目  录

1 ITA业务策略

1.1 ITA业务策略简介

1.2 ITA业务策略配置限制和指导

1.3 配置ITA业务策略

1.4 ITA业务策略显示和维护

1.5 ITA业务策略典型配置举例

1.5.1 IPoE支持ITA业务配置举例

1.5.2 PPPoE用户应用动态ITA业务策略配置举例

 

1 ITA业务策略

1.1  ITA业务策略简介

ITA（Intelligent Target Accounting，智能靶向计费）表示根据接入用户访问的不同目的地址定义不同的计费级别，实现基于目的地址的差别化计费。例如在校园网中，可以通过在用户的接入设备上应用ITA业务策略对访问教育网内的用户流量不收费或者收很低的费用，而对于访问教育网外Internet的用户流量收取较高的费用。

在部署了ITA业务策略的组网环境中，我们将标记了计费级别的用户流量称为ITA业务流量，其它的用户流量称做非ITA业务流量。这样，根据每个用户是否有ITA业务流量可以将该用户的总计费流量将分成两种情况：一，总计费流量仅由非ITA业务流量组成；二，总计费流量是ITA业务流量和非ITA业务流量的和。用户的总计费流量是否包含ITA业务流量可以通过配置进行控制。各个级别的ITA业务流量可以独立于用户的总流量进行计费，可以与总计费流量采用不同的计费方案。

如果授权给用户的ITA业务策略中配置了ITA业务所属的用户组，则该用户的ITA业务可加入指定的用户组，属于不同用户组的ITA业务流量将被授予不同的流量计费级别以及不同的流量监管参数。

1.2  ITA业务策略配置限制和指导

本特性仅在standard工作模式下支持。有关系统工作模式的介绍，请参见“基础配置指导”中的“设备管理”。

仅CSPEX类单板（CSPEX-1104-E除外）、CEPC类单板支持配置ITA功能，ITA功能仅对IPoE和PPPoE用户生效。

指定需要进行计费的流量计费级别时，需要注意的是：

·     对于双栈PPPoE用户，不支持对IPv4和IPv6流量同时指定相同的计费级别。当指定的计费级别相同时，最后一次的配置生效。

·     指定需要进行计费的流量计费级别时，如果关键字ipv4或ipv6均未配置，则表示不进行计费。

·     对于不同接入方式的用户，流量计费级别配置的数量各不相同，如表1-1所示。

表1-1 流量计费级别配置数量表

ITA用户	流量计费级别配置的数量
	CSPEX-1204单板	CSPEX类单板（除CSPEX-1204、CSPEX-1104-E、CSPEX-1802X、CSPEX-1812X-E之外）和CEPC类单板	CSPEX-1802X、CSPEX-1812X-E单板
·     IPoE用户 ·     PPPoE用户	1个（目前只支持level 1）	4个（目前只支持level 1～level 4）	5个（目前只支持level 1～level 5）

 

1.3  配置ITA业务策略

需要通过以下几个步骤完成ITA业务策略的部署：

(1)     配置QoS策略。

通过配置流行为将访问不同目的地址的流量重标记为多个流量级别。流量重标记的详细配置请参见“ACL和QoS配置指导”中的“QoS”。

(2)     应用QoS策略

（基于User Profile）

a.     定义User Profile，并在User Profile内应用用于标记流量级别的QoS策略。

User Profile的详细配置请参见“BRAS业务配置指导”中的“User Profile”。

b.     配置授权User Profile。请选择其中一项进行配置。

-     在RADIUS服务器或设备上（取决于采用远程认证还是本地认证）为用户指定授权User Profile属性。

当用户通过认证后，由RADIUS服务器或设备为接入用户下发User Profile。RADIUS服务器上的配置请参见服务器的相关手册；设备上网络接入类本地用户属性的配置，请参见“BRAS业务配置指导”中的“AAA”。

-     在用户的认证域中指定授权User Profile属性。

若RADIUS服务器或设备未给用户下发User Profile，则将使用用户认证域中指定的授权User Profile。用户认证域中授权User Profile的配置请参见“BRAS业务配置指导”中的“AAA”。

（基于接口或全局）

将配置了重标记流量级别动作的QoS策略应用在用户接入的接口上或应用在全局，使得接口上的所有用户共用一套QoS策略。接口或全局应用QoS策略的详细配置请参见“ACL和QoS配置指导”中的“QoS”。

