WIDS典型配置举例(V5)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：6W114-20210416

 

目  录

1 简介

2 配置前提

3 非法设备检测并反制配置举例

3.1 组网需求

3.2 配置思路

3.3 配置注意事项

3.4 配置步骤

3.4.1 AC的配置

3.4.2 Switch的配置

3.5 验证配置

3.6 配置文件

4 黑白名单配置举例

4.1 组网需求

4.2 配置思路

4.3 配置注意事项

4.4 配置步骤

4.4.1 AC的配置

4.4.2 Switch的配置

4.5 验证配置

4.6 配置文件

5 相关资料

 

1  简介

本文介绍了AC WIDS（Wireless Intrusion Detection System，无线入侵检测系统）特性的典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解WIDS特性。

3  非法设备检测并反制配置举例

3.1  组网需求

如图1所示，AP 1和AP 2通过交换机连接AC，AP及Client通过DHCP服务器获取IP地址；现要求：

·     AP 1工作在Normal模式，为Client 1、Client 2和Client 3提供WLAN服务；

·     AP 2工作在Monitor模式，对非法设备进行检测；

·     禁止非法用户接入。

图1 WIDS典型配置组网图

 

 

3.2  配置思路

为实现禁止非法用户接入，AC上需要配置Monitor模式的AP，并开启非法用户检测功能和反制功能。

3.3  配置注意事项

配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

3.4  配置步骤

3.4.1  AC的配置

(1)     配置AC的接口

# 创建VLAN100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。同时VLAN100也作为无线用户接入的VLAN。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 10.18.1.1 24

[AC-Vlan-interface100] quit

# 将与Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk，配置PVID为100，禁止VLAN1通过，允许VLAN 100通过。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100

[AC-GigabitEthernet1/0/1] quit

# 创建编号为1的WLAN-ESS接口。

[AC] interface wlan-ess 1

# 配置端口的链路类型为Hybrid。

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为100，禁止VLAN 1通过并允许VLAN 100不带tag通过。

[AC-WLAN-ESS1] port hybrid pvid vlan 100

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 100 untagged

# 使能MAC VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

(2)     配置无线服务

# 创建clear类型的服务模板1。

[AC] wlan service-template 1 clear

# 设置当前服务模板的SSID（服务模板的标识）为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 设置无线客户端接入该无线服务（SSID）的认证方式为开放式系统认证。

[AC-wlan-st-1] authentication-method open-system

# 使能服务模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(3)     配置AP 1为Normal模式，只提供WLAN服务

# 创建AP管理模板，其名称为officeap1，型号名称选择WA2620E-AGN。

[AC] wlan ap officeap1 model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC-wlan-ap-officeap1] serial-id 21023529G007C000020

# 设置radio2的射频类型为802.11g。

[AC-wlan-ap-officeap1] radio 2 type dot11g

# 将在AC上配置的clear类型的服务模板1与射频2进行关联。

[AC-wlan-ap-officeap1-radio-2] service-template 1

[AC-wlan-ap-officeap1-radio-2] radio enable

[AC-wlan-ap-officeap1-radio-2] quit

[AC-wlan-ap-officeap1] quit

(4)     配置AP 2的工作模式为Monitor模式

# 创建AP管理模板，其名称为officeap2，型号名称选择WA2620E-AGN。

[AC] wlan ap officeap2 model WA2620E-AGN

[AC-wlan-ap-officeap2] serial-id 21023529G007C000021

# 配置AP 2的工作模式为Monitor模式。

[AC-wlan-ap-officeap2] work-mode monitor

[AC-wlan-ap-officeap2] quit

(5)     配置WIDS规则

# 进入WLAN IDS视图。

[AC] wlan ids

# 将Client1、Client2、Client3的MAC地址添加到允许接入的MAC地址列表中。

[AC-wlan-ids] device permit mac-address 000f-e215-1515

[AC-wlan-ids] device permit mac-address 000f-e215-1530

[AC-wlan-ids] device permit mac-address 0015-e213-1235

# 将Client4的MAC地址添加到禁止接入的MAC地址列表中。

[AC-wlan-ids] device attack mac-address 0015-e220-405e

# 配置AC的反制模式，根据静态配置的禁止MAC地址列表进行反制。

[AC-wlan-ids] countermeasures mode config

# 使能反制功能。

[AC-wlan-ids] countermeasures enable

[AC-wlan-ids] quit

3.4.2  Switch的配置

# 创建VLAN 100，用于转发AC和AP间LWAPP隧道内的流量和无线用户的接入。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk，配置PVID为100，禁止VLAN1通过，允许VLAN 100通过。

