H3C无线控制器远程MAC认证典型配置举例(V5)

资料版本：6W114-20210416

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置注意事项

3.3 配置步骤

3.3.1 配置AC

3.3.2 配置Switch

3.3.3 配置RADIUS服务器

3.4 验证配置

3.5 配置文件

4 相关资料

1  简介

本文档介绍无线客户端通过RADIUS服务器进行MAC地址认证的典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解MAC地址认证、WLAN用户接入认证和WLAN接入特性。

3  配置举例

3.1  组网需求

如图1所示，集中式转发架构下，AP和Client通过DHCPv6 server获取IPv6地址，要求在AC上使用MAC地址用户名格式认证方式进行用户身份认证，以控制其对网络资源的访问。

图1 远程MAC地址认证配置组网图

3.2  配置注意事项

·     配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

·     配置Switch和AP相连的接口禁止VLAN 1报文通过，以防止AC上VLAN 1内的报文过多。

3.3  配置步骤

3.3.1  配置AC

(1)     配置AC的接口

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IPv6地址。AP将通过该VLAN与AC建立LWAPP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ipv6 address 2001::1 64

# 取消对RA消息发布的抑制。

[AC-Vlan-interface100] undo ipv6 nd ra halt

# 设置被管理地址配置标志位为1。

[AC-Vlan-interface100] ipv6 nd autoconfig managed-address-flag

# 设置其他配置标志位为1。

[AC-Vlan-interface100] ipv6 nd autoconfig other-flag

[AC-Vlan-interface100] quit

# 创建VLAN 200作为WLAN-ESS接口的缺省VLAN。

[AC] vlan 200

[AC-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN，配置VLAN 300的接口IPv6地址。

[AC] vlan 300

[AC-vlan300] quit

[AC] interface vlan-interface 300

[AC-Vlan-interface300] ipv6 address 2003::1 64

# 取消对RA消息发布的抑制。

[AC-Vlan-interface300] undo ipv6 nd ra halt

# 设置被管理地址配置标志位为1。

[AC-Vlan-interface300] ipv6 nd autoconfig managed-address-flag

# 设置其他配置标志位为1。

[AC-Vlan-interface300] ipv6 nd autoconfig other-flag

[AC-Vlan-interface300] quit

# 配置AC和Switch相连的接口GigabitEthernet1/0/1为Trunk类型，禁止VLAN 1报文通过，允许VLAN 100和VLAN 300通过，当前Trunk口的PVID为100。

[AC] interface gigabitethernet1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/1] quit

(2)     配置DHCPv6 server

# 使能DHCPv6服务器功能。

[AC] ipv6 dhcp server enable

# 创建DHCPv6地址池1，配置地址池范围为2004::/64，为AP分配IPv6地址。

[AC] ipv6 dhcp pool 1

[AC-dhcp6-pool-1] network 2004::/64

[AC-dhcp6-pool-1] quit

# 创建DHCPv6地址池2，配置地址池范围为2003::/64，为Client分配IPv6地址。

[AC] ipv6 dhcp pool 2

[AC-dhcp6-pool-2] network 2003::/64

[AC-dhcp6-pool-2] quit

# 配置VLAN接口100工作在DHCPv6服务器模式，引用地址池1，为AP分配IPv6地址。

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ipv6 dhcp server apply pool 1

[AC-Vlan-interface100] quit

# 配置VLAN接口300工作在DHCPv6服务器模式，引用地址池2，为AP分配IPv6地址。

[AC] interface vlan-interface 300

[AC-Vlan-interface300] ipv6 dhcp server apply pool 2

[AC-Vlan-interface300] quit

(3)     配置AAA

# 创建名字为office的RADIUS方案并进入该方案视图。

[AC] radius scheme office

# 配置RADIUS方案的主认证服务器IPv6地址。

[AC-radius-office] primary authentication ipv6 2001::2

# 配置RADIUS方案的主计费服务器IPv6地址。

[AC-radius-office] primary accounting ipv6 2001::2

# 将RADIUS方案office的认证报文的共享密钥设置为明文123456789。

[AC-radius-office] key authentication simple 123456789

# 将RADIUS方案office的计费报文的共享密钥设置为明文123456789。

[AC-radius-office] key accounting simple 123456789

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC-radius-office] user-name-format without-domain

