16-安全配置指導

03-User Profile配置

1.4 User Profile顯示和維護

1.5 User Profile典型配置舉例

1.5.1 使用RADIUS服務器進行MAC地址認證的User Profile典型配置舉例

1 User Profile

1.1 User Profile簡介

User Profile（用戶配置文件）提供一個配置模板，用於定義針對一個或一類用戶的一係列配置，例如QoS（Quality of Service，服務質量）策略。User Profile可重複使用，並且在用戶的接入端口發生變化後，無須重新為用戶進行配置，減少了配置工作量。

用戶訪問設備時，需要先進行上線用戶身份認證（例如通過802.1X接入認證方式）。用戶通過身份認證後，認證服務器會將與用戶帳戶綁定的User Profile名稱下發給設備，設備會根據指定User Profile裏配置的內容對上線用戶進行限製。

基於User Profile的用戶身份認證需要與認證服務器配合使用。

僅支持用戶采用遠程認證，需要在遠程認證服務器上指定與該用戶帳戶相關聯的User Profile。

當用戶通過認證上線後，其訪問行為將受到User Profile的限製。當用戶下線時，係統會自動取消相應的限製。因此，User Profile適用於限製上線用戶的訪問行為，沒有用戶上線（例如沒有用戶接入、用戶沒有通過認證或者用戶下線）時，對應的User Profile配置並不生效。

使用User Profile之後，可以：

· 更精確地利用係統資源。比如基於接口進行流量監管，此時限製的是一群用戶（從指定接口接入的用戶）。使用User Profile之後，可以基於用戶進行流量監管，此時限製的是單個用戶。

· 更靈活地限製用戶訪問係統資源。比如隻對當前接口的所有流進行流量監管，當用戶的物理位置移動時（比如從另一個接口接入），則需要先取消舊的接入接口下的流量監管功能，再在新的接入接口下配置流量監管功能。使用User Profile之後，可以基於用戶進行流量監管，隻要用戶上線，認證服務器會自動下發相應的User Profile，當用戶下線，對應的配置亦會失效，不需要再進行手工調整。

1.2 User Profile配置準備

User Profile是和接入認證配合使用的，在配置User Profile前需要保證已完成相應的接入認證配置。各接入認證對User Profile的支持情況，請參見相關接入認證模塊的配置指導。

1.3 配置User Profile

(1) 進入係統視圖。

system-view

(2) 創建User Profile並進入相應的User Profile視圖。

user-profile profile-name

(3) 配置User Profile。請至少選擇其中一項進行配置。

¡ 應用已創建的QoS策略。

qos apply policy policy-name { inbound | outbound }

缺省情況下，未應用QoS策略。

¡ 配置流量監管。

qos car { inbound | outbound } any cir committed-information-rate [ cbs committed-burst-size [ ebs excess-burst-size ] ]

qos car { inbound | outbound } any cir committed-information-rate [ cbs committed-burst-size ] pir peak-information-rate [ ebs excess-burst-size ]

缺省情況下，未配置User Profile的流量監管。

關於QoS策略、流量監管的具體介紹與配置，請參見“QoS配置指導”中的QoS配置。

1.4 User Profile顯示和維護

在任意視圖下執行display命令可以顯示User Profile的配置信息和在線用戶信息，通過查看顯示信息驗證配置的效果。

表1-1 顯示User Profile

操作	命令
顯示User Profile的配置信息和在線用戶信息	display user-profile [ name profile-name ]

1.5 User Profile典型配置舉例

1.5.1 使用RADIUS服務器進行MAC地址認證的User Profile典型配置舉例

1. 組網需求

· AC和RADIUS服務器通過交換機建立連接。AC的IP地址為10.18.1.1，與AC相連的RADIUS服務器的IP地址為10.18.1.88。

· 要求使用MAC認證方式進行用戶身份認證。

· 要求MAC地址認證用戶在指定的AP上接入無線網絡。

2. 組網圖

圖1-1 使用RADIUS服務器進行MAC地址認證典型配置組網圖

3. 配置步驟

確保RADIUS服務器與設備路由可達，完成服務器的配置，並成功添加了接入用戶賬戶，用戶名為123，密碼為aaa_maca。

(1) 配置RADIUS方案

# 配置Radius方案，名稱為imcc，認證服務器的IP地址為10.18.1.88，端口號為1812，配置計費服務器的IP地址為10.18.1.88，端口號為1813，認證密鑰為明文123456789Test&!，計費密鑰為明文123456789Test&!，用戶名格式為without-domain。

<AC> system-view

[AC] radius scheme imcc

[AC-radius-imcc] primary authentication 10.18.1.88 1812

[AC-radius-imcc] primary accounting 10.18.1.88 1813

[AC-radius-imcc] key authentication simple 123456789Test&!

[AC-radius-imcc] key accounting simple 123456789Test&!

[AC-radius-imcc] user-name-format without-domain

[AC-radius-imcc] quit

(2) 配置ISP域的AAA方法

# 配置名稱為imc的ISP域，並將認證、授權和計費的方式配置為使用Radius方案imcc。

[AC] domain imc

[AC-isp-imc] authentication lan-access radius-scheme imcc