Portal服务器对从不同AP和不同认证域上线的用户进行Portal认证的典型配置举例(V5)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：6W114-20210416

 

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 配置注意事项

3.4 配置步骤

3.4.1 AC的配置

3.4.2 Switch的配置

3.4.3 iMC的配置

3.5 验证配置

3.6 配置文件

4 相关资料

 

1  简介

本文档介绍不同热点的用户使用同一个SSID接入无线网络，并通过不同的Portal服务器进行Portal接入认证的典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解AAA、Portal和WLAN特性。

3  配置举例

3.1  组网需求

如图1所示，Client通过热点AP 1和AP 2使用名称为service的SSID接入网络，Client和AP通过DHCP服务器获取IP地址。要求：

·     当Client从AP 2上线时，由服务器IMC 2进行Portal认证。

·     当Client从AP 1上线时，由服务器IMC 1进行Portal认证。

图1 基于AP绑定Portal服务器和认证服务器组网图

 

3.2  配置思路

·     由于Client从不同的AP上线时使用同一个SSID接入无线网络，为了进行Portal认证时对不同的AP加以区分，可以配置AC向RADIUS服务器发送的RADIUS请求报文的NAS-Identifier属性值。

·     为了使Client从不同的AP上线时访问不同的Portal服务器，需要配置不同的Portal服务器和认证域。

·     由于无线客户端在跨VLAN漫游过程中需要通过MAC VLAN表项强制保持自身的VLAN不变，所以需要在AC上开启MAC-VLAN功能。

3.3  配置注意事项

配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

3.4  配置步骤

3.4.1  AC的配置

(1)     配置AC的接口

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 8.101.1.8 16

[AC-Vlan-interface100] quit

# 创建VLAN 200作为ESS接口的缺省VLAN。

[AC] vlan 200

[AC-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN。

[AC] vlan 300

[AC-vlan300] quit

# 配置AC与Switch相连的GigabitEthernet1/0/1接口为trunk模式，允许VLAN 100、VLAN 200、VLAN 300通过。

[AC] interface GigabitEthernet1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200 300

[AC-GigabitEthernet1/0/1] quit

(2)     配置无线接口

# 创建WLAN-ESS1接口

[AC] interface wlan-ess 1

# 配置WLAN-ESS1接口类型为Hybrid类型。

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为VLAN 200，禁止VLAN 1通过并允许VLAN 200不带tag通过。

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 200 untagged

[AC-WLAN-ESS1] port hybrid pvid vlan 200

# 使能MAC-VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

(3)     配置无线服务模板

# 创建clear类型的服务模板1。

[AC] wlan service-template 1 clear

# 配置当前服务模板的SSID为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 启用无线服务。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(4)     配置射频接口并绑定服务模板

# 创建AP 1的管理模板，名称为officeap1，型号名称选择WA2620E-AGN，并配置AP 1的序列号。

[AC] wlan ap officeap1 model WA2620E-AGN

[AC-wlan-ap-officeap1] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC-wlan-ap-officeap1] radio 2

# 绑定服务模板service-template 1，指定VLAN-ID为300，指定NAS-ID为office1。

[AC-wlan-ap-officeap1-radio-2] service-template 1 vlan-id 300 nas-id office1

# 使能AP 1的radio 2。

[AC-wlan-ap-officeap1-radio-2] radio enable

[AC-wlan-ap-officeap1-radio-2] quit

[AC-wlan-ap-officeap1] quit

# 创建AP 2的管理模板，名称为officeap2，型号名称选择WA2620E-AGN，并配置AP 2的序列号。

[AC] wlan ap officeap2 model WA2620E-AGN

[AC-wlan-ap-officeap2] serial-id 21023529G007C000021

# 进入radio 2射频视图。

[AC-wlan-ap-officeap2] radio 2

# 绑定服务模板service-template 1，指定VLAN-ID为300，指定NAS-ID为office2。

[AC-wlan-ap-officeap2-radio-2] service-template 1 vlan-id 300 nas-id office2

# 使能AP 2的radio 2。

[AC-wlan-ap-officeap2-radio-2] radio enable

[AC-wlan-ap-officeap2-radio-2] quit

[AC-wlan-ap-officeap2] quit

(5)     配置RADIUS认证方案及ISP域

# 创建名为office1的RADIUS方案并进入该视图。

[AC] radius scheme office1

# 配置RADIUS的服务类型为extended。

[AC-radius-office1] server-type extended

# 配置RADIUS方案的主认证服务器为8.1.1.5及通信密钥。

[AC-radius-office1] primary authentication 8.1.1.5

[AC-radius-office1] key authentication simple 1234567

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC-radius-office1] user-name-format without-domain

