H3C无线控制器典型配置案例集(V5)-6W114

06-H3C无线控制器IPv6的802.1X远程认证典型配置举例(V5)

H3C无线控制器IPv6的802.1X远程认证典型配置举例(V5)

资料版本：6W114-20210416

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

3.3.3 配置RADIUS server

1 简介

本文档介绍IPv6的802.1X远程认证典型配置举例。

2 配置前提

本文档适用于使用Comware V5软件版本的无线控制器和接入点产品，不严格与具体硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解AAA、802.1X、WLAN的相关特性。

3 配置举例

3.1 组网需求

如图1所示组网，AC作为DHCPv6 server为AP和Client分配IPv6地址，采用iMC作为RADIUS服务器对用户进行认证、授权和计费，要求：

· 对无线用户进行远程802.1X认证。

· 客户端链路层认证使用开放式系统认证。

· 通过配置客户端和AP之间的数据报文采用802.1X身份认证与密钥管理来确保用户数据的传输安全。

· 加密套件采用CCMP。

图1 远程802.1X认证组网图

3.2 配置注意事项

配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

3.3 配置步骤

3.3.1 配置AC

(1) 配置AC的接口

# 创建VLAN 100以及对应的VLAN接口，并为该接口配置IPv6地址。AP将通过该VLAN与AC建立LWAPP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ipv6 address 2005::1 64

# 取消对RA消息发布的抑制。

[AC-Vlan-interface100] undo ipv6 nd ra halt

# 设置被管理地址配置标志位为1。

[AC-Vlan-interface100] ipv6 nd autoconfig managed-address-flag

# 设置其他配置标志位为1。

[AC-Vlan-interface100] ipv6 nd autoconfig other-flag

[AC-Vlan-interface100] quit

# 创建VLAN 200作为WLAN-ESS接口的缺省VLAN。

[AC] vlan 200

[AC-vlan200] quit

# 创建VLAN 300及其对应的VLAN接口，并为该接口配置IPv6地址。Client将使用该VLAN接入无线网络。

[AC] vlan 300

[AC-vlan300] quit

[AC] interface vlan-interface 300

[AC-Vlan-interface300] ipv6 address 2004::1 64

# 取消对RA消息发布的抑制。

[AC-Vlan-interface300] undo ipv6 nd ra halt

# 设置被管理地址配置标志位为1。

[AC-Vlan-interface300] ipv6 nd autoconfig managed-address-flag

# 设置其他配置标志位为1。

[AC-Vlan-interface300] ipv6 nd autoconfig other-flag

[AC-Vlan-interface300] quit

# 配置AC与Switch相连的接口GigabitEthernet1/0/1的属性为Trunk，允许VLAN 100和VLAN 300通过，当前Trunk口的PVID为100。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/1] quit

(2) 配置DHCPv6 server

# 全局使能IPv6功能。

[AC] ipv6

# 使能DHCPv6服务器功能。

[AC] ipv6 dhcp server enable

# 创建DHCPv6地址池1，配置地址池范围为2005::/64，为AP分配IPv6地址。

[AC] ipv6 dhcp pool 1

[AC-dhcp6-pool-1] network 2005::/64

[AC-dhcp6-pool-1] quit

# 创建DHCPv6地址池2，配置地址池范围为2004::/64，为Client分配IPv6地址。

[AC] ipv6 dhcp pool 2

[AC-dhcp6-pool-2] network 2004::/64

[AC-dhcp6-pool-2] quit

# 配置VLAN接口100引用地址池1，为AP分配IPv6地址。

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ipv6 dhcp server apply pool 1

[AC-Vlan-interface100] quit

# 配置VLAN接口300引用地址池2，为Client分配IPv6地址。

[AC] interface vlan-interface 300

[AC-Vlan-interface300] ipv6 dhcp server apply pool 2

[AC-Vlan-interface300] quit

(3) 配置RADIUS方案

# 创建RADIUS方案radius1并进入其视图。

[AC] radius scheme radius1

# 配置主认证/计费RADIUS服务器的IPv6地址为2003::2。

[AC-radius-radius1] primary authentication ipv6 2003::2

[AC-radius-radius1] primary accounting ipv6 2003::2

# 配置AC与认证/计费RADIUS服务器交互报文时的共享密钥为明文字符串12345。

[AC-radius-radius1] key authentication simple 12345

[AC-radius-radius1] key accounting simple 12345

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC-radius-radius1] user-name-format without-domain