(3)     定义ITA业务策略。

a.     进入系统视图。

system-view

b.     创建ITA业务策略。

ita policy policy-name

c.     指定ITA业务使用的计费方案。

accounting-method { none | radius-scheme radius-scheme-name [ none ] }

缺省情况下，使用的计费方案为none，即不计费。

d.     指定需要进行计费的流量计费级别。

accounting-level level { { ipv4 | ipv6 } | [ car { inbound cir committed-information-rate [ pir peak-information-rate ] | outbound cir committed-information-rate [ pir peak-information-rate ] } * } *

缺省情况下，未指定需要计费的流量计费级别。

e.     （可选）开启统一计费功能。

accounting-merge enable

缺省情况下，统一计费功能处于关闭状态。

f.     （可选）配置ITA业务流量配额耗尽策略。

traffic-quota-out { offline | online } [ no-accounting-update ]

缺省情况下，用户的当前流量配额耗尽后，设备会向服务器发送计费更新报文来获取新的流量配额，若计费回应报文未携带新的流量配额，则该用户不能访问授权的目的IP地址段。

g.     （可选）配置ITA业务所属的用户组。

user-group name group-name [ nat-instance instance-name ]

缺省情况下，未配置ITA业务所属的用户组。

h.     （可选）开启ITA业务流量与用户总计费流量分离功能。

traffic-separate enable [ level level&<1-8> ]

缺省情况下，ITA业务流量与用户总计费流量分离功能处于关闭状态。

(4)     在RADIUS服务器上或用户认证域中指定授权ITA业务策略。

(5)     当用户通过认证后，若RADIUS服务器为当前用户授权了ITA业务策略，将使用RADIUS服务器授权的ITA业务策略，否则使用用户认证域中指定的ITA业务策略。

1.4  ITA业务策略显示和维护

完成上述配置后，在任意视图下执行display命令可以显示ITA业务策略的配置信息。

关于显示ITA业务用户信息相关命令的详细介绍，请参见“BRAS业务命令参考”的“AAA”。

表1-2 ITA业务策略显示和维护

操作	命令
显示ITA业务策略的配置信息	display ita policy [ policy-name ]
显示ITA业务用户的统计信息	display value-added-service user ita
显示指定IP地址的ITA业务用户信息	display value-added-service user { ip-address ipv4-address | ipv6-address ipv6-address } [ vpn-instance vpn-instance-name ] [ verbose ]
显示指定User ID的ITA业务用户信息	display value-added-service user user-id user-id ita-level level
显示指定用户名的ITA业务用户信息	display value-added-service user username username [ verbose ]

 

1.5  ITA业务策略典型配置举例

1.5.1  IPoE支持ITA业务配置举例

1. 组网需求

·     用户主机经由三层网络接入IPoE设备Router。

·     采用Free RADIUS server1作为认证、授权和计费服务器。

·     采用Free RADIUS server2作为ITA（Intelligent Target Accounting，智能靶向计费）业务流量的计费服务器，对用户访问FTP server的业务流量按照级别1进行计费。

·     Router上报给RADIUS server1的用户计费流量中不包含ITA业务流量，且不允许用户ITA业务流量配额耗尽后继续访问FTP server。

2. 组网图

图1-1 IPoE支持ITA业务配置组网图

‌

3. 配置准备

配置各接口的IP地址，且确保各设备之间路由可达。

4. 配置RADIUS服务器

# 分别在RADIUS server1和RADIUS server2上配置RADIUS客户端信息。

在clients.conf文件中增加如下信息：

client 4.4.4.2/32 {

ipaddr = 4.4.4.2

netmask=32

secret=radius

}

client 5.5.5.2/32 {

ipaddr = 5.5.5.2

netmask=32

secret=radius

}

 

# 配置合法用户信息。

在users文件中增加如下信息：

2.2.2.2  Cleartext-Password :="radius"

以上信息表示：用户名为Host的IP地址2.2.2.2。

5. 配置Router

(1)     配置RADIUS方案

# 创建名称为rs1的RADIUS方案并进入该方案视图，该方案用于指定RADIUS server1作为认证、授权和计费服务器。

<Router> system-view

[Router] radius scheme rs1

# 配置主认证和主计费服务器及其通信密钥。

[Router-radius-rs1] primary authentication 4.4.4.1

[Router-radius-rs1] primary accounting 4.4.4.1

[Router-radius-rs1] key authentication simple radius

[Router-radius-rs1] key accounting simple radius

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[Router-radius-rs1] user-name-format without-domain

