iMC EIA自研令牌

典型配置举例

资料版本：5W119-20231225

产品版本：iMC EIA 7.3 (E0630)

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 介绍

自研令牌功能是通过新华三自研的动态令牌APP与iMC配合实现的一种双因素认证方案。

新华三e盾为每个绑定的接入账户随机生成动态口令，每30秒变换一次，且动态口令一次有效极大的保证了认证的安全性。

与原有的手机动态密码认证相比，动态令牌认证更加安全，避免了多个容易被破解的漏洞，并且不需要手机号，保护了使用者的隐私性。不需要向第三方支取使用费。

1.1 使用场合

适用于银行WI-FI接入认证，运营商营业厅接入认证，企业准入认证等领域中，有效保证了交易和登录的认证安全。

2 配置举例

2.1 组网需求

· PC为某公司内部使用的电脑终端。

· EIA/TAM服务器IP地址为10.114.117.66

· 接入设备管理IP地址为192.168.30.100，计算机接入交换机的GE 1/0/5接口。

图1 组网图

注：本案例中各部分使用的版本如下：

· EIA版本为iMC EIA 7.3 (E0630)

· 接入设备为H3C S5560X-34C-HI Comware Software, Version 7.1.070, ESS 6515P06

2.2 普通用户配置步骤

2.2.1 EIA服务器配置

EIA中的配置包括：

· 接入设备

· 接入策略

· 接入服务

· 接入用户

· 启用动态令牌认证

1. 接入设备

增加接入设备是为了建立EIA服务器和接入设备之间的联动关系。增加接入设备的方法如下：

(1) 在“用户”菜单下，选择“接入策略管理>接入设备管理>接入设备配置”菜单项，进入接入设备配置页面，如图2所示。

图2 接入设备配置

(2) 单击<增加>按钮，进入增加接入设备页面，如图3所示。

图3 增加接入设备页面

(3) 接入设备配置参数说明：

¡ 认证端口：EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812。

¡ 计费端口：EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813。

目前仅支持将EIA同时作为认证和计费服务器，即不支持将EIA作为认证服务器，而其他服务器作为计费服务器的场景。

¡ 共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果[用户>接入策略管理>业务参数配置>业务参数配置]系统参数中的“密钥显示方式”设置为明文时，只需输入一次共享密钥即可，本例配置为“fine”。

¡ 其他参数：保持默认。

(4) 配置接入设备：

配置接入设备有两种方法：

¡ 在设备列表中单击<选择>按钮，弹出选择设备窗口，根据IP地址从系统中选择设备。单击<确定>按钮，增加设备成功，返回增加接入设备页面。

¡ 在设备列表中单击<手工增加>按钮，弹出手工增加接入设备窗口，如图4所示。在起始IP地址处输入接入设备的IP地址。单击<确定>按钮，增加设备成功，返回增加接入设备页面。

图4 增加设备

无论采用哪种方式接入设备的IP地址都必须满足以下要求：

¡ 如果在接入设备上配置radius scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip的配置保持一致。

¡ 如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）。

参数设置完成后的效果图如图5所示。

图5 接入设备参数配置

(5) 单击<确定>按钮，接入设备增加完毕。点击返回接入设备列表页面，可在接入设备列表中查看新增的接入设备，如图6所示。

图6 查看增加的接入设备

2. 接入策略

增加接入策略的方法如下：

(1) 在“用户”菜单下，选择“接入策略管理>接入策略管理”菜单项，进入接入策略管理页面，如图7所示。

图7 接入策略管理页面

(2) 单击<增加>按钮，进入增加接入策略页面。输入接入策略名称，本例中策略名配置为“802.1X自研令牌策略”，认证密码方式选择“动态密码”或“帐号密码+动态密码”，本例为“帐号密码+动态密码”。其他参数保持缺省值即可，如图8所示。

· 动态密码：只校验动态口令。

· 帐号密码+动态密码：不仅校验动态口令，用户自身的静态密码也需要校验。

图8 增加接入策略

(3) 单击<确定>按钮，接入策略增加完毕。返回接入策略管理页面，可在接入策略列表中查看新增的接入策略，如图9所示。

图9 查看增加的接入策略

3. 接入服务

接入服务是对用户进行认证授权的各种策略的集合。本例不对用户进行任何接入控制，因此只需增加一个简单的接入服务即可。增加接入服务的方法如下：

(1) 在“用户”菜单下，选择“接入策略管理>接入服务管理”菜单项，进入接入服务管理页面，如图10所示。

图10 接入服务管理页面

(2) 单击<增加>按钮，进入增加接入服务页面，如图11所示。

图11 增加接入服务页面

配置服务的各个参数：

· 服务名：输入服务名称，在EIA中必须唯一。本例中服务名为“802.1Ｘ自研令牌服务”。

· 服务后缀：如何设置服务后缀与接入设备中的配置密切相关，具体请参见表1。本例中，设备RADIUS相关命令配置为不携带domain，因此不需要配置服务后缀。

· 缺省接入策略：选择之前配置的接入策略“802.1Ｘ自研令牌策略”。

· 其他参数：保持缺省值。

表1 服务后缀与接入设备配置的搭配关系

用户名	设备用于认证的Domain	设备RADIUS配置的相关命令	EIA中的服务后缀
计算机全名	[Default Domain] （设备上指定的缺省域）	user-name-format with-domain	[Default Domain]
user-name-format without-domain	无后缀

用户名

设备用于认证的Domain

设备RADIUS配置的相关命令

EIA中的服务后缀

计算机全名

[Default Domain]

