Cisco ISG Static Session - как работает?

[sirmax]

Доброго дня!

Не могу найти как работает конструкция со статическими сессиями

Задача:  Пропускать трафик к некоторым единичным абонентам, которые не будут отправлять пакеты во внешний мир до получения запроса (заставлять их пингать что-то что бы поднималась сессия не очень хочется)ё

 

Возможное решение: Использовать статические сессии

Конфигурация:

ip subscriber list STATIC_ISG
  ip source 100.64.0.1

 

interface Port-channel1.101
 encapsulation dot1Q 101
 ip dhcp relay information trusted
 ip dhcp relay information policy-action keep
 ip unnumbered Loopback101
 ip helper-address 100.100.100.1
 ip helper-address 100.100.100.11
 ip helper-address 10.72.0.250
 ip nat inside
 service-policy type control ISG-CUSTOMERS-POLICY
 ip subscriber routed
  initiator unclassified ip-address ipv4
  initiator static ip subscriber list STATIC_ISG
end

 

policy-map type control ISG-CUSTOMERS-POLICY
 class type control   40 service-policy type service name POLICY_MAP_SERVICE_OPEN_GARDEN_LOCAL_NETWORKS
  50 service-policy type service name POLICY_MAP_SERVICE_ON_SESSION_START_FOR_VALID_CUSTOMERS__IF_NO_RADIUS_REPLY event timed-policy-expiry
  1 service disconnect
  exit
 !
 class type control CLASS_MAP_CONTROL_VALID_CUSTOMERS event session-start
  5 collect identifier source-ip-address
  10 authorize aaa list AAA-LIST-ISG-AUTH password ASR1001-valid-customers identifier source-ip-address
  30 set-timer UNAUTH-TIMER 1
  40 service-policy type service name POLICY_MAP_SERVICE_OPEN_GARDEN_LOCAL_NETWORKS
  50 service-policy type service name POLICY_MAP_SERVICE_ON_SESSION_START_FOR_VALID_CUSTOMERS__IF_NO_RADIUS_REPLY
  exit

Правильно ли я понимаю, что будет создана сессия для абонента "как будто" он пришел с адресом прописанным в ip subscriber list STATIC_ISG (100.64.0.1), и в случае примера - запрошены сервисы из радиуса, а если радиус даст реджект то на сессию "навешены" POLICY_MAP_SERVICE_OPEN_GARDEN_LOCAL_NETWORKS и POLICY_MAP_SERVICE_ON_SESSION_START_FOR_VALID_CUSTOMERS__IF_NO_RADIUS_REPLY ?

 

Такая схема, с сервисами в случае Reject  нужны что бы давать интернет всем когда радиус не ответил, в аварийной ситуации, и это нормально (CLASS_MAP_CONTROL_VALID_CUSTOMERS отбросит всех кроме тех кто получили адреса, и кому нужно дать интернет, скорости будут назначены всем одинаковые но это лучше чем даунтайм, как радиус вернется к жизни  то даст верные скорости через UNAUTH-TIMER 1 минуту)

[sirmax]

Тесты говорят что все работает, но внятной доки я так и не нашел, если кто даст буду благодарен