Intelligent Services Gateway コンフィギュレー ション ガイド、Cisco IOS Release 15.1S

PPP セッションのための ISG アクセスの概要

レイヤ 2 セッションは、ピア エンティティと ISG デバイスとの間で動作する制御プロトコルによって確立されます。通常、レイヤ 2 セッションは、同じ物理メディア上の他のセッションから隔離するためにカプセル化されます。

システムは、レイヤ 2 セッションにデフォルト処理を提供しますが、プロトコルを転送またはローカルで終端するためのポリシー、またはアクセス プロトコルから収集された ID データに基づいて、ローカルで加入者を認証するためのポリシーの設定が必要な場合があります。ISG 制御ポリシーは、アクセス プロトコルから、ピア エンティティの ID および資格情報を抽出するように設定できます。このメカニズムでは、プロトコルによって明示的に提供される ID、あるいは基盤となるメディアまたはアクセス ポートのネイティブな ID のいずれかの、セッションに関連する ID に基づいてレイヤ 2 セッションのサービスをプロビジョニングできます。

ISG は、次のレイヤ 2 アクセス プロトコルをサポートします。

• PPP

• PPP over Ethernet（PPPoE）

• PPP over ATM（PPPoA）

• Layer 2 Tunnel Protocol（L2TP）

• Layer 2 Forwarding（L2F）プロトコル

PPP セッションのための ISG 加入者 IP アドレス管理

ISG 加入者 IP アドレス管理は、ローカルで終端される IP セッションまたはレイヤ 2（PPP）セッションに適用されます。

加入者は、特定の IP サービス ドメイン内でルーティングを受けるためには、ドメイン固有の IP アドレスをネットワークに知らせる必要があります。加入者が IP サービス ドメイン（アクセス プロバイダーによって管理される任意のプライベート ドメインを含む）間を移動する場合は、ネットワークに知らせる IP アドレスを、新しいドメインを反映して変更する必要があります。ローカルで終端される PPP セッションについては、ISG は、次の IP アドレスの割り当て方法をサポートします。

• ユーザ プロファイル内の IP アドレス

• ユーザ プロファイル内の IP サブネット

• ユーザ プロファイル内の名前付きアドレス プール

• ローカル アドレス プール

• PPP のための IP アドレス管理の標準的方法（PPP セッションのための IP アドレス管理サポートの詳細は『 Cisco IOS Dial Technologies Configuration Guide , Release 12.2』を参照）

ローカルで終端された PPP セッションが、ある Virtual Routing and Forwarding（VRF）インスタンスから別の VRF に転送される場合、IPCP を使用して、ピア IP アドレスが再ネゴシエーションされます。

PPP セッションの VRF 転送

VRF 転送では、新しいプライマリ サービスの選択に従って、ISG 加入者セッションをある VRF から別の VRF に移動できます。Network Access Point（NAP; ネットワーク アクセス ポイント）からの IP アドレスで PPP セッションが確立されると、加入者は Web ポータルへのアクセス、およびサービス プロバイダーの選択が可能になります。PPP セッションの VRF 転送では、ISG は、IP アドレスを新しいドメインから PPP セッションに再度割り当てる必要があります。PPP セッションでは、IP Control Protocol（IPCP）再ネゴシエーションによって、IP アドレスが再度割り当てられます。

PPP 再ネゴシエーションなしでは、PPP セッションの VRF 転送はサポートされません。

PPP セッションのための ISG アクセスに対するデフォルト ポリシー

ISG は、制御ポリシーが設定されいない場合のレイヤ 2 セッションのデフォルト処理を提供します。 vpdn enable コマンドが設定されている場合で、ユーザ名にドメイン名が指定されている（たとえば、user@domain）か、または Dialed Number Identification Service（DNIS; 着信番号識別サービス）番号が提供されている場合、システムはこの情報に基づいて認可を行います。Virtual Private Dialup Network（VPDN）トンネル情報が検出されると、セッションは L2TP Network Server（LNS; L2TP ネットワーク サーバ）での処理のために転送されます。リモート LNS で認証が要求されている場合、 ppp authentication コマンドを PPP インターフェイスまたは仮想テンプレートで設定する必要があります。 vpdn authen-before-forward コマンドが設定されている場合、PPP セッションを LNS に転送する前に、PPP セッションの認証がローカルで試行されます。

