Solución de problemas de "buffer" Configuración bajo contexto de intercepción legal en StarOS

Introducción

Este documento describe cómo resolver problemas de la configuración de "buffer" bajo el contexto de intercepción legal en StarOS.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento de StarOS.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Abreviaturas

LI	Lawful Intercept
LEA	Organismo de aplicación de la ley
AF	Función de acceso
MF	Función de mediación
DF	Función de entrega
CF	Función de control
IRI	Interceptar información relacionada
CC	Contenido de la comunicación
CLI	Interfaz de la línea de comandos

AF podría ser cualquier nodo de StarOS. CF reside en las instalaciones de LEA o en el dominio administrativo.

Problema

En el momento de la configuración de la opción de almacenamiento en búfer bajo el módulo de interceptación legal, se observa que el parámetro relacionado con la opción de almacenamiento en búfer basado en contenido/evento no estaba disponible en la lista de configuración de CLI.

Esta opción ayuda a definir el valor del búfer de los registros IRI predeterminados 5000 y 1000 registros CC por contexto LI.

La única opción disponible en la lista de configuración era "dest-addr".

[li-context]<hostname>(config-ctx)# lawful-intercept tcp event-delivery
dest-addr - Destination IP address where the intercepted information needs to be forwarded.

Idealmente, debería mostrar la palabra clave "buffer" junto con la opción "dest-addr" en la lista de opciones antes mencionada.

Lawful Intercept

Nota: Lawful Intercept es una función habilitada para licencia. La licencia Basic Lawful Intercept admite UDP como protocolo de transporte para la intercepción de contenido de llamada (CC) para suscriptores activos. La intercepción de eventos (IRI) y TCP como protocolo de transporte para la entrega no se admiten con la licencia básica. La licencia Enhanced Lawful Intercept admite toda la funcionalidad de la licencia básica de LI más la intercepción de eventos (IRI) y TCP como protocolo de transporte para la entrega de paquetes interceptados.

La funcionalidad de intercepción legal proporciona al operador de red la capacidad de interceptar el control y los mensajes de datos de los usuarios móviles objetivo. Para invocar este soporte, LEA solicitará al operador de red que inicie la interceptación de un usuario móvil en particular. Esta solicitud estará respaldada por una orden judicial o una orden judicial. Existen diferentes estándares para la Interceptación Legal en diferentes países.

Un proceso típico de Interceptación Legal incluye esta secuencia de eventos:

1. La LEA pide al TSP que comience a interceptar una sesión de una persona determinada, que normalmente debe ser respaldada por una orden judicial o una orden judicial. Se proporcionará información para identificar a la persona (por ejemplo, número de teléfono o nombre/dirección, etc.).
2. El administrador del proveedor de servicios de telecomunicaciones (TSP) configura la función de acceso/prestación de TSP para comenzar a interceptar eventos de control/datos del suscriptor objetivo. Si la Sesión del Suscriptor ya está en curso, la intercepción se producirá inmediatamente. De lo contrario, la función de acceso debe esperar hasta que se conecte la sesión de suscriptor.
3. La función de acceso envía una copia de los eventos Control/Datos para la sesión interceptada a la función de entrega.
4. La función de entrega envía la información interceptada a una o más funciones de recopilación, que se encuentran en el dominio administrativo de LEA. Una función de recopilación analiza y almacena la información interceptada.
5. Cuando LEA solicita detener la intercepción, el administrador TSP configura la Función de acceso y la Función de entrega para detener la intercepción para esa sesión de suscriptor en particular.

El DF utiliza una interfaz de línea de comandos (CLI) sobre la sesión SSH para el aprovisionamiento y el desaprovisionamiento de LI de la identidad de destino, así como para supervisar las estadísticas de LI.

Estos protocolos/modos (IPv4 e IPv6) son compatibles con StarOS para ofrecer contenido y eventos LI al DF:

Modo · UDP (Desactivado): La dirección de DF2 y DF3 se proporciona en el momento del aprovisionamiento para el modo UDP no-Recognition.
Modo TCP ·: Para el modo TCP, la configuración sólo proporciona la dirección de par. Todas las entregas de eventos interceptados (IRI) se envían a DF2 y todas las entregas de datos interceptados (CC) se envían a DF3.

Troubleshoot

La configuración de StarOS debe tener una licencia adecuada para esta función.