[Router-radius-rs1] quit

# 创建名称为rs2的RADIUS方案并进入该方案视图，该方案用于指定RADIUS server2作为ITA业务流量计费服务器。

[Router] radius scheme rs2

# 配置主计费服务器及其通信密钥。

[Router-radius-rs2] primary accounting 5.5.5.1

[Router-radius-rs2] key accounting simple radius

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[Router-radius-rs1] user-name-format without-domain

[Router-radius-rs1] quit

(2)     定义匹配数据包的规则

# 定义类classifier_1的匹配规则为：匹配已认证用户的数据包（认证方式必须为IPoE或PPPoE），且匹配ACL 3000的规则。

[Router] traffic classifier classifier_1 operator and

[Router-classifier-classifier_1] if-match authenticated-user

[Router-classifier-classifier_1] if-match acl 3000

[Router-classifier-classifier_1] quit

(3)     配置QoS策略

# 配置ACL 3000，允许目的地址为1.1.1.1的报文通过。

[Router] acl advanced 3000

[Router-acl-ipv4-adv-3000] rule 0 permit ip destination 1.1.1.1 0

[Router-acl-ipv4-adv-3000] quit

# 配置类classifier_1，匹配ACL 3000。

[Router] traffic classifier classifier_1

[Router-classifier-classifier_1] if-match acl 3000

[Router-classifier-classifier_1] quit

# 定义流行为behavior_1。

[Router] traffic behavior behavior_1

# 标记流量计费级别为1。

[Router-behavior-behavior_1] remark account-level 1

# 配置基于字节进行流量统计。

[Router-behavior-behavior_1] accounting byte

[Router-behavior-behavior_1] quit

# 定义QoS策略policy，为类classifier_1指定流行为behavior_1。

[Router] qos policy policy

[Router-qospolicy-policy] classifier classifier_1 behavior behavior_1

[Router-qospolicy-policy] quit

(4)     应用QoS策略

# 在接口上对接收到的上线用户流量应用QoS策略。

[Router] interface gigabitethernet 3/1/1

[Router-GigabitEthernet3/1/1] qos apply policy policy inbound

[Router–GigabitEthernet3/1/1] quit

(5)     配置ITA业务策略

# 创建ITA业务策略ita。

[Router] ita policy ita

# 配置ITA业务使用计费方案rs2。

[Router-ita-policy-ita] accounting-method radius-scheme rs2

# 配置IPv4流量计费级别为1。

[Router-ita-policy-ita] accounting-level 1 ipv4

# 开启ITA业务流量与用户总计费流量分离功能。

[Router-ita-policy-ita] traffic-separate enable

# 配置ITA业务流量配额耗尽后用户不可以继续访问授权的目的IP地址段。

[Router-ita-policy-ita] traffic-quota-out offline

[Router-ita-policy-ita] quit

(6)     配置认证域

# 创建并进入名称为dm1的ISP域。

[Router] domain name dm1

# 配置ISP域使用的RADIUS方案rs1。

[Router-isp-dm1] authentication ipoe radius-scheme rs1

[Router-isp-dm1] authorization ipoe radius-scheme rs1

[Router-isp-dm1] accounting ipoe radius-scheme rs1

# 配置ISP域使用的ITA策略ita。

[Router-isp-dm1] ita-policy ita

[Router-isp-dm1] quit

(7)     配置IPoE认证

# 进入接口GigabitEthernet3/1/1视图。

[Router] interface gigabitethernet 3/1/1

# 使能IPoE功能，并指定三层接入模式。

[Router–GigabitEthernet3/1/1] ip subscriber routed enable

# 使能未知源IP报文触发方式。

[Router–GigabitEthernet3/1/1] ip subscriber initiator unclassified-ip enable

# 设置未知源IP报文触发方式使用的认证域为dm1。

[Router–GigabitEthernet3/1/1] ip subscriber unclassified-ip domain dm1

# 设置动态用户的认证密码为明文radius。

[Router–GigabitEthernet3/1/1] ip subscriber password plaintext radius

6. 验证配置

用户认证通过之后，访问目的地址为1.1.1.1的报文将被按照Level 1级别在RADIUS server2上进行单独计费，访问其它目的IP地址的报文将在RADIUS server1上进行计费。可以通过display value-added-service user显示命令查看到IPoE在线用户的ITA业务流量信息。

