802.1X热备典型配置举例(V5)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：6W114-20210416

 

目 录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 配置注意事项

3.4 配置步骤

3.4.1 AC 1的配置

3.4.2 AC 2的配置

3.4.3 Switch的配置

3.4.4 RADIUS server的配置

3.5 验证配置

3.6 配置文件

4 相关资料

 

1  简介

本文档介绍无线控制器802.1X热备典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解802.1X和双机热备的相关功能。

3  配置举例

3.1  组网需求

如图1所示，AC 1和AC 2均支持双机热备，现要求AC 1和AC 2在运行双机热备情况下支持802.1X客户端的信息备份，主备AC切换的过程中，客户端不会重新上下线，可以继续正常通信。具体要求如下：

·     采用加密类型的服务模板，加密套件采用AES-CCMP。

·     AC 1正常工作的情况下，Client通过AC 1进行802.1X认证接入。AC 1发生故障的情况下，Client通过AC 2接入。

·     802.1X的认证方式采用EAP中继方式。

·     采用RADIUS服务器作为认证服务器，RADIUS服务器上注册的接入设备NAS-IP是133.1.1.3/16。

·     防止用户通过恶意假冒其它域账号从本端口接入网络。

·     配置VRRP来提高链路的可靠性，保证业务流量在切换过程中不会中断。

·     将VLAN 10作为备份VLAN，用于双机热备。

图1 无线控制器802.1X热备典型配置组网图

 

3.2  配置思路

·     由于端口安全特性通过多种安全模式提供了802.1X认证的扩展和组合应用，因此为实现802.1X认证，需要在AC上全局配置端口安全；

·     为实现802.1X认证状态的备份，需要配置双机热备功能；

·     在无线环境中，为了保证AC在切换过程中，无线服务不中断，同时使客户端的信息在AC间同步，需要配置双AC备份及IACTP隧道。

·     在双AC备份配置中，为了让AP优先连接到AC 1，需要为AC 1配置较高的优先级。

·     在VRRP配置中，为了让AC 1成为Master，需要为AC 1配置较高的优先级。

·     由于部分802.1X客户端不支持与设备进行握手报文的交互，因此需要关闭设备的在线用户握手功能，避免该类型的在线用户因没有回应握手报文而被强制下线。

·     对于无线局域网来说，802.1X认证可以由客户端主动发起，或由无线模块发现用户后自动触发，不需要通过端口定期发送802.1X组播报文的方式来触发。同时，组播触发报文会占用无线的通信带宽，因此建议无线局域网中的接入设备关闭802.1X组播触发功能。

·     为了防止用户通过恶意假冒其它域账号从本端口接入网络，配置端口的强制认证域。

3.3  配置注意事项

·     主备AC热备相关配置必须保持一致；

·     配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

3.4  配置步骤

3.4.1  AC 1的配置

(1)     配置AC 1的接口

# 创建VLAN 10作为双机热备的VLAN。

<AC1> system-view

[AC1] vlan 10

[AC1-vlan10] quit

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

[AC1] vlan 100

[AC1-vlan100] quit

[AC1] interface vlan-interface 100

[AC1-Vlan-interface100] ip address 133.4.1.1 16

[AC1-Vlan-interface100] quit

# 创建VLAN 200作为ESS接口的缺省VLAN。

[AC1] vlan 200

[AC1-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN。

[AC1] vlan 300

[AC1-vlan300] quit

# 创建VLAN 400作为RADIUS server所在VLAN，并配置其IP地址。

[AC1] vlan 400

[AC1-vlan400] quit

[AC1] interface vlan-interface 400

[AC1-Vlan-interface400] ip address 133.1.1.1 16

[AC1-Vlan-interface400] quit

# 配置AC 1与Switch连接的端口为Trunk模式，允许VLAN 10、VLAN100、VLAN 200、VLAN 300、VLAN 400通过。

[AC1] interface gigabitethernet 1/0/1

[AC1-GigabitEthernet1/0/1] port link-type trunk

[AC1-GigabitEthernet1/0/1] port trunk permit vlan 10 100 200 300 400

[AC1-GigabitEthernet1/0/1] quit

(2)     配置无线接口

# 创建WLAN-ESS1接口。

[AC1] interface wlan-ess 1

# 配置WLAN-ESS1接口类型为Hybrid类型。

[AC1-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为VLAN 200，禁止VLAN 1通过并允许VLAN 200不带tag通过。

