H3C無線控製器與LDAP服務器配合進行本地Portal認證典型配置舉例

1  簡介

本文檔介紹在無線控製器上配置本地Portal服務器，通過LDAP協議將AC設備解析出的用戶名和密碼傳到LDAP服務器上的對無線用戶進行認證的典型配置舉例。

2  配置前提

本文檔適用於使用Comware 軟件版本的無線控製器和接入點產品，不嚴格與具體軟、硬件版本對應，如果使用過程中與產品實際情況有差異，請參考相關產品手冊，或以設備實際情況為準。

本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。

本文檔假設您已了解AAA、Portal、WLAN特性。

3  配置舉例

3.1  組網需求

如圖1所示組網，AP和Client通過DHCP服務器獲取IP地址，要求：配置AC對無線用戶進行本地Portal認證，並采用LDAP服務器對用戶進行遠程AAA認證。

圖1 本地Portal服務器與LDAP服務器組合認證組網圖

3.2  配置注意事項

·     配置AP的序列號時請確保該序列號與AP唯一對應。

·     如果本地Portal Web服務器提供的缺省認證頁麵文件需要更新，需要undo default-logon-page後重新配置，否則新頁麵不會生效。

·     配置路由，保證啟動Portal之前各設備之間的路由可達。

·     請提前編輯好認證頁麵，保存為abc.zip，並上傳到AC存儲介質的根目錄

3.3  配置步驟

3.3.1  配置AC

(1)     配置AC接口

# 創建VLAN 100及其對應的VLAN接口，並為該接口配置IP地址。AP將獲取該IP地址與AC建立CAPWAP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 2.2.1.1 24

[AC-Vlan-interface100] quit

# 創建VLAN 200及其對應的VLAN接口，並為該接口配置IP地址。Client將使用該VLAN接入無線網絡。

[AC] vlan 200

[AC-vlan200] quit

[AC] interface vlan-interface 200

[AC-Vlan-interface200] ip address 2.2.2.1 24

[AC-Vlan-interface200] quit

# 配置AC與Switch相連的GigabitEthernet1/0/1接口的屬性為Trunk，允許VLAN 100、VLAN 200通過。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[AC-GigabitEthernet1/0/1] quit