# 配置nas-ip为VLAN 100的地址。

[AC-radius-office] nas-ip 8.101.1.8

[AC-radius-office1] quit

# 创建office1域并进入其视图。

[AC] domain office1

# 为Portal用户配置认证方案为RADIUS方案，方案名为office1。

[AC-isp-office1] authentication portal radius-scheme office1

# 为Portal用户配置授权方案为RADIUS方案，方案名为office1。

[AC-isp-office1] authorization portal radius-scheme office1

# 为Portal用户配置计费为none，不计费。

[AC-isp- office1] accounting portal none

[AC-isp-office1] quit

# 创建名为office2的RADIUS方案并进入该视图。

[AC] radius scheme office2

# 配置RADIUS的服务类型为extended。

[AC-radius-office2] server-type extended

# 配置RADIUS方案的主认证服务器为8.1.1.40及通信密钥。

[AC-radius-office2] primary authentication 8.1.1.40

[AC-radius-office2] key authentication simple 1234567

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC-radius-office2] user-name-format without-domain

# 配置nas-ip为VLAN 100的地址。

[AC-radius-office] nas-ip 8.101.1.8

[AC-radius-office1] quit

# 创建office2域并进入其视图。

[AC] domain office2

# 为Portal用户配置认证方案为RADIUS方案，方案名为office2。

[AC-isp-office2] authentication portal radius-scheme office2

# 为Portal用户配置授权方案为RADIUS方案，方案名为office2。

[AC-isp-office2] authorization portal radius-scheme office2

# 为Portal用户配置计费为none，不计费。

[AC-isp-office2] accounting portal none

[AC-isp-office2] quit

(6)     配置Portal认证服务

# 配置名称为office1的Portal服务器地址为8.1.1.5、密钥为1234567及url为http://8.1.1.5:8080/portal。

[AC] portal server office1 ip 8.1.1.5 key simple 1234567 url http://8.1.1.5:8080/portal

# 配置名称为office2的Portal服务器地址为8.1.1.40、密钥为1234567及url为http://8.1.1.40:8080/portal。

[AC] portal server office2 ip 8.1.1.40 key simple 1234567 url http://8.1.1.40:8080/portal

# 在VLAN 300的接口上使能直接Portal认证。

[AC] interface vlan-interface 300

[AC-Vlan-interface300] portal server office2 method direct

# 配置Portal用户使用的认证域为office2。

[AC-Vlan-interface300] portal domain office2

# 配置接口发送Portal报文使用的IPv4源地址为8.101.1.8。

[AC-Vlan-interface300] portal nas-ip 8.101.1.8

[AC-Vlan-interface300] quit

# 配置免认证规则，允许GigabitEthernet1/0/1口出方向及发往IMC 1的报文免认证通过。

[AC] portal free-rule 1 source interface GigabitEthernet1/0/1

[AC] portal free-rule 2 source ip any destination ip 8.1.1.5 mask 255.255.255.255

# 配置全局下Portal指定接入SSID为service，当NAS-ID为office1时使用Portal server为office1，认证domain为office1。

[AC] portal wlan ssid service spot office1 server office1 domain office1

# 配置全局下Portal指定接入SSID为service，当NAS-ID为office2时使用Portal server为office2，认证domain为office2。

[AC] portal wlan ssid service spot office2 server office2 domain office2

3.4.2  Switch的配置

# 创建VLAN 100和VLAN 300，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300作为无线用户接入的VLAN。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 300

[Switch-vlan300] quit

# 配置Switch的GigabitEthernet1/0/1接口的属性为Trunk，当前Trunk口的PVID为100，允许VLAN 100和VLAN 300通过。

[Switch] interface GigabitEthernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP 1相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN100通过。

[Switch] interface GigabitEthernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置Switch与AP 2相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN100通过。

