H3C無線控製器與LDAP服務器配合進行本地Portal認證典型配置舉例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目  錄

1 簡介

2 配置前提

3 配置舉例

3.1 組網需求

3.2 配置注意事項

3.3 配置步驟

3.3.1 配置AC

3.3.2 Switch的配置

3.3.3 配置LDAP服務器

3.4 驗證配置

3.5 配置文件

4 相關資料

 

1  簡介

本文檔介紹在無線控製器上配置本地Portal服務器，通過LDAP協議將AC設備解析出的用戶名和密碼傳到LDAP服務器上的對無線用戶進行認證的典型配置舉例。

2  配置前提

本文檔適用於使用Comware軟件版本的無線控製器和接入點產品，不嚴格與具體軟、硬件版本對應，如果使用過程中與產品實際情況有差異，請參考相關產品手冊，或以設備實際情況為準。

本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。

本文檔假設您已了解AAA、Portal、WLAN特性。

3  配置舉例

3.1  組網需求

如圖1所示組網，AP和Client通過DHCPv6服務器獲取IPv6地址，要求：配置AC對無線用戶進行本地Portal認證，並采用LDAP服務器對用戶進行遠程AAA認證。

圖1 本地Portal服務器與LDAP服務器組合認證組網圖

 

3.2  配置注意事項

·     配置AP的序列號時請確保該序列號與AP唯一對應。

·     如果本地Portal Web服務器提供的缺省認證頁麵文件需要更新，需要undo default-logon-page後重新配置，否則新頁麵不會生效。

·     配置路由，保證啟動Portal之前各設備之間的路由可達。

·     請提前編輯好認證頁麵，保存為abc.zip，並上傳到AC存儲介質的根目錄。

3.3  配置步驟

3.3.1  配置AC

(1)     配置AC接口

# 創建VLAN 100及其對應的VLAN接口，並為該接口配置IPv6地址。AP將通過該VLAN與AC建立CAPWAP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ipv6 address 2001::1 64

# 取消對RA消息發布的抑製。

[AC-Vlan-interface100] undo ipv6 nd ra halt

# 設置被管理地址配置標誌位為1。

[AC-Vlan-interface100] ipv6 nd autoconfig managed-address-flag

# 設置其他配置標誌位為1。

[AC-Vlan-interface100] ipv6 nd autoconfig other-flag

[AC-Vlan-interface100] quit

# 創建VLAN 200及其對應的VLAN接口，並為該接口配置IPv6地址。Client將使用該VLAN接入無線網絡。

[AC] vlan 200

[AC-vlan200] quit

[AC] interface vlan-interface 200

[AC-Vlan-interface200] ipv6 address 2004::1 64

# 取消對RA消息發布的抑製。

[AC-Vlan-interface200] undo ipv6 nd ra halt

# 設置被管理地址配置標誌位為1。

[AC-Vlan-interface200] ipv6 nd autoconfig managed-address-flag

# 設置其他配置標誌位為1。

[AC-Vlan-interface200] ipv6 nd autoconfig other-flag

[AC-Vlan-interface200] quit

# 配置AC與Switch相連的GigabitEthernet1/0/1接口的屬性為Trunk，允許VLAN 100、VLAN 200通過。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[AC-GigabitEthernet1/0/1] quit