1.5.2  PPPoE用户应用动态ITA业务策略配置举例

1. 组网需求

主机通过PPPoE接入Device，并连接到外部网络。Device作为BRAS设备对主机提供接入服务，同时通过CGN单板提供地址转换功能。具体要求如下：

·     Device作为PPPoE Server，对主机进行远程CHAP认证，并通过DHCP地址池为主机分配IP地址。

·     Device采用RADIUS服务器对主机进行认证、授权和计费，与RADIUS服务器交互报文时的共享密钥为expert，向RADIUS服务器发送的用户名要携带域名。

·     Device上实现NAT与BRAS联动，在主机通过认证并分配私网地址的同时，为该主机分配公网地址（111.8.0.200）和端口块。

·     用户上线后，可由RADIUS服务器对用户的不同业务流量动态授权不同的ITA业务策略：

¡     对于Xunlei业务流量，要求下行CIR为30M，计费级别为Level 3。

¡     对于Tianyiyun业务流量，要求上行CIR为20M，下行CIR为20M，计费级别为Level 1。

¡     对于Xunlei和Tianyiyun的混合业务流量，要求上行CIR为20M，下行CIR为30M，计费级别为Level 4。

¡     在RADIUS服务器上对ITA业务流量与非ITA业务流量独立计费。

·     RADIUS服务器可以通过下发特定名称的ITA业务策略（本例中为default），取消已经授权的ITA业务策略。

2. 组网图

图1-2 PPPoE用户应用动态ITA业务策略配置组网图

‌

3. 配置RADIUS服务器

在RADIUS服务器上设置与Device交互报文时的共享密钥为expert；添加PPP用户及密码，具体配置步骤略。

4. 配置步骤

(1)     配置用户组

# 创建普通业务用户组nat1。

<Device> system-view

[Device] user-group nat1

[Device-ugroup-nat1] quit

# 创建Xunlei业务用户组nat1_xunlei。

[Device] user-group nat1_xunlei

[Device-ugroup-nat1_xunlei] quit

# 创建Tianyiyun业务用户组nat1_tianyiyun。

[Device] user-group nat1_tianyiyun

[Device-ugroup-nat1_tianyiyun] quit

# 创建混合业务用户组nat1_allapp。

[Device] user-group nat1_allapp

[Device-ugroup-nat1_allapp] quit

(2)     配置认证域

# 创建名称为rad的RADIUS方案，并进入该方案视图。

[Device] radius scheme rad

# 配置主计费服务器和主认证服务器的IP地址为10.1.1.1，并配置主计费服务器的端口号为1813（缺省值）、主认证服务器的端口号为1812（缺省值）。

[Device-radius-rad] primary accounting 10.1.1.1 1813

[Device-radius-rad] primary authentication 10.1.1.1 1812

# 配置与认证、计费服务器交互报文时的共享密钥为明文expert。

[Device-radius-rad] key authentication simple expert

[Device-radius-rad] key accounting simple expert

# 配置向RADIUS服务器发送的用户名要携带域名。

[Device-radius-rad] user-name-format with-domain

[Device-radius-rad] quit

# 创建名称为pppoe的ISP域，并进入该域视图。

[Device] domain name pppoe

# 配置用户组nat1绑定NAT实例nat1。

[Device-isp-pppoe] user-group name nat1 bind nat-instance nat1

# 为PPP用户配置AAA认证方法为RADIUS认证/授权/计费。

[Device-isp-pppoe] authentication ppp radius-scheme rad

[Device-isp-pppoe] authorization ppp radius-scheme rad

[Device-isp-pppoe] accounting ppp radius-scheme rad

# 配置用户地址类型为私网IPv4地址。该地址类型的用户认证成功后将触发NAT地址分配。

[Device-isp-pppoe] user-address-type private-ipv4

# 配置用户的授权IP地址池为pool1。

[Device-isp-pppoe] authorization-attribute ip-pool pool1

[Device-isp-pppoe] quit

(3)     配置ITA业务策略

# 创建ITA业务策略nat1_xunlei，并进入该策略视图。

[Device] ita policy nat1_xunlei

# 配置ITA业务使用计费方案rad。

[Device-ita-policy-nat1_xunlei] accounting-method radius-scheme rad

# 配置IPv4业务流量计费级别为3，出方向流量的承诺信息速率为30720kbps（30M）。

[Device-ita-policy-nat1_xunlei] accounting-level 3 ipv4 car outbound cir 30720

# 配置ITA业务所属的用户组为nat1_xunlei，与它绑定的NAT实例为nat1。

[Device-ita-policy-nat1_xunlei] user-group name nat1_xunlei nat-instance nat1

