选择区域语言: EN CN HK

10-安全配置

06-User Profile配置

本章节下载  (333.09 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Wlan/00-Public/Configure/Operation_Manual/H3C_CG(R5231)-6W106/10/201904/1173753_30005_0.htm

06-User Profile配置


1 User Profile

说明

WX1800H系列、WX2500H系列和WX3000H系列不支持slot参数。

 

1.1  User Profile简介

User Profile(用户配置文件)提供一个配置模板,用于保存预设配置(一系列配置的集合)。用户可以根据不同的应用场景在这个配置模板中定义不同的内容。

用户访问设备时,需要先进行上线用户身份认证(User Profile目前支持802.1X和Portal等接入认证方式)。用户通过身份认证后,认证服务器会将与用户帐户绑定的User Profile名称下发给设备,设备会根据指定User Profile里配置的内容对上线用户进行限制。

基于User Profile的用户身份认证需要与认证服务器配合使用。

·     若用户采用远程认证,则需要在远程认证服务器上指定与该用户帐户相关联的User Profile。

·     若用户采用本地认证,则需要在设备对应的本地用户视图中指定该用户的授权User Profile。关于本地用户的相关配置,请参见“安全配置指导”中的“AAA”。

当用户通过认证上线后,其访问行为将受到User Profile的限制。当用户下线时,系统会自动取消相应的限制。因此,User Profile适用于限制上线用户的访问行为,没有用户上线(例如没有用户接入、用户没有通过认证或者用户下线)时,对应的User Profile配置并不生效。

使用User Profile之后,可以:

·     更精确地利用系统资源。比如基于接口进行流量监管,此时限制的是一群用户(从指定接口接入的用户)。使用User Profile之后,可以基于用户进行流量监管,此时限制的是单个用户。

·     更灵活地限制用户访问系统资源。比如只对当前接口的所有流进行流量监管,当用户的物理位置移动时(比如从另一个接口接入),则需要先取消旧的接入接口下的流量监管功能,再在新的接入接口下配置流量监管功能。使用User Profile之后,可以基于用户进行流量监管,只要用户上线,认证服务器会自动下发相应的User Profile,当用户下线,对应的配置亦会失效,不需要再进行手工调整。

1.2  User Profile配置任务简介

表1-1 User Profile配置任务简介

配置任务

说明

详细配置

配置User Profile

必选

1.3 

 

1.3  配置User Profile

User Profile特性支持802.1X和Portal等接入认证方式,User Profile是和认证配合使用的,用户需要保证相应的认证配置。同时,需要在本地或服务器上配置指定下发给用户的User Profile。还可以为会话指定进入的队列,从而由队列的不同决定其不同优先级的调度方式。

表1-2 创建User Profile

操作

命令

说明

进入系统视图

system-view

-

创建User Profile并进入相应的User Profile视图

user-profile profile-name

如果指定的User Profile已经存在,则直接进入相应的User Profile视图,不需要再创建

 

User Profile创建之后,需要在User Profile视图下配置具体的内容才能对上线用户进行限制。

1.4  User Profile显示和维护

在任意视图下执行display命令可以显示User Profile的配置信息和在线用户信息,通过查看显示信息验证配置的效果。

表1-3 显示User Profile

操作

命令

显示user profile的配置信息和在线用户信息

display user-profile [ name profile-name ] [ slot slot-number ]

1.5  User Profile典型配置举例

1.5.1  使用RADIUS服务器进行MAC地址认证的User Profile典型配置举例

1. 组网需求

·     AC和RADIUS服务器通过交换机建立连接。AC的IP地址为10.18.1.1,与AC相连的RADIUS服务器的IP地址为10.18.1.88。

·     要求使用MAC认证方式进行用户身份认证。

·     要求MAC地址认证用户在指定的AP上接入无线网络。

2. 组网图

图1-1 使用RADIUS服务器进行MAC地址认证典型配置组网图

 

3. 配置步骤

说明

确保RADIUS服务器与设备路由可达,完成服务器的配置,并成功添加了接入用户账户,用户名为123,密码为aaa_maca。

 

(1)     配置RADIUS方案

# 配置Radius 方案,名称为imcc,认证服务器的IP地址为10.18.1.88,端口号为1812,配置计费服务器的IP地址为10.18.1.88,端口号为1813,认证密钥为明文12345678,计费密钥为明文12345678,用户名格式为without-domain。

