H3C無線控製器802.1X認證通過iMC服務器下發ACL典型配置舉例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目  錄

1 簡介

2 配置前提

3 配置舉例

3.1 組網需求

3.2 配置注意事項

3.3 配置步驟

3.3.1 配置AC

3.3.2 配置Switch

3.4 RADIUS服務器的配置

3.5 驗證配置

3.6 配置文件

4 相關資料

 

1  簡介

本文檔介紹無線用戶802.1X認證通過iMC服務器下發ACL的典型配置案例。

2  配置前提

本文檔適用於使用Comware軟件版本的無線控製器和接入點產品，不嚴格與具體硬件版本對應，如果使用過程中與產品實際情況有差異，請參考相關產品手冊，或以設備實際情況為準。

本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。

本文檔假設您已了解WLAN用戶接入認證相關特性。

3  配置舉例

3.1  組網需求

如圖1所示，AP通過交換機與AC相連，無線802.1X用戶通過AP接入無線網絡。具體要求如下：

·     Client通過802.1X認證接入無線網絡。

·     通過RADIUS服務器下發授權ACL，使Client不能訪問TFTP服務器。

圖1 802.1X用戶接入組網圖

設備	接口	IP地址	設備	接口	IP地址
AC	Vlan-int100	138.100.1.101/16	Switch	Vlan-int100	138.100.1.100/16
	Vlan-int200	138.200.1.101/16		Vlan-int200	138.200.1.100/16
RADIUS server		8.1.1.50/16		Vlan-int8	8.1.1.100/16
TFTP server		8.1.1.5/16

 

3.2  配置注意事項

配置AP的序列號時請確保該序列號與AP唯一對應。

3.3  配置步驟

3.3.1  配置AC

(1)     配置AC的接口

# 創建VLAN 100及其對應的VLAN接口，並為該接口配置IP地址。AC將使用該接口的IP地址與AP建立CAPWAP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 138.100.1.101 16

[AC-Vlan-interface100] quit

# 創建VLAN 200作為Client接入的業務VLAN，並配置VLAN 200的接口IP地址，Client使用該VLAN接入無線網絡。

[AC] vlan 200

[AC-vlan200] quit

[AC] interface vlan-interface 200

[AC-Vlan-interface200] ip address 138.200.1.101 16

[AC-Vlan-interface200] quit

# 配置AC和Switch相連的接口GigabitEthernet1/0/1為Trunk類型，禁止VLAN 1報文通過，允許VLAN 100和VLAN 200通過。

[AC] interface gigabitethernet1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[AC-GigabitEthernet1/0/1] quit

