基于客户端的无线捕获典型配置举例(V5)

资料版本：6W114-20210416

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 配置注意事项

3.4 配置步骤

3.4.1 AC的配置

3.4.2 Switch 的配置

3.4.3 AAA server的配置

3.5 验证配置

3.6 配置文件

4 相关资料

1  简介

本文档介绍WLAN基于客户端的无线捕获报文记录的典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解AAA、802.1X和WLAN特性。

3  配置举例

3.1  组网需求

如图1所示，无线客户端首先在AP 1上线并漫游至AP 2。要求：

·     对Client进行EAP中继方式的802.1X认证。

·     对Client和AC间的传输数据进行加密。

·     通过开启基于客户端的无线报文捕获功能，捕获客户端发送和接收到的与客户端上线或状态更新相关的管理、控制与数据报文。

·     将捕获的报文记录在office.dmp的文件中。

图1 基于客户端的无线捕获典型配置组网图

3.2  配置思路

·     由于部分802.1X客户端不支持与设备进行握手报文的交互，因此需要关闭设备的在线用户握手功能，避免该类型的在线用户因没有回应握手报文而被强制下线。

·     对于无线局域网来说，802.1X认证可以由客户端主动发起，或由无线模块发现用户后自动触发，不需要通过端口定期发送802.1X组播报文的方式来触发。同时，组播触发报文会占用无线的通信带宽，因此建议无线局域网中的接入设备关闭802.1X组播触发功能。

·     为了防止用户通过恶意假冒其它域账号从本端口接入网络，配置端口的强制认证域。

·     为了对Client和AC间的传输数据进行加密，采用AES-CCMP加密套件。

3.3  配置注意事项

·     目前，配置基于客户端的无线捕获的ACL时，设备只支持二层ACL，且只支持源MAC地址的匹配，不支持目地MAC匹配。

·     捕获到的报文将保存在AC的文件系统中，如果AC的存储空间小于2M，将无法继续保存。

·     配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

·     由于端口安全特性通过多种安全模式提供了802.1X认证的扩展和组合应用，因此在无特殊组网要求的情况下，无线环境中通常使用端口安全特性。

3.4  配置步骤

3.4.1  AC的配置

(1)     配置AC接口和路由信息

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface101] ip address  137.100.0.1 24

[AC-Vlan-interface101] quit

# 创建VLAN 200作为ESS接口的缺省VLAN。

[AC] vlan 200

[AC-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN。

[AC] vlan 300

[AC-vlan300] quit

# 配置默认路由。

[AC] ip route-static 0.0.0.0 0 137.100.0.2

# 配置AC与Switch连接的GigabitEthernet1/0/1接口的属性为trunk，禁止VLAN 1通过，允许VLAN 100、VLAN 200和VLAN 300通过。

[AC] interface GigabitEthernet1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200 300

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] quit

(2)     配置802.1X认证服务

# 使能端口安全。

[AC] port-security enable

# 配置802.1X用户的认证方式为EAP。

[AC] dot1x authentication-method eap

# 创建RADIUS方案office。

[AC] radius scheme office

# 配置主认证AAA服务器的IP地址8.1.1.5，主计费AAA服务器的IP地址8.1.1.5。

[AC-radius-office] primary authentication 8.1.1.5

[AC-radius-office] primary accounting 8.1.1.5

# 配置系统与AAA认证服务器交互报文时的共享密钥为123456789，与AAA计费服务器交互报文时的共享密钥为123456789。

[AC-radius-office] key authentication 123456789

[AC-radius-office] key accounting 123456789

# 配置AC发送给AAA服务器的用户名不带ISP域名。

[AC-radius-office] user-name-format without-domain

# 配置AC发送至AAA服务器的报文使用的源IP地址为137.100.0.1。

[AC-radius-office] nas-ip 137.100.0.1

[AC-radius-office] quit

# 创建office域并进入其视图。

[AC] domain office

# 为lan-access用户配置认证方案为RADIUS方案，方案名为office。

[AC-isp-office] authentication lan-access radius-scheme office

# 为lan-access用户配置授权方案为RADIUS方案，方案名为office。

[AC-isp-office] authorization lan-access radius-scheme office

# 为lan-access用户配置计费为none，不计费。

[AC-isp-office] accounting lan-access none

[AC-isp-office] quit

(3)     配置无线服务

# 创建WLAN-ESS1接口。

[AC] interface wlan-ess 1

# 配置WLAN-ESS1接口类型为Hybrid类型。

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为VLAN 200，禁止VLAN 1通过并允许VLAN 200不带tag通过。

