远程Portal认证热备典型配置举例(V5)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：6W114-20210416

 

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 配置注意事项

3.4 配置步骤

3.4.1 AC 1的配置

3.4.2 AC 2的配置

3.4.3 L3 switch的配置

3.4.4 L2 switch的配置

3.4.5 Portal/RADIUS服务器的配置

3.5 验证配置

3.6 配置文件

4 相关资料

 

1  简介

本文档介绍了远程Portal认证热备典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解远程Portal认证、双机热备、VRRP和双AC备份等特性。

3  配置举例

3.1  组网需求

如图1所示，AC 1和AC 2之间通过VRRP协议实现双机热备的流量切换，且两台设备均支持Portal认证功能。现要求AC 1和AC 2通过双机热备对Portal用户的业务信息进行备份。具体需求如下：

·     AC 1正常工作的情况下，Client通过AC 1进行Portal认证接入。认证成功后在AC 2上能同时备份Client的Portal相关认证信息。

·     当AC 1发生故障时，Client切换至AC 2上，保证业务流量切换不被中断。

·     Portal/RADIUS服务器作为认证/计费服务器，对Client进行远程Portal认证。

·     AC1和AC2通过VLAN 100传输双机热备报文，AC 1和AC 2其中任何一条链路故障，将不会影响Portal用户数据转发。

图1 远程Portal认证热备组网图

 

 

3.2  配置思路

·     为了避免两台AC和下行设备L2 switch产生环路，并在主备切换时，尽快完成收敛，需要在AC 1和AC 2上使能MSTP功能，并设置AC 1为根桥。

·     为了实现Portal用户数据备份功能，需要分别在AC 1 和AC 2上配置双AC备份功能，使AC 1和AC 2的用户数据同步。

·     为了实现互为备份的两台AC可以同时处理用户数据热备功能，需要分别在AC 1和AC 2上配置VRRP备份组，使AC 1和AC 2在同一VRRP组里。

3.3  配置注意事项

·     配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

·     互为双机热备的两台AC对于Portal服务器和AAA服务器需要呈现同一个客户端IP地址，所以AC 1与AC 2配置的Portal NAS-IP必须为VRRP备份组1的虚拟IP地址。

·     AC 1与AC 2上与Portal和WLAN的相关配置必须一致。

·     AC 1与AC 2上所使用版本必须一致。

·     AC 1与AC 2配置Nas Device-id不能一致。

3.4  配置步骤

3.4.1  AC 1的配置

(1)     配置AC 1的接口

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道，同时VLAN 100也作为业务备份VLAN。

[AC1] vlan 100

[AC1-vlan100] quit

[AC1] interface vlan-interface 100

[AC1-Vlan-interface100] ip address 112.1.1.10 16

[AC1-Vlan-interface100] quit

# 创建VLAN 200作为ESS接口的缺省VLAN。

[AC1] vlan 200

[AC1-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN。

[AC1] vlan 300 

[AC1-vlan300] quit

# 配置VLAN 300的接口IP地址为112.3.1.10/16。

[AC1] interface vlan-interface 300

[AC1-Vlan-interface300] ip address 112.3.1.10 16

[AC1-Vlan-interface300] quit

# 配置AC 1与L2 switch相连的GigabitEthernet1/0/1接口的链路类型为Trunk，PVID为100，允许VLAN 100和VLAN 300通过。

[AC1] interface gigabitethernet 1/0/1

[AC1-GigabitEthernet1/0/1] port link-type trunk

[AC1-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[AC1-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC1-GigabitEthernet1/0/1] quit

# 创建WLAN-ESS 1接口，并设置端口的链路类型为Hybrid。

[AC1] interface wlan-ess 1

[AC1-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为200，禁止VLAN 1通过并允许VLAN 200不带Tag通过。

