双机热备下的本地Portal认证典型配置举例(V5)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：6W114-20210416

 

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 配置注意事项

3.4 配置步骤

3.4.1 AC 1的配置

3.4.2 AC 2的配置

3.4.3 Switch 1的配置

3.4.4 Switch 2的配置

3.4.5 RADIUS Server的配置

3.5 验证配置

3.6 配置文件

4 相关资料

 

1  简介

本文介绍了双机热备下的本地Portal认证典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解WLAN无线接入、Portal认证、双AC备份等特性。

3  配置举例

3.1  组网需求

如图1所示，为了提高无线用户接入的可靠性，要求在AC 1和AC 2之间实现双机热备功能，并且对Portal用户的数据进行备份。具体需求如下：

·     AC1和AC2通过VLAN 10传输双机热备报文。

·     AC 1正常工作的情况下，Client通过AC 1进行Portal认证接入到外网。AC 1发生故障的情况下，Client通过AC 2接入到外网，保证业务流量切换不被中断。

·     采用RADIUS服务器作为认证/计费服务器，采用AC作为本地Portal服务器。

·     当Portal用户异常下线时，为了防止AC误认为异常下线用户仍在线，可以通过用户闲置切断功能来实现。

图1 双机热备下的本地Portal认证组网图

 

3.2  配置思路

·     为了避免两台AC和上下行设备产生环路，并在主备切换时，尽快完成收敛，需要在AC 1和AC 2上使能MSTP功能，并设置AC 1为根桥。

·     当发生主备切换时，为了保证AC的上下行不丢包，需要分别在AC 1和AC 2的上下行接口上配置VRRP备份组。

·     为了使AC 1成为VRRP备份组的Master AC，需要在VRRP备份组中为AC 1配置较高的优先级。

3.3  配置注意事项

·     确保AC与RADIUS服务器的路由可达。

·     AC 1与AC 2上，涉及RADIUS、Domain、Portal、WLAN等的相关配置要保持一致。

·     配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

3.4  配置步骤

3.4.1  AC 1的配置

(1)     配置AC 1的接口

# 创建VLAN 10作为双机热备的VLAN。

<AC1> system-view

[AC1] vlan 10

[AC1-vlan10] quit

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

[AC1] vlan 100

[AC1-vlan100] quit

[AC1] interface vlan-interface 100

[AC1-Vlan-interface100] ip address 188.10.0.6 16

[AC1-Vlan-interface100] quit

# 创建VLAN 200作为WLAN-ESS接口的缺省VLAN。

[AC1] vlan 200

[AC1-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN，并为该接口配置IP地址。

[AC1] vlan 300

[AC1-vlan300] quit

[AC1] interface vlan-interface 300

[AC1-Vlan-interface300] ip address 188.30.0.6 16

[AC1-Vlan-interface300] quit

# 创建VLAN 400作为与RADIUS server通信的VLAN，并为该接口配置IP地址。

[AC1] vlan 400

[AC1-vlan400] quit

[AC1] interface vlan-interface 400

[AC1-Vlan-interface400] ip address 188.40.0.6 16

[AC1-Vlan-interface400] quit

# 配置AC 1的上行链路GigabitEthernet1/0/1接口的链路类型为Access，并允许VLAN 400的报文通过。

[AC1] interface gigabitethernet 1/0/1

[AC1-GigabitEthernet1/0/1] port link-type access

[AC1-GigabitEthernet1/0/1] port access vlan 400

[AC1-GigabitEthernet1/0/1] quit

# 配置AC 1与AC 2相连的GigabitEthernet1/0/2接口的链路类型为Access，当前Access口允许VLAN 10通过。

[AC1] interface gigabitethernet 1/0/2

[AC1-GigabitEthernet1/0/2] port link-type access

[AC1-GigabitEthernet1/0/2] port access vlan 10

[AC1-GigabitEthernet1/0/2] quit

# 配置AC的下行链路GigabitEthernet1/0/3接口的链路类型为Trunk，当前Trunk口的PVID为100，并允许VLAN 100和VLAN 300的报文通过。

[AC1] interface gigabitethernet 1/0/3