# 开启统一计费功能。

[Device-ita-policy-nat1_xunlei] accounting-merge enable

# 开启ITA业务流量与用户总计费流量分离功能。

[Device-ita-policy-nat1_xunlei] traffic-separate enable level 3

[Device-ita-policy-nat1_xunlei] quit

# 创建ITA业务策略nat1_tianyiyun，并进入该策略视图。

[Device] ita policy nat1_tianyiyun

# 配置ITA业务使用计费方案rad。

[Device-ita-policy-nat1_tianyiyun] accounting-method radius-scheme rad

# 配置IPv4业务流量计费级别为1，入方向流量的承诺信息速率为20480kbps（20M），出方向流量的承诺信息速率为20480kbps（20M）。

[Device-ita-policy-nat1_tianyiyun] accounting-level 1 ipv4 car inbound cir 20480 outbound cir 20480

# 配置ITA业务所属的用户组为nat1_tianyiyun，与它绑定的NAT实例为nat1。

[Device-ita-policy-nat1_tianyiyun] user-group name nat1_tianyiyun nat-instance nat1

# 开启统一计费功能。

[Device-ita-policy-nat1_tianyiyun] accounting-merge enable

# 开启ITA业务流量与用户总计费流量分离功能。

[Device-ita-policy-nat1_tianyiyun] traffic-separate enable level 1

[Device-ita-policy-nat1_tianyiyun] quit

# 配置ITA业务策略nat1_allapp，并进入该策略视图。

[Device] ita policy nat1_allapp

# 配置ITA业务使用计费方案rad。

[Device-ita-policy-nat1_allapp] accounting-method radius-scheme rad

# 配置IPv4业务流量计费级别为4，入方向流量的承诺信息速率为20480kbps（20M），出方向流量的承诺信息速率为30720kbps（30M）。

[Device-ita-policy-nat1_allapp] accounting-level 4 ipv4 car inbound cir 20480 outbound cir 30720

# 配置ITA业务所属的用户组为nat1_allapp，与它绑定的NAT实例为nat1。

[Device-ita-policy-nat1_allapp] user-group name nat1_allapp nat-instance nat1

# 开启统一计费功能。

[Device-ita-policy-nat1_allapp] accounting-merge enable

# 开启ITA业务流量与用户总计费流量分离功能。

[Device-ita-policy-nat1_allapp] traffic-separate enable level 4

[Device-ita-policy-nat1_allapp] quit

# 创建ITA业务策略default，内容为空，用于服务器取消已授权的ITA业务策略。

[Device] ita policy default

[Device-ita-policy-default] quit

(4)     配置匹配ITA业务流量的ACL规则

# 配置ACL 3000，允许目的地址为3.3.3.3的报文通过，所属的用户组为nat1_xunlei。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule 0 permit ip destination 3.3.3.3 0 user-group nat1_xunlei

[Device-acl-ipv4-adv-3000] quit

# 配置ACL 3001，允许源地址为3.3.3.3的报文通过，所属的用户组为nat1_xunlei。

[Device] acl advanced 3001

[Device-acl-ipv4-adv-3001] rule 0 permit ip source 3.3.3.3 0 user-group nat1_xunlei

[Device-acl-ipv4-adv-3001] quit

# 配置ACL 3100，允许目的地址为4.4.4.4的报文通过，所属的用户组为nat1_tianyiyun。

[Device] acl advanced 3100

[Device-acl-ipv4-adv-3100] rule 0 permit ip destination 4.4.4.4 0 user-group nat1_tianyiyun

[Device-acl-ipv4-adv-3100] quit

# 配置ACL 3101，允许源地址为4.4.4.4的报文通过，所属的用户组为nat1_tianyiyun。

[Device] acl advanced 3101

[Device-acl-ipv4-adv-3101] rule 0 permit ip source 4.4.4.4 0 user-group nat1_tianyiyun

[Device-acl-ipv4-adv-3101] quit

# 配置ACL 3200，允许目的地址为3.3.3.3和4.4.4.4的报文通过，所属的用户组为nat1_allapp。

[Device] acl advanced 3200

[Device-acl-ipv4-adv-3200] rule 0 permit ip destination 3.3.3.3 0 user-group nat1_allapp

