Configurez les scripts personnalisés sur CPAR 8.0

Introduction

Ce document décrit comment personnaliser le comportement 8.0 principal de Cisco Access Registrar (CPAR) avec l'utilisation des scripts et des points d'extension.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Gestion CPAR 8.0

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• CPAR 8.0 installé sur le bit 64 de CentOS 6.5 

Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

CPAR peut être modifié par les scripts internes et externes. Des scripts peuvent être écrits dans C/C++/Java/TCL. Des scripts peuvent être utilisés pour modifier le traitement des paquets de RADIUS, TACACS et de DIAMÈTRE. Des scripts peuvent être mis en référence dans CPAR aux points d'extension. Les points d'extension est une configuration/attribut qui apparaît sous certains des éléments de configuration et laisse mettre en référence un script. Selon le guide de référence CPAR n'est pas responsable d'aucuns perte de données, dommages, etc. provoqués par des scripts personnalisés. 

Voici un exemple de deux points d'extension sous la configuration de périphérique de réseau

[ //localhost/Radius/Clients/piborowi ]
    Name = piborowi
    Description =
    Protocol = tacacs-and-radius
    IPAddress = 192.168.255.15
    SharedSecret = <encrypted>
    Type = NAS
    Vendor =
    IncomingScript~ =                          // Extension point for incomming traffic
    OutgoingScript~ =                          // Extension point for outgoing traffic
    EnableDynamicAuthorization = FALSE
    NetMask =
    EnableNotifications = FALSE
    EnforceTrafficThrottling = TRUE

Selon le guide d'administration CPAR, il y a les points disponibles d'extension de multiple. Un script entrant peut être mis en référence à chacun de ces points d'extension :

• Serveur de RADIUS
• Constructeur (du client immédiat)
• Client (NAS individuel)
• Nas-Constructeur-Derrière-le-proxy
• Client-Derrière-le-proxy
• Serveur distant (de type RADIUS)
• Service

Un script d'authentification ou d'autorisation peut être mis en référence à chacun de ces points d'extension :

• Authentification de groupe
• Authentification de l'utilisateur
• Autorisation de groupe
• Autorisation d'utilisateur

Le script sortant peut être mis en référence à chacun de ces points d'extension :

• Service
• Client-Derrière-le-proxy
• Nas-Constructeur-Derrière-le-proxy
• Client (NAS individuel)
• Constructeur de NAS
• Serveur de RADIUS

Il est crucial de comprendre la commande dans laquelle des scripts sont exécutés par CPAR puisqu'il y a de plusieurs points d'extension. Référez-vous au tableau 7-1 du guide de l'administrateur pour voir la commande de 29 points disponibles de script/extension.

Un script interne est celui qui est configuré directement dans CPAR CLI (aregcmd). Il n'exige aucun fichier externe et beaucoup de connaissance de programmation. Un script externe est celui qui est enregistré dans un fichier dans le système d'exploitation (CENTOS ou RHEL) et est juste mis en référence dans CPAR CLI. 

Configurer

Script interne pour le trafic sortant

En scripts internes vous pouvez utiliser ces modificateurs :

1. +rsp : - ajoute et attribut à la réponse

2. - rsp : - retire l'attribut de la réponse

3. #rsp : - remplace l'attribut par la nouvelle valeur

4. au-dessus du du pouvoir être utilisé pour le req (demande/paquet incomming et ENV, qui est dictionnaire d'environnement). Exemples +req : ou - ENV :

Ajoutez un script interne sous /Radius/Scripts. Configurez deux AVP supplémentaires à retourner avec le paquet d'acceptation d'accès : Filtre-id et Constructeur-particularité un (pour joindre le domaine de Voix). 