[AC1-GigabitEthernet1/0/3] port link-type trunk

[AC1-GigabitEthernet1/0/3] port trunk permit vlan 100 300

[AC1-GigabitEthernet1/0/3] port trunk pvid vlan 100

[AC1-GigabitEthernet1/0/3] quit

(2)     配置MSTP

# 配置生成树的工作模式为MSTP。

[AC1] stp mode mstp

# 激活MST域。

[AC1] stp region-configuration

[AC1-mst-region] active region-configuration

[AC1-mst-region] quit

# 配置AC 1为根桥。

[AC1] stp root primary

# 使能STP功能。

[AC1] stp enable

(3)     配置VRRP

# 创建VRRP备份组1，并配置VRRP备份组1的虚拟IP地址为188.30.0.100。

[AC1] interface vlan-interface 300

[AC1-Vlan-interface300] vrrp vrid 1 virtual-ip 188.30.0.100

# 配置VLAN接口300在VRRP备份组1中的优先级为254。

[AC1-Vlan-interface300] vrrp vrid 1 priority 254

[AC1-Vlan-interface300] quit

# 创建VRRP备份组2，并配置VRRP备份组2的虚拟IP地址为188.40.0.100。

[AC1] interface vlan-interface 400

[AC1-Vlan-interface400] vrrp vrid 2 virtual-ip 188.40.0.100

# 配置VLAN接口400在VRRP备份组2中的优先级为254。

[AC1-Vlan-interface400] vrrp vrid 2 priority 254

[AC1-Vlan-interface400] quit

(4)     配置Portal认证

# 配置Portal服务器：名称为office，IP地址为188.30.0.100（VRRP备份组1的虚拟IP地址），URL为http://188.30.0.100/portal/logon.htm。

[AC1] portal server office ip 188.30.0.100 url http://188.30.0.100/portal/logon.htm

# 配置本地Portal服务器支持HTTP协议。

[AC1] portal local-server http

# 在VLAN接口300上使能Portal认证，并配置为直接认证方式。

[AC1] interface vlan-interface 300

[AC1-Vlan-interface300] portal server office method direct

[AC1-Vlan-interface300] quit

# 创建名为office的RADIUS方案并进入其视图。

[AC1] radius scheme office

# 配置RADIUS方案的主认证服务器的IP地址为188.40.0.8，认证报文的共享密钥设置为明文123456。

[AC1-radius-office] primary authentication 188.40.0.8

[AC1-radius-office] key authentication 123456

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC1-radius-office] user-name-format without-domain

[AC1-radius-office] quit

(5)     配置认证域

# 创建名为office的ISP域，并进入其视图。

[AC1] domain office

# 配置Portal用户使用RADIUS方案office进行认证，不对用户使用的网络服务进行授权和计费。

[AC1-isp-office] authentication portal radius-scheme office

[AC1-isp-office] authorization portal none

[AC1-isp-office] accounting portal none

# 允许ISP域office中的用户启用闲置切断功能，闲置检测时间为50分钟，允许用户闲置时的最小数据流量为1024个字节。

[AC1-isp-office] idle-cut enable 50 1024

[AC1-isp-office] quit

(6)     配置Portal支持双机热备

# 配置VLAN接口300属于Portal备份组1。

[AC1] interface vlan-interface 300

[AC1-Vlan-interface300] portal backup-group 1

[AC1-Vlan-interface300] quit

# 配置双机热备模式下的设备ID为1，输入“Y”确认。

[AC1] nas device-id 1

Warning: This command will cut all user connections on this device. Continue? [Y/N]Y