[local]<hostname># show license information | grep -i lawful
Monday December 10 01:54:13 UTC 2018
Lawful Intercept                                    [ ASR5K-XX-CSXZZLI ]
+ Enhanced Lawful Intercept                         [ ASR5K-XX-CS0ZZELI / ASR5K-00-CS00XZI ]
Persistent Lawful Intercept                         [ ASR5K-XX-CS1ZZPLI ]
Segregating Lawful Intercept Context based on Count [ ASR5K-XX-PWXZZICS ]

StarOS también debería tener "configuración li segregada".

Con esta función, sólo "li-administrator" podrá ver y editar los detalles de integración de la interfaz LI en un contexto li dedicado.

El usuario administrador de LI debe asignarse a li-management en la configuración.

administrator liadmin encrypted password *** ftp li-administration

Pero aún así, se encontró que StarOS no permitió definir la opción "buffer" bajo el módulo de configuración de intercepción legal.

[local]<hostname># context li
[li]<hostname># config
[li]<hostname>(config-ctx)# lawful-intercept tcp event-delivery
dest-addr - Destination IP address where the intercepted information needs to be forwarded. ====> customer do see only this option

[li]<hostname>(config-ctx)# lawful-intercept tcp event-delivery buff
Unknown command - "buff", unrecognized keyword

Lo ideal es que se vea una opción con la palabra clave "buffer" para completar la CLI como esta para la configuración del búfer.

configure
context
lawful-intercept tcp event-delivery buffer max-limit <1000 ... 50000>
end

Resolución

Para obtener los derechos li-admin para cualquier usuario de StarOS, ese usuario debe definirse bajo li context con privilegios de administrador. Es el usuario li-admin el que necesita iniciar sesión desde un servidor externo (desde LEA) para habilitar esta opción "buffer". A cualquier otro usuario administrador que intente iniciar sesión en el nodo en contexto local no se le permitirá definir esta opción de "búfer".

Estos son los pasos para lograr el requisito de obtener la opción "buffer" en StarOS bajo el módulo LI.

1. Inicie sesión en el nodo con el usuario administrador local.
2. Cree el contexto li (ya que allí no había contexto li dedicado).
3. Cree un usuario li con privilegios li-admin en el contexto local.
4. Cree un usuario li con privilegios li-admin en contexto li.
<< quitamos li-admin del contexto local para agregar li dedicado que nos ayudará a separar el contexto li del contexto local >>
5. Quite el usuario li con el privilegio li-admin del contexto local.
6. Cree un contexto dedicado-li para habilitar la configuración separada de li.
7. Defina la lista de acceso en el contexto li.
8. Cierre de sesión del nodo.
9. Vuelva a iniciar sesión en el nodo con el usuario "li" que tiene privilegios como li-admin.
10. Configure la opción de búfer que se requiere, debería permitirle configurarla.

Configuración

[local]<hostname>(config)# context local
[local]<hostname>(config-ctx)# administrator li-admin password *** li-administration ftp
[local]<hostname>(config-ctx)# end

[local]<hostname>(config)# context li
[li]<hostname>(config-ctx)# administrator li-admin password *** ftp li-administration

< we removed li-admin from local context to add dedicated li which will help us to enable the segregate the li context from local context >

[local]<hostname>(config-ctx)# no administrator li-admin
[local]<hostname>(config-ctx)# exit

[local]<hostname>(config)# dedicated-li context li
Warning: Creating a dedicated LI context is a permanent configuration setting
Info: Context li is dedicated to Lawful-Intercept configuration
Info: Undefined ACLs will be set to deny-all within this context
[li]<hostname>(config-ctx)#
[li]<hostname>(config-ctx)# access-list undefined permit-all
[li]<hostname>(config-ctx)# end

Por ejemplo, después de iniciar sesión con el usuario li-admin, puede ver todas las opciones que necesitamos:

<local-node><hostname>$ ssh li-admin@li@
     
     
Cisco Systems QvPC-SI Intelligent Mobile Gateway
li-admin@li@aa.bb.cc.dd's password:
Last login: Wed Jan 23 17:32:31 -0500 2019 on pts/2 from 10.xx.yy.zz.
Cisco Systems QvPC-SI
Lawful Intercept Interface

No entry for terminal type "xterm-256color";
using dumb terminal settings.
[li] 
      # configure
Warning: One or more other administrators may be configuring this system
[li]
     
     
       (config-ctx)# lawful-intercept tcp event-delivery 
     
buffer - This is used to configure the LI buffering >>>>>>> We can see the buffer option now.
dest-addr - Destination IP address where the intercepted information needs to be forwarded.