• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

04-典型配置案例(AC+FIT AP)

目录

046-H3C无线控制器802.1X认证通过iMC服务器下发User-profile典型配置举例

本章节下载 046-H3C无线控制器802.1X认证通过iMC服务器下发User-profile典型配置举例  (554.17 KB)

046-H3C无线控制器802.1X认证通过iMC服务器下发User-profile典型配置举例

H3C无线控制器802.1X认证通过iMC服务器下发User-profile典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Copyright © 2023 新华三技术有限公司 版权所有,保留一切权利。

非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,并不得以任何形式传播。

除新华三技术有限公司的商标外,本手册中出现的其它公司的商标、产品标识及商品名称,由各自权利人拥有。

本文档中的信息可能变动,恕不另行通知。

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置注意事项

3.3 配置步骤

3.3.1 配置AC

3.3.2 配置Switch

3.4 RADIUS服务器的配置

3.5 验证配置

3.6 配置文件

4 相关资料

 


1  简介

本文档介绍无线用户802.1X认证通过iMC服务器下发User-profile典型配置举例。

2  配置前提

本文档适用于使用Comware软件版本的无线控制器和接入点产品,不严格与具体硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解WLAN用户接入认证相关特性。

3  配置举例

3.1  组网需求

图1所示,AP通过交换机与AC相连,无线802.1X用户通过AP接入无线网络,通过RADIUS服务器远程下发授权user-profile。具体要求如下:

·     Client通过802.1X认证接入无线网络。

·     通过RADIUS服务器下发授权User-profile,限制上下行速率都为2Mbps。

图1  802.1X用户接入组网图

设备

接口

IP地址

设备

接口

IP地址

AC

Vlan-int100

138.100.1.101/16

Switch

Vlan-int100

138.100.1.100/16

 

Vlan-int200

138.200.1.101/16

 

Vlan-int200

138.200.1.100/16

RADIUS server

 

8.1.1.50/16

 

Vlan-int8

8.1.1.100/16

 

3.2  配置注意事项

配置AP的序列号时请确保该序列号与AP唯一对应。

3.3  配置步骤

3.3.1  配置AC

(1)     配置AC接口

# 创建VLAN 100及其对应的VLAN接口,并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立CAPWAP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 138.100.1.101 16

[AC-Vlan-interface100] quit

# 创建VLAN 200作为Client接入的业务VLAN,并配置VLAN 200的接口IP地址,Client使用该VLAN接入无线网络。

[AC] vlan 200

[AC-vlan200] quit

[AC] interface vlan-interface 200

[AC-Vlan-interface200] ip address 138.200.1.101 16

[AC-Vlan-interface200] quit

# 配置AC和Switch相连的接口GigabitEthernet1/0/1为Trunk类型,禁止VLAN 1报文通过,允许VLAN 100和VLAN 200通过。

[AC] interface gigabitethernet1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[AC-GigabitEthernet1/0/1] quit