(2)     配置LDAP方案

 # 創建LDAP服務器ldap，並進入LDAP服務器視圖。

[AC] ldap server ldap

# 配置具有管理員權限的用戶DN。

[AC-ldap-server-ldap] login-dn cn=administrator,cn=users,dc=myias,dc=com

# 配置查詢用戶的起始目錄。

[AC-ldap-server-ldap] search-base-dn dc=myias,dc=com

# 配置LDAP認證服務器的IP地址。

[AC-ldap-server-ldap] ipv6 2003::2

# 配置具有管理員權限的用戶密碼。

[AC-ldap-server-ldap] login-password simple 123456

[AC-ldap-server-ldap] quit

# 創建LDAP方案ldap，並進入LDAP方案視圖。

[AC] ldap scheme ldap

# 配置LDAP認證服務器。

[AC-ldap-ldap] authentication-server ldap

[AC-ldap-ldap] quit

# 創建ISP域ldap，並進入ISP域視圖。

[AC] domain ldap

# 為Portal用戶配置AAA認證方法為LDAP認證、不授權、不計費。

[AC-isp-ldap]authentication portal ldap-scheme ldap

[AC-isp-ldap] authorization portal none

[AC-isp-ldap] accounting portal none

# 指定ISP域ldap下的用戶閑置切斷時間為15分鍾，閑置切斷時間內產生的流量為1024字節。

[AC-isp-ldap] authorization-attribute idle-cut 15 1024

[AC-isp-ldap] quit

(3)     配置Portal認證

# 配置Portal Web服務器的URL為http://[2004::1]/portal。

[AC] portal web-server newpt

[AC-portal-websvr-newpt] url http://[2004::1]/portal

[AC-portal-websvr-newpt] quit

# 配置兩條基於目的的Portal免認證規則，放行訪問DNS服務器的流量。

[AC] portal free-rule 1 destination ip any udp 53

[AC] portal free-rule 2 destination ip any tcp 53

# 開啟無線Portal客戶端合法性檢查功能。

[AC] portal host-check enable

# 創建本地Portal Web 服務器，進入本地Portal Web服務器視圖，並指定使用HTTP協議和客戶端交互認證信息。

[AC] portal local-web-server http

# 配置本地Portal Web服務器提供的缺省認證頁麵文件為abc.zip（設備的存儲介質的根目錄下必須已存在該認證頁麵文件，否則功能不生效）。

[AC–portal-local-websvr-http] default-logon-page abc.zip

[AC–portal-local-websvr-http] quit

(4)     配置無線服務

# 創建無線服務模板st1，並進入無線服務模板視圖。

[AC] wlan service-template st1

# 配置SSID為service。

[AC-wlan-st-st1] ssid service

# 配置無線服務模板VLAN為200。

[AC-wlan-st-st1] vlan 200

# 使能直接方式的Portal認證。

[AC-wlan-st-st1] portal ipv6 enable method direct

# 配置接入的Portal用戶使用認證域為ldap。

[AC-wlan-st-st1] portal ipv6 domain ldap

# 在服務模板上引用名稱為newpt的Portal Web服務器作為用戶認證時使用的Web服務器。

[AC-wlan-st-st1] portal ipv6 apply web-server newpt

# 開啟Portal支持雙協議棧功能。

[AC-wlan-st-st1] portal dual-stack enable

# 配置客戶端數據報文轉發位置為AC。（如果客戶端數據報文的缺省轉發位置與本配置相同，請跳過此步驟）

[AC–wlan-st-st1] client forwarding-location ac

# 配置身份認證與密鑰管理模式為PSK模式，配置PSK密鑰為明文字符串12345678。

[AC-wlan-st-st1] akm mode psk

[AC-wlan-st-st1] preshared-key pass-phrase simple 12345678

# 配置加密套件為CCMP，安全信息元素為RSN。

[AC-wlan-st-st1] cipher-suite ccmp

[AC-wlan-st-st1] security-ie rsn

# 使能無線服務模板。

[AC-wlan-st-st1] service-template enable

[AC-wlan-st-st1] quit

(5)     配置AP

 

# 創建AP，配置AP名稱為ap1，型號名稱選擇WA6320，並配置其序列號。

[AC] wlan ap ap1 model WA6320

[AC-wlan-ap-ap1] serial-id 219801A28N819CE0002T

# 創建AP組group1，設置AP名稱入組規則

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] ap ap1

# 進入AP組的Radio 2視圖，並將無線服務模板綁定到Radio 2上。

[AC-wlan-ap-group-group1] ap-model WA6320

[AC-wlan-ap-group-group1-ap-model-WA6320] radio 2

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] service-template st1

# 開啟Radio 2的射頻功能。

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] radio enable

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] return

3.3.2  Switch的配置

# 創建VLAN 100，用於轉發AC和AP間CAPWAP隧道內的流量。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

# 創建VLAN 200，用於轉發Client無線報文。

[Switch] vlan 200

[Switch-vlan200] quit

# 創建VLAN 2，用於連接LDAP服務器。

[Switch] vlan 2

[Switch-vlan2] quit

# 配置Switch與LDAP相連的接口加入VLAN 2（此處略）

# 配置VLAN 2接口的IP地址。

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ipv6 address 2003::1/64

[Switch-Vlan-interface2] quit

# 配置Switch與AC相連的GigabitEthernet1/0/1接口的屬性為Trunk，允許VLAN 100和VLAN 200通過。

[Switch] interface gigabitethernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch與AP相連的GigabitEthernet1/0/2接口屬性為Access，並允許VLAN 100通過。

[Switch] interface gigabitethernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

3.3.3  配置LDAP服務器

 

(1)     添加用戶aa

# 在LDAP服務器上，選擇[開始/管理工具]中的[Active Directory用戶和計算機]，打開Active Directory用戶管理界麵。

圖2 打開Active Directory用戶管理界麵

 

# 在Active Directory用戶管理界麵的左側導航樹中，點擊myias.com節點下的<Users>按鈕。

圖3 添加用戶

 

