Load-Balancer aus RADIUS-Konfiguration

Ab LCOS 10.40 unterstützt Ihr Gerät neben der bereits vorhandenen Möglichkeit, einen Load-Balancer über die Konfigurationstabelle des Load-Balancers (siehe Dynamisches Load-Balancing mit mehreren DSL-Zugängen) zu konfigurieren, auch die Möglichkeit, einen Load-Balancer aus übermittelten RADIUS-Attributen für IKEv2 VPN-Tunnel zu erzeugen.

In großen VPN-Szenarien werden zentralseitige Konfigurationen nicht durch Konfigurationseinträge aller notwendigen Parameter eines VPN-Tunnels im Gerät selbst abgelegt, sondern auf einen oder mehrere zentrale RADIUS-Server ausgelagert. Dies dient der besseren Skalierbarkeit und Administration. Sollen in diesen Szenarien auf den zentralseitigen VPN-Gateway mehrere eingehende IKEv2-VPN-Tunnel zu einem Load Blancer zusammengefasst werden, so kann dies über zusätzliche RADIUS-Attribute realisiert werden.

Die Bündel-Gegenstellen eines dynamischen Load-Balancers sind IKEv2-VPN-Clients, die RADIUS-Authorization nutzen. Dabei wird ein VPN-Client dann in einem dynamischen Load-Balancer-Verbund aufgenommen, wenn die RADIUS-Antwort ein entsprechendes RADIUS-Attribut (LCS-Load-Balancer) enthält. Dieses Attribut gibt den Namen des Load-Balancer-Verbundes an und entscheidet zusätzlich darüber, ob Client-Binding (siehe Client-Binding) aktiv sein soll.

Anmerkung: Wenn eine solche VPN-Verbindung abbricht, wird der Client wieder aus seinem Load-Balancer-Verbund entfernt. Ein erneuter Verbindungsaufbau muss durch den Client erfolgen.
Wichtig: Ein dynamischer Load-Balancer-Verbund darf nicht denselben Namen wie ein statisch konfigurierter Verbund haben, man kann also statische und dynamische Clients nicht im selben Load-Balancer vermischen.

Für die Konfiguration über einen RADIUS-Server wird die Syntax der Standard-Attribute "Framed-Route" und "Framed-IPv6-Route" erweitert, damit dynamisch Routen übermittelt werden können, die auf einen Load-Balancer zeigen. Routen des IKEv2-Routing zeigen automatisch auf den Load-Balancer statt auf das Einwahlinterface, wenn das Attribut "LCS-Load-Balancer" verwendet wird.

Das Feature wird auch im Zusammenhang mit IKEv2-Routing unterstützt. Die Route auf dem VPN-Gateway wird dann dynamisch von der Gegenseite übermittelt statt die Route per Framed-Route-Attribut vom RADIUS-Server zu empfangen. In diesem Fall muss lediglich das Attribut "LCS-Load-Balancer" vom RADIUS-Server übermittelt werden.

Tabelle 1. RADIUS-Attribute
ID Bezeichnung Bedeutung
22 Framed-Route IPv4-Routen, die in Richtung des Clients (Next-Hop-Client) auf dem VPN-Gateway in der Routing-Tabelle eingetragen werden sollen. Format (String): <Präfix> [ifc=<Zielinterface>] [rtg_tag=<Routing-Tag>] [admin_distance=<Distanz>]
<Präfix>
IPv4-Adresse + '/' + Präfixlänge oder Netzmaske
ifc=<Zielinterface>
Name des IP-Interfaces oder eines Load-Balancers, auf den die Route zeigen soll, oder "#Ifc". Wenn kein Zielinterface angegeben ist oder es "#Ifc" lautet, dann zeigt die Route auf das VPN-Interface für den betreffenden Einwahlclient. Der Interfacename kann bis zu 16 Zeichen enthalten.
rtg_tag=<Routing-Tag>
Routing-Tag für die Route. Wenn es nicht angegeben wird, bekommt die Route das Tag des Einwahlinterfaces.
admin_distance=<Distanz>
Administrative Distanz der Route als Zahl von 0 bis 255. Wenn sie nicht angegeben wird, bekommt die Route die standardmäßige Distanz für VPN-Routen.
99 Framed-IPv6-Route IPv6-Routen, die in Richtung des Clients (Next-Hop-Client) auf dem VPN-Gateway in der Routing-Tabelle eingetragen werden sollen. Format (String): <Präfix> [ifc=<Zielinterface>] [rtg_tag=<Routing-Tag>] [admin_distance=<Distanz>]
<Präfix>
IPv6-Adresse + '/' + Präfixlänge
ifc=<Zielinterface>
Name des IP-Interfaces oder eines Load-Balancers, auf den die Route zeigen soll, oder "#Ifc". Wenn kein Zielinterface angegeben ist oder es "#Ifc" lautet, dann zeigt die Route auf das VPN-Interface für den betreffenden Einwahlclient. Der Interfacename kann bis zu 16 Zeichen enthalten.
rtg_tag=<Routing-Tag>
Routing-Tag für die Route. Wenn es nicht angegeben wird, bekommt die Route das Tag des Einwahlinterfaces.
admin_distance=<Distanz>
Administrative Distanz der Route als Zahl von 0 bis 255. Wenn sie nicht angegeben wird, bekommt die Route die standardmäßige Distanz für VPN-Routen.
LANCOM 28 LCS-Load-Balancer Format (String): <Load-Balancer-Name> [client_binding={no|yes}] Der <Load-Balancer-Name> kann bis zu 16 Zeichen lang sein und gibt eine entsprechende Load-Balancing-Gegenstelle auf den LANCOM Routern an.
Wichtig: Diese Gegenstelle wird für das dynamische IKEv2-VPN-Load-Balancing verwendet und darf daher nicht unter IP-Router > Load Balancing bereits für statisches Load-Balancing verwendet werden.
Die Option "client_binding" schaltet das Client Binding (siehe Client-Binding) ein oder aus. Ohne diese Angabe ist Client Binding aus.
Wichtig: Der erste sich verbindende IKEv2-VPN-Client gibt diese Einstellung vor. Danach erfolgende andere Einstellungen für das Client Binding in Verbindung mit dieser Load-Balancing-Gegenstelle werden ignoriert.

Beispiel: RADIUS-Attribute für einen einfachen Loadbalancer aus IKEv2-VPN-Tunneln auf der Zentrale

LCS-Load-Balancer=LB1
Framed-Route=192.168.45.0/24 ifc=LB1;

www.lancom-systems.de

LANCOM Systems GmbH | A Rohde & Schwarz Company | Adenauerstr. 20/B2 | 52146 Würselen | Deutschland | E‑Mail info@lancom.de

LANCOM Logo