Intelligent Services Gateway コンフィギュレー ション ガイド、Cisco IOS Release 15.1S

ハードウェア要件

• 次のいずれかの ISG プラットフォーム（Cisco IOS Release 12.2(33)SRC 以降）

– Cisco 7200 ルータ

– Cisco 7301 ルータ

– Cisco 7600 ルータ

• SCE プラットフォーム

• ISG デバイスと SCE との間に次の 2 つの接続

– ISG デバイスと SCE がポリシー情報を交換するための制御パス

– 加入者トラフィックを伝送するデータ パス

• ISG プラットフォームと通信できるように設定済みのポリシー サーバ。ISG-SCE 統合によって、ポリシー サーバと SCE の間の通信レイヤは不要になります。

ソフトウェア要件

• Cisco IOS Release 12.2(33)SRC 以降の ISG

• Cisco Software Release 3.1.0 以降の SCE

ISG-SCE 統合の概要

SCE との ISG の統合機能は、ISG と SCE をポリシー プレーン レベルで統合し、ISG と SCE が単一の論理エンティティとして機能して加入者に関するプロビジョニングを行えるようにします。ISG デバイスと SCE は通信しながら連携して加入者セッションを管理し、他の外部コンポーネントと連携する必要性が最小限に抑えられます。ISG は加入者管理をレイヤ 4 以下で処理します。SCE は主にレイヤ 4 以上を対象としています。ISG と SCE を連携するように設定すると、次の機能を持つツールを利用できるようになります。

• 加入者マッピング：加入者認識情報を ISG と SCE との間に配布します。共有の加入者セッションは、ISG によって割り当てられた固有のセッション ID を使用して、両方のデバイスから参照されます。IP アドレス、IP サブネット、Network Access Server（NAS; ネットワーク アクセス サーバ）ID、NAS ポートなどの識別キーも、セッションに割り当てられます。セッションに対してイネーブルにする必要がある SCE ポリシーは、ポリシー名によって特定されます。

• 加入者ポリシーの更新：加入者ポリシーをリアル タイムで変更します。

加入者管理での ISG と SCE の役割

表 31 に、加入者管理での ISG と SCE の固有の役割を示します。

ISG は、RADIUS の Change of Authorization（CoA）メッセージの形式で、特定の加入者セッションに関するポリシー（または外部サービス）を SCE にプッシュします。外部サービスのアクティブ化は、ISG 内部のポリシー管理コンポーネント、または外部の Authentication, Authorization, and Accounting（AAA; 認証、認可、アカウンティング）サーバによってトリガーすることができます。SCE は ISG をポリシー マネージャと見なします。ISG は、外部 AAA サーバから SCE へのサービス アクティブ化要求のプロキシとして機能します。SCE はアカウンティング レコードを ISG に送信します。ISG は、そのアカウンティング レコードを外部 AAA サーバに送信するプロキシとして機能します（設定されている場合）。また、SCE は、プロビジョニングされていないセッションのセッション情報について ISG に問い合わせることもできます。RADIUS の Packet of Disconnect（PoD; パケット オブ ディスコネクト）によってセッションが終了すると、ISG は SCE に通知します。

SCE と ISG との間の通信の設定

SCE と ISG デバイスとの間の通信は、Cisco IOS ソフトウェアの External Policy Delegation（EPD）ハンドラ モジュールによって管理されます。EPD は ISG 上に制御バスを実装して、ISG デバイスと SCE の間のすべてのメッセージングを処理します。ISG と AAA サーバとの間の通信の詳細については、『 Cisco IOS Intelligent Services Gateway Configuration Guide 』に説明があります。この作業は、ISG デバイスと SCE との間の通信に関する次のようなパラメータを設定するために必須です。

• ISG デバイスおよび SCE からの CoA メッセージの送信先となるポート

• ISG が SCE からのアクセス、アカウンティング、および接続管理要求を受信するポート

• ISG デバイスと SCE との間の共有秘密キー

SCE と ISG デバイスとの間の通信を設定するには、ISG デバイス上で次のコマンドを実行します。

手順の概要

1. enable

2. configure terminal

3. aaa server radius { sesm | proxy | policy-device }

4. client ipaddress [ port coa destination port ] [ key shared secret ]