[AC1-WLAN-ESS1] undo port hybrid vlan 1

[AC1-WLAN-ESS1] port hybrid vlan 200 untagged

[AC1-WLAN-ESS1] port hybrid pvid vlan 200

# 在Hybrid端口上使能MAC VLAN功能。

[AC1-WLAN-ESS1] mac-vlan enable

[AC1-WLAN-ESS1] quit

(2)     配置MSTP

# 配置生成树的工作模式为MSTP。

[AC1] stp mode mstp

# 激活MST域。

[AC1] stp region-configuration

[AC1-mst-region] active region-configuration

[AC1-mst-region] quit

# 配置AC 1为根桥。

[AC1] stp root primary

# 使能STP功能。

[AC1] stp enable

(3)     配置认证策略和认证域

# 在AC 1上创建RADIUS方案office并进入RADIUS方案视图。

<AC1> system-view

[AC1] radius scheme office

# 设置主认证、计费RADIUS服务器的IP地址为8.1.1.5。

[AC1-radius-office] primary authentication 8.1.1.5

[AC1-radius-office] primary accounting 8.1.1.5

# 设置系统与认证、计费RADIUS服务器交互报文时的共享密钥为123456789。

[AC1-radius-office] key authentication simple 123456789

[AC1-radius-office] key accounting simple 123456789

# 指定发送给RADIUS方案office中RADIUS服务器的用户名不得携带域名。

[AC1-radius-office] user-name-format without-domain

# 配置RADIUS方案中NAS-IP为112.1.1.6。

[AC1-radius-office] nas-ip 112.1.1.6

[AC1-radius-office] quit

# 创建office域并进入其视图。

[AC1] domain office

# 在ISP域office下，为Portal用户配置认证、授权、计费方案为RADIUS方案，方案名为office。

[AC1-isp-office] authentication portal radius-scheme office

[AC1-isp-office] authorization portal radius-scheme office

[AC1-isp-office] accounting portal radius-scheme office

# 设置当前ISP域下的用户闲置切断功能，闲置检测时间为60分钟。

[AC1-isp-office] idle-cut enable 60

[AC1-isp-office] quit

(4)     配置Portal Server

# 配置Portal服务器portal的IP地址为8.1.1.5、密钥为明文123456789、HTTP重定向的URL为http://8.1.1.5:8080/portal。

[AC1] portal server portal ip 8.1.1.5 key simple 123456789 url http://8.1.1.5:8080/portal