[Device-acl-ipv4-adv-3200] rule 5 permit ip destination 4.4.4.4 0 user-group nat1_allapp

[Device-acl-ipv4-adv-3200] quit

# 配置ACL 3201，允许源地址为3.3.3.3和4.4.4.4的报文通过，所属的用户组为nat1_allapp。

[Device] acl advanced 3201

[Device-acl-ipv4-adv-3201] rule 0 permit ip source 3.3.3.3 0 user-group nat1_allapp

[Device-acl-ipv4-adv-3201] rule 5 permit ip source 4.4.4.4 0 user-group nat1_allapp

[Device-acl-ipv4-adv-3201] quit

# 配置ACL 3301，允许普通业务用户的报文通过，所属的用户组为nat1。

[Device] acl advanced 3301

[Device-acl-ipv4-adv-3301] rule 0 permit ip user-group nat1

[Device-acl-ipv4-adv-3301] quit

(5)     配置QoS策略

# 创建类nat1_xunlei_shangxing_class，匹配ACL 3000。

[Device] traffic classifier nat1_xunlei_shangxing_class

[Device-classifier-nat1_xunlei_shangxing_class] if-match acl 3000

[Device-classifier-nat1_xunlei_shangxing_class] quit

# 创建流行为nat1_xunlei_shangxing_action，配置基于字节进行流量统计，标记流量计费级别为3，并为流量绑定NAT实例nat1动作。

[Device] traffic behavior nat1_xunlei_shangxing_action

[Device-behavior-nat1_xunlei_shangxing_action] accounting byte

[Device-behavior-nat1_xunlei_shangxing_action] remark account-level 3

[Device-behavior-nat1_xunlei_shangxing_action] bind nat-instance nat1

[Device-behavior-nat1_xunlei_shangxing_action] quit

# 创建类nat1_xunlei_xiaxing_class，匹配ACL 3001。

[Device] traffic classifier nat1_xunlei_xiaxing_class

[Device-classifier-nat1_xunlei_xiaxing_class] if-match acl 3001

[Device-classifier-nat1_xunlei_xiaxing_class] quit

# 创建流行为nat1_xunlei_xiaxing_action，配置基于字节进行流量统计，标记流量计费级别为3。

[Device] traffic behavior nat1_xunlei_xiaxing_action

[Device-behavior-nat1_xunlei_xiaxing_action] accounting byte

[Device-behavior-nat1_xunlei_xiaxing_action] remark account-level 3

[Device-behavior-nat1_xunlei_xiaxing_action] quit

# 创建类nat1_tianyiyun_shangxing_class，匹配ACL 3100。

[Device] traffic classifier nat1_tianyiyun_shangxing_class

[Device-classifier-nat1_tianyiyun_shangxing_class] if-match acl 3100

[Device-classifier-nat1_tianyiyun_shangxing_class] quit

# 创建流行为nat1_tianyiyun_shangxing_action，配置基于字节进行流量统计，标记流量计费级别为1，并为流量绑定NAT实例nat1动作。

[Device] traffic behavior nat1_tianyiyun_shangxing_action

[Device-behavior-nat1_tianyiyun_shangxing_action] accounting byte

[Device-behavior-nat1_tianyiyun_shangxing_action] remark account-level 1

[Device-behavior-nat1_tianyiyun_shangxing_action] bind nat-instance nat1

[Device-behavior-nat1_tianyiyun_shangxing_action] quit

# 创建类nat1_tianyiyun_xiaxing_class，匹配ACL 3101。

[Device] traffic classifier nat1_tianyiyun_xiaxing_class

[Device-classifier-nat1_tianyiyun_xiaxing_class] if-match acl 3101

[Device-classifier-nat1_tianyiyun_xiaxing_class] quit