--> ls -R

[ //localhost/Radius/Scripts/addattr ]
    Name = addattr
    Description =
    Language = internal
    Statements/
        1. +rsp:Filter-Id=PhoneACL
        2. +rsp:Cisco-AVPair=device-traffic-class=voice

--> ls -R

[ Services/local-users ]
    Name = local-users
    Description =
    Type = local
    IncomingScript~ =
    OutgoingScript~ = addattr
    OutagePolicy~ = RejectAll
    OutageScript~ =
    UserList = Default
    EnableDeviceAccess = True
    DefaultDeviceAccessAction~ = DenyAll
    DeviceAccessRules/
        1. switches

Test avec l'utilisation de radclient local :

--> simple <username> <password>
p011
--> p011 send
p014
--> p014
Packet: code = Access-Accept, id = 18, length = 64, attributes =
        Filter-Id = PhoneACL
        Cisco-AVPair = device-traffic-class=voice

Suivis :

07/31/2019 10:31:26.254: P2363: Running Service local-users's OutgoingScript: addattr
07/31/2019 10:31:26.254: P2363: Internal Script for 1   +rsp:Filter-Id=PhoneACL : Filter-Id = PhoneACL
07/31/2019 10:31:26.254: P2363: Setting value PhoneACL for attribute Filter-Id
07/31/2019 10:31:26.254: P2363: Trace of Response Dictionary
07/31/2019 10:31:26.254: P2363: Trace of Access-Request packet
07/31/2019 10:31:26.254: P2363:    identifier = 18
07/31/2019 10:31:26.254: P2363:    length = 30
07/31/2019 10:31:26.254: P2363:    respauth = fb:63:14:3f:c1:fb:ac:03:7d:16:29:61:ba:ef:13:4f
07/31/2019 10:31:26.254: P2363:    Filter-Id = PhoneACL
07/31/2019 10:31:26.254: P2363: Internal Script for 2   +rsp:Cisco-AVPair=device-traffic-class=voice : Cisco-AVPair = device-traffic-class=voice
07/31/2019 10:31:26.254: P2363: Setting value device-traffic-class=voice for attribute Cisco-AVPair
07/31/2019 10:31:26.254: P2363: Trace of Response Dictionary
07/31/2019 10:31:26.254: P2363: Trace of Access-Request packet
07/31/2019 10:31:26.254: P2363:    identifier = 18
07/31/2019 10:31:26.254: P2363:    length = 64
07/31/2019 10:31:26.254: P2363:    respauth = fb:63:14:3f:c1:fb:ac:03:7d:16:29:61:ba:ef:13:4f
07/31/2019 10:31:26.254: P2363:    Filter-Id = PhoneACL
07/31/2019 10:31:26.254: P2363:    Cisco-AVPair = device-traffic-class=voice

Script interne pour le trafic entrant

Créez un nouveau script qui remplace tous les noms d'utilisateur dans le format user@domain à anonyme et appliquez-le comme le script incomming pour le service vous les utilisent.

Configurez :

--> cd /Radius/Scripts

--> add test

--> set language internal

--> cd Statements

--> add 1

--> cd 1 

--> set statements "#req:User-Name=~(.*)(@[a-z]+.[a-z]+)~\anonymous"

--> ls -R

[ //localhost/Radius/Scripts/test ]
    Name = test
    Description =
    Language = internal
    Statements/
        1. #env:User-Name=~(.*)~anonymous

--> ls -R /Radius/Services/employee-service/

[ /Radius/Services/employee-service ]
    Name = employee-service
    Description =
    Type = local
    IncomingScript~ = test
    OutgoingScript~ =
    OutagePolicy~ = RejectAll
    OutageScript~ =
    UserList = default
    EnableDeviceAccess = FALSE
    DefaultDeviceAccessAction~ = DenyAll

Test avec radclient (la demande est rejetée le plus probablement parce que le nom d'utilisateur est changé à anonyme) :

--> simple <username>@cisco.com <password>
p01e

--> p01e
Packet: code = Access-Request, id = 27, length = 72, attributes =
User-Name = <username>@cisco.com
User-Password = <password>
NAS-Identifier = localhost
NAS-Port = 7

--> p01e send
p020
--> p020
Packet: code = Access-Reject, id = 27, length = 35, attributes =
        Reply-Message = Access Denied

Suivi :

Avant que l'employé-service soit exécuté, trois scripts sont appelés. Le premier CPAR appelle CiscoIncomingScript, puis il appelle ParseServiceHints qui est relié à la configuration de client de localhost/périphérique de réseau. Il extrait le nom d'utilisateur du paquet et le met en dictionnaire d'environnement. Le deuxième script, test est appelé et le nom d'utilisateur en dictionnaire d'environnement est changé du <username> à anonyme

client de localhost :