# 配置设备发送RADIUS报文使用的源IPv6地址为2005::1。

[AC-radius-radius1] nas-ip ipv6 2005::1

[AC-radius-radius1] quit

(4) 配置认证域

# 创建名为dom1的ISP域并进入其视图。

[AC] domain dom1

# 配置802.1X用户使用RADIUS方案radius1进行认证、授权、计费。

[AC-isp-dom1] authentication lan-access radius-scheme radius1

[AC-isp-dom1] authorization lan-access radius-scheme radius1

[AC-isp-dom1] accounting lan-access radius-scheme radius1

[AC-isp-dom1] quit

# 把配置的认证域dom1设置为系统缺省的ISP域。

[AC] domain default enable dom1

(5) 配置802.1X认证

# 使能端口安全。

[AC] port-security enable

# 配置802.1X系统的认证方法为EAP。

[AC] dot1x authentication-method eap

# 创建WLAN-ESS1接口，并进入该视图。

[AC] interface wlan-ess 1

# 配置WLAN-ESS1接口类型为Hybrid。

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为VLAN 200，禁止VLAN 1通过并允许VLAN 200和VLAN 300不带tag通过。

[AC-WLAN-ESS1] port hybrid pvid vlan 200

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 200 300 untagged

# 开启MAC-VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

# 配置端口的安全模式为userLogin-SecureExt。

[AC-WLAN-ESS1] port-security port-mode userlogin-secure-ext

# 在接口WLAN-ESS1下使能11key类型的密钥协商功能。

[AC-WLAN-ESS1] port-security tx-key-type 11key

# 关闭802.1X组播触发功能和在线用户握手功能。

[AC-WLAN-ESS1] undo dot1x multicast-trigger

[AC-WLAN-ESS1] undo dot1x handshake

[AC-WLAN-ESS1] quit

(6) 配置无线服务模板

# 创建crypto类型的服务模板1，并进入无线服务模板视图。

[AC] wlan service-template 1 crypto

# 配置SSID为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS1接口绑定到服务模板1。

[AC-wlan-st-1] bind WLAN-ESS 1

# 配置CCMP为加密套件，配RSN为安全信息元素。

[AC-wlan-st-1] cipher-suite ccmp

[AC-wlan-st-1] security-ie rsn

# 使能无线服务模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

# 创建AP，配置AP名称为ap1，型号名称选择WA4320H-ACN，并配置序列号219801A0P69147G00098。

[AC] wlan ap ap1 model WA4320H-ACN

[AC-wlan-ap-ap1] serial-id 219801A0P69147G00098

# 进入Radio 1视图。

[AC-wlan-ap-ap1] radio 1

# 将无线服务模板1绑定到radio 1，，同时设置绑定到该射频的VLAN为VLAN 300，并开启射频。

[AC-wlan-ap-ap1-radio-1] service-template 1 vlan-id 300

[AC-wlan-ap-ap1-radio-1] radio enable

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

(7) 配置AC到RADIUS服务器的静态路由

[AC] ipv6 route-static 2003:: 64 2005::2

3.3.2 配置Switch

# 创建VLAN 100和VLAN 300，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300为无线客户端接入的VLAN。

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 300

[Switch-vlan300] quit

# 创建VLAN 100对应的VLAN接口，并为该接口配置IPv6地址。

[Switch] interface vlan-interface 100

[Switch-Vlan-interface100] ipv6 address 2005::2 64

# 配置Switch与AC相连的的GigabitEthernet1/0/1接口属性Trunk，当前Trunk口的PVID为100，允许VLAN 100和VLAN 300通过。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 配置Switch与AP相连的GigabitEthernet1/0/2接口使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

