作業を実行します。
| |
|
|
ステップ 1 |
Router(config)# redundancy periodic-sync interval minutes limit cpu Percentage cpu Threshold rate rate# |
アカウンティング カウンタについてアクティブおよびスタンバイ HA 間の定期アップデートをイネーブルにします。これを使用して同期メッセージを伝播し、設定された期間にわたって負荷を均等に分散させます。デフォルト値は 5 分です。0 分を入力すると、冗長性の同期がディセーブルになります。 CPU のしきい値が CPU の制限値を超えた場合、HA は 5 秒ごとに 500 バインディングを送信することで調整を開始します。デフォルトのしきい値は70 % です。 CPU の負荷またはメモリのしきい値が超過していることが原因で、指定したレートでは適合しない可能性があります。 デフォルトの同期レートを達成するには、最大バインディングに適合する間隔を選択することをお勧めします。したがって、500,000 バインディングに対して 1 分の間隔を選択しても、レートが CLI でも指定されていない限り、計算されたレートとして受け付けられません（必要なレートは 8500/秒、最大 5000/秒）。 |
ステップ 2 |
Router# show redundancy inter-device |
次に示す冗長性に関する統計値を表示します。 • Input octets • Output octets • Input bytes • Output bytes • Input octets gigawords • Output octets gigawords • Input packet gigawords • Output packet gigawords • Data Path Idle Timer |
ステップ 3 |
Router#debug redundancy periodic-sync |
モバイル IP のステートフル セッションの冗長性に関する定期的な同期デバッグ情報を表示します。 |
基本的なアカウンティング メッセージ
Home Agent Release 2.1 以上は、Cisco Service Selection Gateway（SSG）をサポートしています。このリリースで HA が送信するのは、統計情報を含まない 3 つのアカウンティング メッセージだけです。SSG は、すべてのネットワーク トラフィックが SSG を通過するように設計され、配置されます。
すべてのトラフィックが通過するので、SSG はすべての統計情報を保持しますが、モバイル IP セッション情報は保持しません。HA は、モバイル IP セッション情報を保持しているので、この情報を SSG に送信します。
HA は、SSG/AAA サーバに次のメッセージを送信します。
• アカウンティング開始：HA は、次の場合に、このメッセージを SSG/AAA サーバに送信します。
– Mobile Node（MN; モバイル ノード）が初回登録に成功した場合。これは、MN の新規モバイル IP セッションの開始を示しています。
– 冗長設定の HA の場合、スタンバイ HA は、アクティブになった時点で以前のバインディングが存在しない場合にのみ、アカウンティング開始メッセージを送信します。これにより、SSG で、障害 HA 上の MN のホスト オブジェクトが保持されます。ただし、Phase-1 では、冗長性はサポートされません。
• アカウンティング アップデート：HA は、定期的なアカウンティング アップデート メッセージが設定され、モバイル ノードの Point of Attachment（POA）が変更されると、アカウンティング アップデート メッセージを生成します。モバイル IP セッションの場合、これは、モバイルノードが CoA 変更後の再登録に成功したことを意味します。CoA は、外部ネットワーク上のモバイル ノードの現在位置です。また、既存バインディングの再登録に失敗した場合、HA は適正な拒否コードを含むアカウンティング アップデート メッセージを送信します。
• アカウンティング停止：HA は、認証済み NAI について、その NAI にバインディングが存在しないという理由で、エラー コードを含む RRP が送信された場合（MobileIP エラー コード 136 を除く）、アカウンティング停止メッセージを送信します。
すべてのメッセージに、次の情報が含まれます。
• Network Access Identifier（NAI）： MN の名前です。abc@service_provider1.com のような名前になります。
• Network Access Server（NAS）IP： アカウンティング ノードの IP アドレスです。HA はアカウンティング ノードなので、このフィールドには HA のアドレスが含まれます。
• Framed IP Address: MN の IP アドレスです。通常、登録に成功すると、HA により MN に IP アドレスが割り当てられます。
• Point Of Attachment（POA）： ネットワーク上の MN の接続ポイントです。モバイル IP セッションの場合、MN の気付アドレス（CoA）になります。
HA のシステム アカウンティング
HA のサービス開始時点（つまり、ボックスのリロード後の初期化時点）で、アクティブな HA が存在しない場合、Accounting On が送信されます。
accounting-off は、アクティブ HA のサービスが停止（グレースフルその他）し、HA サービスを提供するスタンバイ HA が存在しない場合には、送信されるはずです。accounting-off は、常に送信されるとは限りません。