# 创建流行为nat1_tianyiyun_xiaxing_action，配置基于字节进行流量统计，标记流量计费级别为1。

[Device] traffic behavior nat1_tianyiyun_xiaxing_action

[Device-behavior-nat1_tianyiyun_xiaxing_action] accounting byte

[Device-behavior-nat1_tianyiyun_xiaxing_action] remark account-level 1

[Device-behavior-nat1_tianyiyun_xiaxing_action] quit

# 创建类nat1_allapp_shangxing_class，匹配ACL 3200。

[Device] traffic classifier nat1_allapp_shangxing_class

[Device-classifier-nat1_allapp_shangxing_class] if-match acl 3200

[Device-classifier-nat1_allapp_shangxing_class] quit

# 创建流行为nat1_allapp_shangxing_action，配置基于字节进行流量统计，标记流量计费级别为4，并为流量绑定NAT实例nat1动作。

[Device] traffic behavior nat1_allapp_shangxing_action

[Device-behavior-nat1_allapp_shangxing_action] accounting byte

[Device-behavior-nat1_allapp_shangxing_action] remark account-level 4

[Device-behavior-nat1_allapp_shangxing_action] bind nat-instance nat1

[Device-behavior-nat1_allapp_shangxing_action] quit

# 创建类nat1_allapp_xiaxing_class，匹配ACL 3201。

[Device] traffic classifier nat1_allapp_xiaxing_class

[Device-classifier-nat1_allapp_xiaxing_class] if-match acl 3201

[Device-classifier-nat1_allapp_xiaxing_class] quit

# 创建流行为nat1_allapp_xiaxing_action，配置基于字节进行流量统计，标记流量计费级别为4。

[Device] traffic behavior nat1_allapp_xiaxing_action

[Device-behavior-nat1_allapp_xiaxing_action] accounting byte

[Device-behavior-nat1_allapp_xiaxing_action] remark account-level 4

[Device-behavior-nat1_allapp_xiaxing_action] quit

# 创建类nat1_class，匹配ACL 3301。

[Device] traffic classifier nat1_class

[Device-classifier-nat1_class] if-match acl 3301

[Device-classifier-nat1_class] quit

# 创建流行为nat1_action，配置基于字节进行流量统计，并为流量绑定NAT实例nat1动作。

[Device] traffic behavior nat1_action

[Device-behavior-nat1_action] accounting byte

[Device-behavior-nat1_action] bind nat-instance nat1

[Device-behavior-nat1_action] quit

# 创建QoS策略shangxing，并为匹配上行业务流量的类分别指定流行为。

[Device] qos policy shangxing

[Device-qospolicy-shangxing] classifier nat1_xunlei_shangxing_class behavior nat1_xunlei_shangxing_action

[Device-qospolicy-shangxing] classifier nat1_tianyiyun_shangxing_class behavior nat1_tianyiyun_shangxing_action

[Device-qospolicy-shangxing] classifier nat1_allapp_shangxing_class behavior nat1_allapp_shangxing_action

[Device-qospolicy-shangxing] classifier nat1_class behavior nat1_action

[Device-qospolicy-shangxing] quit

# 创建QoS策略xiaxing，并为匹配下行业务流量的类分别指定流行为。

[Device] qos policy xiaxing

[Device-qospolicy-xiaxing] classifier nat1_xunlei_xiaxing_class behavior nat1_xunlei_xiaxing_action

[Device-qospolicy-xiaxing] classifier nat1_tianyiyun_xiaxing_class behavior nat1_tianyiyun_xiaxing_action

[Device-qospolicy-xiaxing] classifier nat1_allapp_xiaxing_class behavior nat1_allapp_xiaxing_action