[AC1-WLAN-ESS1] undo port hybrid vlan 1

[AC1-WLAN-ESS1] port hybrid vlan 200 untagged

[AC1-WLAN-ESS1] port hybrid pvid vlan 200

# 开启MAC-VLAN功能。

[AC1-WLAN-ESS1] mac-vlan enable

[AC1-WLAN-ESS1] quit

(3)     配置无线服务

# 创建crypto类型的服务模板1。

[AC1] wlan service-template 1 crypto

# 将WLAN-ESS1接口绑定到服务模板1。

[AC1-wlan-st-1] bind wlan-ess 1

# 设置当前服务模板的SSID为service。

[AC1-wlan-st-1] ssid service

# 配置加密套件为CCMP。

[AC1-wlan-st-1] cipher-suite ccmp

# 配置安全信息元素为RSN。

[AC1-wlan-st-1] security-ie rsn

# 启用无线服务。

[AC1-wlan-st-1] service-template enable

[AC1-wlan-st-1] quit

(4)     配置射频接口并绑定服务模板

# 创建AP的管理模板，名称为officeap，型号名称选择WA2620E-AGN，并配置其序列号。

[AC1] wlan ap officeap model WA2620E-AGN

[AC1-wlan-ap-officeap] serial-id 21023529G007C000020

# 指定该AP在AC 1上优先级为7。

[AC1-wlan-ap-officeap] priority level 7

# 进入AP的radio 2视图。

[AC1-wlan-ap-officeap] radio 2

# 将服务模板1绑定到radio 2口并使能radio 2。

[AC1-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300

[AC1-wlan-ap-officeap-radio-2] radio enable

[AC1-wlan-ap-officeap-radio-2] return

(5)     配置802.1X

# 全局开启端口安全。

[AC1] port-security enable

# 选择802.1X认证方式为EAP中继方式。

[AC1] dot1x authentication-method eap

# 进入WLAN-ESS1接口视图。

[AC1] interface wlan-ess 1

# 配置WLAN-ESS1接口的端口安全模式为userlogin-secure-ext。

[AC1-WLAN-ESS1] port-security port-mode userlogin-secure-ext

# 使能WLAN-ESS1上端口安全的双机热备功能。

[AC1-WLAN-ESS1] port-security synchronization enable

# 使能11key类型的密钥协商功能。

[AC1-WLAN-ESS1] port-security tx-key-type 11key

# 指定802.1X用户使用的强制认证域office，以防止恶意用户通过假冒其它域账号从本端口接入网络。

[AC1-WLAN-ESS1] dot1x mandatory-domain office

# 关闭802.1X的组播触发功能，以节省无线的通信带宽。

[AC1-WLAN-ESS1] undo dot1x multicast-trigger

# 关闭在线用户握手功能，以避免不支持在线握手功能的客户端被强制下线。

[AC1-WLAN-ESS1] undo dot1x handshake

[AC1-WLAN-ESS1] quit

(6)     配置RADIUS认证策略和认证域

# 创建名字为office的RADIUS方案并进入该方案视图。

[AC1] radius scheme office

# 配置RADIUS方案的主认证服务器及其通信密钥。

[AC1-radius-office] primary authentication 133.1.0.50

[AC1-radius-office] key authentication key

# 配置AC 1发送RADIUS报文使用的nas-ip地址为133.1.1.3。

[AC1-radius-office] nas-ip 133.1.1.3

[AC1-radius-office] quit

# 创建ISP域office，并进入其视图。

[AC1] domain office

# 为lan-access用户配置计费为none，不计费。

[AC1-isp-office] accounting lan-access none

# 为lan-access用户配置认证方案为RADIUS方案，方案名为office。

[AC1-isp-office] authentication lan-access radius-scheme office

# 为lan-access用户配置授权方案为RADIUS方案，方案名为office。

[AC1-isp-office] authorization lan-access radius-scheme office

[AC1-isp-office] quit

(7)     配置VRRP

# 在VLAN 400接口下创建VRRP备份组1，并配置备份组1的虚拟IP地址为133.1.1.3。

[AC1] interface vlan-interface 400

[AC1-Vlan-interface400] vrrp vrid 1 virtual-ip 133.1.1.3

# 配置AC 1在备份组1中的优先级为200。

[AC1-Vlan-interface400] vrrp vrid 1 priority 200

[AC1-Vlan-interface400] quit

(8)     配置双机热备

# 配置备份VLAN为VLAN 10。

[AC1] dhbk vlan 10