[ //localhost/Radius/Clients/localhost ]
    Name = localhost
    Description =
    Protocol = radius
    IPAddress = 127.0.0.1
    SharedSecret = <encrypted>
    Type = NAS+Proxy
    Vendor = Cisco
    IncomingScript~ = ParseServiceHints
    OutgoingScript~ =
    EnableDynamicAuthorization = FALSE
    NetMask =
    EnableNotifications = FALSE
    EnforceTrafficThrottling = TRUE

Informations de suivi :

07/31/2019 11:38:53.522: P2855: PolicyEngine: [SelectPolicy] Successful
07/31/2019 11:38:53.522: P2855: Using Client: localhost
07/31/2019 11:38:53.522: P2855: Using Vendor: Cisco
07/31/2019 11:38:53.522: P2855: Running Vendor Cisco's IncomingScript: CiscoIncomingScript
07/31/2019 11:38:53.522: P2855: Running Client localhost IncomingScript: ParseServiceHints
07/31/2019 11:38:53.522: P2855: Rex: environ->get( "Request-Type" ) -> "Access-Request"
07/31/2019 11:38:53.522: P2855: Rex: environ->get( "Request-Type" ) -> "Access-Request"
07/31/2019 11:38:53.522: P2855: Rex: environ->get( "User-Name" ) -> "<username>"


07/31/2019 11:38:53.522: P2855: Authenticating and Authorizing with Service employee-service
07/31/2019 11:38:53.522: P2855: Running Service employee-service's IncomingScript: test
07/31/2019 11:38:53.522: P2855: Numbered attribute got for the radius / tacacs packet. ignoring # User-Name
07/31/2019 11:38:53.523: P2855: Numbered attribute got for the radius / tacacs packet. ignoring # User-Name
07/31/2019 11:38:53.523: P2855: Numbered attribute got for the radius / tacacs packet. ignoring # User-Name
07/31/2019 11:38:53.523: P2855: Internal Script for 1   #env:User-Name=~(.*)~anonymous : User-Name = anonymous
07/31/2019 11:38:53.523: P2855: Setting value anonymous for attribute User-Name
07/31/2019 11:38:53.523: P2855: Trace of Environment Dictionary
07/31/2019 11:38:53.523: P2855:            User-Name = anonymous
07/31/2019 11:38:53.523: P2855:            NAS-Name-And-IPAddress = localhost (127.0.0.1)
07/31/2019 11:38:53.523: P2855:            Authorization-Service = employee-service
07/31/2019 11:38:53.523: P2855:            Source-Port = 51169
07/31/2019 11:38:53.523: P2855:            Authentication-Service = employee-service
07/31/2019 11:38:53.523: P2855:            Trace-Level = 1000
07/31/2019 11:38:53.523: P2855:            Destination-Port = 1812
07/31/2019 11:38:53.523: P2855:            Destination-IP-Address = 127.0.0.1
07/31/2019 11:38:53.523: P2855:            Source-IP-Address = 127.0.0.1
07/31/2019 11:38:53.523: P2855:            Enforce-Traffic-Throttling = TRUE
07/31/2019 11:38:53.523: P2855:            Request-Type = Access-Request
07/31/2019 11:38:53.523: P2855:            Script-Level = 6
07/31/2019 11:38:53.523: P2855:            Provider-Identifier = Default
07/31/2019 11:38:53.523: P2855:            Request-Authenticator = 5f:62:5a:72:0f:7b:a2:2a:9c:06:ba:2e:bd:f4:e4:4b
07/31/2019 11:38:53.523: P2855:            Realm = cisco.com
07/31/2019 11:38:53.523: P2855: Getting User anonymous's UserRecord from UserList Default
07/31/2019 11:38:53.523: P2855: Failed to get User anonymous's UserRecord from UserList Default
07/31/2019 11:38:53.523: P2855: Running Vendor Cisco's OutgoingScript: CiscoOutgoingScript
07/31/2019 11:38:53.523: P2855: Trace of Access-Reject packet
07/31/2019 11:38:53.523: P2855:    identifier = 27
07/31/2019 11:38:53.523: P2855:    length = 35
07/31/2019 11:38:53.523: P2855:    respauth = d3:7d:b3:f6:05:47:2c:66:d9:c0:01:7d:67:d7:93:99
07/31/2019 11:38:53.523: P2855:    Reply-Message = Access Denied
07/31/2019 11:38:53.523: P2855: Sending response to 127.0.0.1