(2)     配置802.1X認證

# 全局使能端口安全。

[AC] port-security enable

# 選擇802.1X認證方式為EAP。

[AC] dot1x authentication-method eap

# 創建RADIUS方案並進入RADIUS方案視圖。

[AC] radius scheme office

# 設置主認證RADIUS服務器的IP地址8.1.1.50。

[AC-radius-office] primary authentication 8.1.1.50

# 設置主計費RADIUS服務器的IP地址8.1.1.50。

[AC-radius-office] primary accounting 8.1.1.50

# 設置係統與認證RADIUS服務器交互報文時的共享密鑰為12345678。

[AC-radius-office] key authentication 12345678

# 設置係統與計費RADIUS服務器交互報文時的共享密鑰為12345678。

[AC-radius-office] key accounting 12345678

# 設置設備發送RADIUS報文時使用的源IP地址138.100.1.101。

[AC-radius-office] nas-ip 138.100.1.101

[AC-radius-office] quit

# 創建ISP域並進入ISP域視圖。

[AC] domain office

# 為lan-access用戶配置認證方案為RADIUS方案，方案名為office。

[AC-isp-office] authentication lan-access radius-scheme office

# 為lan-access用戶配置授權方案為RADIUS方案，方案名為office。

[AC-isp-office] authorization lan-access radius-scheme office

# 為lan-access用戶配置計費為none，不計費。

[AC-isp-office] accounting lan-access none

[AC-isp-office] quit

(3)     配置無線服務

# 創建無線服務模板1。

[AC] wlan service-template 1

# 配置無線服務的SSID為service。

[AC-wlan-st-1] ssid service

# 配置無線服務的VLAN為200。

[AC-wlan-st-1] vlan 200

# 配置身份認證與密鑰管理模式為dot1x模式，並配置dot1x認證域。

[AC-wlan-st-1] akm mode dot1x

[AC-wlan-st-1] client-security authentication-mode dot1x

[AC-wlan-st-1] dot1x domain office

# 配置CCMP為加密套件，配置RSN為安全信息元素。

[AC-wlan-st-1] cipher-suite ccmp

[AC-wlan-st-1] security-ie rsn

# 配置客戶端數據報文轉發位置為AC。（如果客戶端數據報文的缺省轉發位置與本配置相同，請跳過此步驟）

[AC-wlan-st-1] client forwarding-location ac

# 使能無線服務模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(4)     配置AP

 

# 創建AP，名稱為ap1，型號名稱為WA6320，設置AP序列號為219801A28N819CE0002T。

[AC] wlan ap ap1 model WA6320

[AC-wlan-ap-ap1] serial-id 219801A28N819CE0002T

[AC-wlan-ap-ap1] quit

# 創建AP組group1，並配置AP名稱入組規則。

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] ap ap1

# 將無線服務模板1綁定到AP組group1下的Radio 1上。

[AC-wlan-ap-group-group1] ap-model WA6320

[AC-wlan-ap-group-group1-ap-model-WA6320] radio 1

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] service-template 1

# 開啟Radio 1的射頻功能。

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] radio enable

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] quit

[AC-wlan-ap-group-group1-ap-model-WA6320] quit

[AC-wlan-ap-group-group1] quit

(5)     創建ACL並設置包過濾規則

# 配置ACL規則3001，禁止Client訪問8.1.1.5。

[AC] acl advanced 3001

[AC-acl-ipv4-adv-3001] rule 1 deny ip destination 8.1.1.5 0

[AC-acl-ipv4-adv-3001] quit

(6)     AC上配置靜態路由

# 配置AC的默認路由，下一跳地址為138.100.1.100。

[AC] ip route-static 0.0.0.0 0.0.0.0 138.100.1.100

3.3.2  配置Switch

(1)     配置Switch接口

# 創建VLAN 100，並為該接口配置IP地址，用於和AC進行通信。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] interface vlan-interface 100

[Switch-Vlan-interface100] ip address 138.100.1.100 16

[Switch-Vlan-interface100] quit

# 創建VLAN 200作為Client接入的業務VLAN，並配置VLAN 200的接口IP地址，用於和Client進行通信。

[Switch] vlan 200

[Switch-vlan200] quit

[Switch] interface vlan-interface 200

[Switch-Vlan-interface200] ip address 138.200.1.100 16

[Switch-Vlan-interface200] quit

# 創建VLAN 8，並配置VLAN 8的接口IP地址，用於和RADIUS服務器通信。

[Switch] vlan 8

[Switch-vlan8] quit

[Switch] interface vlan-interface 8

[Switch-Vlan-interface8] ip address 8.1.1.100 16

[Switch-Vlan-interface8] quit

# 配置Switch與AC連接的物理接口類型為Trunk，允許所有VLAN 通過。

[Switch] interface GigabitEthernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan all