# 使能双机热备功能，且支持对称路径。

[AC1] dhbk enable backup-type symmetric-path

# 配置双机热备模式下的设备ID为1。

[AC1] nas device-id 1

(9)     配置双AC备份

# 配置备份AC（AC 2）的IP地址为133.4.1.2。

[AC1] wlan backup-ac ip 133.4.1.2

# 开启AC间热备份功能。

[AC1] hot-backup enable

# 配置热备AC间连接心跳周期为2000毫秒（缺省情况下，心跳周期为2000毫秒）。

[AC1] hot-backup hellointerval 2000

# 配置热备AC间数据端口的VLAN ID为100。

[AC1] hot-backup vlan 100

# 配置客户端信息备份功能。

[AC1] wlan backup-client enable

(10)     配置IACTP隧道

# 配置漫游隧道，漫游组名称为roam。

[AC1] wlan mobility-group roam

# 配置IACTP隧道的源地址为133.4.1.1，成员地址为133.4.1.2。

[AC1-wlan-mg-roam] source ip 133.4.1.1

[AC1-wlan-mg-roam] member ip 133.4.1.2

# 开启IACTP隧道。

[AC1-wlan-mg-roam] mobility-group enable

[AC1-wlan-mg-roam] quit

3.4.2  AC 2的配置

(1)     配置AC 2的接口

# 创建VLAN 10作为双机热备的VLAN。

<AC2> system-view

[AC2] vlan 10

[AC2-vlan10] quit

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

[AC2] vlan 100

[AC2-vlan100] quit

[AC2] interface vlan-interface 100

[AC2-Vlan-interface100] ip address 133.4.1.2 16

[AC2-Vlan-interface100] quit

# 创建VLAN 200作为ESS接口的缺省VLAN。

[AC2] vlan 200

[AC2-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN。

[AC2] vlan 300

[AC2-vlan300] quit

# 创建VLAN 400作为RADIUS server所在VLAN，并配置其IP地址。

[AC2] vlan 400

[AC2-vlan400] quit

[AC2] interface vlan-interface 400

[AC2-Vlan-interface400] ip address 133.1.1.2 16

[AC2-Vlan-interface400] quit

# 配置AC 2与Switch连接的端口为Trunk模式，允许VLAN 10、VLAN100、VLAN 200、VLAN 300、VLAN 400通过。

[AC2] interface gigabitethernet 1/0/1

[AC2-GigabitEthernet1/0/1] port link-type trunk

[AC2-GigabitEthernet1/0/1] port trunk permit vlan 10 100 200 300 400

[AC2-GigabitEthernet1/0/1] quit

(2)     配置无线接口

# 创建WLAN-ESS1接口。

[AC2] interface wlan-ess 1

# 配置WLAN-ESS1接口类型为Hybrid类型。

[AC2-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为VLAN 200，禁止VLAN 1通过并允许VLAN 200不带tag通过。

[AC2-WLAN-ESS1] undo port hybrid vlan 1

[AC2-WLAN-ESS1] port hybrid vlan 200 untagged

[AC2-WLAN-ESS1] port hybrid pvid vlan 200

# 开启MAC-VLAN功能。

[AC2-WLAN-ESS1] mac-vlan enable

[AC2-WLAN-ESS1] quit

(3)     配置无线服务

# 创建crypto类型的服务模板1。

[AC2] wlan service-template 1 crypto

# 将WLAN-ESS1接口绑定到服务模板1。

[AC2-wlan-st-1] bind wlan-ess 1

# 设置当前服务模板的SSID为service。

[AC2-wlan-st-1] ssid service

# 配置加密套件为AES-CCMP。

[AC2-wlan-st-1] cipher-suite ccmp

# 配置安全信息元素为RSN。

[AC2-wlan-st-1] security-ie rsn

# 启用无线服务。

[AC2-wlan-st-1] service-template enable

[AC2-wlan-st-1] quit

(4)     配置射频接口并绑定服务模板

# 创建AP的管理模板，名称为officeap，型号名称选择WA2620E-AGN，并配置其序列号。

[AC2] wlan ap officeap model WA2620E-AGN

[AC2-wlan-ap-officeap] serial-id 21023529G007C000020

# 进入AP的radio 2视图。

[AC2-wlan-ap-officeap] radio 2

# 将在AC 2上配置的服务模板1与射频2进行关联，Client通过服务模板1接入VLAN 300。

[AC2-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC2-wlan-ap-officeap-radio-2] radio enable