# 设置设备发送RADIUS报文使用的源IPv6地址为2001::1。

[AC-radius-office] nas-ip ipv6 2001::1

[AC-radius-office] quit

# 创建office域并进入其视图。

[AC] domain office

# 为MAC地址认证用户配置认证方案为RADIUS方案，方案名为office。

[AC-isp-office] authentication lan-access radius-scheme office

# 为MAC地址认证用户配置授权方案为RADIUS方案，方案名为office。

[AC-isp-office] authorization lan-access radius-scheme office

# 为MAC地址认证用户配置计费方案为RADIUS方案，方案名为office。

[AC-isp-office] accounting lan-access radius-scheme office

[AC-isp-office] quit

(4)     配置MAC地址认证

# 使能端口安全。

[AC] port-security enable

# 创建WLAN-ESS1接口，并进入该视图。

[AC] interface wlan-ess 1

# 设置端口的链路类型为Hybrid。

[AC-WLAN-ESS1] port link-type hybrid

# 设置端口允许VLAN 300的报文不带VLAN tag通过。

[AC-WLAN-ESS1] port hybrid vlan 300 untagged

# 设置端口禁止VLAN 1的报文通过。

[AC-WLAN-ESS1] undo port hybrid vlan 1

# 指定端口缺省VLAN为VLAN 300。

[AC-WLAN-ESS1] port hybrid pvid vlan 300

# 使能端口的MAC VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

# 配置MAC端口安全模式。

[AC-WLAN-ESS1] port-security port-mode mac-and-psk

# 启用密钥协商功能。

[AC-WLAN-ESS1] port-security tx-key-type 11key

# 配置预共享密钥为12345678。

[AC-WLAN-ESS1] port-security preshared-key pass-phrase 12345678

# 配置MAC地址认证用户使用的ISP域为office。

[AC-WLAN-ESS1] mac-authentication domain office

[AC-WLAN-ESS1] quit

# 配置MAC地址认证的用户名和密码均为用户的MAC地址（该配置为缺省配置）。

[AC] mac-authentication user-name-format mac-address without-hyphen lowercase

# 配置MAC地址认证用户使用的ISP域为local-mac。

[AC] mac-authentication domain office

(5)     配置无线服务

# 创建型号为WA2620E-AGN的AP模板名为officeap，指定其序列号。

[AC] wlan ap officeap model WA2620E-AGN

[AC-wlan-ap-officeap] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC-wlan-ap-officeap] radio 2

# 配置的服务模板1与射频2关联，设置绑定到射频接口的VLAN编号为VLAN 300。

[AC-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC-wlan-ap-officeap-radio-2] radio enable

[AC-wlan-ap-officeap-radio-2] quit

[AC-wlan-ap-officeap] quit

# 创建无线服务模板1，并进入无线服务模板视图。

[AC] wlan service-template 1 crypto

# 配置SSID为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS1接口绑定到无线服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 配置认证方式为开放认证。

[AC-wlan-st-1] authentication-method open-system

# 启用CCMP加密套件。

[AC-wlan-st-1] cipher-suite ccmp

# 配置安全信息元素为RSN。

[AC-wlan-st-1] security-ie rsn

# 开启无线服务模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

3.3.2  配置Switch

# 创建VLAN 100和VLAN 200，其中VLAN 100用于转发AC和AP间CAPWAP隧道内的流量，VLAN 200用于转发Client无线报文。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 200

[Switch-vlan200] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk，禁止VLAN 1报文通过，允许VLAN 100通过，当前Trunk口的PVID为100。

[Switch] interface gigabitethernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过。

[Switch] interface gigabitethernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 开启PoE接口远程供电功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

3.3.3  配置RADIUS服务器

(1)     增加接入设备

登录进入iMC管理平台，“用户”页签，单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项，单击<增加>按钮，进入“增加接入设备”页面，单击<增加IPv6设备>按钮，进入“手工增加接入设备”页面。