Créez le script externe

Ajoutez un fichier nadip.tcl au répertoire de /opt/CSCOar/scripts/radius/tcl/ et ajoutez ce contenu :

[root@piborowi-cpar80-16 tcl]# cat /opt/CSCOar/scripts/radius/tcl/nadip.tcl
proc UpdateNASIP {request response environ} {
 $request trace 2 "TCL CUSTOM_SCRIPT Updating NAS IP ADDRESS"
 $request trace 2 "Before put: " [ $request get NAS-IP-Address ]
 $request put NAS-IP-Address 1.2.3.4
 $request trace 2 "After put: " [ $request get NAS-IP-Address ]
}

Le contenu de nadip.tcl a expliqué ligne par ligne :

Ligne définition et arguments de procédure #1. La demande, réponse, entourent et trois dictionnaires disponibles où vous pouvez modifier la session/données de paquets.

Ligne ligne de débogage #2 pour que le script soit imprimé comme niveau de suivi 2.

Ligne contenu #3 d'attribut de Nas-IP-adresse en dictionnaire de demande avant que vous ayez placé cette valeur.

Ligne attribut réglé de Nas-IP-adresse #4 en dictionnaire de demande pour évaluer 1.2.3.4.

Ligne attribut de Nas-IP-adresse d'impression #5 de nouveau.

Une fois que le script est créé et enregistré dans le système d'exploitation, configurez la référence CPAR au script. Placez le langage comme TCL, nom du fichier doit être nom du fichier précis avec l'extension (dans ce cas c'est nadip.tcl). EntryPoint est le nom de la procédure dans le fichier que vous voudriez exécuter comme script. Mettez en référence le script créé CPAR sous le service (incomingScript) et testez avec radclient.

Raye #2, #3, #5 peut être observé dans le suivi :

--> ls -R /Radius/scripts/nadipaddress/

[ /Radius/Scripts/nadipaddress ]
    Name = nadipaddress
    Description =
    Language = tcl             <<<<<<<<
    Filename = nadip.tcl       <<<<<<<<
    EntryPoint = UpdateNASIP   <<<<<<<<
    InitEntryPoint =
    InitEntryPointArgs =

--> ls -R /Radius/services/employee-service/

[ /Radius/Services/employee-service ]
    Name = employee-service
    Description =
    Type = local
    IncomingScript~ = nadipaddress    <<<<<<<<
    OutgoingScript~ =
    OutagePolicy~ = RejectAll
    OutageScript~ =
    UserList = default
    EnableDeviceAccess = FALSE
    DefaultDeviceAccessAction~ = DenyAll

Suivi :

07/31/2019 13:40:53.615: P3490: Running Service employee-service's IncomingScript: nadipaddress
07/31/2019 13:40:53.615: P3490: TCL CUSTOM_SCRIPT Updating NAS IP ADDRESS
07/31/2019 13:40:53.616: P3490:     Tcl: request trace 2 TCL CUSTOM_SCRIPT Updating NAS IP ADDRESS -> OK
07/31/2019 13:40:53.616: P3490:     Tcl: request get NAS-IP-Address -> <empty>
07/31/2019 13:40:53.616: P3490: Before put:
07/31/2019 13:40:53.616: P3490:     Tcl: request trace 2 Before put:   -> OK
07/31/2019 13:40:53.616: P3490:     Tcl: request put NAS-IP-Address 1.2.3.4 -> OK
07/31/2019 13:40:53.616: P3490:     Tcl: request get NAS-IP-Address -> 1.2.3.4
07/31/2019 13:40:53.616: P3490: After put: 1.2.3.4
07/31/2019 13:40:53.616: P3490:     Tcl: request trace 2 After put:  1.2.3.4 -> OK