3.3.3 配置RADIUS server

· 下面以iMC为例（使用iMC版本为：iMC PLAT 7.1、iMC UAM 7.1），说明AAA服务器的基本配置。

· 在服务器上已经完成证书的安装。

# 增加接入设备。

登录进入iMC管理平台，选择“用户”页签，单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项，进入接入配置管理页面。在该页面中点击<增加>按钮，进入增加接入设备页面。

· 设置认证、计费共享密钥为12345，其它保持缺省配置；

· 选择或手工增加IPv6接入设备，添加IPv6地址为2005::1的接入设备。

图2 增加接入设备页面

# 增加接入策略。

选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，进入接入策略管理页面，在该页面中单击<增加>按钮，进入增加接入策略页面。

· 设置接入策略名输入dot1x；

· 选择证书认证为EAP证书认证；

· 选择认证证书类型为EAP-PEAP认证，认证证书子类型为MS-CHAPV2认证。认证证书子类型需要与客户端的身份验证方法一致。

图3 增加服务策略页面

# 增加接入服务。

选择“用户”页签，单击导航树[接入策略管理/接入服务管理]菜单项，进入接入服务管理页面，在该页面中单击<增加>按钮，进入增加接入服务页面。

· 设置服务名为dot1x；

· 设置缺省接入策略为已经创建的dot1x策略。

图4 增加接入服务页面

# 增加接入用户。

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，进入接入用户页面，在该页面中单击<增加>按钮，进入增加接入用户页面。

· 添加用户user；

· 添加账号名为dot1x，密码为dot1x123；

· 选中之前配置的服务dot1x。

图5 增加接入用户页面

3.3.4 配置客户端

# 打开手机，选择SSID为service无线服务进行连接，然后输入无线网络信息。

· EAP方法选择PEAP；

· 身份输入dot1x；

· 密码输入dot1x123；

· 其它保持缺省配置，然后单击“连接”。

图6 连接无线网络

图7 无线网络连接成功

3.4 验证配置

# 当用户通过认证连接到AP后，可以在AC上使用display connection查看有1个用户在线。

[AC] display connection

Index=1 ,Username=dot1x@dom1

MAC=38-29-5A-40-95-89

IP=N/A

IPv6=N/A

Online=00h09m55s

Total 1 connection(s) matched.

# 在AC上使用display connection ucibindex查看用户的较详细信息。

[AC] display connection ucibindex 1

Index=1 , Username=dot1x@dom1

MAC=38-29-5A-40-95-89

IP=N/A

IPv6=N/A

Access=8021X ,AuthMethod=EAP

Port Type=Wireless-802.11,Port Name=WLAN-DBSS1:0

Initial VLAN=300, Authorization VLAN=N/A

ACL Group=Disable

User Profile=N/A

CAR=Disable

Traffic Statistic:

InputOctets =5122 OutputOctets =3059

InputGigawords=0 OutputGigawords=0

Priority=Disable

SessionTimeout=86400(s), Terminate-Action=Radius-Request

Start=2018-09-18 17:58:24 ,Current=2018-09-18 18:09:54 ,Online=00h11m30s

Total 1 connection matched.

# 在AC上可以通过display wlan client verbose命令查看客户端上线情况。

[AC] display wlan client verbose

Total Number of Clients : 1

Client Information

--------------------------------------------------------------------------------

MAC Address : 3829-5a40-9589

User Name : dot1x

IP Address : 0.0.0.0

IPv6 Address : -NA-

AID : 1

AP Name : ap1

Radio Id : 1

Antenna Id : 0

Service Template Number : 1

SSID : service

BSSID : 70ba-ef07-c560

Port : WLAN-DBSS1:0

VLAN : 300

State : Running

Power Save Mode : Active

Wireless Mode : 11an

Channel Band-width : 20/40MHz

SM Power Save Enable : Enabled

SM Power Save Mode : Static

Short GI for 20MHz : Supported

Short GI for 40MHz : Supported

LDPC : Not Supported

STBC TX capability : Not Supported

STBC RX capability : Supported

Support MCS Set : 0,1,2,3,4,5,6,7

BLOCK ACK-TID 0 : BOTH

QoS Mode : WMM

Listen Interval (Beacon Interval) : 2

RSSI : 42

Rx/Tx Rate : 135/6

Client Type : WPA2(RSN)