# 配置发送RADIUS报文使用的源IP地址为VRRP备份组2的虚拟IP地址。

[AC1] radius nas-ip 188.40.0.100

# 指定Portal用户的认证域为office。

[AC1] interface vlan-interface 300

[AC1-Vlan-interface300] portal domain office

[AC1-Vlan-interface300] quit

(7)     配置WLAN服务

# 配置全局备份AC的IP地址为188.10.0.7。

[AC1] wlan backup-ac ip 188.10.0.7

# 使能AC间热备份功能。

[AC1] hot-backup enable

# 配置AC间用于热备份的VLAN为VLAN 10。

[AC1] hot-backup vlan 10

# 创建接口WLAN-ESS 1，并设置端口的链路类型为Hybrid。

[AC1] interface wlan-ess 1

[AC1-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为VLAN 200，禁止VLAN 1通过并允许VLAN 200不带Tag通过。

[AC1-WLAN-ESS1] undo port hybrid vlan 1

[AC1-WLAN-ESS1] port hybrid vlan 200 untagged

[AC1-WLAN-ESS1] port hybrid pvid vlan 200

# 使能MAC VLAN功能。

[AC1-WLAN-ESS1] mac-vlan enable

[AC1-WLAN-ESS1] quit

# 配置WLAN服务模板，SSID为service，将接口WLAN-ESS 1与该服务模板绑定，并开启WLAN服务。

[AC1] wlan service-template 1 clear

[AC1-wlan-st-1] ssid service

[AC1-wlan-st-1] bind wlan-ess 1

[AC1-wlan-st-1] service-template enable

[AC1-wlan-st-1] quit

# 在AC 1的AP视图下配置AP名称为officeap，型号名称选择WA2620E-AGN。

[AC1] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC1-wlan-ap-officeap] serial-id 21023529G007C000020

# 配置AP的接入优先级设置为7，该值越大优先级越高，缺省为4。

[AC1-wlan-ap-officeap] priority level 7

# 进入radio 2射频视图。

[AC1-wlan-ap-officeap] radio 2

# 将在AC上配置的clear类型的服务模板1与射频2进行关联，同时设置绑定到该射频的VLAN为VLAN 300。

[AC1-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC1-wlan-ap-officeap-radio-2] radio enable

