• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C SecPath ACG1000系列应用控制网关 典型配置举例(E6411 R6609)-6W107

目录

10-短信认证功能典型配置举例

本章节下载 10-短信认证功能典型配置举例  (995.76 KB)

docurl=/cn/Service/Document_Software/Document_Center/IP_Security/ACG/H3C_SecPath_ACG1000/Configure/Typical_Configuration_Example/ACG1000_CE(E6411_R6609)-6W107/202009/1334133_30005_0.htm

10-短信认证功能典型配置举例


1  简介

本文档介绍ACG1000设备短信认证功能配置举例,在配置前,先了解如下定义:

·     短信网关:与ACG设备对接,给认证终端指定手机号下发授权验证码的设备,目前支持对接的短信网关厂商包括:亿美软通、凌凯、一信通。

本文档以亿美软通短信网关厂商对接进行举例说明。

2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

在配置前,需要做如下准备:

·     客户已经在对应的短信网关厂商进行了注册(如亿美软通)。

·     本文档假设您已了短信认证特性。

3  短信认证功能配置举例

3.1  组网需求1:透明桥三层组网

3.1.1  组网需求

图1所示,某公司内网无线办公网段IP地址172.16.11.0/24,有线办公网段IP地址172.16.12.0/24,其中172.16.11.1/24作为无线访问点的网关,172.16.12.1/24作为有线访问点的网关。Router上开启DHCP,地址池分别为172.16.11.2/24~172.16.11.254/24、172.16.12.2/24~172.16.12.254/24。使用ACG1000设备的ge1-0和ge1-2接口作为透明桥,串接部署在网络中,ACG上联出口FW,下联三层设备路由器。ACG1000产品上开启短信认证功能,用户通过短信认证后才能访问网络。

 

图1 短信认证透明桥三层组网图

 

3.1.2  配置思路

·     注册短信网关厂商,获取授权。

·     配置短信认证功能。

3.1.3  使用版本

本举例是在R6608版本上进行配置和验证的。

3.1.4  配置步骤

(1)     配置网桥接口

图2所示,进入网络管理>接口>网桥接口地,点击<新建>按钮创建网桥接口bvi1,把ge1-0、ge1-2加入网桥,配置接口地址为192.168.200.3/24。

图2 配置网桥接口

 

(2)     配置静态路由

图3配置访问外网的默认路由及去往认证用户网段172.16.11.0/24,172.16.12.0/24路由。

图3 配置静态路由

 

(3)     配置短信认证地址对象

图4所示,进入对象管理>地址>IPv4地址对象,点击<新建>按钮创建认证用户地址对象,设置地址为172.16.11.0/24,172.16.12.0/24,点击<提交>。

图4 配置短信认证地址对象

 

(4)     修改上网行为管理默认规则

图5所示,进入上网行为管理>策略配置>IPv4策略,选择默认规则为允许。

图5 修改默认规则

 

(5)     配置短信认证参数

图6所示,进入“用户管理> 认证设置 > 短信认证 >”页面,配置短信认证参数。

图6 短信认证配置

 

(6)     配置短信认证策略

图7所示,进入“用户管理>认证策略”页面,选择新建认证策略,源接口选择内网口ge1-2,源地址选择“认证用户”,认证方式使用“短信认证”,提交策略。

图7 认证策略页面

 

(7)     配置用户识别范围

图8所示,进入“用户管理>全局配置”页面,识别范围选择“认证用户”,其它配置默认,提交配置。

图8 用户识别范围

 

3.1.5  配置注意事项

·     Router设备需要开启DHCP功能,地址池范围为172.16.11.2/24~172.16.11.254/24。172.16.12.2/24~172.16.12.254/24。

·     认证用户网段必须在用户识别范围中,否则导致不能正常认证。

3.1.6  验证配置

图9所示,终端访问网页上网时,浏览器弹出portal页面。

图9  认证portal页面

 

图10所示,输入手机号,点击<发送>获取验证码,待手机获取到短信网关发送的验证码后,输入正确的验证码,点击登录即可完成认证。(点击完成按钮,可以跳转到所访问的web页面,如果配置了重定向url,那就跳转到重定向url页面)

图10 短信认证

 

图11所示,在监控统计〉在线用户管理中查看该用户已认证成功。

图11 在线用户

 

3.2  组网需求2:透明桥二层组网

3.2.1  组网需求

图12所示,某公司内网办公网段IP地址172.16.11.0/24,其中172.16.11.1/24作为认证用户的网关。FW上开启DHCP,地址池为172.16.11.3/24~172.16.11.254/24。使用ACG1000设备的ge1-0和ge1-2接口作为透明桥,串接部署在网络中,ACG上联出口FW,下联二层交换机。ACG1000产品上开启短信认证功能,用户通过短信认证后才能上网。