スタンバイ HA のサービス停止（グレースフルその他）の場合、accounting-off は送信されません。
モバイル IP HA から送信されないメッセージ
次のメッセージは、モバイル IP HA から送信されません。
• HA ボックスがオンラインになった時点、またはブートアップ時の Accounting On メッセージ（Acct-Status-Type=Accounting-On）：このメッセージは、モバイル IP コンフィギュレーションに関係のない、プラットフォームのグローバル エンティティです。このメッセージは通常、モバイル IPなどのサービスではなく、プラットフォームのコードによって初期化中に実装されます。
• HA ボックスのシャットダウン時の Accounting Off メッセージ（Acct-Status-Type=Accounting-Off）：このメッセージは、モバイル IP コンフィギュレーションに関係のない、プラットフォームのグローバル エンティティです。このメッセージは通常、モバイル IPなどのサービスではなく、プラットフォームのコードによってリブート中に実装されます。
HA アカウンティングの設定
モバイル IP では現在、AAA コマンドを使用して認証パラメータを設定しています。次のすべてのコマンドが必要です。デフォルトでは、HA アカウンティング機能はディセーブルです。設定しない場合、HA は AAA サーバにアカウンティング メッセージを送信しません。HA アカウンティング機能をイネーブルにするには、次の作業を実行します。
|
|
|
ステップ 1 |
Router(config)# ip mobile home-agent accounting list |
HA アカウンティングをイネーブルにし、Home Agent の定義済みアカウンティング方式リストを適用します。list は、HA アカウンティング レコードの生成に使用する AAA アカウンティング方式です。 |
ステップ 2 |
Router(config)# redundancy periodic-sync interval |
（アクティブおよびスタンバイ HA 間の）冗長性設定でバインディング統計値の定期的同期と、バインディングの残りのアイドル時間を制御します。 |
ステップ 3 |
Router(config)# aaa accounting network method list name start-stop group group name |
処理の開始時にアカウンティング「開始」通知、処理の終了時にアカウンティング「停止」通知を送信します。アカウンティング「開始」レコードは、バックグラウンドで送信されます。要求したユーザ プロセスは、アカウンティング サーバがアカウンティング「開始」通知を受信したかどうかに関係なく、開始されます。 |
ステップ 4 |
Router(config)# aaa accounting update newinfo |
対象ユーザに関する新しいアカウンティング情報が発生するごとに、アカウンティング サーバに中間アカウンティング レコードを送信します。 |
ステップ 5 |
Router(config)# aaa accounting system default start-stop group radius |
HA によるシステム メッセージの送信をイネーブルにします。 |
ステップ 6 |
Router(config)# ip mobile homeagent switchover aaa swact-notification |
各 MIP セッションに対するアカウンティングのウォッチドッグ/停止メッセージの後、Switchover-Action（swact）Notification を送信します。 |
ステップ 7 |
Router# debug aaa accounting |
HA アカウンティング メッセージのデバッグをイネーブルにします。 |
ステップ 8 |
Router# debug radius Router# debug tacacs |
セキュリティ プロトコル特定メッセージのデバッグをイネーブルにします。 |
ステップ 9 |
Router# debug ip mobile |
モバイル IP 関連デバッグ メッセージをイネーブルにします。アカウンティングでは、デバッグ メッセージが出力されるのはエラー発生時だけです。 |
HA アカウンティングの設定例
最初のコマンド ブロックは、AAA の設定です。ネットワーク アカウンティング用に、アカウンティング方式リスト（mylist）が作成されています。Start-Stop キーワードは、HA から 開始および終了レコードを送信することを意味します。詳細については、『IOS Security Configuration Guide』を参照してください。
2 行目は、気付アドレス（CoA）が変更された場合、アカウンティング アップデート レコードを送信するように HA に指示しています。
ip mobile home-agent accounting mylist address 10.3.3.1
ip mobile host 10.3.3.2 3.3.3.5 interface Ethernet2/2
ip mobile secure host 10.3.3.2 spi 1000 key ascii test algorithm md5 mode prefix-suffix
これらは、モバイル IP コマンドです。1 行目で、アカウンティング方式リスト mylist を HA に適用し、HA のアカウンティングをイネーブルに設定しています。
radius-server host 172.16.162.173 auth-port 1645 acct-port 1646
radius-server retransmit 3
!