[AC2-wlan-ap-officeap-radio-2] return

(5)     配置802.1X

# 全局开启端口安全。

[AC2] port-security enable

# 选择802.1X认证方式为EAP中继方式。

[AC2] dot1x authentication-method eap

# 配置WLAN-ESS1接口的端口安全模式为userlogin-secure-ext。

[AC2-WLAN-ESS1] port-security port-mode userlogin-secure-ext

# 使能WLAN-ESS1端口安全的双机热备功能。

[AC2-WLAN-ESS1] port-security synchronization enable

# 使能11key类型的密钥协商功能。

[AC2-WLAN-ESS1] port-security tx-key-type 11key

# 指定802.1X用户使用的强制认证域，以防止恶意用户通过假冒其它域账号从本端口接入网络。

[AC2-WLAN-ESS1] dot1x mandatory-domain office

# 关闭802.1X组播触发功能，以节省无线的通信带宽。

[AC2-WLAN-ESS1] undo dot1x multicast-trigger

# 关闭在线用户握手功能，以避免不支持在线握手功能的客户端被强制下线。

[AC2-WLAN-ESS1] undo dot1x handshake

[AC2-WLAN-ESS1] quit

(6)     配置RADIUS认证策略和认证域

# 创建名字为office的RADIUS方案并进入该方案视图。

[AC2] radius scheme office

# 配置RADIUS方案的主认证服务器及其通信密钥。

[AC2-radius-office] primary authentication 133.1.0.50

[AC2-radius-office] key authentication key

# 配置AC 2发送RADIUS报文使用的nas-ip地址为133.1.1.3。

[AC2-radius-office] nas-ip 133.1.1.3

[AC2-radius-office] quit

# 创建ISP域office，并进入其视图。

[AC2] domain office

# 为lan-access用户配置计费为none，不计费。

[AC2-isp-office] accounting lan-access none

# 为lan-access用户配置认证方案为RADIUS方案，方案名为office。

[AC2-isp-office] authentication lan-access radius-scheme office

# 为lan-access用户配置授权方案为RADIUS方案，方案名为office。

[AC2-isp-office] authorization lan-access radius-scheme office

[AC2-isp-office] quit

(7)     配置VRRP

# 在VLAN 400中配置VRRP备份组1，并配置VRRP备份组1的虚拟IP地址为133.1.1.3。

[AC2] interface vlan-interface 400

[AC2-Vlan-interface400] vrrp vrid 1 virtual-ip 133.1.1.3

[AC2-Vlan-interface400] quit

(8)     配置双机热备

# 配置备份VLAN为VLAN 10。

[AC2] dhbk vlan 10

# 使能双机热备功能，且支持对称路径。

[AC2] dhbk enable backup-type symmetric-path

# 配置双机热备模式下的设备ID为2。

[AC2] nas device-id 2

(9)     配置双AC备份

# 配置备份AC（AC 1）的IP地址为133.4.1.1。

[AC2] wlan backup-ac ip 133.4.1.1

# 开启AC间热备份功能。

[AC2] hot-backup enable

# 配置热备AC间连接心跳周期为2000毫秒（缺省情况下，心跳周期为2000毫秒）。

[AC2] hot-backup hellointerval 2000

# 配置热备AC间数据端口的VLAN ID为100。

[AC2] hot-backup vlan 100

# 配置客户端信息备份功能。

[AC2] wlan backup-client enable

(10)     配置IACTP隧道

# 配置漫游隧道，漫游组名称为roam。

[AC2] wlan mobility-group roam

# 配置IACTP隧道的源地址为133.4.1.2，成员地址为133.4.1.1。

[AC2-wlan-mg-roam] source ip 133.4.1.2

[AC2-wlan-mg-roam] member ip 133.4.1.1

# 开启IACTP隧道。

[AC2-wlan-mg-roam] mobility-group enable

[AC2-wlan-mg-roam] quit

3.4.3  Switch的配置

# 创建VLAN 100、VLAN 300和VLAN 400，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300为无线用户接入的VLAN，VLAN 400作为RADIUS server所在VLAN。