# 右鍵單擊“Users”，選擇[新建/用戶]，打開“新建對象-用戶”對話框。

圖4 新建用戶

 

# 在對話框中輸入用戶信息和用戶登錄名aa，並單擊<下一步>按鈕。

圖5 新建用戶aa

 

# 在彈出的對話框內輸入密碼，並確認密碼，然後單擊<下一步>按鈕。

圖6 設置用戶密碼

 

# 完成新建用戶。

圖7 完成新建用戶

 

(2)     將用戶aa加入Users組

# 在Active Directory用戶管理界麵的左側導航樹中，單擊myias.com節點下的“Users”按鈕。

圖8 將用戶加入組

 

# 在右側的Users信息框中右鍵單擊用戶aa，選擇“屬性”項。

圖9 選擇用戶

 

# 選擇“隸屬於”頁簽，並單擊<添加(D)...>按鈕。

圖10 修改用戶屬性

 

# 在彈出的[選擇組]對話框中的可編輯區域框中輸入對象名稱“Users”，單擊<確定>，完成用戶aa添加到Users組。

圖11 添加用戶aa到用戶組Users

 

# 完成用戶aa的添加之後，還需要配置管理員用戶administrator的密碼。

·     在右側的Users信息框中右鍵單擊管理員用戶administrator，選擇“設置密碼(S)...”項；

·     在彈出的密碼添加對話框中設置管理員密碼。

3.4  驗證配置

# 打開無線客戶端上的IE瀏覽器，輸入任意的IPv6地址，按回車，網頁會自動跳轉到Portal認證頁麵，輸入用戶名：aa，密碼:123456，單擊logon按鈕，認證成功。

# 用戶通過認證後，在AC上使用命令display portal user all可以查看到有Portal用戶在線。

<AC> display portal user all

 Total portal users: 1

Username: aa

  AP name: ap1

  Radio ID: 2

  SSID: service

  Portal server: N/A

 State:Online

  VPN instance: N/A

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 2477-0341-f118   2004::2           200 WLAN-BSS1/0/19

  Authorization information:

    DHCP IP pool: N/A

    User profile: N/A

    Session group profile: N/A

    ACL number: N/A

    Inbound CAR: N/A

    Outbound CAR: N/A

3.5  配置文件

·     AC：

#

vlan 100

#

vlan 200

#

wlan service-template st1

 ssid service

client forwarding-location ac

 akm mode psk

 preshared-key pass-phrase simple 12345678

 cipher-suite ccmp

 security-ie rsn

 vlan 200

 portal ipv6 enable method direct

 portal ipv6 domain ldap

 portal ipv6 apply web-server newpt

 portal dual-stack enable

 service-template enable

#

interface Vlan-interface100

 ipv6 address 2001::1/64

 ipv6 nd autoconfig managed-address-flag

 ipv6 nd autoconfig other-flag

 undo ipv6 nd ra halt

#

interface Vlan-interface200

 ipv6 address 2004::1/64

 ipv6 nd autoconfig managed-address-flag

 ipv6 nd autoconfig other-flag

 undo ipv6 nd ra halt

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 200

#

ldap server ldap

 login-dn cn=administrator,cn=users,dc=myias,dc=com

 search-base-dn dc=myias,dc=com

 ipv6 2003::2

 login-password cipher $c$3$CEz2vKCnA2/51D8rFc/+nTNtOx8Gan+81Q==

#

ldap scheme ldap

 authentication-server ldap

#

domain ldap

 authorization-attribute idle-cut 15 1024

 authentication portal ldap-scheme ldap

 authorization portal none

 accounting portal none

#

portal host-check enable

portal free-rule 1 destination ip any udp 53

portal free-rule 2 destination ip any tcp 53

#

portal web-server newpt

 url http://[2004::1]/portal

#

portal local-web-server http

 default-logon-page abc.zip

#

wlan ap ap1 model WA6320

 serial-id 219801A28N819CE0002T

#

wlan ap-group group1

ap ap1

ap-model WA6320

 radio 2

  radio enable

  service-template st1

#

·     Switch：

#

vlan 100

#

vlan 200

#

vlan 2

#

interface Vlan-interface2

 ipv6 address 2003::1/64

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 100 200

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 100

 poe enable

#

4  相關資料

·     《H3C 無線控製器產品 配置指導》中的“用戶接入與認證配置指導”。

·     《H3C 無線控製器產品 命令參考》中的“用戶接入與認證命令參考”。

·     《H3C 無線控製器產品 配置指導》中的“WLAN接入配置指導”。

·     《H3C 無線控製器產品 命令參考》中的“WLAN接入命令參考”。