ドメイン名または DNIS のトンネル情報が検出されていない場合、または vpdn enable コマンドが設定されていない場合は、Stack Group Bidding Protocol（SGBP）認可が試行されます（SGBP が設定されている場合）。SGBP を使用して認可情報を取得できない場合、PPP セッションはローカルで終端されます。ローカル終端は、ピアと ISG デバイスの間で PPP セッションが確立され、IP ペイロードがルーティングされることを意味しています。後者の場合、 ppp authentication コマンドが PPP インターフェイスまたは仮想テンプレートで設定されている場合のみ、認証が行われます。

セッション開始イベントに ISG 制御ポリシーが定義されている場合、デフォルト処理ではなく、そのポリシーが優先されます。

PPP セッションのための ISG 制御ポリシーを使用する利点

ISG は、アクセス プロトコルを介してピア エンティティからの ID 情報と資格情報の抽出を制御することによって、レイヤ 2 セッションのサービス決定に柔軟なアプローチを提供します。たとえば、コール要求が着信する ATM Permanent Virtual Circuit（PVC; 相手先固定接続）に基づいてサービスが決定される場合、セッションの確立およびサービスの提供の前に、制御プロトコルの実行が完了している必要はありません。この方法では、ローカル リソースを節約し、コール セットアップ時間を改善できます。

PPP セッションのための ISG VRF 転送のイネーブル化

VRF 転送では、新しいプライマリ サービスの選択に従って、ISG 加入者セッションをある VRF から別の VRF に移動できます。この手順は、次のセクションから構成されます。

• 「前提条件」

• 「サービス ポリシー マップでの VRF の指定」

• 「PPP セッションの VRF 転送の確認」

前提条件

この手順は、仮想テンプレートおよび IP アドレスの割り当て方法を設定することによって、PPP セッションのサポートが設定されていることを前提としています。VRF 転送が機能するためには、元の VRF、ループバック インターフェイス、および IP アドレス プールを、ユーザ プロファイルではなく、仮想テンプレートで指定する必要があることに注意してください。仮想テンプレートおよび PPP セッションのサポートの設定方法については、『 Cisco IOS Dial Technologies Configuration Guide 』を参照してください。

サービス ポリシー マップでの VRF の指定

VRF 転送は、新しいプライマリ サービスがセッションに対してアクティブな場合に発生し、セッションが 1 つの VRF から別の VRF に転送されます。サービスは、外部 Authentication, Authorization, and Accounting（AAA; 認証、認可、アカウンティング）サーバ上のサービス プロファイル内、または ISG デバイス上のサービス ポリシー マップに設定できます。ISG デバイス上のサービス ポリシー マップに VRF を設定するには、次の作業を実行します。

手順の概要

1. enable

2. configure terminal

3. policy-map type service policy-map-name

4. ip vrf forwarding name-of-vrf

5. sg-service-type primary

6. sg-service-group service-group-name

手順の詳細

PPP セッションの VRF 転送の確認

PPP セッションの VRF 転送を確認するには、次の作業を実行します。 show のすべての手順はオプションで、任意の順序で実行できます。

手順の概要

1. enable

2. show subscriber session all

3. show idmgr { memory [ detailed [ component [ substring ]]] | service key session-handle session-handle-string service-key key-value | session key { aaa-unique-id aaa-unique-id-string | domainip-vrf ip-address ip-address vrf-id vrf-id | nativeip-vrf ip-address ip-address vrf-id vrf-id | portbundle ip ip-address bundle bundle-number | session-guid session-guid | session-handle session-handle-string | session-id session-id-string } | statistics }

4. show ip route [ vrf vrf-name ]

手順の詳細

PPP セッションのための ISG アクセスのトラブルシューティング

この作業のコマンドを使用すると、レイヤ 2 セッションのモニタとトラブルシューティングを行えます。これらのコマンドはすべてオプションで、特定の順序で入力する必要はありません。

手順の概要

1. enable

2. show subscriber session detailed

3. debug condition

4. debug subscriber packet [ event | full | detail ]

5. debug subscriber error

6. debug subscriber event

7. debug subscriber fsm

8. debug pppatm { event | error | state } [ interface atm interface-number [ . subinterface-number ]] vc {[ vpi / vci ] vci | virtual-circuit-name }

9. debug ppp { packet | negotiation | error | authentication | subscriber switch }

手順の詳細

例

次の例では、ユーザ名「cpe6_1@example.com」に基づいて、 debug subscriber packet detail コマンドの出力がフィルタリングされます。