[Switch] interface GigabitEthernet1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/3] poe enable

[Switch-GigabitEthernet1/0/3] quit

3.4.3  iMC的配置

 

(1)     增加接入设备

登录进入iMC管理平台，选择“业务”页签，单击导航树中的[用户接入管理/接入设备管理/接入设备配置/接入设备列表]菜单项，单击<增加>按钮，进入“增加接入设备”页面，单击<手工增加>按钮，进入“手工增加接入设备”页面。

·     填写起始IP地址为8.101.1.8，该IP地址为AC上配置的radius scheme视图下的nas-ip地址。

·     单击<确定>按钮完成操作。

·     在“接入配置”页面配置共享密钥为1234567，该共享密钥与AC上配置RADIUS服务器时的密钥一致。

·     其他配置采用页面默认配置即可。

·     单击<确定>按钮完成操作。

 

(2)     配置“接入规则管理”

·     选择“业务”页签，单击导航树中的[用户接入管理/接入规则管理]菜单项，单击<增加>按钮，创建一条接入规则。

·     配置接入规则名为lyportal（任意命名）。

·     其他采用默认配置。

·     单击<确定>按钮完成。

 

(3)     增加服务配置

选择“业务”页签，单击导航树中的[用户接入管理/服务配置管理]菜单项，单击<增加>按钮，创建一条服务。

·     配置服务名为lyportal（任意命名）。

·     缺省接入规则选择步骤(2)中配置的规则名。

·     其他采用默认配置

·     单击<确定>按钮完成配置。

 

(4)     增加接入用户

选择“用户”页签，单击导航树中的[接入用户视图/所有接入用户/接入用户列表]菜单项，单击<增加>按钮，增加一个接入用户。

·     选择一个用户名ly。如没有用户名，需单击<增加用户>按钮创建一个。

·     配置帐号名和密码。

·     勾选绑定步骤(3)中创建的服务名。

·     单击<确定>按钮完成。

 

(5)     配置Portal认证的地址组范围

选择“业务”页签，单击导航树中的[用户接入管理/Portal服务管理/IP地址组配置]菜单项，单击<增加>按钮，配置进行Portal认证的地址组范围。

·     配置IP地址组名为ipgroup。

·     配置起始地址为101.2.0.0，终止地址为101.2.255.255。

·     其他采用默认配置。

·     单击<确定>按钮完成。

 

(6)     配置接入设备信息

选择“业务”页签，单击导航树中的[用户接入管理/Portal服务管理/设备配置]菜单项，单击<增加>按钮，配置Portal认证的接入设备。

·     配置设备名为AC。

·     配置IP地址为8.101.1.8，该地址与AC VLAN 100虚接口下配置的Portal nas-ip一致。

·     配置密钥为1234567，该密钥与AC上配置Portal服务器时设置的密钥一致。

·     其他采用默认配置即可。

·     单击<确定>按钮完成。

 

(7)     配置端口组

返回[用户接入管理/Portal服务管理/设备配置]菜单项，进入“设备信息列表”，选中设备所在的行，单击“操作”图标，选中“”按钮，进入“端口组信息配置”页签。

在 “端口组信息列表”子页签，单击<增加>按钮，进入到“增加端口组信息”页面。

·     配置端口组名为portgroup。

·     配置IP地址组，选取步骤(5)中创建的地址组ipgroup。

·     其他采用默认配置即可。

·     单击<确定>按钮完成。

 

3.5  验证配置

(1)     无线用户通过AP 2登录Web，触发Portal认证，页面跳转到服务器IMC 2，用此服务器下配置的用户名密码进行认证。

 

# 通过display wlan client verbose命令可以看到，SSID为service的client上线。

[AC] display wlan client verbose

Total Number of Clients           : 1

                              Client Information

-------------------------------------------------------------------------------

MAC Address                       : 0021-6a27-97e4

User Name                         : -NA-

AID                               : 1

AP Name                           : officeap2

Radio Id                          : 1

Service Template Number           : 1

SSID                              : service

BSSID                             : 000f-e2e1-5600

Port                              : WLAN-DBSS1:5

VLAN                              : 300

# 通过display portal user all命令可以在AC上查看所有Portal用户的信息。

[AC] display portal user all

Index:2

State:ONLINE

SubState:NONE

ACL:NONE

Work-mode:stand-alone

MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

0021-6a27-97e4   101.2.0.4         300    Vlan-interface300

Total 1 user(s) matched, 1 listed.

