选择区域语言: EN CN HK

10-安全配置举例

03-H3C S12500 IPv6 portal典型配置举例

本章节下载  (170 KB)

docurl=/cn/Service/Document_Software/Document_Center/Switches/Catalog/S12500/S12500/Configure/Typical_Configuration_Example/H3C_S12500-R1825P01-6W100/10/201308/794673_30005_0.htm

03-H3C S12500 IPv6 portal典型配置举例

H3C S12500 IPv6 Portal配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Copyright © 2013 杭州华三通信技术有限公司 版权所有,保留一切权利。

非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,

并不得以任何形式传播。本文档中的信息可能变动,恕不另行通知。

H3C_彩色.emf

 



1  简介

本文档介绍了IPv6 Portal的配置举例。

Portal认证通常也称为Web认证,即通过Web页面接受用户输入的用户名和密码,对用户进行身份认证,以达到对用户访问进行控制的目的。

2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文假设您已了解Portal特性。

3  使用限制

·     当在同一个VLAN、VLAN包含接口或全局配置QoS策略,同时又进行Portal认证时,则Portal认证失效

·     由于Portal客户端以IP地址为身份标识,因此使用Portal业务时,在认证客户端、接入设备、Portal服务器、AAA服务器之间不能有配置NAT(Network Address Translation,网络地址转换)特性的设备,避免地址转换导致认证失败。

4  可跨三层Portal认证配置举例

4.1  组网需求

·     如图1所示,Department A客户端通过Device A接入公司核心网络,要求在Device A上配置Portal,对Department A的网络访问进行控制。

·     用户认证通过前,只能访问Portal服务器,无法访问内部其它网络或Internet。用户通过认证后,可以正常访问网络。

·     采用RADIUS服务器,对Portal用户接入进行认证、授权和计费。

·     在RADIUS服务器和客户端配置共享密钥来增强二者交互报文的安全性。

图1 Portal特性认证配置组网图

设备

接口

IP地址

Device A

Vlan-Int5(GE9/0/24)

2193::1/64

 

Vlan-Int6(GE9/0/16)

2001::1234/64

192.168.3.1/24

 

4.2  配置思路

·     为了对Department A的网络访问进行Portal认证,需要在Device A上配置Portal服务器并且使能Portal认证。

·     为了实现通过RADIUS来对Portal用户进行认证、授权和计费,需要在Device A上配置RADIUS方案并指定相应的认证、授权和计费服务器,并将其应用于Portal用户所属的认证域。

·     为了在Device ARADIUS服务器之间安全地传输用户密码,并且能在Device A上验证RADIUS服务器响应报文未被篡改,在Device ARADIUS服务器上都要设置交互报文时所使用的共享密钥。

4.3  使用版本

本举例是在S12500-CMW520-R1825P01版本上进行配置和验证的。

4.4  配置注意事项

·     在配置IPv6 Portal功能之前,首先要确保设备支持IPv6 ACL和IPv6转发功能。

¡     缺省情况下设备的IPv6转发功能关闭,因此需要配置此功能。

¡     对于丝印后缀为EC1EF的单板,需要配置acl ipv6 enable命令才能支持IPv6 ACL(缺省情况为disable);

¡     对于丝印后缀为EB、EC2的单板,需要配置acl mode advanced命令才能支持IPv6 ACL(缺省情况为advanced)。

·     目前仅支持使用RADIUS服务器对Portal用户进行认证、授权和计费,同时服务器需要配置路由,可以访问认证端口及用户IP地址所在网段。

·     如果是可跨三层认证,配置认证方式为layer3,如果是直接认证,配置认证方式为direct。IPv6 Portal认证不支持二次地址分配方式的Portal认证。

4.5  配置步骤

说明

请保证在RADIUS服务器和Portal服务器上完成相应的配置,例如添加用户等,具体配置步骤略。

 

