Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Abreviaturas

Problema

Lawful Intercept

Troubleshoot

Resolução

Configuração

Introduction

Este documento descreve como resolver problemas da configuração de "buffer" no contexto de interceptação legal no StarOS.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento do StarOS.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Abreviaturas

LI

Lawful Intercept

LEA

Agência de aplicação da lei

AF

Função de acesso

MF

Função de Mediação

DF

Função de Entrega

CF

Função de controle

IRI

Interceptar informações relacionadas

CC

Conteúdo da comunicação

CLI

Interface da linha de comando

AF pode ser qualquer nó StarOS. O CF reside nas instalações do LEA ou no domínio administrativo.

Problema

No momento da configuração da opção de armazenamento em buffer no módulo de interceptação legal, observa-se que o parâmetro relacionado à opção de armazenamento em buffer baseado em evento/conteúdo não estava disponível na lista de configuração da CLI.

Esta opção ajuda a definir o valor de buffer dos registros padrão IRI 5000 e dos registros CC 1000 por contexto LI.

A única opção disponível na lista de configuração era "dest-addr".

[li-context]<hostname>(config-ctx)# lawful-intercept tcp event-delivery

dest-addr - Destination IP address where the intercepted information needs to be forwarded.

Idealmente, ele deve mostrar a palavra-chave "buffer" junto com a opção "dest-addr" na lista de opções mencionada anteriormente.

Lawful Intercept

Note: O Lawful Intercept é um recurso habilitado por licença. A licença de interceptação legal básica oferece suporte ao UDP como um protocolo de transporte para interceptação de conteúdo de chamada (CC) para assinantes ativos. A interceptação de eventos (IRI) e o TCP como um protocolo de transporte para entrega não são suportados sob a licença Básica. A licença Enhanced Lawful Intercept oferece suporte a toda a funcionalidade da licença Basic LI, além de Interceptação de evento (IRI) e TCP como um protocolo de transporte para a entrega de pacotes interceptados.

A funcionalidade Interceptação Legal fornece ao operador de rede a capacidade de interceptar mensagens de controle e dados dos usuários móveis alvo. Para invocar esse suporte, o LEA solicitará que o operador de rede inicie a interceptação de um usuário móvel específico. Este pedido será apoiado por uma ordem judicial ou mandado. Existem diferentes padrões seguidos para Interceptação Legal em diferentes países.

Um processo típico de Interceptação Legal inclui esta sequência de eventos:

1. O LEA solicita ao TSP que inicie a intercepção de uma sessão de uma determinada pessoa, que normalmente deve ser apoiada por uma decisão judicial ou mandado. Serão fornecidas informações para identificar a pessoa (como número de telefone ou nome/endereço, etc.).

2. O administrador do TSP (Provedor de Serviços de Telecomunicações) configura a Função de Acesso/Função de Entrega do TSP para iniciar a interceptação de eventos de Controle/Dados do assinante alvo. Se a Sessão do Assinante já estiver em andamento, a interceptação ocorrerá imediatamente. Caso contrário, a Função de Acesso deverá aguardar até que a Sessão do Assinante estabeleça conexão.

3. A Função de Acesso envia uma cópia dos eventos de Controle/Dados da sessão interceptada para a Função de Entrega.

4. A função de entrega envia as informações interceptadas para uma ou mais funções de coleta, que estão no domínio administrativo do LEA. Uma função de coleta analisa e armazena as informações interceptadas.

5. Quando o LEA solicita que a interceptação seja interrompida, o administrador do TSP configura a função de acesso e a função de entrega para interromper a interceptação dessa sessão de assinante específica.

Uma interface de linha de comando (CLI) sobre uma sessão SSH é usada pelo DF para provisionamento LI e desprovisionamento da identidade de destino, bem como para monitorar as estatísticas LI.

Estes protocolos/modos (IPv4 e IPv6) são suportados no StarOS para fornecer eventos LI e conteúdo ao DF:

· Modo UDP (sem rack): O endereço de DF2 e DF3 é fornecido no momento do provisionamento para o modo UDP sem confirmação.

· Modo TCP: Para o Modo TCP, a configuração fornece apenas o endereço de peer. Toda entrega de evento interceptada (IRI) é enviada para o DF2 e toda a entrega de dados interceptados (CC) é enviada para o DF3.

Troubleshoot

A configuração do StarOS deve ter uma licença apropriada para este recurso.

