- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
31-H3C無線控製器WAPI標準證書認證配置舉例
本章節下載： 31-H3C無線控製器WAPI標準證書認證配置舉例 (321.49 KB)
H3C無線控製器WAPI標準證書認證配置舉例
Copyright © 2023 bobty下载软件 版權所有，保留一切權利。
非經本公司書麵許可，任何單位和個人不得擅自摘抄、複製本文檔內容的部分或全部，並不得以任何形式傳播。
除bobty下载软件 的商標外，本手冊中出現的其它公司的商標、產品標識及商品名稱，由各自權利人擁有。
本文檔中的信息可能變動，恕不另行通知。
目 錄
本文檔介紹AP與AC間WAPI標準證書認證的配置舉例。
本文檔適用於使用Comware軟件版本的無線控製器和接入點產品，不嚴格與具體軟硬件版本對應，如果使用過程中與產品實際情況有差異，請參考相關產品手冊，或以設備實際情況為準。
本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。
本文檔假設您已了解DHCP、WLAN接入和WAPI相關特性。
如圖1所示，集中式轉發架構下，AP通過Switch與AC建立連接，Client通過AP接入網絡，具體要求如下：
· Switch作為DHCP服務器為AP和Client分配IP地址。
· CA證書、AC本地證書和AS證書均已保存至AC；單播密鑰和組播密鑰的更新時間均為20000秒，關閉BK更新功能。
圖1 WAPI標準證書認證方式配置舉例組網圖
· 配置Switch作為DHCP服務器為AP和Client分配IP地址。
· 在Switch上開啟PoE功能，為AP設備供電。
· 在AC上配置無線服務和WAPI采用標準證書認證方式。
· 配置AP的序列號時請確保該序列號與AP唯一對應。
· 配置Switch和AP相連的接口為Access口，禁止VLAN 1報文通過，以防止VLAN 1內報文過多。
確保AS/CA server和AC網絡互通。
(1) 配置AC的接口
# 創建VLAN 100及其對應的VLAN接口，並為該接口配置IP地址。AP將獲取該IP地址與AC建立CAPWAP隧道。
[AC] vlan 100
[AC-vlan100] quit
[AC] interface vlan-interface 100
[AC-Vlan-interface100] ip address 192.168.100.10 24
[AC-Vlan-interface100] quit
# 創建VLAN 200及其對應的VLAN接口，並為該接口配置IP地址。Client使用該VLAN接入無線網絡。
[AC] vlan 200
[AC-vlan200] quit
# 配置AC和Switch相連的接口GigabitEthernet1/0/1為Trunk類型，禁止VLAN 1報文通過，允許VLAN 100和VLAN 200通過。
[AC] interface gigabitethernet 1/0/1
[AC-GigabitEthernet1/0/1] port link-type trunk
[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1
[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[AC-GigabitEthernet1/0/1] quit
(2) 配置無線服務
# 創建PKI域pki1，在該域中禁止CRL檢查（對導入的證書不進行是否吊銷檢查，即默認此方式下用戶證書有效）。
[AC] pki domain pki1
[AC-pki-domain-pki1] undo crl check enable
[AC-pki-domain-pki1] quit
# 分別導入證書文件ca.cer、ap.cer和as.cer。
[AC] pki import domain pki1 pem ca filename ca.cer
[AC] pki import domain pki1 pem local filename ap.cer
[AC] pki import domain pki1 pem peer filename as.cer
# 創建無線服務模板1，並進入無線服務模板視圖。
[AC] wlan service-template 1
# 配置SSID為wapi。
[AC-wlan-st-1] ssid wapi
# 開啟WAPI認證功能。
[AC-wlan-st-1] wapi enable
# 配置WAPI采用證書認證方式。
[AC-wlan-st-1] wapi authentication-method certificate
[AC-wlan-st-1] wapi authentication-server ip 192.168.100.3
[AC-wlan-st-1] wapi certificate domain pki1 serial 29
[AC-wlan-st-1] undo wapi bk-rekey enable
[AC-wlan-st-1] wapi msk-rekey method time-based 20000
[AC-wlan-st-1] wapi usk lifetime 20000
[AC-wlan-st-1] service-template enable
# 配置客戶端數據報文轉發位置為AC。（如果客戶端數據報文的缺省轉發位置與本配置相同，請跳過此步驟）
[AC-wlan-st-1] client forwarding-location ac
# 使能服務模板。
[AC-wlan-st-1] service-template enable
[AC-wlan-st-1] quit
(3) 配置AP
在大規模組網時，推薦在AP組內進行配置。
# 創建手工AP，名稱為officeap，型號名稱為WA6320。
[AC] wlan ap officeap model WA6320
# 設置AP的序列號為219801A28N819CE0002T。
[AC-wlan-ap-officeap] serial-id 219801A28N819CE0002T
[AC-wlan-ap-officeap] quit
# 創建AP組group1，並配置AP名稱入組規則。
[AC] wlan ap-group group1
[AC-wlan-ap-group-group1] ap officeap
# 將無線服務模板1綁定到AP組group1下的Radio 1上，並指定客戶端上線的VLAN為VLAN 200。
[AC-wlan-ap-group-group1] ap-model WA6320
[AC-wlan-ap-group-group1-ap-model-WA6320] radio 1
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] service-template 1 vlan 200
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] radio enable
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] quit
[AC-wlan-ap-group-group1-ap-model-WA6320] quit
[AC-wlan-ap-group-group1] quit
(1) 配置Switch的接口
# 創建VLAN 100和VLAN 200及其對應接口，並為該接口配置IP地址，其中VLAN 100用於轉發AC和AP間CAPWAP隧道內的流量，VLAN 200用於轉發Client無線報文。
<Switch> system-view
[Switch] vlan 100
[Switch-vlan100] quit
[Switch] interface vlan-interface 100
[Switch-Vlan-interface100] ip address 192.168.100.50 24
[Switch-Vlan-interface100] quit
[Switch] vlan 200
[Switch-vlan200] quit
[Switch] interface vlan-interface 200