# 配置在接口VLAN 300上启用Portal认证，并配置为直接认证方式。

[AC1] interface vlan-interface 300

[AC1-Vlan-interface300] portal server portal method direct

# 配置从接口VLAN 300接入的IPv4 Portal用户使用认证域为office。

[AC1-Vlan-interface300] portal domain office

# 配置双机热备组网环境中，Master AC的业务备份接口VLAN 300属于Portal备份组1。

[AC1-Vlan-interface300] portal backup-group 1

# 配置接口VLAN 300发送Portal报文使用的IPv4源地址为112.1.1.6。

[AC1-Vlan-interface300] portal nas-ip 112.1.1.6

[AC1-Vlan-interface300] quit

# 配置双机热备模式下的设备ID为1。

[AC1] nas device-id 1

# 使能双机热备业务备份功能，且支持对称路径。

[AC1] dhbk enable backup-type symmetric-path

# 配置双机热备业务备份VLAN为VLAN 100。

[AC1] dhbk vlan 100

# 配置Portal免认证规则，使得符合源接口为AC 1与L2 switch相连的接口的报文不会触发Portal认证。

[AC1] portal free-rule 0 source interface gigabitethernet 1/0/1

(5)     配置到Portal/Radius服务器的静态路由

# 配置下一跳地址为L3 switch的VLAN 100接口地址的静态路由。

[AC1] ip route-static 8.0.0.0 255.0.0.0 112.1.1.5

(6)     配置AC 1的WLAN双机热备

# 配置AC 1的备份AC，即AC 2的IP地址为112.1.1.9。

[AC1] wlan backup-ac ip 112.1.1.9

# 使能AC 1的热备份功能。

[AC1] hot-backup enable

# 配置AC 1用于热备份的本端数据端口的VLAN ID为200。

[AC1] hot-backup vlan 200

(7)     配置VRRP功能

# 配置AC 1的VLAN 100接口加入VRRP备份组1，VRRP备份组1的虚拟IP地址为112.1.1.6。

[AC1] interface vlan-interface 100

[AC1-Vlan-interface100] vrrp vrid 1 virtual-ip 112.1.1.6

# 配置备份组优先级为250，以保证AC 1成为VRRP组1的Master设备。

[AC1-Vlan-interface100] vrrp vrid 1 priority 250

[AC1-Vlan-interface100] quit

# 配置AC 1的VLAN 300接口加入VRRP备份组2，VRRP备份组2的虚拟IP地址为112.3.1.100。

[AC1] interface vlan-interface 300

[AC1-Vlan-interface300] vrrp vrid 2 virtual-ip 112.3.1.100

# 配置备份组优先级为250，以保证AC 1成为VRRP组2的Master设备。

[AC1-Vlan-interface300] vrrp vrid 2 priority 250

[AC1-Vlan-interface300] quit

(8)     配置无线服务

# 创建clear类型的服务模板1。

[AC1] wlan service-template 1 clear

# 设置当前服务模板的SSID为service。

[AC1-wlan-st-1] ssid service

# 将WLAN-ESS 1接口绑定到服务模板1。

[AC1-wlan-st-1] bind wlan-ess 1

# 启用无线服务。

[AC1-wlan-st-1] service-template enable 

[AC1-wlan-st-1] quit

(9)     配置射频接口并绑定服务模板

# 创建AP的管理模板，名称为officeap，型号名称这里选择WA2620E-AGN。

[AC1] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC1-wlan-ap-officeap] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC1-wlan-ap-officeap] radio 2

# 将在AC上配置的clear类型的服务模板1与射频2进行关联，同时设置绑定到该射频的VLAN为VLAN 300。

[AC1-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC1-wlan-ap-officeap-radio-2] radio enable

[AC1-wlan-ap-officeap-radio-2] quit

3.4.2  AC 2的配置

(1)     配置AC 2的接口

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

[AC2] vlan 100

[AC2-vlan100] quit

[AC2] interface vlan-interface 100

[AC2-Vlan-interface100] ip address 112.1.1.9 16

[AC2-Vlan-interface100] quit

# 创建VLAN 200作为ESS接口的缺省VLAN。

[AC2] vlan 200

[AC2-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN。

[AC2] vlan 300 

[AC2-vlan300] quit

# 配置VLAN 300的接口IP地址为112.3.1.9/16。

[AC2] interface vlan-interface 300

[AC2-Vlan-interface300] ip address 112.3.1.9 16

[AC2-Vlan-interface300] quit

# 配置AC 2与L2 switch相连的GigabitEthernet1/0/1接口的链路类型为Trunk，PVID为100，允许VLAN 100和VLAN 300通过。

[AC2] interface gigabitethernet 1/0/1

[AC2-GigabitEthernet1/0/1] port link-type trunk

[AC2-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[AC2-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC2-GigabitEthernet1/0/1] quit

# 创建WLAN-ESS 1接口，并设置端口的链路类型为Hybrid。

[AC2] interface wlan-ess 1

[AC2-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为200，禁止VLAN 1通过并允许VLAN 200不带Tag通过。