[AC1-wlan-ap-officeap-radio-2] quit

[AC1-wlan-ap-officeap] quit

(8)     配置双机热备

# 配置备份VLAN为VLAN 10。

[AC1] dhbk vlan 10

# 使能双机热备功能，且支持对称路径。

[AC1] dhbk enable backup-type symmetric-path

3.4.2  AC 2的配置

(1)     配置AC 2的接口

# 创建VLAN 10作为双机热备的VLAN。

<AC2> system-view

[AC2] vlan 10

[AC2-vlan10] quit

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

[AC2] vlan 100

[AC2-vlan100] quit

[AC2] interface vlan-interface 100

[AC2-Vlan-interface100] ip address 188.10.0.7 16

[AC2-Vlan-interface100] quit

# 创建VLAN 200作为WLAN-ESS接口的缺省VLAN。

[AC2] vlan 200

[AC2-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN，并为该接口配置IP地址。

[AC2] vlan 300

[AC2-vlan300] quit

[AC2] interface vlan-interface 300

[AC2-Vlan-interface300] ip address 188.30.0.7 16

[AC2-Vlan-interface300] quit

# 创建VLAN 400作为与RADIUS server通信的VLAN，并为该接口配置IP地址。

[AC2] vlan 400

[AC2-vlan400] quit

[AC2] interface vlan-interface 400

[AC2-Vlan-interface400] ip address 188.40.0.7 16

[AC2-Vlan-interface400] quit

# 配置AC 2上行链路的GigabitEthernet1/0/1接口的链路类型为Access，并允许VLAN 400的报文通过。

[AC2] interface gigabitethernet 1/0/1

[AC2-GigabitEthernet1/0/1] port link-type access

[AC2-GigabitEthernet1/0/1] port access vlan 400

[AC2-GigabitEthernet1/0/1] quit

# 配置AC 1与AC 2相连的GigabitEthernet1/0/2接口的链路类型为Access，当前Access口允许VLAN 10通过。

[AC2] interface gigabitethernet 1/0/2

[AC2-GigabitEthernet1/0/2] port link-type access

[AC2-GigabitEthernet1/0/2] port access vlan 10

[AC2-GigabitEthernet1/0/2] quit

# 配置AC 2下行链路的GigabitEthernet1/0/3接口的链路类型为Trunk，当前Trunk口的PVID为100，并允许VLAN 100和VLAN 300的报文通过。

[AC2] interface gigabitethernet 1/0/3

[AC2-GigabitEthernet1/0/3] port link-type trunk

[AC2-GigabitEthernet1/0/3] port trunk permit vlan 100 300

[AC2-GigabitEthernet1/0/3] port trunk pvid vlan 100

[AC2-GigabitEthernet1/0/3] quit

(2)     配置MSTP

# 配置生成树的工作模式为MSTP。

[AC2] stp mode mstp

# 激活MST域。

[AC2] stp region-configuration

[AC2-mst-region] active region-configuration

[AC2-mst-region] quit

# 使能STP功能。

[AC2] stp enable

(3)     配置VRRP

# 创建VRRP备份组1，并配置VRRP备份组1的虚拟IP地址为188.30.0.100。

[AC2] interface vlan-interface 300

[AC2-Vlan-interface300] vrrp vrid 1 virtual-ip 188.30.0.100

[AC2-Vlan-interface300] quit

# 创建VRRP备份组2，并配置VRRP备份组2的虚拟IP地址为188.40.0.100。

[AC2] interface vlan-interface 400

[AC2-Vlan-interface400] vrrp vrid 2 virtual-ip 188.40.0.100

[AC2-Vlan-interface400] quit

(4)     配置Portal认证

# 配置Portal服务器：名称为office，IP地址为188.30.0.100（VRRP备份组1的虚拟IP地址），URL为http://188.30.0.100/portal/logon.htm。

[AC2] portal server office ip 188.30.0.100 url http://188.30.0.100/portal/logon.htm

# 配置本地Portal服务器支持HTTP协议。

[AC2] portal local-server http

# 在VLAN接口300上使能Portal认证，并配置为直接认证方式。

[AC2] interface vlan-interface 300

[AC2-Vlan-interface300] portal server office method direct

[AC2-Vlan-interface300] quit

# 创建名为office的RADIUS方案并进入其视图。

[AC2] radius scheme office

# 配置RADIUS方案的主认证服务器的IP地址为188.40.0.8，认证报文的共享密钥设置为明文123456。

[AC2-radius-office] primary authentication 188.40.0.8

[AC2-radius-office] key authentication 123456

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC2-radius-office] user-name-format without-domain

[AC2-radius-office] quit

(5)     配置认证域

# 创建名为office的ISP域，并进入其视图。

[AC2] domain office

# 配置Portal用户使用RADIUS方案office进行认证，不对用户使用的网络服务进行授权和计费。

[AC2-isp-office] authentication portal radius-scheme office

[AC2-isp-office] authorization portal none

[AC2-isp-office] accounting portal none

# 允许ISP域office中的用户启用闲置切断功能，闲置检测时间为50分钟，允许用户闲置时的最小数据流量为1024个字节。

[AC2-isp-office] idle-cut enable 50 1024

[AC2-isp-office] quit

(6)     配置Portal支持双机热备

# 配置VLAN接口300属于Portal备份组1。

[AC2] interface vlan-interface 300

[AC2-Vlan-interface300] portal backup-group 1

[AC2-Vlan-interface300] quit

# 配置双机热备模式下的设备ID为2，输入“Y”确认。

[AC2] nas device-id 2

Warning: This command will cut all user connections on this device. Continue? [Y/N]Y