[Switch-Vlan-interface200] ip address 192.168.200.50 24
[Switch-Vlan-interface200] quit
# 配置Switch和AC相連的接口GigabitEthernet1/0/1為Trunk類型，禁止VLAN 1報文通過，允許VLAN 100和VLAN 200 通過。
[Switch] interface gigabitEthernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type trunk
[Switch-GigabitEthernet1/0/1] undo port trunk permit vlan 1
[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[Switch-GigabitEthernet1/0/1] quit
# 配置Switch和AP相連的接口GigabitEthernet1/0/2為Access類型，允許VLAN 100通過，並開啟PoE遠程供電功能。
[Switch] interfac gigabitEthernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access
[Switch-GigabitEthernet1/0/2] port access vlan 100
[Switch-GigabitEthernet1/0/2] poe enable
[Switch-GigabitEthernet1/0/2] quit
(2) 配置DHCP服務
# 開啟DHCP功能。
[Switch] dhcp enable
# 創建名為vlan100的DHCP地址池，為AP分配IP地址，配置地址池動態分配的網段為192.168.100.0/24，地址池中不參與自動分配的IP地址為192.168.100.10，網關地址為192.168.100.50。
[Switch] dhcp server ip-pool vlan100
[Switch-dhcp-pool-vlan100] network 192.168.100.0 mask 255.255.255.0
[Switch-dhcp-pool-vlan100] forbidden-ip 192.168.100.10
[Switch-dhcp-pool-vlan100] gateway-list 192.168.100.50
[Switch-dhcp-pool-vlan100] quit
# 創建名為vlan200的DHCP地址池，為Client分配IP地址，配置地址池動態分配的網段為192.168.200.0/24，為Client分配的DNS服務器地址為網關地址（實際使用過程中請根據實際網絡規劃配置無線客戶端的DNS服務器地址），網關地址為192.168.200.50。
[Switch] dhcp server ip-pool vlan200
[Switch-dhcp-pool-vlan200] network 192.168.200.0 mask 255.255.255.0
[Switch-dhcp-pool-vlan200] gateway-list 192.168.200.50
[Switch-dhcp-pool-vlan200] dns-list 192.168.200.50
[Switch-dhcp-pool-vlan200] quit
通過使用display wapi user命令可以查看接口上WAPI用戶的信息。例如：
# 查看AC所有接口上WAPI用戶的信息。
Total number of users: 1
AP name : officeap
Radio ID : 1
SSID : wapi
BSSID : 487a-da52-d4f0
MAC address : 000b-c002-5e39
VLAN : 200
Authentication method : Certificate
Current state : Online
Authentication state : Authenticated
Unicast key negotiation state : Established
Multicast key negotiation state : Established
Authorization state : Idle
Accounting state : Idle
Uptime : 00:02:26
· AC
#
vlan 100
#
vlan 200
#
interface Vlan-interface100
ip address 192.168.100.10 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-mode bridge
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 100 200
#
pki domain pki1
undo crl check enable
#
pki import domain pki1 pem ca filename ca.cer
pki import domain pki1 pem local filename ap.cer
pki import domain pki1 pem peer filename as.cer
#
wlan service-template 1
ssid wapi
wapi enable
wapi authentication-method certificate
wapi authentication-server ip 192.168.100.3
wapi certificate domain pki1 serial 29
undo wapi bk-rekey enable
wapi msk-rekey method time-based 20000
wapi usk lifetime 20000
service-template enable
client forwarding-location ac
service-template enable
#
wlan ap officeap model WA6320
serial-id 219801A28N819CE0001T
#
wlan ap-group group1
ap officeap
ap-model WA6320
radio 1
service-template 1 vlan 200
radio enable
#
· Switch：
#
dhcp enable
#
vlan 100
#
vlan 200
#
dhcp server ip-pool vlan100
gateway-list 192.168.100.50
network 192.168.100.0 mask 255.255.255.0
forbidden-ip 192.168.100.0
#
dhcp server ip-pool vlan200
gateway-list 192.168.200.50
network 192.168.200.0 mask 255.255.255.0
dns-list 192.168.200.50
#
interface Vlan-interface100
ip address 192.168.100.50 255.255.255.0
#
interface Vlan-interface200
ip address 192.168.200.50 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 100 200
#
interface GigabitEthernet1/0/2
port link-type access
port access vlan 100
poe enable
#
· 《H3C無線控製器產品 配置指導》中的“WAPI配置指導”。
· 《H3C無線控製器產品 命令參考》中的“WAPI命令參考”。
· 《H3C無線控製器產品 配置指導》中的“WLAN接入配置指導”。
· 《H3C無線控製器產品 命令參考》中的“WLAN接入命令參考”。
· 《H3C無線控製器產品 配置指導》中的“AP管理配置指導”。
· 《H3C無線控製器產品 命令參考》中的“AP管理命令參考”。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