<AC> system-view

[AC] radius scheme imcc

[AC-radius-imcc] primary authentication 10.18.1.88  1812

[AC-radius-imcc] primary accounting 10.18.1.88  1813

[AC-radius-imcc] key authentication simple 12345678

[AC-radius-imcc] key accounting simple 12345678

[AC-radius-imcc] user-name-format without-domain

[AC-radius-imcc] quit

(2)     配置ISP域的AAA方法

# 配置名称为imc的ISP域,并将认证、授权和计费的方式配置为使用Radius方案imcc。

[AC] domain imc

[AC-isp-imc] authentication lan-access radius-scheme imcc

[AC-isp-imc] authorization lan-access radius-scheme imcc

[AC-isp-imc] accounting lan-access radius-scheme imcc

[AC-isp-imc] quit

(3)     配置MAC地址认证

# 配置MAC地址认证用户名格式为固定用户名格式,用户名为123,密码为明文aaa_maca(若配置成大写、不带连字符的mac地址格式,服务器需要配置与之对应的用户名格式;若配置成固定用户名格式,服务器也需要配置与其对应的用户名格式)。

[AC] mac-authentication user-name-format fixed account 123 password simple aaa_maca

# 配置无线服务模板maca_imc的SSID为maca_imc,并设置用户认证方式为MAC地址认证,ISP域为imc。

[AC] wlan service-template maca_imc

[AC-wlan-st-maca_imc] ssid maca_imc

[AC-wlan-st-maca_imc] client-security authentication-mode mac

[AC-wlan-st-maca_imc] mac-authentication domain imc

# 无线服务模板使能。

[AC-wlan-st-maca_imc] service-template enable

[AC-wlan-st-maca_imc] quit

(4)     配置手工AP并将无线服务模板绑定到radio上

# 创建ap1。

[AC] wlan ap ap1 model WA4320i-ACN

[AC-wlan-ap-ap1] serial-id 210235A1BSC123000050

# 配置信道为149,并使能射频。

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] channel 149

[AC-wlan-ap-ap1-radio-1] radio enable

# 绑定无线服务模板。

[AC-wlan-ap-ap1-radio-1] service-template maca_imc

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

(5)     配置User Profile

# 配置名称为macauth1的AP组,在AP组内添加允许接入的AP列表

[AC]wlan ap-group macauth1

[AC-wlan-ap-group-macauth1] ap ap1

[AC-wlan-ap-group-macauth1] quit

# 配置基于MAC地址认证用户的user-profile,名称为mac1。添加允许接入的AP组为macauth1,让用户只能够在指定AP组macauth1的AP1上接入,控制用户在无线网络中接入位置。

[AC] user-profile mac1

[AC-user-profile-mac1] wlan permit-ap-group macauth1

[AC-user-profile-mac1] quit

(6)     配置RADIUS server(iMC V7)

说明

下面以iMC为例(使用iMC版本为:iMC PLAT 7.2、iMC EIA 7.2),说明RADIUS server的基本配置。

 

# 增加接入设备。

登录进入iMC管理平台,选择“用户”页签,单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项,进入接入设备管理页面,点击页面中的进入接入设备配置按钮,进入接入设备配置页面,在该页面中单击“增加”按钮,进入增加接入设备页面。

·     设置认证、计费共享密钥为12345678,其它保持缺省配置;

·     选择或手工增加接入设备,添加IP地址为10.18.1.1的接入设备。

图1-2 增加接入设备页面

 

# 增加服务策略。

选择“用户”页签,单击导航树中的[接入策略管理/接入策略管理]菜单项,进入接入策略管理页面,在该页面中单击“增加”按钮,进入增加接入策略页面。

设置接入策略名为aaa_maca,其它保持缺省配置。

图1-3 增加服务策略页面

 

# 增加接入服务。

选择“用户”页签,单击导航栏中的[接入策略管理/接入服务管理]菜单项,进入接入服务管理页面,在该页面中单击<增加>按钮,进入增加接入服务页面。

·     设置服务名为aaa_maca;

·     设置缺省接入策略为已经创建的aaa_maca。

图1-4 增加接入服务页面

 

# 增加接入用户。

选择“用户”页签,单击导航树中的[接入用户管理/接入用户]菜单项,进入接入用户页面,在该页面中单击<增加>按钮,进入增加接入用户页面。

·     添加用户123;

·     添加帐号名为123,密码为aaa_maca;

·     选中之前配置的服务aaa_maca。

图1-5 增加接入用户页面

 

4. 验证结果

# 客户端通过MAC认证成功关联AP,并且可以访问无线网络。

通过display mac-authentication connection命令显示MAC用户连接信息。

[AC] display mac-authentication connection

Total connections: 1

 

User MAC address              : 0452-f33a-02fa

AP name                       : ap1

Radio ID                      : 1

SSID                          : maca_imc

BSSID                         : 741f-4a35-7b40

Username                      : 123

Authentication domain         : imc

Initial VLAN                  : 1

Authorization VLAN            : N/A

Authorization ACL number      : N/A

Authorization user profile    : mac1

Termination action            : Default

Session timeout period        : 86400 s

Online from                   : 2016/06/23 20:42:00

Online duration               : 0h 0m 21s

通过display wlan client显示命令查看无线客户端在线情况查看MAC地址认证用户上线信息,可看到MAC地址认证用户成功上线。

[AC] display wlan client

Total number of clients           : 1

 

MAC address    Username            APID/RID   IP address      IPv6 address   VLAN

0452-f33a-02fa 123                    1/1     10.18.1.100                    1

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!