[AC2-WLAN-ESS1] undo port hybrid vlan 1

[AC2-WLAN-ESS1] port hybrid vlan 200 untagged

[AC2-WLAN-ESS1] port hybrid pvid vlan 200

# 在Hybrid端口上使能MAC VLAN功能。

[AC2-WLAN-ESS1] mac-vlan enable

[AC2-WLAN-ESS1] quit

(2)     配置MSTP

# 配置生成树的工作模式为MSTP。

[AC2] stp mode mstp

# 激活MST域。

[AC2] stp region-configuration

[AC2-mst-region] active region-configuration

[AC2-mst-region] quit

# 使能STP功能。

[AC2] stp enable

(3)     配置认证策略和认证域

# 在AC 2上创建RADIUS方案office并进入其视图。

<AC2> system-view

[AC2] radius scheme office

# 设置主认证、计费RADIUS服务器的IP地址为8.1.1.5。

[AC2-radius-office] primary authentication 8.1.1.5

[AC2-radius-office] primary accounting 8.1.1.5

# 设置系统与认证、计费RADIUS服务器交互报文时的共享密钥为123456789。

[AC2-radius-office] key authentication simple 123456789

[AC2-radius-office] key accounting simple 123456789

# 指定发送给RADIUS方案office中RADIUS服务器的用户名不得携带域名。

[AC2-radius-office] user-name-format without-domain

# 配置RADIUS方案中NAS-IP为112.1.1.6。

[AC2-radius-office] nas-ip 112.1.1.6

[AC2-radius-office] quit

# 创建office域并进入其视图。

[AC2] domain office

# 在ISP域office下，为Portal用户配置认证、授权、计费方案为RADIUS方案，方案名为office。

[AC2-isp-office] authentication portal radius-scheme office

[AC2-isp-office] authorization portal radius-scheme office

[AC2-isp-office] accounting portal radius-scheme office

# 设置当前ISP域下的用户闲置切断功能，闲置检测时间为60分钟。

[AC2-isp-office] idle-cut enable 60

[AC2-isp-office] quit

(4)     配置Portal Server

# 配置Portal服务器portal的IP地址为8.1.1.5、密钥为明文123456789、HTTP重定向的URL为http://8.1.1.5:8080/portal。

[AC2] portal server portal ip 8.1.1.5 key simple 123456789 url http://8.1.1.5:8080/portal