これらは、RADIUS コマンドです。1行目で、RADIUS サーバのアドレスを指定します。HA が AAA サーバにアクセスでき、適切なアクセス権限があることを確認してください。
次に、HA アカウンティングの設定例を示します。
アクティブ HA：
Building configuration...
Current configuration : 4927 bytes
! Last configuration change at 05:12:03 UTC Thu Oct 13 2005
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
aaa authentication ppp default local group radius
aaa authorization config-commands
aaa authorization ipmobile default group radius
aaa authorization network default local group radius
aaa authorization configuration default group radius
aaa accounting update newinfo periodic 2
aaa accounting network mylist start-stop group radius
aaa accounting system default start-stop group radius
no ip dhcp use vrf connected
ip dhcp-server 99.107.0.13
! Default L2TP VPDN group
! Default PPTP VPDN group
username cisco7600 password 0 cisco
ip address 11.0.0.1 255.0.0.0
interface FastEthernet0/0
description "LINK TO HAAA................!"
ip address 150.2.13.40 255.255.0.0
standby 4 preempt delay reload 300
interface FastEthernet1/0
interface FastEthernet2/0
description "LINK TO PDSN................!"
ip address 7.0.0.10 255.0.0.0
standby 2 preempt delay reload 300
interface FastEthernet3/0
bridge-group 4 spanning-disabled
description ""LINK TO REFLECTOR...."
ip address 99.107.0.19 255.255.0.0
standby 3 ip 99.107.89.67
standby 3 preempt delay reload 300
description "LINK TO TFTP....."
ip address 1.7.130.10 255.255.0.0
interface Virtual-Template1
ip local pool LNS-Pool 8.3.0.1 8.3.0.100
ip local pool ispabc-pool 40.0.0.101 40.0.0.255
ip default-gateway 10.1.2.13
ip route 8.0.0.1 255.255.255.255 7.0.0.1
ip route 9.0.0.1 255.255.255.255 7.0.0.1
ip mobile home-agent accounting mylist broadcast
ip mobile home-agent ip mobile home-agent redundancy
ip mobile virtual-network 40.0.0.0 255.0.0.0
ip mobile host nai @ispxyz.com address pool local ispabc-pool virtual-network 40.0.0.0 255.0.0.0 aaa lifetime 250
ip mobile secure home-agent 7.0.0.2 spi 1001 key ascii cisco algorithm md5 mode prefix-suffix
ip mobile secure home-agent 7.0.0.67 spi 1001 key ascii cisco algorithm md5 mode prefix-suffix
ip radius source-interface Loopback1
access-list 120 deny ip 40.0.0.0 0.255.255.255 40.0.0.0 0.255.255.255
access-list 120 permit ip any any
dialer-list 1 protocol ip permit
radius-server host 150.2.0.2 auth-port 1645 acct-port 1646
radius-server vsa send accounting
radius-server vsa send accounting 3gpp2
radius-server vsa send authentication 3gpp2
alias exec shb sh ip mob bin
alias exec shr sh ip route
alias exec sht sh ip mob tun
alias exec shh sh ip mob host
alias exec clr clear ip mob bin all
no scheduler max-task-time
スタンバイ HA：
Building configuration...