<Switch> system-view

[Switch] vlan 10

[Switch-vlan10] quit

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 200

[Switch-vlan200] quit

[Switch] vlan 300

[Switch-vlan300] quit

[Switch] vlan 400

[Switch-vlan400] quit

# 配置Switch与AC 1相连的GigabitEthernet1/0/1接口的属性为Trunk，当前Trunk口的PVID为100，允许VLAN 10、VLAN 100~400通过。

[Switch] interface GigabitEthernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 10 100 200 300 400

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AC 2相连的GigabitEthernet1/0/2接口的属性为Trunk，当前Trunk口的PVID为100，允许VLAN 10、VLAN 100~400通过。

[Switch] interface GigabitEthernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type trunk

[Switch-GigabitEthernet1/0/2] port trunk permit vlan 10 100 200 300 400

[Switch-GigabitEthernet1/0/2] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/2] quit

# 配置Switch与RADIUS server相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN 400通过。

[Switch] interface GigabitEthernet1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 400

[Switch-GigabitEthernet1/0/3] quit

# 配置Switch与AP相连的GigabitEthernet1/0/4接口属性为Access，并允许VLAN 100通过。

[Switch] interface GigabitEthernet1/0/4

[Switch-GigabitEthernet1/0/4] port link-type access

[Switch-GigabitEthernet1/0/4] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/4] poe enable

[Switch-GigabitEthernet1/0/4] quit

3.4.4  RADIUS server的配置

 

# 增加接入设备。

登录进入iMC管理平台，选择“用户”页签，单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项，单击<增加>按钮，进入“增加接入设备”页面，单击<手工增加>按钮，进入“手工增加接入设备”页面。

·     设置与AC交互报文时使用的认证、计费共享密钥为“key”；

·     设置认证及计费的端口号分别为“1812”和“1813”；

·     选择业务类型为“LAN接入业务”；

·     选择接入设备类型为“H3C”；

·     选择或手工增加接入设备，添加IP地址为133.1.1.3的接入设备；

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图2 增加接入设备

 

# 配置接入策略。

选择“用户”页签，单击导航树中的[用户/接入策略管理/接入策略管理]菜单项，单击<增加>按钮，创建一条接入策略。

·     接入策略名输入“802.1x”。

·     证书认证选择“EAP证书认证”。

·     证书认证类型选择“EAP-PEAP认证”。

·     认证证书子类型选择“MS-CHAPV2认证”。

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图3 配置接入策略

 

# 增加接入服务配置。

选择“用户”页签，单击导航树中的[接入策略管理/接入服务管理]菜单项，单击<增加>按钮，创建一条接入服务。

·     服务名输入“802.1x”。

·     缺省接入策略选择之前创建的策略“802.1x”。

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图4 配置接入服务

 

# 增加用户配置。

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，单击<增加>按钮，增加一个接入用户。

·     单击“增加用户”。

·     用户姓名输入“key”。

·     证件号码输入“000”。

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图5 增加用户配置

 

# 增加接入用户配置。

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，单击<增加>按钮，增加一个接入用户。

·     单击“选择”按钮，在页面中选择上面创建的用户“key”。

·     账号名输入“key”。

·     密码与密码确认输入“123456”。

·     选择服务名“802.1x”。

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图6 增加接入用户配置

 

3.5  验证配置

(1)     Client进行802.1X认证上线，输入用户名“key”和密码“123456”后，认证成功。

(2)     在AC 1上使用display wlan client命令查看Client的上线VLAN信息，可以看到Client使用VLAN 300上线。

[AC1] display wlan client

 Total Number of Clients           : 1

                               Client Information

 SSID: service

--------------------------------------------------------------------------------

MAC Address    User Name            APID/RID IP Address                     VLAN

--------------------------------------------------------------------------------

0022-3f90-938e key                  1   /2     0.0.0.0                        300

--------------------------------------------------------------------------------

(3)     使用display connection命令查看连接信息，可以看到只有一个客户端与AC 1建立了连接。

[AC1] display  connection

 

Index=5   ,Username=key@office

MAC=00-22-3F-90-93-8E

IP=N/A

IPv6=N/A

 Total 1 connection(s) matched.