·     填写起始IPv6地址为“2001::1”。

·     单击<确定>按钮完成操作。

·     在“接入配置”区域配置共享密钥为“123456789”，该共享密钥与AC上配置RADIUS服务器上的密钥一致。

·     其他配置采用页面默认配置即可。

·     单击<确定>按钮完成操作。

(2)     增加接入规则配置

选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，单击<增加>按钮，创建一条接入策略。

·     配置接入策略名为“office”。

·     其它参数采用缺省值，并单击<确定>按钮完成操作。

(3)     增加服务配置

选择“用户”页签，单击导航树中的[接入策略管理/接入服务管理]菜单项，单击<增加>按钮，创建一条服务。

·     配置服务名为“office_mac”（这里的服务名可以任意命名）。

·     缺省接入策略选择“office”。

·     其他采用默认配置。

·     单击<确定>按钮完成配置。

(4)     增加接入用户

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，单击<增加>按钮，增加一个接入用户。

·     单击<增加用户>按钮，输入用户姓名“adm_office_mac”和证件号码“adm_office_mac”，单击<确定>按钮完成。

·     配置帐号名“admin”和密码“123456”。

·     勾选绑定服务名“office_mac”。

·     单击<确定>按钮完成。

3.4  验证配置

# 完成以上配置后，无线用户Client连接到WLAN网络并进行MAC地址认证。在AC上通过命令display wlan client可以看见无线用户Client从VLAN 300上线。

[AC] display wlan client

 Total Number of Clients           : 1

MAC address     Username       AP name     RID   IP address      IPv6 address   VLAN

3ca9-f414-4c20  3ca9f4144c20   officeap    2     N/A             2003::2        300

3.5  配置文件

·     AC：

#

 port-security enable

#

 mac-authentication domain office

#

 ipv6 dhcp server enable

#

vlan 100

#

vlan 200

#

vlan 300

#

radius scheme office

 primary authentication ipv6 2001::0002

 primary accounting ipv6 2001::0002

 key authentication cipher $c$3$yo3JtYv4nudQQagshEbNynCWjIaLSmo=

 key accounting cipher $c$3$HCq14LPxOPjsJ902EQZaQag57yVGK30=

 user-name-format without-domain

 nas-ip ipv6 2001::1

#

domain office

 authentication lan-access radius-scheme office

 authorization lan-access radius-scheme office

 accounting lan-access radius-scheme office

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

wlan service-template 1 crypto

 ssid service

 bind WLAN-ESS 1

 cipher-suite ccmp

 security-ie rsn

#

ipv6 dhcp pool 1

 network 2004::/64

#

ipv6 dhcp pool 2

 network 2003::/64

#

interface Vlan-interface100

 undo ipv6 nd ra halt

 ipv6 nd autoconfig managed-address-flag

 ipv6 nd autoconfig other-flag

 ipv6 address 2001::1/64

 ipv6 dhcp server apply pool 1 

#

interface Vlan-interface300

 undo ipv6 nd ra halt

 ipv6 nd autoconfig managed-address-flag

 ipv6 nd autoconfig other-flag

 ipv6 address 2003::1/64

 ipv6 dhcp server apply pool 2 

#

interface GigabitEthernet1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 300 untagged

 port hybrid pvid vlan 300

 mac-vlan enable

 port-security port-mode mac-and-psk

 port-security tx-key-type 11key

 port-security preshared-key pass-phrase cipher $c$3$ss8YJ7d/nVASN5hgTNJjeg0OK+I

EgsVX80RJ

 mac-authentication domain office

#

wlan ap officeap model WA2620E-AGN id 2

 serial-id 21023529G007C000020

 firmware-update disable

 radio 1

 radio 2

  radio enable

#

·     Switch：

#

vlan 100

#

vlan 200

#

interface GigabitEthernet1/0/1

 port link-type trunk

undo port trunk permit vlan 1

 port trunk permit vlan 100

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port access vlan 100

poe enable

#

4  相关资料

·     《H3C无线控制器产品 配置指导(R5208P01)》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考(R5208P01)》中的“WLAN命令参考”。

·     《H3C无线控制器产品 配置指导(R5208P01)》中的“安全配置指导”。

·     《H3C无线控制器产品 命令参考(R5208P01)》中的“安全命令参考”。