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 200 untagged

[AC-WLAN-ESS1] port hybrid pvid vlan 200

# 配置WLAN-ESS1口开启MAC-VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

# 在接口WLAN-ESS1上配置802.1X用户的强制认证域office。

[AC-WLAN-ESS1] dot1x mandatory-domain office

# 配置端口安全模式为userlogin-secure-ext，并使能端口11key类型的密钥协商功能。

[AC-WLAN-ESS1] port-security port-mode userlogin-secure-ext

[AC-WLAN-ESS1] port-security tx-key-type 11key

# 关闭802.1X多播触发功能和在线用户握手功能。

[AC-WLAN-ESS1] undo dot1x multicast-trigger

[AC-WLAN-ESS1] undo dot1x handshake

[AC-WLAN-ESS1] quit

# 创建crypto类型的服务模板1。

[AC] wlan service-template 1 crypto

# 设置当前服务模板的SSID为service1。

[AC-wlan-st-1] ssid service1

# 将WLAN-ESS1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 配置加密套件为AES-CCMP。

[AC-wlan-st-1] cipher-suite ccmp

# 设置在AP发送信标和探查响应帧时携带RSN IE，并使能服务模板。

[AC-wlan-st-1] security-ie rsn

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(4)     配置射频接口并绑定服务模板

# 创建AP 1的模板，名称为officeap1，型号名称选择WA2620E-AGN，并配置其序列号。

[AC] wlan ap officeap1 model WA2620E-AGN

[AC-wlan-ap-officeap1] serial-id 21023529G007C000020

# 设置AP 1的radio 2工作模式为dot11gn。

[AC-wlan-ap-officeap1] radio 2 type dot11gn

# 将在AC上配置的服务模板1与射频2进行关联，Client通过服务模板1接入VLAN 300。

[AC-wlan-ap-officeap1-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC-wlan-ap-officeap1-radio-2] radio enable

[AC-wlan-ap-officeap1-radio-2] quit

[AC-wlan-ap-officeap1] quit

# 创建AP 2的模板，名称为officeap2，型号名称选择WA2620E-AGN，并配置其序列号。

[AC] wlan ap officeap2 model WA2620E-AGN

[AC-wlan-ap-officeap2] serial-id 21023529G007C000021

# 设置AP 2的radio 2工作模式为dot11gn。

[AC-wlan-ap-officeap2] radio 2 type dot11gn

# 将在AC上配置的服务模板1与射频2进行关联，Client通过服务模板1接入VLAN 300。

[AC-wlan-ap-officeap2-radio-2] service-template 1 vlan-id 300

# 使能AP的radio 2。

[AC-wlan-ap-officeap2-radio-2] radio enable

[AC-wlan-ap-officeap2-radio-2] quit

[AC-wlan-ap-officeap2] quit

(5)     配置无线报文捕获

# 配置ACL 4000，匹配客户端的源MAC地址。

[AC] acl number 4000

[AC-acl-ethernetframe-4000] rule 1 permit source-mac 0015-00ef-ac23 ffff-ffff-ffff

[AC-acl-ethernetframe-4000] quit

# 配置AP捕获报文的记录文件名为office。

[AC] wlan capture file-name office

# 配置客户端报文捕获的匹配条件为ACL 4000，并开启报文捕获。

[AC] wlan capture start client acl 4000

3.4.2  Switch 的配置

# 创建VLAN 100和VLAN 300，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300为无线用户接入的VLAN。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 300

[Switch-vlan300] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk，当前Trunk口的PVID为100，允许VLAN 100和VLAN 300通过。

[Switch] interface GigabitEthernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP 1相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过。

[Switch] interface GigabitEthernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置Switch与AP 2相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN 100通过。

[Switch] interface GigabitEthernet1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/3] poe enable

[Switch-GigabitEthernet1/0/3] quit

# 在Switch上配置接口VLAN 100的IP地址为137.100.0.2/24。

[Switch] interface vlan-interface 100

[Switch-Vlan-interface100] ip address 137.100.0.2 255.255.255.0

[Switch-Vlan-interface100] quit

3.4.3  AAA server的配置

# 增加接入设备。

登录进入iMC管理平台，选择“用户”页签，单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项，进入接入设备配置页面，在该页面中单击<增加>按钮，进入增加接入设备页面。

·     设置认证、计费共享密钥为123456789，其它保持缺省配置；

·     选择或手工增加接入设备，添加IP地址为137.100.0.1的接入设备。

图2 增加接入设备

# 增加接入策略。

选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，进入接入策略管理页面，在该页面中单击<增加>按钮，进入增加接入策略页面。