# 通过display connection命令可以在AC上查看所有AAA用户连接的概要信息。

[AC] display connection

Index=13  ,Username=lyportal@office2

MAC=00-21-6A-27-97-E4

IP=101.2.0.4

IPv6=N/A

Total 1 connection(s) matched.

(2)     无线用户下线，从AP 1上线，登录Web，Portal认证页面跳转到服务器IMC 1，用此服务器下配置的用户名密码进行认证。

# 将用户踢下线。

[AC] cut connection mac 0021-6a27-97e4

It may take a few seconds or minutes to cut 1 user(s) on the slot 2.

# 关闭AP 2的radio，让无线用户从AP 1上线，重新进行Portal认证，Portal认证页面正确跳转到服务器IMC 1的界面。输入正确的用户名密码通过认证。

 

# 通过display portal user all命令可以在AC上查看所有Portal用户的信息。

[AC] display portal user all

 Index:16

 State:ONLINE

 SubState:NONE

 ACL:NONE

 Work-mode:stand-alone

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 0021-6a27-97e4   101.2.0.4         300    Vlan-interface300

 Total 1 user(s) matched, 1 listed.

# 通过display connection命令可以在AC上查看所有AAA用户连接的概要信息。

[AC] display connection

Index=16  ,Username=lyportal@office1

MAC=00-21-6A-27-97-E4

IP=101.2.0.4

IPv6=N/A

 Total 1 connection(s) matched.

3.6  配置文件

·     AC：

#

 portal server office1 ip 8.1.1.5 key cipher $c$3$qZlb70Wmb3HyL0D7z5kNuGcgPD5QjK5bTi

Q= url http://8.1.1.5:8080/portal server-type imc

 portal server office2 ip 8.1.1.40 key cipher $c$3$eo7vKcq64bApp2GeC5X13Ti8T9mu2mU

+xUA= url http://8.1.1.40:8080/portal server-type imc

 portal free-rule 1 source interface GigabitEthernet1/0/1

portal free-rule 2 source ip any destination ip 8.1.1.5 mask 255.255.255.255

 portal wlan ssid service spot office1 server office1 domain office1

 portal wlan ssid service spot office2 server office2 domain office2

#

vlan 100

#

vlan 200

#

vlan 300

#

radius scheme office1

 server-type extended

 primary authentication 8.1.1.5

key authentication cipher $c$3$dKnYNS0AR3ECKH7Fy4bL+kSZWNoBoJcTqZU=

user-name-format without-domain

nas-ip 8.101.1.8

#

radius scheme office2

 server-type extended

 primary authentication 8.1.1.40

 key authentication cipher $c$3$k0AxJkrH7bZ3IlH9sfaNrocwoj6j8HuwycM=

 user-name-format without-domain

nas-ip 8.101.1.8

#

domain office1

 authentication portal radius-scheme office1

 authorization portal radius-scheme office1

 accounting portal none

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

domain office2

 authentication portal radius-scheme office2

 authorization portal radius-scheme office2

 accounting portal none

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1

 service-template enable

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 200 300

#

interface Vlan-interface100

ip address 8.101.1.8 255.255.0.0

#

interface Vlan-interface300

 portal server office2 method direct

 portal domain office2

 portal nas-ip 8.101.1.8

#

interface WLAN-ESS1

 port link-type hybrid

undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200

 mac-vlan enable

#

wlan ap officeap1 model WA2620E-AGN id 1

 serial-id 21023529G007C000020

 radio 2

  service-template 1 vlan-id 300 nas-id office1

  radio enable

#

wlan ap officeap2 model WA2620E-AGN id 2

 serial-id 21023529G007C000021

 radio 2

  service-template 1 vlan-id 300 nas-id office2

  radio enable

#

·     Switch：

#

vlan 100

#

vlan 300

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 100 300

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 100

 poe enable

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 port access vlan 100

 poe enable

#

4  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。

·     《H3C无线控制器产品 配置指导》中的“安全配置指导”。

·     《H3C无线控制器产品 命令参考》中的“安全命令参考”。