Newsgroup: it.comp.reti.cisco
Titolo: Pre-autenticazione ANI su 5300/5800 e RADIUS

Ciao.
Qualcuno di voi ha per caso idea se sia possibile effettuare una
preautenticazione RADIUS basata sul numero chiamante (ANI-Caller ID) prima
del call setup (cioe' evitando cosi' lo scatto iniziale alla risposta) sui
5300 e i 5800?
Mi sarebbe utile negare l'accesso sui primari connessi ai cisco a numeri
chiamanti non autorizzati (che in tal caso riceverebbero segnale di occupato
alla chiamata) o comunque gestire l'accesso tramite numero chiamante
evitando pero' che cio' avvenga dopo che la chiamata isdn o anche analogica
sia stabilita.
Per quel che riguarda la sistemazione del software RADIUS per fare cio' mi
arrangio io, non ho pero' trovato nulla a riguardo nella IOS.
Gli unici riferimenti che ho trovato sono:
1) comandi tipo "isdn caller <numero> ..." che pero'
   da quanto ho capito sono fissi e memorizzati nelle
   interfacce, non comportano un'authentication radius
2) creare un'applicazione IVR nei dial peer che, dopo
   l'autenticazione del numero su RADIUS, giri la chiamata
   non come VoIP ma come dati (ovviamente questo non
   va bene x parecchi motivi: 1- la chiamata in arrivo
   deve essere voce e non dati, quindi eventualmente
   potrebbe funzionare solo con chiamate analogiche
   2- sono costretto a configurare i dial peer e avere
   il supporto voip nel 5300/5800, comprese le schede
   dsp ecc.ecc. 3- non ha senso configurare voip per
   poi usarlo come chiamata standard dati/ppp...ecc...)
Grazie,
Alberto Pastore.

 5300 e i 5800?
Non si puo' fare, l'ISDN ha delle temporizzazioni molto strette e non
compatibili con i tempi di autenticazione/autorizzazione di radius e
tacacs+
-- 
 Daniele
-------------------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.orlandi.com
 Via Mezzera 29/A - 20030 - Seveso (MI) - Italy
-------------------------------------------------------------------------------

 tacacs+
Lo immaginavo... in effetti ho pensato anch'io che il call setup andasse in
timeout prima di un reply radius....
Mi sembra strano pero' che un tempo di reply non superiore ai 10
millisecondi sia insufficiente per gestire il tutto. (Beh, il
tacacs+ -sicuramente piu' lento- non l'avevo neanche considerato). Mi pareva
di aver sentito che esistessero alcuni nas che lo facevano, ma devo averlo
sognato.
Pero'... mi viene un dubbio: un gatekeeper allora come fa a stare dietro
alle temporizzazioni isdn? in fondo un'autorizzazione di un gatekeeper non
e' molto diversa, come tempi, dai tempi di una semplice botta/risposta di
radius.
Anzi, mi viene un altro dubbio (non ho ancora provato): non e' che se io
telefono da rete fissa su di un primario, diciamo di un 5300 con voip,
mentre questo contatta il gatekeeper per smistare la chiamata voip
nella sua rete interna, devo comunque scucire uno scatto alla risposta
anche quando l'interno voip e' occupato???
Mah...
Alberto.

anche quando l'interno voip e' occupato???
Non e' proprio cosi': il 5300 che riceve la chiamata attende il call setup
del gateway di destinazione prima di far partire la tariffazione (accounting
start)
Quindi il record  di accounting relativo alla telefonata riporta i secondi a
partire dal call setup generato dal gateway voip di destinazione.
E se ho un sistema di billing "con le palle" (come NTTacPlus 3.0 ? :-))))
sono in grado di tariffare gli effettivi secondi di conversazione e di
gestire l'occupato.
Il problema della pre-auth nasce dal fatto che io devo riconoscere l'utente
come "mio abbonato" prima che questo  inoltri una chiamata sulla rete
Voip....
Senno in questo caso chi tariffo?
Per ora se un "non abbonato" chiama la mia rete devo gestire la chiamata in
modo classico e quindi stabilire un call setup  e poi verificare mediante
Radius che  la persona
sia un abbonato o no.
Se non lo e' gli chiudo la chiamata con un normal call clearing .
Il chiamante in questo caso paga "uno scatto"
Pero', si potrebbe dire, "chi se ne frega" ? Se una persona cerca di
chiamare attraverso la mia rete senza essere abbonato e lo sa, e' giusto che
paghi!! :-)))
In ogni caso sarebbe piu' elegante negare il call setup del chiamante quando
questo si affaccia sul primario con un CLI non identificato: magari con un
bell'occupato.
Restano ovviamente aperte tutte le ben note problematiche di timeout
dell'ISDN:
ma sono sicuro che qualcosa nello IOS ci sia.
Adesso cerco bene sul CCO o chiedo piu' in su.
:-)
ciao
davide ferrari
csco

 ...................
Va be ho capito, e' una fregatura, tu chiami una rete voip e paghi comunque
il call setup anche se i numeri destinatari sono occupati!!!!!!!!!!!!!!!
Non vale!!! :(((

Daii non te la prendere, in fondo basta aspettare la 12.1.2 (T)
:-))
"We will support full DNIS/CLID call
screening in 12.1(2)T with the ability to bypass authentication as
well." [dpeng]
E con la 12.1.2 forse uscira anche NTT3.0?
ciao
davide
csco
Alberto Pastore ha scritto nel messaggio ...