·     设置接入策略名为office；

·     选择认证证书类型为EAP-PEAP认证，认证证书子类型为MS-CHAPV2认证。

图3 增加接入策略页面

# 增加接入服务。

选择“用户”页签，单击导航树中的[接入策略管理/接入服务管理]菜单项，进入接入服务管理页面，在该页面中单击<增加>按钮，进入增加接入服务页面。

·     设置服务名为office；

·     选择缺省接入策略为office，其他保持缺省配置。

图4 增加接入服务页面

# 增加接入用户。

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，进入接入用户页面，在该页面中单击<增加>按钮，进入增加接入用户页面。

·     单击<增加用户>添加用户office，证件号码 123456；

·     添加帐号名为office，密码为123456；

·     选中刚才配置的服务office。

图5 增加接入用户

3.5  验证配置

# 当客户端在AP 1上线并认证成功后，在AC上停止报文捕获。

[AC] wlan capture stop

Warning: Save the WLAN capture information to an archive file. Continue? [Y/N]:y

# 查看文件系统目录，找到记录捕获信息的文件office.dmp。

<AC> dir

Directory of cfa0:/

   0     drw-         -  Feb 12 2013 11:05:08   logfile

   1     -rw-      2530  Oct 11 2013 09:31:10   startup.cfg

   2     -rw-       349  Feb 12 2013 13:15:18   system.xml

   3     -rw-       523  Nov 19 2013 14:12:22   office.dmp

# 通过FTP等方式将office.dmp下载到本地计算机，可以通过报文解析工具查看捕获到的Client和AC之间从捕获开始以来所有的报文。

# 修改捕获报文的记录文件名为roam。

[AC] wlan capture file-name roam

# 再次开启报文捕获，操作客户端从AP 1漫游至AP 2。

[AC] wlan capture start client acl 4000

# 客户端漫游至AP 2上线并认证成功后，停止报文捕获，得到记录捕获信息的文件roam.dmp。

[AC] wlan capture stop

Warning: Save the WLAN capture information to an archive file. Continue? [Y/N]:y

# 通过FTP等方式将roam.dmp下载到本地计算机，可以通过报文解析工具查看Client在漫游过程中与AC之间交互的所有报文。

3.6  配置文件

·     AC：

#

 port-security enable

#

 dot1x authentication-method eap

#

wlan capture file-name office

#

acl number 4000

 rule 1 permit source-mac 0015-00ef-ac23 ffff-ffff-ffff

#

vlan 100

#

vlan 200

#

vlan 300

#

radius scheme office

primary authentication 8.1.1.5

 primary accounting 8.1.1.5

 key authentication cipher $c$3$SjWMEAJbTjqCC9+XHRLYhNZOSJ6bBN/7K3HBEA==

 key accounting cipher $c$3$Oj5WtaBGNaZb9s+R0Y/z0yKMG4fZcS0LuOUeOw==

 user-name-format without-domain

 nas-ip 137.100.0.1

#

domain office

 authentication lan-access radius-scheme office

authorization lan-access radius-scheme office

 accounting lan-access none

access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

wlan service-template 1 crypto

 ssid service1

 bind WLAN-ESS 1

 cipher-suite ccmp

 security-ie rsn

 service-template enable

#

interface GigabitEthernet1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 100 200 300

#

interface Vlan-interface100

 ip address 137.100.0.1 255.255.255.0

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 200 untagged

 port hybrid pvid vlan 200

 mac-vlan enable

 port-security port-mode userlogin-secure-ext

 port-security tx-key-type 11key

 undo dot1x handshake

 dot1x mandatory-domain office

 undo dot1x multicast-trigger

#

wlan ap officeap1 model WA2620E-AGN id 1

 serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

 wlan ap officeap2 model WA2620E-AGN id 2

 serial-id 21023529G007C000021

 radio 1

 radio 2

  service-template 1 vlan-id 300

  radio enable

#

ip route-static 0.0.0.0 0.0.0.0 137.100.0.2

#

·     Switch：

#

vlan 100

#

vlan 300

#

interface Vlan-interface100

 ip address 137.100.0.2 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 port link-type trunk

 port trunk permit vlan 1 100 300

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-mode bridge

 port access vlan 100

 poe enable

#

interface GigabitEthernet1/0/3

 port link-mode bridge

 port access vlan 100

poe enable

#

4  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。

·     《H3C无线控制器产品 配置指导》中的“安全配置指导”。

·     《H3C无线控制器产品 命令参考》中的“安全命令参考”。