# 配置在接口VLAN 300上启用三层Portal认证，并配置为直接认证方式。

[AC2] interface vlan-interface 300

[AC2-Vlan-interface300] portal server portal method direct

# 配置从接口VLAN 300接入的IPv4 Portal用户使用认证域为office。

[AC2-Vlan-interface300] portal domain office

# 配置双机热备组网环境中，BackupAC的业务备份接口VLAN 300属于Portal备份组1。

[AC2-Vlan-interface300] portal backup-group 1

# 配置接口VLAN 300发送Portal报文使用的IPv4源地址为112.1.1.6。

[AC2-Vlan-interface300] portal nas-ip 112.1.1.6

[AC2-Vlan-interface300] quit

# 配置双机热备模式下的设备ID为2。

[AC2] nas device-id 2

# 使能双机热备业务备份功能，且支持对称路径。

[AC2] dhbk enable backup-type symmetric-path

# 配置双机热备业务备份VLAN为VLAN 100。

[AC2] dhbk vlan 100

# 配置Portal免认证规则，使得符合源接口为AC 2与L2 switch相连的接口的报文不会触发Portal认证。

[AC2] portal free-rule 0 source interface gigabitethernet 1/0/1

(5)     配置到Portal/Radius服务器的静态路由

# 配置下一跳地址为L3 switch的VLAN 100接口地址的静态路由

[AC2] ip route-static 8.0.0.0 255.0.0.0 112.1.1.5

(6)     配置AC 2的双AC备份功能

# 配置AC 2的备份AC，即AC 1的IP地址为112.1.1.10。

[AC2] wlan backup-ac ip 112.1.1.10

# 使能AC 2的热备份功能。

[AC2] hot-backup enable

# 配置AC 2用于热备份的本端数据端口的VLAN ID为200。

[AC2] hot-backup vlan 200

(7)     配置VRRP功能

# 配置AC 2的VLAN 100接口加入VRRP备份组1，虚拟IP地址为112.1.1.6，AC 2在备份组1中的优先级取缺省值100。

[AC2] interface vlan-interface 100

[AC2-Vlan-interface100] vrrp vrid 1 virtual-ip 112.1.1.6

[AC2-Vlan-interface100] quit

# 配置AC 2的VLAN 300接口加入VRRP备份组2，虚拟IP地址为112.3.1.100，AC 2在备份组2中的优先级取缺省值100。

[AC2] interface vlan-interface 300

[AC2-Vlan-interface300] vrrp vrid 2 virtual-ip 112.3.1.100

[AC2-Vlan-interface300] quit

(8)     配置无线服务

# 创建clear类型的服务模板1。

[AC2] wlan service-template 1 clear

# 设置当前服务模板的SSID为service。

[AC2-wlan-st-1] ssid service

# 将WLAN-ESS 1接口绑定到服务模板1。

[AC2-wlan-st-1] bind wlan-ess 1

# 启用无线服务。

[AC2-wlan-st-1] service-template enable 

[AC2-wlan-st-1] quit

(9)     配置射频接口并绑定服务模板

# 创建AP的管理模板，名称为officeap，型号名称选择WA2620E-AGN。

[AC2] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC2-wlan-ap-officeap] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC2-wlan-ap-officeap] radio 2

# 将在AC上配置的clear类型的服务模板1与射频2进行关联，同时设置绑定到该射频的VLAN为VLAN 300。

[AC2-wlan-ap-officeap1-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC2-wlan-ap-officeap1-radio-2] radio enable

[AC2-wlan-ap-officeap1-radio-2] quit

3.4.3  L3 switch的配置

# 创建VLAN 100和VLAN 300。

<L3 switch> system-view

[L3 switch] vlan 100

[L3 switch-vlan100] quit

[L3 switch] vlan 300

[L3 switch-vlan300] quit

# 配置VLAN 100接口的IP地址为112.1.1.5/16，作为AC到Portal/Radius服务器的静态路由的下一跳。

[L3 switch] interface vlan-interface 300

[L3 switch-Vlan-interface100] ip address 112.1.1.5 16

[L3 switch-Vlan-interface100] quit

# 配置L3 switch使能DHCP服务。

[L3 switch] dhcp enable

# 创建名为vlan100的DHCP地址池，配置动态分配的网段为112.1.0.0/16，网关地址为112.1.1.6，为AP分配IP地址。

[L3 switch] dhcp server ip-pool vlan100

[L3 switch-dhcp-pool-vlan100] network 112.1.0.0 mask 255.255.0.0

[L3 switch-dhcp-pool-vlan100] gateway-list 112.1.1.6

[L3 switch-dhcp-pool-vlan100] quit

# 创建名为vlan300的DHCP地址池，配置动态分配的网段为112.3.0.0/16，网关地址为112.3.1.100，为Client分配IP地址。

[L3 switch] dhcp server ip-pool vlan300

[L3 switch-dhcp-pool-vlan300] network 112.3.0.0 mask 255.255.0.0

[L3 switch-dhcp-pool-vlan300] gateway-list 112.3.1.100

[L3 switch-dhcp-pool-vlan300] quit

3.4.4  L2 switch的配置

# 创建VLAN 100和VLAN 300，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300为无线用户接入的VLAN。

<L2 switch> system-view

[L2 switch] vlan 100

[L2 switch-vlan100] quit

[L2 switch] vlan 300

[L2 switch-vlan300] quit

# 配置Switch与AC 1相连的GigabitEthernet1/0/1接口的链路类型为Trunk，PVID为100，并允许VLAN 100和VLAN 300通过。

[L2 switch] interface gigabitethernet 1/0/1

[L2 switch-GigabitEthernet1/0/1] port link-type trunk

[L2 switch-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[L2 switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[L2 switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口的链路类型为Access，并允许VLAN 100通过，并使能PoE功能。