[Switch-GigabitEthernet1/0/1] quit

(2)     配置DHCP服務器

# 開啟DHCP功能

[Switch] dhcp enable

# 創建名為vlan100的DHCP地址池，配置地址池動態分配的網段為138.100.0.0/16，網關地址為138.100.1.100，為AP分配IP地址。

[Switch] dhcp server ip-pool vlan100

[Switch-dhcp-pool-vlan100] network 138.100.0.0 mask 255.255.0.0

[Switch-dhcp-pool-vlan100] gateway-list 138.100.1.100

[Switch-dhcp-pool-vlan100] quit

# 創建名為vlan200的DHCP地址池，配置地址池動態分配的網段為138.200.0.0/16，為Client分配的DNS服務器地址為網關地址（實際使用過程中請根據實際網絡規劃配置無線客戶端的DNS服務器地址），網關地址為138.200.1.100，為Client分配IP地址。

[Switch] dhcp server ip-pool vlan200

[Switch-dhcp-pool-vlan100] network 138.200.0.0 mask 255.255.0.0

[Switch-dhcp-pool-vlan100] gateway-list 138.200.1.100

[Switch-dhcp-pool-vlan100] dns-list 138.200.1.100

[Switch-dhcp-pool-vlan100] quit

3.4  RADIUS服務器的配置

 

# 增加接入設備。

登錄進入iMC管理平台，選擇“用戶”頁簽，單擊導航樹中的[接入策略管理/接入設備管理/接入設備配置]菜單項，進入接入設備配置頁麵，在該頁麵中單擊<增加>按鈕，進入增加接入設備頁麵。

·     設置與AC交互報文時使用的認證、計費共享密鑰為“12345678”；

·     選擇手工增加接入設備，添加IP地址為138.100.1.101的接入設備；

·     其它參數采用缺省值，並單擊<確定>按鈕完成操作。

圖2 增加接入設備

 

# 增加接入策略。

選擇“用戶”頁簽，單擊導航樹中的[接入策略管理/接入策略管理]菜單項，進入接入策略配置頁麵，在該頁麵中單擊<增加>按鈕，進入增加接入策略頁麵。

·     接入策略名輸入“wjh1x”；

·     證書認證選擇所需要認證的類型；

·     勾選上下發授權ACL，並輸入與設備上配置一致的ACL名稱

·     其它參數采用缺省值，並單擊<確定>按鈕完成操作。

圖3 增加接入策略

 

# 增加接入服務配置。

選擇“用戶”頁簽，單擊導航樹中的[接入策略管理/接入服務管理]菜單項，進入接入服務配置頁麵，在該頁麵中單擊<增加>按鈕，進入增加接入服務頁麵。

·     服務名輸入“wjh1x”；

·     缺省接入策略選擇上一步配置的 “wjh1x”；

·     其它參數采用缺省值，並單擊<確定>按鈕完成操作。

圖4 增加接入服務

 

# 增加接入用戶。

選擇“用戶”頁簽，單擊導航樹中的[接入用戶管理/接入用戶]菜單項，進入接入用戶列表頁麵，在該頁麵中單擊<增加>按鈕，進入增加接入用戶頁麵。

·     在增加接入用戶頁麵，單擊<增加用戶>按鈕彈出增加用戶窗口；

·     輸入用戶名“wjh1x”，以及證件號碼“12345678”；

·     單擊<檢查是否可用>按鈕，戶姓名和證件號碼可用，單擊<確定>按鈕完成操作。

·     輸入賬號名“wjh1x”及用戶密碼“12345678”；

·     在接入服務處選擇“wjh1x”，最後單擊<確定>按鈕完成操作。

圖5 增加接入用戶

 

3.5  驗證配置

(1)     操作Client上線，輸入RADIUS服務器上設置的用戶名和密碼完成接入，在設備AC上執行display wlan client verbose命令，可以查看Client信息。

<AC> display wlan client verbose

 