图12 短信认证透明桥二层组网图

 

3.2.2  配置思路

·     注册短信网关厂商,获取授权。

·     配置短信认证功能。

3.2.3  使用版本

本举例是在R6608版本上进行配置和验证的。

3.2.4  配置步骤

(1)     配置网桥接口

图13所示,进入网络管理>接口>网桥接口地,点击<新建>按钮创建网桥接口bvi1,把ge1-0、ge1-2加入网桥,配置接口地址为172.16.11.2/24。

图13 配置网桥接口

 

(2)     配置静态路由

图14配置访问外网的默认路由。

图14 配置静态路由

 

(3)     配置短信认证地址对象

图15所示,进入对象管理>地址>IPv4地址对象,点击<新建>按钮创建认证用户地址对象,设置地址为172.16.11.0/24,点击<提交>。

图15 配置短信认证地址对象

 

(4)     修改上网行为管理默认规则

图16所示,进入上网行为管理>策略配置>IPv4策略,选择默认规则为允许。

图16 修改默认规则

 

(5)     配置短信认证参数

图17所示,进入“用户管理> 认证设置 > 短信认证 >”页面,配置短信认证参数。

图17 短信认证配置

 

(6)     配置短信认证策略

图18所示,进入“用户管理>认证策略”页面,选择新建认证策略,源接口选择内网口ge1-2,源地址选择“认证用户”,认证方式使用“短信认证”,提交策略。

图18 认证策略页面

 

(7)     配置用户识别范围

图19所示,进入“用户管理>全局配置”页面,识别范围选择“认证用户”,其它配置默认,提交配置。

图19 用户识别范围

 

3.2.5  配置注意事项

·     FW设备需要开启DHCP功能,地址池范围为172.16.11.3/24~172.16.11.254/24。

·     ACG1000在透明部署模式下配置短信认证时, bvi接口需要配置管理地址和认证用户同网段,以便正常给认证用户推送portal页面。

·     认证用户网段必须在用户识别范围中,否则会导致不能正常认证。

3.2.6  验证配置

图20所示,终端访问网页上网时,浏览器弹出portal页面。

图20  认证portal页面

 

图21所示,输入手机号,点击<发送>获取验证码,待手机获取到短信网关发送的验证码后,输入正确的验证码,点击登录即可完成认证。(点击完成按钮,可以跳转到所访问的web页面,如果配置了重定向url,那就跳转到重定向url页面)

图21 短信认证

 

图22所示,在监控统计〉在线用户管理中查看该用户已认证成功。

图22 在线用户

 

3.3  组网需求3:路由模式三层组网

3.3.1  组网需求

图23所示,某公司内网无线办公网段IP地址172.16.11.0/24,有线办公网段IP地址172.16.12.0/24,其中172.16.11.1/24作为无线访问点的网关,172.16.12.1/24作为有线访问点的网关。Router上开启DHCP,地址池分别为:

172.16.11.2/24~172.16.11.254/24、172.16.12.2/24~172.16.12.254/24。使用ACG1000设备的ge1-0和ge1-2接口以三层路由模式部署在网络中,ACG上联出口FW,下联三层设备路由器。ACG1000产品上开启短信认证功能,用户通过短信认证后才能上网。

图23 短信认证路由模式三层组网图

 

3.3.2  配置思路

·     注册短信网关厂商,获取授权。

·     配置短信认证功能。

3.3.3  使用版本

本举例是在R6608版本上进行配置和验证的。

3.3.4  配置步骤

(1)     配置路由接口

图24图25所示,进入网络管理>接口,点击编辑ge1-2、ge1-0操作,把ge1-0、ge1-2的地址分别配置为192.168.100.2/24、192.168.200.1/24。

图24 配置ge1-2接口

 

图25 配置ge1-0接口

 

(2)     配置静态路由

图26配置访问外网的默认路由及去往认证用户网段172.16.11.0/24,172.16.12.0/24路由。

图26 配置静态路由

 

(3)     配置短信认证地址对象

图27所示,进入对象管理>地址>IPv4地址对象,点击<新建>按钮创建认证用户地址对象,设置地址为172.16.11.0/24,172.16.12.0/24,点击<提交>。

图27 配置短信认证地址对象

 

(4)     修改上网行为管理默认规则

图28所示,进入上网行为管理>策略配置>IPv4策略,选择默认规则为允许。

图28 修改默认规则

 

(5)     配置短信认证参数

图29所示,进入“用户管理> 认证设置 > 短信认证 >”页面,配置短信认证参数。

图29 短信认证配置

 