Authentication Method : Open System

Authentication Mode : Central

AKM Method : Dot1X

Key Derivation : SHA1

4-Way Handshake State : PTKINITDONE

Group Key State : IDLE

Encryption Cipher : AES-CCMP

PMF Status : -NA-

Roam Status : Normal

Roam Count : 0

Up Time (hh:mm:ss) : 00:00:16

Bonjour Records :

-------------------------------------------------------------------------------

3.5 配置文件

· AC：

domain default enable dom1

ipv6

port-security enable

dot1x authentication-method eap

ipv6 dhcp server enable

vlan 1

vlan 100

vlan 200

vlan 300

radius scheme radius1

primary authentication ipv6 2003::0002

primary accounting ipv6 2003::0002

key authentication cipher $c$3$VPHT6uKFirHoAE/1NuwT0iB3sfHK8WAF

key accounting cipher $c$3$WmKcjQoQnrkKbi88ghZndPgV1N76gF94

user-name-format without-domain

nas-ip ipv6 2005::0001

domain dom1

authentication lan-access radius-scheme radius1

authorization lan-access radius-scheme radius1

accounting lan-access radius-scheme radius1

wlan service-template 1 crypto

ssid service

bind WLAN-ESS 1

cipher-suite ccmp

security-ie rsn

service-template enable

ipv6 dhcp pool 1

network 2005::/64

ipv6 dhcp pool 2

network 2004::/64

interface Vlan-interface100

undo ipv6 nd ra halt

ipv6 nd autoconfig managed-address-flag

ipv6 nd autoconfig other-flag

ipv6 address 2005::1/64

ipv6 dhcp server apply pool 1

interface Vlan-interface300

undo ipv6 nd ra halt

ipv6 nd autoconfig managed-address-flag

ipv6 nd autoconfig other-flag

ipv6 address 2004::1/64

ipv6 dhcp server apply pool 2

interface GigabitEthernet1/0/1

port link-type trunk

port trunk permit vlan 1 100 300

port trunk pvid vlan 100

interface WLAN-ESS1

port link-type hybrid

undo port hybrid vlan 1

port hybrid vlan 200 300 untagged

port hybrid pvid vlan 200

mac-vlan enable

port-security port-mode userlogin-secure-ext

port-security tx-key-type 11key

undo dot1x handshake

undo dot1x multicast-trigger

wlan ap ap1 model WA4320H-ACN id 1

serial-id 219801A0P69147G00098

radio 1

service-template 1 vlan-id 300

radio enable

ipv6 route-static 2003:: 64 2005::2

return

· Switch：

vlan 1

vlan 100

vlan 300

interface Vlan-interface1

ipv6 address 2003::1/64

interface Vlan-interface100

ipv6 address 2005::2/64

interface GigabitEthernet1/0/1

port link-type trunk

port trunk permit vlan 1 100 300

port trunk pvid vlan 100

interface GigabitEthernet1/0/2

port access vlan 100

poe enable

return

4 相关资料

· 《H3C 无线控制器产品配置指导》中的“安全配置指导”。

· 《H3C 无线控制器产品命令参考》中的“安全命令参考”。

· 《H3C 无线控制器产品配置指导》中的“WLAN配置指导”。

· 《H3C 无线控制器产品命令参考》中的“WLAN命令参考”。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

智能联接

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

行业解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

H3C无线控制器典型配置案例集(V5)-6W114

目录

06-H3C无线控制器IPv6的802.1X远程认证典型配置举例(V5)

3.3 配置步骤

3.3.2 配置Switch

3.3.3 配置RADIUS server

3.4 验证配置

3.5 配置文件

4 相关资料

联系我们