PPP セッションのための ISG アクセスの設定：例

次に、PPP 加入者にサービスを提供する ISG ポリシーの設定例を示します。この例では、次のアクションを実行するための ISG を設定します。

• ATM Virtual Path Identifier/Virtual Channel Identifier（VPI/VCI; 仮想パス ID/仮想チャンネル ID）に基づく PPP 転送

ISG は、VPI が 200 未満および VCI が 100 未満のすべての加入者に対して、転送サービス「xconnect」をアクティブにします。このポリシー ルールにより、ISG は PPP プロトコル全体を実行することなく、関連付けられた加入者にサービスを提供できます。その他すべての加入者は、ユーザ名で指定されるドメインに基づいてサービスを取得します。ISG は、ユーザ名をプロトコルから取得する必要があります。

• PPP ローカル終端

ISG は、「ispa」ドメインと一致する加入者に対して、「ispa」サービスをアクティブすることによって、ローカル終端を提供します。システムは、方式リスト「list1」を使用して、加入者の認証を行います。ローカル終端サービスについては、サービス プロファイル、インターフェイス、または仮想テンプレートで他の VRF が指定されない限り、グローバル VRF がデフォルトで適用されます。

• 転送前 PPP 認証

ISG は、セッションを LNS に転送する前に、「ispb」ドメインと一致する加入者をローカル認証します（サービス ポリシー マップ「ispb」は VPDN グループを指定しているため、セッションは LNS に転送されます）。加入者は、方式リスト「list2」を使用して認証されます。

• ローカル認証なしの PPP 転送

ISG は、「ispc」ドメインと一致する加入者に対して、ローカル認証なしでセッションを LNS に転送します。

• PPP ドメインの除外

ISG は、「ispd」ドメインと一致する加入者のセッションに対するサービスを拒否し、接続を解除します。

• PPP ドメインに基づくサービスのアクティベーション

その他のドメインと一致する加入者に対して、ISG は指定されたドメインと同じ名前を持つサービスをアクティブにします。

制御クラス マップを設定することで、制御ポリシー ルールを実行するために適合すべき条件を定義します。

トップレベル制御ポリシー マップを定義します。

コールが着信する ATM VPI/VCI に基づいて転送サービスをアクティブにする、制御ポリシー ルールを定義します。

プロトコルからドメイン名を収集する、制御ポリシー ルールを定義します。ドメイン名は、構造化されたユーザ名から入手できます（たとえば、user@domain）。

ネストされた制御ポリシーを定義します。

サービス「ispa」のアクティブ化によってローカル終端を提供する、制御ポリシー ルールを定義します。

サービス「ispb」をアクティブ化する前に、ローカルで加入者を認証するシステムを設定する、制御ポリシー ルールを定義します。サービス「ispb」は、セッションを LNS に転送するよう指定します。

サービス「ispc」をアクティブにする制御ポリシー ルールを定義して、転送を指定します。

サービス「ispd」と一致する加入者に対して、セッションの接続解除を行う制御ポリシー ルールを定義します。

その他すべてのドメインに対してデフォルトを定義する制御ポリシー ルールを定義します。これにより、指定されたドメインと同じ名前を持つサービスがアクティブになります。

サービス ポリシー マップを設定します。

制御ポリシー マップをグローバルに適用します。

再ネゴシエーションを使用した PPP セッションの VRF 転送：例

次に、PPPoE を使用してセッションを確立するコンフィギュレーション、および VRF を関連付けるために作成される RADIUS サービス プロファイルの例を示します。この例では、PPP セッションは、最初に実行されるときにはデフォルトのルーティング テーブルに属し、IP アドレスがデフォルト IP アドレス プール「DEF-POOL」から割り当てられます。加入者が「ISP-RED」サービスを選択すると、ISG は「ISP-RED」サービス プロファイルをダウンロードし、セッションに適用します。その後、PPP セッションは VRF「RED」に転送されます。クライアント デバイスと ISG デバイスの間で IPCP 再ネゴシエーションが実行され、加入者はプール「POOL-RED」から新しい IP アドレスを割り当てられます。

ISP RED のサービス プロファイル

関連資料

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスは、実際のアドレスを示すものではありません。マニュアル内の例、コマンド出力、および図は、説明のみを目的として使用されています。説明の中に実際のアドレスが使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2006-2009 Cisco Systems, Inc.
All rights reserved.

Copyright © 2006-2011, シスコシステムズ合同会社.
All rights reserved.