[local]<hostname># show license information | grep -i lawful

Monday December 10 01:54:13 UTC 2018

Lawful Intercept                                    [ ASR5K-XX-CSXZZLI ]

+ Enhanced Lawful Intercept                         [ ASR5K-XX-CS0ZZELI / ASR5K-00-CS00XZI ]

Persistent Lawful Intercept                         [ ASR5K-XX-CS1ZZPLI ]

Segregating Lawful Intercept Context based on Count [ ASR5K-XX-PWXZZICS ]

O StarOS também deve ter "configuração de li segregada".

Com esse recurso, somente o "li-administrator" poderá exibir e editar os detalhes da integração da interface LI em um contexto li dedicado.

O usuário admin de LI deve ser mapeado para a administração de li na configuração.

administrator liadmin encrypted password *** ftp li-administration

Ainda assim, descobriu-se que o StarOS não permitia definir a opção "buffer" no módulo de configuração de interceptação legal.

[local]<hostname># context li

[li]<hostname># config

[li]<hostname>(config-ctx)# lawful-intercept tcp event-delivery

dest-addr - Destination IP address where the intercepted information needs to be forwarded. ====> customer do see only this option

[li]<hostname>(config-ctx)# lawful-intercept tcp event-delivery buff

Unknown command - "buff", unrecognized keyword

Idealmente, deve-se ver uma opção com a palavra-chave "buffer" para completar a CLI assim para a configuração de buffer.

configure

context

lawful-intercept tcp event-delivery buffer max-limit <1000 ... 50000>

end

Resolução

Para obter os direitos li-admin para qualquer usuário do StarOS, esse usuário deve ser definido no contexto li com privilégios de administrador. É o usuário li-admin que precisa fazer login de um servidor externo (de LEA) para habilitar essa opção de "buffer". Qualquer outro usuário administrador que tente fazer login no nó no contexto local não terá permissão para definir essa opção de "buffer".

Aqui estão as etapas para atingir o requisito de obter a opção "buffer" no StarOS no módulo LI.

1. Faça login no nó com o usuário admin local.

2. Crie um contexto li (pois não havia contexto li dedicado).

3. Crie um usuário li com privilégios li-admin no contexto local.

4. Crie usuário li com privilégios li-admin no contexto li.

<< removemos li-admin do contexto local para adicionar li dedicado que nos ajudará a segregar o contexto li do contexto local >>

5. Remova o usuário li com o privilégio li-admin do contexto local.

6. Crie um contexto dedicated-li para ativar a configuração segregate li.

7. Defina access-list no contexto li.

8. Logoff do nó.

9. Faça login no nó novamente com o usuário "li" que tem privilégios como li-admin.

10. Configure a opção de buffer que é necessária, ela deve permitir que você a configure.

Configuração

[local]<hostname>(config)# context local

[local]<hostname>(config-ctx)# administrator li-admin password *** li-administration ftp

[local]<hostname>(config-ctx)# end

[local]<hostname>(config)# context li

[li]<hostname>(config-ctx)# administrator li-admin password *** ftp li-administration

< we removed li-admin from local context to add dedicated li which will help us to enable the segregate the li context from local context >

[local]<hostname>(config-ctx)# no administrator li-admin

[local]<hostname>(config-ctx)# exit

[local]<hostname>(config)# dedicated-li context li

Warning: Creating a dedicated LI context is a permanent configuration setting

Info: Context li is dedicated to Lawful-Intercept configuration

Info: Undefined ACLs will be set to deny-all within this context

[li]<hostname>(config-ctx)#

[li]<hostname>(config-ctx)# access-list undefined permit-all

[li]<hostname>(config-ctx)# end

Por exemplo, depois de fazer login com o uso do usuário li-admin, você pode ver todas as opções que precisamos:

<local-node><hostname>$ ssh li-admin@li@

Cisco Systems QvPC-SI Intelligent Mobile Gateway

li-admin@li@aa.bb.cc.dd's password:

Last login: Wed Jan 23 17:32:31 -0500 2019 on pts/2 from 10.xx.yy.zz.

Cisco Systems QvPC-SI

Lawful Intercept Interface

No entry for terminal type "xterm-256color";

using dumb terminal settings.

[li]

# configure

Warning: One or more other administrators may be configuring this system

[li]

(config-ctx)# lawful-intercept tcp event-delivery

buffer - This is used to configure the LI buffering >>>>>>> We can see the buffer option now.

dest-addr - Destination IP address where the intercepted information needs to be forwarded.