（设备上指定的缺省域）

user-name-format with-domain

[Default Domain]

user-name-format without-domain

无后缀

表1中的命令以H3C（General）系列设备为例，配置其他设备时请参考设备的命令手册。

(3) 单击<确定>按钮，接入服务增加完毕。返回接入服务管理页面，可在接入服务列表中查看新增的接入服务，如图12所示。

图12 查看新增的接入服务

4. 接入用户

接入用户是用户接入网络时使用的身份证，包含帐号名、密码和使用的服务等信息。

增加接入用户的方法如下：

(1) 选择“用户”页签，单击导航树中的“接入用户管理>接入用户”菜单项，进入接入用户页面，如图13所示。

图13 接入用户页面

(2) 单击<增加>按钮，进入增加接入用户页面，如图14所示。

图14 增加接入用户页面

配置接入信息和接入服务：

· 用户姓名：

¡ 选择基本用户方式：单击“选择基本用户”图标，弹出选择基本用户窗口，输入基本用户姓名后单击<查询>按钮，可以查询出已存在的基本用户，勾选基本用户后单击<确定>按钮。若需为EIA中已存在的基本用户添加接入用户可选择此配置方式，一个基本用户下可存在多个接入用户，基本用户通过用户姓名和证件号码构成唯一标识。

¡ 直接配置方式：直接进行用户姓名填写。本例选择直接配置方式。

· 帐号名：输入用于认证的帐号名，在EIA中必须唯一。

· 密码/确认密码：输入两次相同的密码。

· 接入服务：选择之前增加的接入服务。

· 其他参数：保持缺省值。

参数设置完成后的效果图如图15所示。

图15 接入用户

(3) 单击<确定>按钮，接入用户增加完毕。返回接入用户页面，可在接入用户列表中查看新增的接入用户，如图16所示。

图16 查看新增的接入用户

5. 启用动态令牌认证

(1) 选择“用户”页签，单击导航树中的“接入用户管理>业务参数配置>系统配置”菜单项，进入系统配置页面，如图17所示。

图17 系统配置

(2) 单击“系统参数配置”配置列的<配置>按钮，进入系统参数配置页面，将“启用动态令牌认证”配置为“启用”，如图18所示。

图18 启用动态令牌认证

2.2.2 接入设备配置

1. RADIUS方案配置

配置RADIUS方案1xallpermit。

[sw]radius scheme 1xallpermit

New RADIUS scheme.

配置RADIUS认证服务器IP，端口(端口默认为1812，与2.2.1 1. 接入设备EIA配置的认证端口保持一致)。

[sw-radius-1xallpermit]primary authentication 10.114.117.66 1812

配置RADIUS计费服务器IP，端口(端口默认为1813，与2.2.1 1. 接入设备EIA配置的计费端口保持一致)。

[sw-radius-1xallpermit]primary accounting 10.114.117.66 1813

配置RADIUS认证和计费密钥，与2.2.1 1. 接入设备EIA配置的共享密钥一致。

[sw-radius-1xallpermit]key authentication simple fine

[sw-radius-1xallpermit]key accounting simple fine

配置用户名格式，without-domain表示用户名后不携带域名。

[sw-radius-1xallpermit]user-name-format without-domain

[sw-radius-1xallpermit]quit

2. Domain配置

配置Domain 1xallpermit。

[sw]domain 1xallpermit

指定关联的RADIUS方案。

[sw-isp-1xallpermit]authentication default radius-scheme 1xallpermit

[sw-isp-1xallpermit]authorization default radius-scheme 1xallpermit

[sw-isp-1xallpermit]accounting default radius-scheme 1xallpermit

[sw-isp-1xallpermit l]quit

将Domain imc 设置为默认域。

[sw]domain default enable portal

3. 802.1X配置

只有在全局和接口上都启用802.1X认证，802.1X认证才生效。

[sw]dot1x

[sw]interface GigabitEthernet1/0/5

[sw-GigabitEthernet1/0/5] dot1x

802.1X is enabled on port GigabitEthernet1/0/5.

802.1X的认证方式包括PAP、CHAP和EAP。如果进行证书认证，则必须设置为EAP。

[sw]dot1x authentication-method chap

2.2.3 绑定令牌

1. 注册方式绑定令牌

使用注册方式绑定动态令牌，必须保证用户终端和EIA服务器网络连通。

(1) 手机上安装新华三e盾，打开界面，如图19所示。

图19 新华三e盾

(2) 单击左上角的<设置>按钮，选择服务器地址，输入EIA服务器地址，如图20所示。

图20 服务器地址

(3) 设置完成后，返回主页面，如图19所示。

(4) 单击<注册>按钮，进入注册页面，选择“接入用户”选项，如图21所示。

图21 接入用户

(5) 输入接入用户的用户名和密码，单击<注册>按钮，完成注册，如图22所示。

图22 注册

(6) 注册完成后，用户绑定对应的令牌，如图23所示。

图23 注册完成

2. 扫描二维码方式绑定令牌

(1) 选择“用户”页签，单击导航树中的“接入用户管理>接入用户”菜单项，进入接入用户页面，如图24所示。

图24 接入用户

(2) 勾选接入用户，单击<更多>按钮，选择批量注册动态令牌，如图25所示

图25 批量注册动态令牌

(3) 弹出“确定将所选用户注册动态动态令牌吗？”弹窗，单击<确定>按钮，弹出二维码页面，如图26所示。

图26 二维码

(4) 在新华三e盾主页面，单击<扫描>按钮，扫描二维码，如图27所示。

图27 扫描二维码

(5) 扫描成功后即可绑定令牌，如图28所示。

图28 绑定成功

2.2.4 获取动态口令

单击接入用户对应的令牌即可生成动态口令，如图29所示。

图29 动态口令

2.3 RADIUS设备管理用户配置步骤