# 配置发送RADIUS报文使用的源IP地址为VRRP备份组2的虚拟IP地址。

[AC2] radius nas-ip 188.40.0.100

# 指定portal用户的认证域为office。

[AC2] interface vlan-interface 300

[AC2-Vlan-interface300] portal domain office

[AC2-Vlan-interface300] quit

(7)     配置WLAN服务

# 配置全局备份AC的IP地址为188.10.0.6。

[AC2] wlan backup-ac ip 188.10.0.6

# 使能AC间热备份功能。

[AC2] hot-backup enable

# 配置AC间用于热备份的VLAN为VLAN 10。

[AC2] hot-backup vlan 10

# 创建接口WLAN-ESS 1，并设置端口的链路类型为Hybrid。

[AC2] interface wlan-ess 1

[AC2-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为VLAN 200，禁止VLAN 1通过并允许VLAN 200不带Tag通过。

[AC2-WLAN-ESS1] undo port hybrid vlan 1

[AC2-WLAN-ESS1] port hybrid vlan 200 untagged

[AC2-WLAN-ESS1] port hybrid pvid vlan 200

[AC2-WLAN-ESS1] mac-vlan enable

[AC2-WLAN-ESS1] quit

# 配置WLAN服务模板，SSID为service，将接口WLAN-ESS 1与该服务模板绑定，并开启WLAN服务。

[AC2] wlan service-template 1 clear

[AC2-wlan-st-1] ssid service

[AC2-wlan-st-1] bind wlan-ess 1

[AC2-wlan-st-1] service-template enable

[AC2-wlan-st-1] quit

# 在AC 2的AP视图下配置AP名称为officeap，型号名称选择WA2620E-AGN。

[AC2] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC2-wlan-ap-officeap] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC2-wlan-ap-officeap] radio 2

# 将在AC上配置的clear类型的服务模板1与射频2进行关联，同时设置绑定到该射频的VLAN为VLAN 300。

[AC2-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC2-wlan-ap-officeap-radio-2] radio enable

[AC2-wlan-ap-officeap-radio-2] quit

[AC2-wlan-ap-officeap] quit

(8)     配置双机热备

# 配置备份VLAN为VLAN 10。

[AC2] dhbk vlan 10

# 使能双机热备功能，且支持对称路径。

[AC2] dhbk enable backup-type symmetric-path

3.4.3  Switch 1的配置

# 配置生成树的工作模式为MSTP。

<Switch1> system-view

[Switch1] stp mode mstp

# 激活MST域。

[Switch1] stp region-configuration

[Switch1-mst-region] active region-configuration

[Switch1-mst-region] quit

# 使能STP功能。

[Switch1] stp enable

3.4.4  Switch 2的配置

# 创建VLAN 100和VLAN 300，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300为无线客户端接入的VLAN。

<Switch2> system-view

[Switch2] vlan 100

[Switch2-vlan100] quit

[Switch2] vlan 300

[Switch2-vlan300] quit

# 配置Switch 2与AC 1相连的GigabitEthernet1/0/1接口链路类型为Trunk，当前Trunk口的PVID为100，允许VLAN 100和VLAN 300通过。

[Switch2] interface gigabitethernet 1/0/1

[Switch2-GigabitEthernet1/0/1] port link-type trunk

[Switch2-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[Switch2-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch2-GigabitEthernet1/0/1] quit

# 配置Switch 2与AC 2相连的GigabitEthernet1/0/2接口链路类型为Trunk，当前Trunk口的PVID为100，允许VLAN 100和VLAN 300通过。

[Switch2] interface gigabitethernet 1/0/2

[Switch2-GigabitEthernet1/0/2] port link-type trunk

[Switch2-GigabitEthernet1/0/2] port trunk permit vlan 100 300

[Switch2-GigabitEthernet1/0/2] port trunk pvid vlan 100

[Switch2-GigabitEthernet1/0/2] quit

# 配置Switch 2与AP相连的GigabitEthernet1/0/3接口链路类型为Access，当前Access口允许VLAN 100通过，并使能PoE功能。

[Switch2] interface gigabitethernet 1/0/3

[Switch2-GigabitEthernet1/0/3] port link-type access

[Switch2-GigabitEthernet1/0/3] port access vlan 100

[Switch2-GigabitEthernet1/0/3] poe enable

[Switch2-GigabitEthernet1/0/3] quit

# 配置生成树的工作模式为MSTP。

[Switch2] stp mode mstp

# 激活MST域。

[Switch2] stp region-configuration

[Switch2-mst-region] active region-configuration

[Switch2-mst-region] quit

# 使能STP功能。

[Switch2] stp enable

3.4.5  RADIUS Server的配置

 