(2)     配置802.1X认证

# 全局使能端口安全。

[AC] port-security enable

# 选择802.1X认证方式为EAP。

[AC] dot1x authentication-method eap

# 创建RADIUS方案并进入RADIUS方案视图。

[AC] radius scheme office

# 设置主认证RADIUS服务器的IP地址8.1.1.50。

[AC-radius-office] primary authentication 8.1.1.50

# 设置主计费RADIUS服务器的IP地址8.1.1.50。

[AC-radius-office] primary accounting 8.1.1.50

# 设置系统与认证RADIUS服务器交互报文时的共享密钥为12345678。

[AC-radius-office] key authentication 12345678

# 设置系统与计费RADIUS服务器交互报文时的共享密钥为12345678。

[AC-radius-office] key accounting 12345678

# 设置设备发送RADIUS报文时使用的源IP地址138.100.1.101。

[AC-radius-office] nas-ip 138.100.1.101

[AC-radius-office] quit

# 创建ISP域并进入ISP域视图。

[AC] domain office

# 为lan-access用户配置认证方案为RADIUS方案,方案名为office。

[AC-isp-office] authentication lan-access radius-scheme office

# 为lan-access用户配置授权方案为RADIUS方案,方案名为office。

[AC-isp-office] authorization lan-access radius-scheme office

# 为lan-access用户配置计费为none,不计费。

[AC-isp-office] accounting lan-access none

[AC-isp-office] quit

(3)     配置无线服务

# 创建无线服务模板1。

[AC] wlan service-template 1

# 配置无线服务的SSID为service。

[AC-wlan-st-1] ssid service

# 配置无线服务的VLAN为200。

[AC-wlan-st-1] vlan 200

# 配置身份认证与密钥管理模式为dot1x模式,并配置dot1x认证域。

[AC-wlan-st-1] akm mode dot1x

[AC-wlan-st-1] client-security authentication-mode dot1x

[AC-wlan-st-1] dot1x domain office

# 配置CCMP为加密套件,配置RSN为安全信息元素。

[AC-wlan-st-1] cipher-suite ccmp

[AC-wlan-st-1] security-ie rsn

# 配置客户端数据报文转发位置为AC。(如果客户端数据报文的缺省转发位置与本配置相同,请跳过此步骤)

[AC-wlan-st-1] client forwarding-location ac

# 开启无线服务模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(4)     配置AP

说明

在大规模组网时,推荐在AP组内进行配置。

 

# 创建AP,名称为ap1,型号名称为WA6320,设置AP序列号为219801A28N819CE0002T。

[AC] wlan ap ap1 model WA6320

[AC-wlan-ap-ap1] serial-id 219801A28N819CE0002T

[AC-wlan-ap-ap1] quit

# 创建AP组group1,并配置AP名称入组规则。

[AC] wlan ap-group group1

[AC-wlan-ap-group-group1] ap ap1

# 将无线服务模板1绑定到AP组group1下的Radio 1上。

[AC-wlan-ap-group-group1] ap-model WA6320

[AC-wlan-ap-group-group1-ap-model-WA6320] radio 1

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] service-template 1

# 开启Radio 1的射频功能。

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] radio enable

[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] quit

[AC-wlan-ap-group-group1-ap-model-WA6320] quit

[AC-wlan-ap-group-group1] quit

(5)     创建名称为aaa的User-profile并设置QoS限速,设置上下行速率都为2Mbps。

[AC] user-profile aaa

[AC-user-profile-aaa] qos car inbound any cir 2048

[AC-user-profile-aaa] qos car outbound any cir 2048

[AC-user-profile-aaa] quit

(6)     AC上配置静态路由

# 配置AC的默认路由,下一跳地址为138.100.1.100。

[AC] ip route-static 0.0.0.0 0.0.0.0 138.100.1.100

3.3.2  配置Switch

(1)     配置Switch接口

# 创建VLAN 100,并为该接口配置IP地址,用于和AC进行通信。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] interface vlan-interface 100

[Switch-Vlan-interface100] ip address 138.100.1.100 16

[Switch-Vlan-interface100] quit

# 创建VLAN 200作为Client接入的业务VLAN,并配置VLAN 200的接口IP地址,用于和无线Client进行通信。

[Switch] vlan 200

[Switch-vlan200] quit

[Switch] interface vlan-interface 200

[Switch-Vlan-interface200] ip address 138.200.1.100 16

[Switch-Vlan-interface200] quit

# 创建VLAN 8及对应三层接口,用于和RADIUS服务器通信。

[Switch] vlan 8

[Switch-vlan8] quit

[Switch] interface vlan-interface 8

[Switch-Vlan-interface8] ip address 8.1.1.100 16

[Switch-Vlan-interface8] quit

# 配置Switch与AC相连侧的接口GigabitEthernet1/0/1为Trunk,允许所有VLAN 通过。

[Switch] interface GigabitEthernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan all

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连侧的GigabitEthernet1/0/2为trunk类型,禁止VLAN 1报文通过,允许VLAN 100通过,并设置PVID为VLAN100。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/2] port link-type trunk

[Switch-GigabitEthernet1/0/2] undo port trunk permit vlan 1

[Switch-GigabitEthernet1/0/2] port trunk permit vlan 100

[Switch-GigabitEthernet1/0/2] port trunk pvid vlan 100

# 开启Switch和AP相连的接口GigabitEthernet1/0/2的PoE供电功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置Swith与Radius service相连侧的GigabitEthernet1/0/3为Access类型,允许VLAN 8通过。

[Switch] interface gigabitethernet 1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 8

(2)     配置DHCP服务器

# 开启DHCP功能

[Switch] dhcp enable

# 创建名为vlan100的DHCP地址池,配置地址池动态分配的网段为138.100.0.0/16,网关地址为138.100.1.100,为AP分配IP地址。

[Switch] dhcp server ip-pool vlan100

[Switch-dhcp-pool-vlan100] network 138.100.0.0 mask 255.255.0.0

[Switch-dhcp-pool-vlan100] gateway-list 138.100.1.100

[Switch-dhcp-pool-vlan100] quit

# 创建名为vlan200的DHCP地址池,配置地址池动态分配的网段为138.200.0.0/16,为Client分配的DNS服务器地址为网关地址(实际使用过程中请根据实际网络规划配置无线客户端的DNS服务器地址),网关地址为138.200.1.100,为client分配IP地址。