[L2 switch] interface gigabitethernet 1/0/2

[L2 switch-GigabitEthernet1/0/2] port link-type access

[L2 switch-GigabitEthernet1/0/2] port access vlan 100

[L2 switch-GigabitEthernet1/0/2] poe enable

[L2 switch-GigabitEthernet1/0/2] quit

# 配置Switch与AC 2相连的GigabitEthernet1/0/3接口的链路类型为Trunk，PVID为100，并允许VLAN 100和VLAN 300通过。

[L2 switch] interface gigabitethernet 1/0/3

[L2 switch-GigabitEthernet1/0/3] port link-type trunk

[L2 switch-GigabitEthernet1/0/3] port trunk permit vlan 100 300

[L2 switch-GigabitEthernet1/0/3] port trunk pvid vlan 100

[L2 switch-GigabitEthernet1/0/3] quit

# 配置生成树的工作模式为MSTP。

[L2 switch] stp mode mstp

# 激活MST域。

[L2 switch] stp region-configuration

[L2 switch-mst-region] active region-configuration

[L2 switch-mst-region] quit

# 使能STP功能。

[L2 switch] stp enable

3.4.5  Portal/RADIUS服务器的配置

 

# 增加接入设备

登录进入IMC管理平台，选择“用户”页签，单击导航树中的[接入设备管理/接入设备配置/接入设备配置]菜单项，进入“接入设备配置”页面，在该页面中单击<增加>按钮，进入“增加接入设备”页面。

·     设置与AC交互报文时使用的认证、计费共享密钥为“123456789”；

·     设置认证及计费的端口号分别为“1812”和“1813”；

·     选择业务类型为“LAN接入业务”；

·     选择接入设备类型为“H3C(General)”；

·     在设备列表中，单击<手工增加>按钮，添加IP地址为112.1.1.6的接入设备；

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图2 增加接入设备

 

# 增加接入策略。

选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，进入“接入策略管理”页面，单击<增加>按钮，进入“增加接入策略”页面。

·     接入策略名为“portal”，该名称可以自行定义；

·     业务分组选择“未分组”；

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图3 增加接入策略

 

# 增加接入服务配置。

选择“用户”页签，单击导航树中的[接入策略管理/接入服务管理]菜单项，进入“接入服务管理”页面，在该页面中单击<增加>按钮，进入“增加接入服务”页面。

·     输入服务名“portal auth”，该名称可以自行定义；

·     业务分组“未分组”；

·     缺省接入策略“portal”，即上一步配置的接入策略名；

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

图4 增加接入服务

 

# 增加接入用户。

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，进入接入用户列表页面，在该页面中单击<增加>按钮，进入增加接入用户页面。

·     在增加接入用户页面，单击<增加用户>按钮弹出增加用户窗口；

·     输入用户名“admin”；

·     输入证件号码“12345”；

·     单击<检查是否可用>按钮；

·     如用户姓名和证件号码可用，单击<确定>按钮完成操作。

图5 增加用户

 

在“增加接入用户”页面，按如下方式配置。

·     输入账号名“user”；

·     输入密码“123456”；

·     接入服务选择“portal auth”；

·     其他配置保持默认；

·     单击<确定>按钮完成操作。

图6 增加接入用户

 

# 配置Portal主页

选择“用户”页签，单击导航树中的[接入策略管理/Portal服务管理/服务器配置]菜单项，进入“服务器配置”页面，配置Portal主页，采用默认配置即可，单击<确定>按钮完成。

图7 服务器配置

 

# 配置Portal认证的地址组范围

选择“用户”页签，单击导航树中的[接入策略管理/Portal服务管理/IP地址组配置]菜单项，单击<增加>按钮，配置Portal认证的地址组范围。

·     配置IP地址组名为“portal”；

·     配置起始地址为112.3.0.0；

·     配置终止地址为112.3.255.255；

·     其他采用默认配置；

·     单击<确定>按钮完成操作。

图8 增加IP地址组

 