# 增加接入设备

登录进入IMC管理平台，选择“用户”页签，单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项，进入“接入设备配置”页面，在该页面中单击<增加>按钮，进入“增加接入设备”页面。

·     设置与AC交互报文时使用的认证、计费共享密钥为“123456”；

·     设置认证及计费的端口号分别为“1812”和“1813”；

·     选择接入设备类型为“H3C(General)”；

·     在设备列表中，单击<手工增加>按钮，添加IP地址为188.40.0.100的接入设备；

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图2 增加接入设备

 

# 增加接入策略

选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，进入“接入策略管理”页面，单击“增加”按钮，进入“增加接入策略”页面。

·     接入策略名为“portal”，该名称可以自行定义；

·     业务分组选择“未分组”；

·     其他配置采用缺省配置；

·     单击<确定>按钮完成操作。

图3 增加接入策略

 

# 增加接入服务

选择“用户”页签，单击导航树中的[接入策略管理/接入服务管理]菜单项，进入“接入服务管理”页面，点击<增加>按钮，进入“增加接入服务”页面。

·     输入服务名“portal auth”，该名称可以自行定义；

·     业务分组“未分组”；

·     缺省接入策略选择“portal”，即上一步配置的接入策略名；

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图4 增加接入服务

 

# 配置接入用户

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，进入“接入用户”页面，在该页面中单击<增加>按钮，进入“增加接入用户”页面。

·     在增加接入用户页面，单击<增加用户>按钮弹出增加用户窗口；

·     输入用户名“admin”；

·     输入证件号码“12345”；

·     单击<检查是否可用>按钮；

·     如用户姓名和证件号码可用，单击<确定>按钮完成操作。

图5 增加用户

 

在“增加接入用户”页面，按如下方式配置。

·     输入账号名“user”；

·     输入密码“123456”；

·     接入服务选择“portal auth”；

·     其他配置保持默认；

·     单击<确定>按钮完成操作。

图6 增加接入用户

 

3.5  验证配置

# Client从AC 1成功上线后，在AC 1上通过命令display portal user all查看该用户的认证情况。可以看到Portal用户的工作模式为主用户，表示该用户是由AC 1上线。

[AC1] display portal user all

 Index:1

 State:ONLINE

 SubState:NONE

 ACL:NONE

 Work-mode:primary

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 0021-632f-e4d1   188.30.0.1        300    Vlan-interface300

 Total 1 user(s) matched, 1 listed.

# Client从AC 1成功上线后，在AC 2通过命令display portal user all查看该用户的认证情况。可以看到Portal用户的工作模式为备用户，表示该用户的认证信息同步到AC 2上。

[AC2] display portal user all

 Index:0

 State:ONLINE

 SubState:NONE

 ACL:NONE

 Work-mode:secondary

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 0021-632f-e4d1   188.30.0.1        300    Vlan-interface300

 Total 1 user(s) matched, 1 listed.

# 通过将AC 1下电模拟主AC宕机的情形，使得AC发生主备切换，此时，在AC 2上便可以查看到用户的状态由“secondary”转换为“stand-alone”状态，说明此时只有AC 2处于工作状态。

[AC2] display portal user all

 Index:3

 State:ONLINE

 SubState:NONE

 ACL:NONE

 Work-mode:stand-alone

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 0021-632f-e4d1   188.30.0.1        300    Vlan-interface300

 Total 1 user(s) matched, 1 listed.