5. authentication port port number

6. accounting port port number

7. key shared secret

8. exit

手順の詳細

ISG での SCE 接続パラメータの設定

サーバ接続管理をサーバ単位またはグローバルに設定するには、次の手順を実行します。

手順の概要

1. enable

2. configure terminal

3. policy-peer address ip-address keepalive seconds

4. policy-peer keepalive seconds

5. exit

手順の詳細

ポリシー マネージャでの制御ポリシーの設定

Cisco IOS コマンドで設定されたルールに従ってサービスをダウンロードするようにポリシー マネージャを設定するには、次の手順に従います。

ISG での制御ポリシーの設定

ISG デバイスで制御ポリシーを設定するには、次の手順を実行します。

手順の概要

1. enable

2. configure terminal

3. policy-map type control policy-map-name

4. class type control { class-map-name | always } event session-start

5. action-number service-policy type service name service-name

6. exit

手順の詳細

AAA サーバでの自動サービスの設定

自動サービスによってサービスを ISG にダウンロードするには、次の手順を実行します。

手順の概要

1. Cisco-Avpair="subscriber: auto-logon-service=sce-service"

手順の詳細

ステップ 1 Cisco-Avpair="subscriber: auto-logon-service=sce-service"

SCE から ISG デバイスにサービス名をダウンロードします。

サービスの設定

サービスを設定するには、次の手順を実行します。この機能の設定は、Cisco IOS の Command Line Interface（CLI; コマンドライン インターフェイス）コマンドを使用して ISG デバイス上で実行することも、AAA サーバ上で実行することもできます。

ISG でのサービスの設定

アカウンティング機能を含むサービスを設定する手順、および SCE デバイス上の外部ポリシーをアクティブ化するには、次の手順に従います。

手順の概要

1. enable

2. configure terminal

3. policy-map type service service-map-name

4. class-map type traffic class-map-name

5. accounting aaa list listname

6. sg-service-type external-policy

7. policy-name name

8. service-monitor enable

9. exit

手順の詳細

AAA サービスでのサービスの設定

外部 AAA サーバでサービスを設定するには、次の手順を実行します。

手順の概要

1. Cisco:Avpair="subscriber:sg-service-type=external-policy"

2. Cisco:Avpair="subscriber:policy-name=gold"

3. Cisco:Avpair="subscriber:service-monitor=1"

4. Cisco:Avpair="accounting-list=list1"

手順の詳細

ステップ 1 Cisco:Avpair="subscriber:sg-service-type=external-policy"

サービスを外部ポリシーとして定義します。

ステップ 2 Cisco:Avpair="subscriber:policy-name=gold"

対応する ISG 上の外部ポリシー名を定義します。

ステップ 3 Cisco:Avpair="subscriber:service-monitor=1"

外部ポリシー デバイスに対するサービス モニタリングをイネーブルにします。

ステップ 4 Cisco:Avpair="accounting-list=list1"

ISG にアカウンティングを設定します。

トラブルシューティングのヒント

次のコマンドを使用すると、SCE との ISG 統合に関するトラブルシューティングを行えます。

• show subscriber policy peer { address ip-address | handle connection-handle | id | all }

例

ここでは、 show subscriber policy peer コマンドの出力例を示します。

show subscriber policy peer all

次に、このコマンドに all キーワードを使用した場合の出力例を示します。

show subscriber policy peer all detail

次に、 show subscriber policy peer コマンドに detail キーワードを追加した場合の出力例を示します。

ISG 制御バスの設定：例

次の例は、ISG 制御バスを、SCE 管理 IP アドレスおよび共有認証キーを指定して設定する方法を示しています。

SCE との ISG 統合：例

次の例は、2 つの SCE を、同じ認証ポートおよびアカウンティング ポートを使用して設定する方法を示しています。ISG は、一方の SCE に関する CoA メッセージの処理にポート 1700 を使用し、もう一方の SCE に関してはデフォルト ポート 3799 を使用します。ISG との各 SCE のピアリングは、異なるキープアライブ間隔で維持されます。

ユーザ セッションが開始されると、POLICY-LOCAL が適用されます。AAA サーバのユーザ プロファイルに自動ログインの指定がある場合、セッションは SCE-SERVICE-LOCAL サービスの使用を開始します。このサービスは、SCE サービス モニタ機能をイネーブルにします。ユーザ プロファイルに SCE-SERVICE-LOCAL サービスに対する自動ログインの指定がない場合、SCE は、 policy-name の引数および service-monitor コマンドに、SCE のデフォルト値設定を使用します。

SCE 制御バスの設定：例

PUSH モードに設定された SCE 制御バス セットアップ

次の例は、PUSH モードの SCE 制御バスの設定方法を示しています。

PULL モードに設定された SCE 制御バス セットアップ

次の例は、PULL モードの SCE 制御バスの設定方法を示しています。

関連資料

シスコのテクニカル サポート

Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries. A listing of Cisco's trademarks can be found at www.cisco.com/go/trademarks . Third party trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a partnership relationship between Cisco and any other company. (1005R)

このマニュアルで使用している IP アドレスは、実際のアドレスを示すものではありません。マニュアル内の例、コマンド出力、および図は、説明のみを目的として使用されています。説明の中に実際のアドレスが使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2009-2010 Cisco Systems, Inc.
All rights reserved.

Copyright © 2009-2011, シスコシステムズ合同会社.
All rights reserved.