(2)     配置LDAP方案

 # 創建LDAP服務器ldap，並進入LDAP服務器視圖。

[AC] ldap server ldap

# 配置具有管理員權限的用戶DN。

[AC-ldap-server-ldap] login-dn cn=administrator,cn=users,dc=myias,dc=com

# 配置查詢用戶的起始目錄。

[AC-ldap-server-ldap] search-base-dn dc=myias,dc=com

# 配置LDAP認證服務器的IP地址。

[AC-ldap-server-ldap] ip 192.168.0.112

# 配置具有管理員權限的用戶密碼。

[AC-ldap-server-ldap] login-password simple 123456

[AC-ldap-server-ldap] quit

# 創建LDAP方案ldap，並進入LDAP方案視圖。

[AC] ldap scheme ldap

# 配置LDAP認證服務器。

[AC-ldap-ldap] authentication-server ldap

[AC-ldap-ldap] quit

# 創建ISP域ldap，並進入ISP域視圖。

[AC] domain ldap

# 為Portal用戶配置AAA認證方法為LDAP認證、不授權、不計費。

[AC-isp-ldap]authentication portal ldap-scheme ldap

[AC-isp-ldap] authorization portal none

[AC-isp-ldap] accounting portal none

# 指定ISP域ldap下的用戶閑置切斷時間為15分鍾，閑置切斷時間內產生的流量為1024字節。

[AC-isp-ldap] authorization-attribute idle-cut 15 1024

[AC-isp-ldap] quit

(3)     配置Portal認證

# 配置Portal Web服務器的URL為http://2.2.2.1/portal。

[AC] portal web-server newpt

[AC-portal-websvr-newpt] url http://2.2.2.1/portal

[AC-portal-websvr-newpt] quit

# 創建本地Portal Web 服務器，進入本地Portal Web服務器視圖，並指定使用HTTP協議和客戶端交互認證信息。

[AC] portal local-web-server http

# 配置本地Portal Web服務器提供的缺省認證頁麵文件為abc.zip（設備的存儲介質的根目錄下必須已存在該認證頁麵文件，否則功能不生效）。

[AC–portal-local-websvr-http] default-logon-page abc.zip

[AC–portal-local-websvr-http] quit

# 配置兩條基於目的的Portal免認證規則，放行訪問DNS服務器的流量。

[AC] portal free-rule 1 destination ip any udp 53

[AC] portal free-rule 2 destination ip any tcp 53

# 開啟無線Portal客戶端合法性檢查功能。

[AC] portal host-check enable

(4)     配置無線服務

# 創建無線服務模板st1，並進入無線服務模板視圖。

[AC] wlan service-template st1

# 配置SSID為service。

[AC-wlan-st-st1] ssid service

# 配置無線服務模板VLAN為200。

[AC-wlan-st-st1] vlan 200

# 使能直接方式的Portal認證。

[AC-wlan-st-st1] portal enable method direct

# 配置接入的Portal用戶使用認證域為ldap。

[AC-wlan-st-st1] portal domain ldap

# 在服務模板上引用名稱為newpt的Portal Web服務器作為用戶認證時使用的Web服務器。

[AC-wlan-st-st1] portal apply web-server newpt

# 配置客戶端數據報文轉發位置為AC。（如果客戶端數據報文的缺省轉發位置與本配置相同，請跳過此步驟）

[AC–wlan-st-st1] client forwarding-location ac

# 配置身份認證與密鑰管理模式為PSK模式，配置PSK密鑰為明文字符串12345678。

[AC-wlan-st-st1] akm mode psk

[AC-wlan-st-st1] preshared-key pass-phrase simple 12345678

# 配置加密套件為CCMP，安全信息元素為RSN。

[AC-wlan-st-st1] cipher-suite ccmp

[AC-wlan-st-st1] security-ie rsn

# 使能無線服務模板。

[AC-wlan-st-st1] service-template enable

[AC-wlan-st-st1] quit

(5)     配置AP

# 創建AP，配置AP名稱為ap1，型號名稱選擇WA6320，並配置其序列號。

[AC] wlan ap ap1 model WA6320

[AC-wlan-ap-ap1] serial-id 219801A28N819CE0002T

# 創建AP組group1，設置AP名稱入組規則

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] ap ap1

# 進入AP組的Radio 2視圖，並將無線服務模板綁定到Radio 2上。

[AC-wlan-ap-group-group1] ap-model WA6320

[AC-wlan-ap-group-group1-ap-model-WA6320] radio 2

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] service-template st1

# 開啟Radio 2的射頻功能。

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] radio enable

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-2] return

3.3.2  Switch的配置

# 創建VLAN 100，用於轉發AC和AP間CAPWAP隧道內的流量。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

# 創建VLAN 200，用於轉發Client無線報文。

[Switch] vlan 200

[Switch-vlan200] quit

# 創建VLAN 2，用於連接LDAP服務器。

[Switch] vlan 2

[Switch-vlan2] quit

# 配置Switch與LDAP相連的接口加入VLAN 2（此處略）

# 配置VLAN 2接口的IP地址。

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.0.2 255.255.255.0

[Switch-Vlan-interface2] quit

# 配置Switch與AC相連的GigabitEthernet1/0/1接口的屬性為Trunk，允許VLAN 100和VLAN 200通過。

[Switch] interface gigabitethernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch與AP相連的GigabitEthernet1/0/2接口屬性為Access，並允許VLAN 100通過。

[Switch] interface gigabitethernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

3.3.3  配置LDAP服務器

(1)     添加用戶aa

# 在LDAP服務器上，選擇[開始/管理工具]中的[Active Directory用戶和計算機]，打開Active Directory用戶管理界麵。

圖2 打開Active Directory用戶管理界麵

# 在Active Directory用戶管理界麵的左側導航樹中，點擊***.***節點下的<Users>按鈕。

圖3 添加用戶

# 右鍵單擊“Users”，選擇[新建/用戶]，打開“新建對象-用戶”對話框。

圖4 新建用戶

# 在對話框中輸入用戶信息和用戶登錄名aa，並單擊<下一步>按鈕。

圖5 新建用戶aa

# 在彈出的對話框內輸入密碼，並確認密碼，然後單擊<下一步>按鈕。

圖6 設置用戶密碼

# 完成新建用戶。

圖7 完成新建用戶

(2)     將用戶aa加入Users組

# 在Active Directory用戶管理界麵的左側導航樹中，單擊***.***節點下的“Users”按鈕。

圖8 將用戶加入組

# 在右側的Users信息框中右鍵單擊用戶aa，選擇“屬性”項。

圖9 選擇用戶

# 選擇“隸屬於”頁簽，並單擊<添加(D)...>按鈕。

圖10 修改用戶屬性

# 在彈出的[選擇組]對話框中的可編輯區域框中輸入對象名稱“Users”，單擊<確定>，完成用戶aa添加到Users組。

圖11 添加用戶aa到用戶組Users

# 完成用戶aa的添加之後，還需要配置管理員用戶administrator的密碼。

·     在右側的Users信息框中右鍵單擊管理員用戶administrator，選擇“設置密碼(S)...”項；

·     在彈出的密碼添加對話框中設置管理員密碼。

3.4  驗證配置

# 打開無線客戶端上的IE瀏覽器，輸入任意的IP地址，按回車，網頁會自動跳轉到Portal認證頁麵，輸入用戶名：aa，密碼:123456，單擊logon按鈕，認證成功。

# 用戶通過認證後，在AC上使用命令display portal user all可以查看到有Portal用戶在線。

<AC> display portal user all

 Index:17

 State:ONLINE

 SubState:NONE

 ACL:3777

 Work-mode:stand-alone

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 2477-0341-f118   2.2.2.2           200    WLAN-BSS1/0/16

 Total 1 user(s) matched, 1 listed.