3.6  配置文件

·     AC 1的配置文件：

#

 radius nas-ip 188.40.0.100

 nas device-id 1

#

 portal server office ip 188.30.0.100 url http://188.30.0.100/portal/logon.htm

 portal local-server http

#

 wlan backup-ac ip 188.10.0.7

#

 hot-backup enable domain 1

 hot-backup vlan 10

#

Vlan 10

#

vlan 100

#

vlan 200

#

vlan 300

#

vlan 400

#

 stp instance 0 root primary

 stp enable

#

radius scheme office

 primary authentication 188.40.0.8

 key authentication cipher $c$3$hKKWIPmTANkFS1gsTRFeUQXi1k/Ll1DH/g==

 user-name-format without-domain

#

domain office

 authentication portal radius-scheme office

 authorization portal none

 accounting portal none

 access-limit disable

 state active

 idle-cut enable 50 1024

 self-service-url disable

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1

 service-template enable

#

interface Vlan-interface1

 ip address 192.168.0.100 255.255.255.0

#

interface Vlan-interface100

 ip address 188.10.0.6 255.255.0.0

#

interface Vlan-interface300

 ip address 188.30.0.6 255.255.0.0

 vrrp vrid 1 virtual-ip 188.30.0.100

 vrrp vrid 1 priority 254

 portal server office method direct

 portal domain office

 portal backup-group 1

#

interface Vlan-interface400

 ip address 188.40.0.6 255.255.0.0

 vrrp vrid 2 virtual-ip 188.40.0.100

 vrrp vrid 2 priority 254

#

interface GigabitEthernet1/0/1

 port link-type access

 port access vlan 400

#

interface GigabitEthernet1/0/2

 port link-type access

 port access vlan 10

#

interface GigabitEthernet1/0/3

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200

 mac-vlan enable

#

wlan ap officeap model WA2620E-AGN id 1

 priority level 7

 serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

 dhbk enable backup-type symmetric-path

 dhbk vlan 10

#

·     AC 2的配置文件：

#

 nas device-id 2

#

 portal server office ip 188.30.0.100 url http://188.30.0.100/portal/logon.htm

 portal local-server http

#

wlan backup-ac ip 188.10.0.6

#

 hot-backup enable domain 1

 hot-backup vlan 10

#

vlan 10

#

vlan 100

#

vlan 200

#

vlan 300

#

vlan 400

#

 stp enable

#

radius scheme office

 primary authentication 188.40.0.8

 key authentication cipher $c$3$bN925R2AEzbHlU1DQ/sAebBT9z2cqwdptg==

 user-name-format without-domain

#

domain office

 authentication portal radius-scheme office

 authorization portal none

 accounting portal none

 access-limit disable

 state active

 idle-cut enable 50 1024

 self-service-url disable

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1

 service-template enable

#

interface Vlan-interface1

 ip address 192.168.0.100 255.255.255.0

#

interface Vlan-interface100

 ip address 188.10.0.7 255.255.0.0

#

interface Vlan-interface300

 ip address 188.30.0.7 255.255.0.0

 vrrp vrid 1 virtual-ip 188.30.0.100

 portal server office method direct

 portal domain office

 portal backup-group 1

#

interface Vlan-interface400

 ip address 188.40.0.7 255.255.0.0

 vrrp vrid 2 virtual-ip 188.40.0.100

#

interface GigabitEthernet1/0/1

 port link-type access

 port access vlan 400

#

interface GigabitEthernet1/0/2

 port link-type access

 port access vlan 10

#

interface GigabitEthernet1/0/3

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200

 mac-vlan enable

#

wlan ap officeap model WA2620E-AGN id 1

 serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

 dhbk enable backup-type symmetric-path

 dhbk vlan 10

#

·     Switch 1的配置文件：

#

 stp enable

#

·     Switch 2的配置文件：

#

vlan 100

#

vlan 300

#

 stp enable

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/3

 port link-type access

 port access vlan 100

 poe enable

#

4  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。

·     《H3C无线控制器产品 配置指导》中的“安全配置指导”。

·     《H3C无线控制器产品 命令参考》中的“安全命令参考”。

·     《H3C无线控制器产品 配置指导》中的“二层技术配置指导”。

·     《H3C无线控制器产品 命令参考》中的“二层技术命令参考”。