# 配置接入设备信息

选择“用户”页签，单击导航树中的[接入策略管理/Portal服务管理/设备配置]菜单项，单击“增加”按钮，配置Portal认证的接入设备。

·     配置设备名为“AC”；

·     配置IP地址为112.1.1.6；

·     配置密钥为“123456789”，该密钥与AC上配置Portal服务器时设置的密钥一致；

·     其他采用默认配置即可；

·     单击<确定>按钮完成操作。

图9 增加设备信息

 

# 配置端口组

返回[用户接入管理/Portal服务管理/设备配置]菜单项，在“设备信息列表”中找到设备AC，在“操作”列表下选中<端口组信息管理>按钮，图标为，进入“端口组信息配置”页签。

图10 设备配置

 

在 “端口组信息列表”子页签，单击<增加>按钮，进入到“增加端口组信息”页面。

·     配置端口组名为“port_portal”；

·     配置IP地址组，选取创建的地址组“portal”；

·     其他采用默认配置即可；

·     单击<确定>按钮完成操作。

图11 增加端口组信息

 

3.5  验证配置

# Client从AC 1成功上线后，在AC 1上通过命令display portal user all查看该用户的认证情况。可以看到Portal用户的工作模式为主用户模式primary，表示该用户是由AC 1上线。

[AC1] display portal user all

 Index:0

 State:ONLINE

 SubState:NONE

 ACL:NONE

 Work-mode:primary

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 3ca9-f414-4c20   112.3.0.2         300    Vlan-interface300

 Total 1 user(s) matched, 1 listed.

# Client从AC 1成功上线后，在AC 2通过命令display portal user all查看该用户的认证情况。可以看到Portal用户的工作模式为备用户模式secondary，表示该用户的认证信息同步到AC 2上。

[AC2] display portal user all

 Index:0

 State:ONLINE

 SubState:NONE

 ACL:NONE

 Work-mode:secondary

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 3ca9-f414-4c20   112.3.0.2         300    Vlan-interface300

 Total 1 user(s) matched, 1 listed.

# 通过将AC 1下电模拟主AC宕机的情形，使得AC发生主备切换，此时，在AC 2上便可以查看到用户的状态由“secondary”转换为“stand-alone”状态，说明此时只有AC 2处于工作状态。

[AC2] display portal user all

 Index:0

 State:ONLINE

 SubState:NONE

 ACL:NONE

 Work-mode: stand-alone

 MAC              IP                Vlan   Interface

 ----------------------------------------------------------------------------

 3ca9-f414-4c20   112.3.0.2         300    Vlan-interface300

 Total 1 user(s) matched, 1 listed.

3.6  配置文件

·     AC 1的配置文件：

#

portal server portal ip 8.1.1.5 key cipher $c$3$yPJYbIZntOml+Mp2097juefT3q3lvkuGWoqXWw== url http://8.1.1.5:8080/portal