(4)     在AC 2上使用display wlan client命令查看Client的上线VLAN信息，同样可以看到Client使用VLAN 300上线。此处AP为Backup状态，实际是AC 1备份过来的Client。

<AC2> display wlan client

 Total Number of Clients           : 1

                               Client Information

 SSID: service

--------------------------------------------------------------------------------

MAC Address    User Name            APID/RID IP Address                     VLAN

--------------------------------------------------------------------------------

0022-3f90-938e key                  1   /2     0.0.0.0                        300

--------------------------------------------------------------------------------

(5)     使用display connection命令查看连接信息，可以看到只有一个客户端与AC 2建立了连接。

<AC2> display  connection

 

Index=4   ,Username=key@office

MAC=00-22-3F-90-93-8E

IP=N/A

IPv6=N/A

 Total 1 connection(s) matched.

(6)     将AC 1断开，可以发现Client未下线，仍然可以正常通信。

3.6  配置文件

·     AC 1：

#

nas device-id 1

#

port-security enable

#

dot1x authentication-method eap

#

wlan backup-ac ip 133.4.1.2

#

hot-backup enable domain 1

hot-backup vlan 100

#

 wlan backup-client enable

#

vlan 10

#

vlan 100

#

vlan 200

#

vlan 300

#

vlan 400

#

radius scheme office

 primary authentication 133.1.0.50

 key authentication cipher $c$3$nHkosOaXlBAk6R6vIM+mukgyhrgxTw==

 nas-ip 133.1.1.3

#

domain office

 authentication lan-access radius-scheme office

 authorization lan-access radius-scheme office

 accounting lan-access none

access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

wlan service-template 1 crypto

 ssid service

 bind WLAN-ESS 1

 cipher-suite ccmp

 security-ie rsn

 service-template enable

#

interface Vlan-interface100

 ip address 133.4.1.1 255.255.0.0

#

interface Vlan-interface400

 ip address 133.1.1.1 255.255.0.0

 vrrp vrid 1 virtual-ip 133.1.1.3

 vrrp vrid 1 priority 200

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 10 200 300 400

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200

 mac-vlan enable

 port-security synchronization enable

 port-security port-mode userlogin-secure-ext

 port-security tx-key-type 11key

 undo dot1x handshake

 dot1x mandatory-domain office

 undo dot1x multicast-trigger

#

wlan ap officeap model WA2620E-AGN id 1

 priority level 7

 serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

wlan mobility-group roam

 member ip 133.4.1.2

 source ip 133.4.1.1

 mobility-group enable

#

 dhbk enable backup-type symmetric-path

 dhbk vlan 10

#

·     AC 2：

#

nas device-id 2

#

port-security enable

#

dot1x authentication-method eap

#

wlan backup-ac ip 133.4.1.1

#

hot-backup enable domain 1

hot-backup vlan 100

#

wlan backup-client enable

#

vlan 10

#

vlan 100

#

vlan 200

#

vlan 300

#

vlan 400

#

radius scheme office

primary authentication 133.1.0.50

key authentication cipher $c$3$nHkosOaXlBAk6R6vIM+mukgyhrgxTw==

 nas-ip 133.1.1.3

#

domain office

 authentication lan-access radius-scheme office

 authorization lan-access none

 accounting lan-access none

access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

wlan service-template 1 crypto

 ssid service

 bind WLAN-ESS 1

 cipher-suite ccmp

 security-ie rsn

 service-template enable

#

interface Vlan-interface100

 ip address 133.4.1.2 255.255.0.0

#

interface Vlan-interface400

 ip address 133.1.1.2 255.255.0.0

 vrrp vrid 1 virtual-ip 133.1.1.3

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 10 200 300 400

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200

 mac-vlan enable

 port-security synchronization enable

 port-security port-mode userlogin-secure-ext

 port-security tx-key-type 11key

 undo dot1x handshake

 dot1x mandatory-domain office

 undo dot1x multicast-trigger

#

wlan ap officeap model WA2620E-AGN id 1

serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

wlan mobility-group roam

 member ip 133.4.1.1

 source ip 133.4.1.2

 mobility-group enable

#

 dhbk enable backup-type symmetric-path

 dhbk vlan 10

#

·     Switch：

#

vlan 10

#

vlan 100

#

vlan 200

#

vlan 300

#

vlan 400

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 10 100 200 300 400

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 10 100 200 300 400

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 port access vlan 400

#

interface GigabitEthernet1/0/4

 port link-mode bridge

 port access vlan 100

 poe enable

#

4  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。

·     《H3C无线控制器产品 配置指导》中的“安全配置指导”。

·     《H3C无线控制器产品 命令参考》中的“安全命令参考”。