Total number of clients: 1

MAC address                       : 0015-00ba-0428                            

 IPv4 address                      : 138.200.0.1                             

 IPv6 address                      : N/A                                       

 Username                          : wjh1x                                    

 AID                               : 1                                         

 AP ID                             : 1                                        

 AP name                           : ap1                                       

 Radio ID                          : 1                                         

 SSID                              : service                            

 BSSID                             : 5866-ba71-3960                            

 VLAN ID                           : 200                                         

 Sleep count                       : 0                                         

 Wireless mode                     : 802.11ac                                  

 Channel bandwidth                 : 40MHz                                     

 SM power save                     : Disabled                                  

 Short GI for 20MHz                : Supported                                 

 Short GI for 40MHz                : Supported                                 

 STBC RX capability                : Supported                                 

 STBC TX capability                : Not supported                             

 LDPC RX capability                : Not supported                             

 Block Ack                         : N/A                                       

 Supported HT MCS set              : 0, 1, 2, 3, 4, 5, 6, 7,                   

                                     8, 9, 10, 11, 12, 13, 14,                 

                                     15                                        

 Supported rates                   : 6, 9, 12, 18, 24, 36,                      

                                     48, 54 Mbps                               

 QoS mode                          : WMM                                       

 Listen interval                   : 250                                        

 RSSI                              : 0                                         

 Rx/Tx rate                        : 0/0                                       

 Authentication method             : Open system                               

 Security mode                     : RSN                                       

 AKM mode                          : 802.1X                                    

 Cipher suite                      : CCMP                                      

 User authentication mode          : 802.1X                                     

 Authorization ACL ID              : 3001                                        

 Authorization user profile        : N/A                                       

 Roam status                       : N/A                                       

 Key derivation                    : SHA1                                      

 PMF status                        : N/A                                       

 Forwarding policy name            : N/A                                       

 Online time                       : 0days 0hours 0minutes 17seconds           

 FT status                         : Inactive 

(2)     Client成功上線後，從Client Ping 8.1.1.50是可以通的，但是Ping 8.1.1.5是不通的。

 

3.6  配置文件

·     AC

#

port-security enable

#

dot1x authentication-method eap

#

vlan 100

#

vlan 200

#

wlan service-template 1

 ssid service

client forwarding-location ac

 vlan 200

 akm mode dot1x

 cipher-suite ccmp

 security-ie rsn

client-security authentication-mode dot1x

 dot1x domain office

service-template enable

#

interface Vlan-interface100

 ip address 138.100.1.101 255.255.0.0

#

interface Vlan-interface200

 ip address 138.200.1.101 255.255.0.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 200

#

ip route-static 0.0.0.0 0.0.0.0 138.100.1.100

#

acl advanced 3001

 rule 1 deny ip destination 8.1.1.5 0

#

radius scheme office

primary authentication 8.1.1.50

 primary accounting 8.1.1.50

 key authentication simple $c$3$h7ouSYGGL5EgJZ6HpwIIgRdgiLKJCd6zZxE4

 key accounting simple $c$3$qf3E+i6hAgx/rpYxDApL0E0NSDWHZCZ3OI1g

 nas-ip 138.100.1.101

#

domain office

 authentication lan-access radius-scheme office

 authorization lan-access radius-scheme office

 accounting lan-access none

#

wlan ap-group group1

 ap ap1

 ap-model WA6320

  radio 1

   radio enable

   service-template 1

#

wlan ap ap1 model WA6320

 serial-id 219801A28N819CE0002T

#

·     Switch

#

vlan8

#

vlan 100

#

vlan 200

#

dhcp server ip-pool vlan100

network 138.100.0.0 mask 255.255.0.0

gateway-list 138.100.1.100

#

dhcp server ip-pool 200

network 138.200.0.0 mask 255.255.0.0

gateway-list 138.200.1.100

dns-list 138.200.1.100

#

interface Vlan-interface8

 ip address 8.1.1.100 255.255.0.0

#

interface Vlan-interface100

 ip address 138.100.1.100 255.255.0.0

#

interface Vlan-interface200

 ip address 138.200.1.100 255.255.0.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan all

#

dhcp enable

4  相關資料

·     《H3C無線控製器產品 配置指導》中的“用戶接入與認證配置指導”。

·     《H3C 無線控製器產品 命令參考》中的“用戶接入與認證命令參考”。