 portal free-rule 1 source interface GigabitEthernet1/0/1 destination any

#

 wlan backup-ac ip 112.1.1.9

#

 hot-backup enable domain 1

 hot-backup vlan 200

#

vlan 100

#

vlan 200

#

vlan 300

#

 stp instance 0 root primary

 stp enable

#

radius scheme office

 primary authentication 8.1.1.5

 primary accounting 8.1.1.5

key authentication cipher $c$3$Vy4zlTRK9dGfqIRznkpunGreP66fzGClKx+/3w==

key accounting cipher $c$3$FNRuWQMfrvaCHSE8tgxhQtnuUSaGAScmBCWdDA==

 user-name-format without-domain

 nas-ip 112.1.1.6

#

domain office

 authentication portal radius-scheme office

 authorization portal radius-scheme office

 accounting portal radius-scheme office

 access-limit disable

 state active

 idle-cut enable 60 10240

 self-service-url disable

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1

 service-template enable

#

interface Vlan-interface100

 ip address 112.1.1.10 255.255.0.0

 vrrp vrid 1 virtual-ip 112.1.1.6

 vrrp vrid 1 priority 250

#

interface Vlan-interface300

 ip address 112.3.1.10 255.255.0.0

 vrrp vrid 2 virtual-ip 112.3.1.100

 vrrp vrid 2 priority 250

 portal server portal method direct

 portal domain office

 portal backup-group 1

 portal nas-ip 112.1.1.6

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200

 mac-vlan enable

#

wlan ap officeap model WA2620E-AGN id 1

 serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

 ip route-static 8.0.0.0 255.0.0.0 112.1.1.5

#

 dhbk enable backup-type symmetric-path

 dhbk vlan 100

#

·     AC 2的配置文件：

#

 port-security enable

#

 portal server portal ip 8.1.1.5 key cipher $c$3$qWCKr5ioUOEhJeHSVPpx7VceW+Y9tR

ss6aDRkQ== url http://8.1.1.5:8080/portal

 portal free-rule 1 source interface GigabitEthernet1/0/1 destination any

#

wlan backup-ac ip 112.1.1.10

#

 hot-backup enable domain 1

 hot-backup vlan 200

#

vlan 100

#

vlan 200

#

vlan 300

#

 stp enable

#

radius scheme office

 primary authentication 8.1.1.5

primary accounting 8.1.1.5

key authentication cipher $c$3$DwdyO3FJaT6fUII3MkEHQ8OLzb5+8KT3Bhk3Og==

key accounting cipher $c$3$nVZDWB52/+OctKvssb6qF8o3X5B3slIcrDrnKQ==

 user-name-format without-domain

 nas-ip 112.1.1.6

#

domain office

 authentication portal radius-scheme office

 authorization portal radius-scheme office

 accounting portal radius-scheme office

 access-limit disable

 state active

 idle-cut enable 60 10240

 self-service-url disable

#

wlan service-template 1 clear

 ssid service

bind WLAN-ESS 1

service-template enable

#

interface Vlan-interface100

 ip address 112.1.1.9 255.255.0.0

 vrrp vrid 1 virtual-ip 112.1.1.6

#

interface Vlan-interface300

 ip address 112.3.1.9 255.255.0.0

 vrrp vrid 2 virtual-ip 112.3.1.100

 portal server portal method direct

 portal domain office

 portal backup-group 1

 portal nas-ip 112.1.1.6

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200

 mac-vlan enable

#

wlan ap office model WA2620E-AGN id 1

 serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

 ip route-static 8.0.0.0 255.0.0.0 112.1.1.5

#

 dhbk enable backup-type symmetric-path

 dhbk vlan 100

#

·     L3 Switch的配置文件：

#

 vlan 100

#

 vlan 300

#

interface Vlan-interface300

 ip address 112.1.1.5 255.255.0.0

#

 dhcp enable

#

dhcp server ip-pool vlan100

 network 112.1.0.0 mask 255.255.0.0

 gateway-list 112.1.1.6

#

dhcp server ip-pool vlan300

 network 112.3.0.0 mask 255.255.0.0

 gateway-list 112.3.1.100

#

·     L2 Switch的配置文件：

#

vlan 100

#

vlan 300

#

 stp enable

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/3

 port link-type access

 port access vlan 100

 poe enable

#

4  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。

·     《H3C无线控制器产品 配置指导》中的“安全配置指导”。

·     《H3C无线控制器产品 命令参考》中的“安全命令参考”。

·     《H3C无线控制器产品 配置指导》中的“二层技术配置指导”。

·     《H3C无线控制器产品 命令参考》中的“二层技术命令参考”。

·     《H3C无线控制器产品 配置指导》中的“可靠性配置指导”。

·     《H3C无线控制器产品 命令参考》中的“可靠性命令参考”。