1. 配置IPv6转发和IPv6 ACL功能

#使能交换机的IPv6转发功能。

<DeviceA> system-view

[DeviceA]ipv6

[DeviceA]quit

#使能交换机的IPv6 ACL功能

<DeviceA> system-view

[DeviceA]acl ipv6 enable

[DeviceA]quit

2. 配置接口地址

# 配置vlan 5端口及interface vlan 5地址。

<DeviceA> system-view

[DeviceA]vlan 5

[DeviceA-vlan5]port GigabitEthernet 9/0/24

[DeviceA-vlan5]quit

[DeviceA]interface GigabitEthernet 9/0/24

[DeviceA-GigabitEthernet9/0/24]undo shutdown

[DeviceA-GigabitEthernet9/0/24]quit

[DeviceA]interface Vlan-interface 5

[DeviceA-Vlan-interface5]undo shutdown

[DeviceA-Vlan-interface5]ipv6 address 2193::1 64

[DeviceA-Vlan-interface5]quit

[DeviceA]quit

# 配置vlan 6端口及interface vlan 6地址。

<DeviceA> system-view

[DeviceA]vlan 6

[DeviceA-vlan6]port GigabitEthernet 9/0/16

[DeviceA-vlan6]quit

[DeviceA]interface GigabitEthernet 9/0/16

[DeviceA-GigabitEthernet9/0/16]undo shutdown

[DeviceA-GigabitEthernet9/0/16]quit

[DeviceA]interface Vlan-interface 6

[DeviceA-Vlan-interface6]undo shutdown

[DeviceA-Vlan-interface6]ipv6 address 2001::1234 64

[DeviceA-Vlan-interface6]quit

[DeviceA]quit

3. 配置RADIUS方案

# 创建名字为imcRADIUS方案并进入该方案视图。

<DeviceA> system-view

[DeviceA]radius scheme imc

New Radius scheme

# 配置RADIUS方案相关参数,包括RADIUS服务器地址,共享密钥等。

[DeviceA-radius-imc]primary authentication 192.168.3.13

[DeviceA-radius-imc]primary accounting 192.168.3.13

[DeviceA-radius-imc]key authentication imc

[DeviceA-radius-imc]key accounting imc

[DeviceA-radius-imc]user-name-format without-domain

[DeviceA-radius-imc]server-type extended

[DeviceA-radius-imc]quit

[DeviceA] quit

4. 配置认证域

# 配置名为h3c.com的认证域,该域的Portal用户认证采用步骤3配置的RADIUS方案

<DeviceA> system-view

[DeviceA] domain h3c.com

[DeviceA-isp-h3c.com] authentication portal radius-scheme imc

[DeviceA-isp-h3c.com] accounting portal radius-scheme imc

[DeviceA-isp-h3c.com] authorization portal radius-scheme imc

[DeviceA-isp-h3c.com] quit

[DeviceA] quit

5. 配置Portal认证

# 配置Portal服务器:名称为portal_v6IP地址为2001::2,密钥为portal,端口为50100URLhttp://[2001::2]:8080/portal

<DeviceA>system-view

System View: return to User View with Ctrl+Z.

[DeviceA]portal server portal_v6 ipv6 2001::2 key portal url http://[2001::2]:8080/portal

# interface vlan 5接口上使能Portal认证,配置使用域和NAS-IP

<DeviceA> system-view

[DeviceA] interface Vlan-interface 5

[DeviceA-Vlan-interface5] portal server portal_v6 method layer3

[DeviceA-Vlan-interface5] portal nas-ip ipv6 2001::1234

[DeviceA-Vlan-interface5] portal domain ipv6 h3c.com

[DeviceA-Vlan-interface5] quit

[DeviceA] quit

4.6  配置文件

#

 domain default enable system

#

 ipv6

#

 portal server portal_v6 ipv6 2001::2 key cipher $c$3$RTeW9Do7i/oJ044lGqRsCoKGCf

jfpLt4Qw== url http://[2001::2]:8080/portal

#

 xbar load-single

#

 forward-path check enable

 acl ipv6 enable

 acl mode advanced

 undo vpn popgo

 system working mode standard

 hardware-failure-detection chip isolate

 hardware-failure-detection board isolate

 hardware-failure-detection forwarding isolate

#

vlan 1

#

vlan 5 to 6

#

radius scheme imc

 server-type extended

 primary authentication 192.168.3.13

 primary accounting 192.168.3.13

 key authentication cipher $c$3$M30nGDQxiOCAxe2AJ9yEZdk8kjoWag==

 key accounting cipher $c$3$M30nGDQxiOCAxe2AJ9yEZdk8kjoWag==

 user-name-format without-domain

#

domain h3c.com

 authentication portal radius-scheme imc

 authorization portal radius-scheme imc

 accounting portal radius-scheme imc

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

domain system

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

user-group system

 group-attribute allow-guest

#

 stp enable

#

interface NULL0

#

interface Vlan-interface5

 ipv6 address 2193::1/64

 portal server portal_v6 method layer3

 portal domain ipv6 h3c.com

 portal nas-ip ipv6 2001::1234

#

interface Vlan-interface6

 ipv6 address 2001::1234/64

 ip address 192.168.3.1 255.255.255.0

#

 

interface GigabitEthernet9/0/16

 port link-mode bridge

 port access vlan 6

#

interface GigabitEthernet9/0/24

 port link-mode bridge

 port access vlan 5

#

interface M-Ethernet0/0/0

#

 load xml-configuration

#

 load tr069-configuration

#

user-interface con 0

user-interface aux 0

 authentication-mode none

 user privilege level 3

user-interface vty 0 17

#

return

4.7  验证配置  

按照如上配置,在用户没有认证成功时,Client A、Client B和Client C都只能ping通服务器IP 2001::2,不能ping通自己的网关2193::1和另一网段IP 2001::1234。

用户使用合法的用户名和密码通过认证后,可以ping通自己的网关2193::1、另一网段IP 2001::1234和服务器IP 2001::2。

5  相关资料

·     《H3C S12500系列路由交换机  安全配置指导》中的“Portal”

·     《H3C S12500系列路由交换机  安全命令参考》中的“Portal”

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!