(6)     配置短信认证策略

图30所示,进入“用户管理>认证策略”页面,选择新建认证策略,源接口选择内网口ge1-2,源地址选择“认证用户”,认证方式使用“短信认证”,提交策略。

图30 认证策略页面

 

(7)     配置用户识别范围

图31所示,进入“用户管理>全局配置”页面,识别范围选择“认证用户”,其它配置默认,提交配置。

图31 用户识别范围

 

3.3.5  配置注意事项

·     Router设备需要开启DHCP功能,地址池范围为172.16.11.2/24~172.16.11.254/24。172.16.12.2/24~172.16.12.254/24。

·     认证用户网段必须在用户识别范围中,否则会导致不能正常认证。

3.3.6  验证配置

图32所示,终端访问网页上网时,浏览器弹出portal页面。

图32  认证portal页面

 

图33所示,输入手机号,点击<发送>获取验证码,待手机获取到短信网关发送的验证码后,输入正确的验证码,点击登录即可完成认证。(点击完成按钮,可以跳转到所访问的web页面,如果配置了重定向url,那就跳转到重定向url页面)

图33 短信认证

 

图34所示,在监控统计〉在线用户管理中查看该用户已认证成功。

图34 在线用户

 

3.4  组网需求4:路由模式二层组网

3.4.1  组网需求

图35所示,某公司内网办公网段IP地址172.16.11.0/24,其中172.16.11.1/24作为认证用户的网关。地址池为172.16.11.3/24~172.16.11.254/24。使用ACG1000设备的ge1-0和ge1-2接口以三层路由模式部署在网络中,ACG作为出口网关设备,下联二层交换机。ACG1000产品上开启短信认证功能,用户通过短信认证后才能上网。

图35 短信认证路由模式二层组网图

 

3.4.2  配置思路

·     注册短信网关厂商,获取授权。

·     配置短信认证功能。

3.4.3  使用版本

本举例是在R6608.BIN版本上进行配置和验证的。

3.4.4  配置步骤

(1)     配置路由接口

图36图37所示,进入网络管理>接口,点击编辑ge1-0、ge1-2操作,把ge1-0、ge1-2的地址分别配置为192.168.100.2/24、172.16.11.1/24。

图36 配置ge1-2接口

 

图37 配置ge1-0接口

 

(2)     配置静态路由

图38配置访问外网的默认路由。

图38 配置静态路由

 

(3)     配置短信认证地址对象

图39所示,进入对象管理>地址>IPv4地址对象,点击<新建>按钮创建认证用户地址对象,设置地址为172.16.11.0/24,点击<提交>。

图39 配置短信认证地址对象

 

(4)     修改上网行为管理默认规则

图40所示,进入上网行为管理>策略配置>IPv4策略,选择默认规则为允许。

图40 修改默认规则

 

(5)     配置短信认证参数

图41所示,进入“用户管理> 认证设置 > 短信认证 >”页面,配置短信认证参数。

图41 短信认证配置

 

(6)     配置短信认证策略

图42所示,进入“用户管理>认证策略”页面,选择新建认证策略,源接口选择内网口ge1-2,源地址选择“认证用户”,认证方式使用“短信认证”,提交策略。

图42 认证策略页面

 

(7)     配置用户识别范围

图43所示,进入“用户管理>全局配置”页面,识别范围选择“认证用户”,其它配置默认,提交配置。

图43 用户识别范围

 

(8)     配置源NAT

图44所示,进入“网络配置>NAT”页面,在源NAT页面创建策略,接口选择ge1-0,其它配置默认,提交配置。

图44 配置源NAT

 

3.4.5  配置注意事项

·     ACG设备或二层交换机上需要开启DHCP功能,地址池范围为:172.16.11.2/24~172.16.11.254/24。172.16.12.2/24~172.16.12.254/24。认证用户的网关地址指向172.16.11.1。

·     认证用户网段必须在用户识别范围中,否则会导致不能正常认证。

3.4.6  验证配置

图45所示,终端访问网页上网时,浏览器弹出portal页面。

图45  认证portal页面

 

图46所示,输入手机号,点击<发送>获取验证码,待手机获取到短信网关发送的验证码后,输入正确的验证码,点击登录即可完成认证。(点击完成按钮,可以跳转到所访问的web页面,如果配置了重定向url,那就跳转到重定向url页面)

图46 短信认证

 

图47所示,在监控统计〉在线用户管理中查看该用户已认证成功。

图47 在线用户

 

4  相关资料

·     《H3C SecPath ACG1000系列应用控制网关Web配置手册》 中的“短信认证配置”

·     《H3C SecPath ACG1000系列应用控制网关 对外测试手册》中的“短信认证测试”

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们