[Device-qospolicy-xiaxing] quit

# 全局应用QoS策略。

[Device] qos apply policy shangxing global inbound

[Device] qos apply policy xiaxing global outbound

(6)     配置PPPoE接入

# 开启DHCP服务。

[Device] dhcp enable

# 配置DHCP地址池pool1，IP地址范围为2.2.2.2到2.2.2.255。

[Device] ip pool pool1

[Device-ip-pool-pool1] network 2.2.2.2 24

[Device-ip-pool-pool1] gateway-list 2.2.2.1

# 将IP地址2.2.2.2配置为禁用地址。

[Device-ip-pool-pool1] forbidden-ip 2.2.2.1

[Device-ip-pool-pool1] quit

# 配置虚拟模板接口1的参数，采用CHAP认证对端，认证域为pppoe，开启PPP计费统计功能。

[Device] interface virtual-template 1

[Device-Virtual-Template1] ppp authentication-mode chap domain pppoe

[Device-Virtual-Template1] ppp account-statistics enable

[Device-Virtual-Template1] quit

# 在接口GigabitEthernet3/1/1上启用PPPoE Server协议，并将该接口与虚拟模板接口1绑定。

[Device] interface gigabitethernet 3/1/1

[Device-GigabitEthernet3/1/1] pppoe-server bind virtual-template 1

[Device-GigabitEthernet3/1/1] quit

(7)     配置使用CGN单板提供NAT功能

# 创建备份组failgrp，并进入备份组视图。

[Device] failover group failgrp id 1

# 将slot 2作为备份组failgrp的主节点，slot 3作为备份组的备节点。

[Device-failover-group-failgrp] bind slot 2 primary

[Device-failover-group-failgrp] bind slot 3 secondary

[Device-failover-group-failgrp] quit

# 创建业务实例组sgrp，并进入业务实例组视图。

[Device] service-instance-group sgrp

# 将业务实例组sgrp和备份组failgrp关联。

[Device-service-instance-group-sgrp] failover-group failgrp

[Device-service-instance-group-sgrp] quit

# 创建ACL 3600，允许源地址为2.2.2.0/24网段的报文通过。

[Device] acl advanced 3600

[Device-acl-ipv4-adv-3600] rule permit ip source 2.2.2.0 0.0.0.255

[Device-acl-ipv4-adv-3600] quit

# 配置地址组1，包含一个外网地址111.8.0.200，外网地址的端口范围为1024～65535，端口块大小为2048。

[Device] nat address-group 1

[Device-address-group-1] port-block block-size 2048

[Device-address-group-1] port-range 1024 65535

[Device-address-group-1] address 111.8.0.200 111.8.0.200

[Device-address-group-1] quit

# 创建NAT实例nat1。

[Device] nat instance nat1 id 1

# 将NAT实例nat1与业务实例组sgrp关联。

[Device-nat-instance-nat1] service-instance-group sgrp

# 配置地址转换规则，对源地址为2.2.2.0/24网段的用户报文进行地址转换。

[Device-nat-instance-nat1] nat outbound 3600 address-group 1

[Device-nat-instance-nat1] quit

# 配置IPv4地址前缀列表，允许到111.8.0.200的路由通过。

[Device] ip prefix-list prefix-a index 10 permit 111.8.0.200 32 less-equal 32

# 配置路由策略。

[Device] route-policy 1 permit node 1

[Device-route-policy-1-1] if-match ip address prefix-list prefix-a

[Device-route-policy-1-1] quit

# 配置引入符合路由策略的直连路由。

[Device] ospf 99

[Device-ospf-99] import-route direct route-policy 1

[Device-ospf-99] quit

(8)     配置RADIUS动态授权

# 开启RADIUS DAE服务，并进入RADIUS DAE服务器视图。

[Device] radius dynamic-author server

# 指定RADIUS DAE客户端IP地址为10.1.1.1，共享密钥为明文expert。

[Device-radius-da-server] client ip 10.1.1.1 key simple expert

[Device-radius-da-server] quit

 

[Device] quit

5. 验证配置

# 以上配置完成后，PPP用户上线通过执行如下显示命令可查看PPP用户信息。

<Device> display access-user user-type pppoe interface gigabitethernet 1/0/1

UserID      Interface            IP address              MAC address     S-/C-VLAN

            Username             IPv6 address            Access type

0x1         GE1/0/1              2.2.2.2                 0010-9400-0051  -/-

            PPPOE@pppoe          -                       PPPoE

# RADIUS服务器动态下发名称为nat1_xunlei的ITA策略后，再查看用户名为PPPOE@pppoe的增值业务用户的详细信息。

<Device> display value-added-service user username PPPOE@pppoe verbose

Basic:

  User ID                             : 0x1

  User name                           : PPPOE@pppoe

  IP address                          : 2.2.2.2

  IPv6 address                        : -

  Service type                        : ITA

ITA:

  Policy name                         : nat1_xunlei

  Accouting merge                     : Enable

  Traffic quota-out action            : Offline

  Level-3 State                       : Online(active)

          Inbound CAR                 : -

          Outbound CAR                : CIR 30720 kbps PIR 30720 kbps

                                        CBS -

          Uplink packets/bytes        : 0/0

          Downlink packets/bytes      : 0/0

          IPv6 uplink packets/bytes   : 0/0

          IPv6 downlink packets/bytes : 0/0

          Accounting start time       : 2022-08-03  15:03:16

          Online time (hh:mm:ss)      : 0:01:39

          Accounting state            : Accounting

          Session timeout             : Unlimited

          Time remained               : Unlimited

          Realtime accounting interval: -

          Traffic separate            : Enabled

          Traffic quota               : Unlimited

          Traffic remained            : Unlimited