[Switch] interface gigabitethernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP 1相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN100通过。

[Switch] interface gigabitethernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 配置Switch与AP 1相连的GigabitEthernet1/0/2接口使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置Switch与AP 2相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN100通过。

[Switch] interface gigabitethernet1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 100

# 配置Switch与AP 2相连的GigabitEthernet1/0/3接口使能PoE功能。

[Switch-GigabitEthernet1/0/3] poe enable

[Switch-GigabitEthernet1/0/3] quit

# 配置Switch与DHCP服务器相连的GigabitEthernet1/0/4接口属性为Access，并允许VLAN100通过。

[Switch] interface gigabitethernet1/0/4

[Switch-GigabitEthernet1/0/4] port link-type access

[Switch-GigabitEthernet1/0/4] port access vlan 100

[Switch-GigabitEthernet1/0/4] quit

3.5  验证配置

(1)     通过命令display wlan client查看上线的Client。

<Sysname> display wlan client

Total Number of Clients           : 3

                               Client Information

 SSID: office

--------------------------------------------------------------------------------

 MAC Address   User Name            APID/RID IP Address                     VLAN

--------------------------------------------------------------------------------

000f-e215-1515 Client 1             1/2       10.18.1.11                     100

000f-e215-1530 Client 2             1/2       10.18.1.12                     100

0015-e213-1235 Client 3             1/2       10.18.1.13                     100

(2)     Client 4接入网络后马上断线，再次接入网络后又断线，如此反复，ping其他设备有大量丢包

C:\Documents and Settings\Client 4> ping 10.18.1.1 -t

 

Pinging 10.18.1.1 with 32 bytes of data:

 

Request timed out.

Request timed out.

Request timed out.

Request timed out.

Request timed out.

Reply from 10.18.1.10: bytes=32 time=1433ms TTL=255

Reply from 10.18.1.10: bytes=32 time=40ms TTL=255

Reply from 10.18.1.10: bytes=32 time=11ms TTL=255

Reply from 10.18.1.10: bytes=32 time=46ms TTL=255

Reply from 10.18.1.10: bytes=32 time=17ms TTL=255

Requsert timed out.

Requsert timed out.

3.6  配置文件

#

 vlan 100

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1

 service-template enable

#

interface Vlan-interface100

 ip address 10.18.1.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 100

 port trunk pvid vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 100 untagged

 port hybrid pvid vlan 100

 mac-vlan enable

#

wlan ap officeap1 model WA2620E-AGN

serial-id 21023529G007C000020

 radio 2

  service-template 1

  radio enable

#

wlan ap officeap2 model WA2620E-AGN

 serial-id 21023529G007C000021

 work-mode monitor

 radio 2

  radio enable

#

wlan ids

 countermeasures enable

 device attack mac-address 0015-e220-405e

 device permit mac-address 000f-e215-1515

 device permit mac-address 000f-e215-1530

 device permit mac-address 0015-e213-1235

#

·     Switch

#

vlan 100

#

interface GigabitEthernet1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 100

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-type access

 port access vlan 100

 poe enable

#

interface GigabitEthernet1/0/3

 port link-type access

 port access vlan 100

 poe enable

#

interface GigabitEthernet1/0/4

 port link-type access

 port access vlan 100

#

4  黑白名单配置举例

4.1  组网需求

如图2所示，AP通过交换机连接AC，AC作为DHCP服务器为AP和Client动态分配IP地址。具体应用需求如下：

·     任何来源于Client 1的帧将被过滤并丢弃；

·     所有来源于Client 2的帧将被保留做进一步处理；

·     AC启动攻击检测功能，任何攻击AP的设备将被加入到动态黑名单。

图2 黑白名单配置组网图

 

4.2  配置思路

为了防止外部非法用户访问内部网络，同时允许指定的人员访问内部网络，在AC上将无线客户端用户的MAC地址配置为静态黑名单（非法用户）、静态白名单（合法用户）。

4.3  配置注意事项

·     配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

·     白名单的优先级高于黑名单，如果设置了白名单列表，则只有AP收到的802.11帧的源MAC在白名单内，该帧将被作为合法帧进一步处理，否则该帧被丢弃；如果没有设置白名单列表，则继续搜索静态和动态的黑名单列表进行处理。