Current configuration : 3995 bytes
! No configuration change since last restart
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
boot system tftp /auto/tftpboot-users/tennis/c7600-h1is-mz.123-3.8.PI2 171.69.1.129
enable password 7 00445566
aaa authentication ppp default local group radius
aaa authorization config-commands
aaa authorization ipmobile default group radius
aaa authorization network default local group radius
aaa authorization configuration default group radius
aaa accounting update newinfo periodic 2
aaa accounting network mylist start-stop group radius
aaa accounting system default start-stop group radius
ip ftp username pdsn-team
ip ftp password 7 pdsneng
ip host PAGENT-SECURITY-V3 32.68.10.4 38.90.0.0
ip name-server 11.69.2.133
no ip dhcp use vrf connected
vpdn ip udp ignore checksum
! Default L2TP VPDN group
! Default PPTP VPDN group
username mwt13-7600b password 0 cisco
ip address 11.0.0.1 255.0.0.0
interface FastEthernet0/0
ip address 4.0.10.2 255.0.0.0
interface FastEthernet1/0
interface FastEthernet2/0
description "LINK TO HAAA................!"
ip address 15.2.13.20 255.255.0.0
interface FastEthernet5/0
description "LINK TO PDSN................!"
ip address 7.0.0.67 255.0.0.0
description "LINK TO REFLECTOR....!"
ip address 22.107.0.12 255.255.0.0
standby 3 ip 22.107.89.67
description "LINK TO TFTP....."
ip address 1.7.130.2 255.255.0.0
ip local pool LNS-Pool 8.3.0.1 8.3.0.100
ip local pool ispabc-pool 40.0.0.101 40.0.0.255
ip default-gateway 10.1.2.13
ip route 8.0.0.1 255.255.255.255 7.0.0.1
ip route 9.0.0.1 255.255.255.255 7.0.0.1
ip mobile home-agent accounting mylist broadcast
ip mobile home-agent ip mobile home-agent redundancy
ip mobile virtual-network 40.0.0.0 255.0.0.0
ip mobile host nai @ispxyz.com address pool local ispabc-pool virtual-network 40.0.0.0 255.0.0.0 aaa lifetime 250
ip mobile secure home-agent 7.0.0.2 spi 1001 key ascii cisco algorithm md5 mode prefix-suffix
ip mobile secure home-agent 7.0.0.10 spi 1001 key ascii cisco algorithm md5 mode prefix-suffix
ip radius source-interface Loopback1
dialer-list 1 protocol ip permit
radius-server host 150.2.0.2 auth-port 1645 acct-port 1646
radius-server vsa send accounting
radius-server vsa send accounting 3gpp2
radius-server vsa send authentication 3gpp2
alias exec shb sh ip mob bin
alias exec shr sh ip route
alias exec sht sh ip mob tun
alias exec shh sh ip mob host
alias exec clr clear ip mob bin all
no scheduler max-task-time
HA アカウンティングの設定の確認
HA アカウンティングのステータスを確認するには、show ip moEnables periodic updates betweenbile global コマンドを使用します。現在のアカウンティング ステータスが、次のように表示されます。
router# sh ip mobile global
IP Mobility global information:
Registration lifetime: 10:00:00 (36000 secs)
Replay protection time: 7 secs
HA Accounting enabled using method list: mylist
NAT UDP Tunneling support enabled
Forced UDP Tunneling disabled
cisco (virtual network - address 7.0.0.2)
Foreign Agent is not enabled, no care-of address
0 interfaces providing service
Encapsulations supported: IPIP and GRE
Tunnel fast switching enabled, cef switching enabled
Tunnel path MTU discovery aged out after 10 min
Radius Disconnect Capability disabled
router#
フィードバック