4.4  配置步骤

4.4.1  AC的配置

(1)     配置AC的接口

#创建VLAN100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。同时VLAN100为无线用户接入的VLAN。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 10.18.1.1 24

[AC-Vlan-interface100] quit

# 将与Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk，当前Trunk口的PVID为100，禁止VLAN1通过，允许VLAN 100通过。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100

[AC-GigabitEthernet1/0/1] quit

(2)     配置DHCP服务

# 全局下使能DHCP

[AC] dhcp enable

# 配置DHCP地址池0动态分配的网段为10.18.1.0/24。

[AC] dhcp server ip-pool 0

[AC-dhcp-pool-0] network 10.18.1.0 mask 255.255.255.0

[AC-dhcp-pool-0] quit

(3)     配置无线服务

# 创建编号为1的WLAN-ESS接口。

[AC] interface wlan-ess 1

# 配置端口的链路类型为Hybrid。

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为100，禁止VLAN 1通过并允许VLAN 100不带tag通过。

[AC-WLAN-ESS1] port hybrid pvid vlan 100

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 100 untagged

# 使能MAC VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

# 创建clear类型的服务模板1。

[AC] wlan service-template 1 clear

# 设置当前服务模板的SSID为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 设置无线客户端接入该无线服务（SSID）的认证方式为开放式系统认证。

[AC-wlan-st-1] authentication-method open-system

# 使能服务模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(4)     配置AP

# 创建AP管理模板，其名称为officeap，型号名称这里选择WA2620E-AGN。

[AC] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC-wlan-ap-officeap] serial-id 21023529G007C000020

# 设置radio2的射频类型为802.11g。

[AC-wlan-ap-officeap] radio 2 type dot11g

# 将在AC上配置的clear类型的服务模板1与射频2进行关联。

[AC-wlan-ap-officeap-radio-2] service-template 1

[AC-wlan-ap-officeap-radio-2] radio enable

[AC-wlan-ap-officeap-radio-2] return

(5)     配置黑白名单

# 进入WLAN IDS视图。

[AC] wlan ids

# 添加MAC地址为0000-000f-34a3的客户端到白名单列表。

[AC-wlan-ids] whitelist mac-address 0000-000f-34a3

# 添加MAC地址为0000-000f-1211的客户端到黑名单列表。

[AC-wlan-ids] static-blacklist mac-address 0000-000f-1211

# 配置入侵检测功能，检测flood，spoof，weak-iv攻击。

[AC-wlan-ids] attack-detection enable all

[AC-wlan-ids] quit

4.4.2  Switch的配置

# 创建VLAN 100，用于转发AC和AP间LWAPP隧道内的流量和无线用户的接入。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk，当前Trunk口的PVID为100，允许VLAN 100通过。

[Switch] interface gigabitethernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，当前Access口允许VLAN100通过。

[Switch] interface gigabitethernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 配置Switch与AP相连的GigabitEthernet1/0/2接口使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

4.5  验证配置

# 使用命令display wlan whitelist显示配置的白名单列表。

[AC] display wlan whitelist

Total Number of Entries: 1

                                     Whitelist                                     

----------------------------------------------------------------------

MAC-Address

----------------------------------------------------------------------

0000-000f-34a3

----------------------------------------------------------------------

# 使用命令display wlan blacklist static显示配置的静态黑名单列表。

[AC] display wlan blacklist static

Total Number of Entries: 1

                                   Static Blacklist                             

----------------------------------------------------------------------

MAC-Address

----------------------------------------------------------------------

0000-000f-1211

----------------------------------------------------------------------

4.6  配置文件

#

 vlan 100

#

dhcp server ip-pool 0

 network 10.18.1.0 mask 255.255.255.0

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1

 service-template enable

#

interface Vlan-interface100

 ip address 10.18.1.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk pvid vlan 100

 port trunk permit vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 100 untagged

 port hybrid pvid vlan 100

 mac-vlan enable

#

wlan ap officeap model WA2620E-AGN

 serial-id 21023529G007C000020

 radio 2

  service-template 1

  radio enable

#

wlan ids

 static-blacklist mac-address 0000-000f-1211

 whitelist mac-address 0000-000f-34a3

 attack-detection enable all

#

 dhcp enable

#

·     Switch

#

vlan 100

#

interface GigabitEthernet1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 100

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-type access

 port access vlan 100

 poe enable

#

5  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。