[Switch] dhcp server ip-pool vlan200

[Switch-dhcp-pool-vlan100] network 138.200.0.0 mask 255.255.0.0

[Switch-dhcp-pool-vlan100] gateway-list 138.200.1.100

[Switch-dhcp-pool-vlan100] dns-list 138.200.1.100

[Switch-dhcp-pool-vlan100] quit

3.4  RADIUS服务器的配置

说明

下面以iMC为例(使用iMC版本为:iMC PLAT 7.1(E0302)、iMC WSM 7.1(E0303)),说明RADIUS服务器的基本配置。

 

# 增加接入设备。

登录进入iMC管理平台,选择“用户”页签,单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项,进入接入设备配置页面,在该页面中单击<增加>按钮,进入增加接入设备页面。

·     设置与AC交互报文时使用的认证、计费共享密钥为“12345678”;

·     选择或手工增加接入设备,添加IP地址为138.100.1.101的接入设备;

·     其它参数采用缺省值,并单击<确定>按钮完成操作。

图2 增加接入设备

 

# 增加接入策略。

选择“用户”页签,单击导航树中的[接入策略管理/接入策略管理]菜单项,进入接入策略配置页面,在该页面中单击<增加>按钮,进入增加接入策略页面。

·     接入策略名输入“wjh1x”;

·     证书认证选择所需要认证的类型;

·     勾选上下发授权User-Profile,并输入与设备上配置一致的User-Profile名称

·     其它参数采用缺省值,并单击<确定>按钮完成操作。

图3 增加接入策略

 

# 增加接入服务配置。

选择“用户”页签,单击导航树中的[接入策略管理/接入服务管理]菜单项,进入接入服务配置页面,在该页面中单击<增加>按钮,进入增加接入服务页面。

·     服务名输入“wjh1x”;

·     缺省接入策略选择上一步配置的 “wjh1x”;

·     其它参数采用缺省值,并单击<确定>按钮完成操作。

图4 增加接入服务

 

# 增加接入用户。

选择“用户”页签,单击导航树中的[接入用户管理/接入用户]菜单项,进入接入用户列表页面,在该页面中单击<增加>按钮,进入增加接入用户页面。

·     在增加接入用户页面,单击<增加用户>按钮弹出增加用户窗口;

·     输入用户名“wjh1x”,以及证件号码“12345678”;

·     单击<检查是否可用>按钮,户姓名和证件号码可用,单击<确定>按钮完成操作。

·     输入账号名“wjh1x”及用户密码“12345678”;

·     在接入服务处选择“wjh1x”,最后单击<确定>按钮完成操作。

图5 增加接入用户

 

3.5  验证配置

(1)     操作Client上线,输入RADIUS服务器上配置的用户名和密码完成,在设备AC上执行display wlan client verbose命令,可以查看Client信息。

<AC> display wlan client verbose

Total number of clients: 1

MAC address                       : 0015-00ba-0428

 IPv4 address                      : 138.200.0.1

 IPv6 address                      : N/A

 Username                          : wjh1x

 AID                               : 1

 AP ID                             : 1

 AP name                           : ap1

 Radio ID                          : 1

 SSID                              : service

 BSSID                             : 5866-ba71-3960

 VLAN ID                           : 200

 Sleep count                       : 0

 Wireless mode                     : 802.11ac

 Channel bandwidth                 : 40MHz

 SM power save                     : Disabled

 Short GI for 20MHz                : Supported

 Short GI for 40MHz                : Supported

 STBC RX capability                : Supported

 STBC TX capability                : Not supported

 LDPC RX capability                : Not supported

 Block Ack                         : N/A

 Supported HT MCS set              : 0, 1, 2, 3, 4, 5, 6, 7,

                                     8, 9, 10, 11, 12, 13, 14,

                                     15

 Supported rates                   : 6, 9, 12, 18, 24, 36,

                                     48, 54 Mbps

 QoS mode                          : WMM

 Listen interval                   : 250

 RSSI                              : 0

 Rx/Tx rate                        : 0/0

 Authentication method             : Open system

 Security mode                     : RSN

 AKM mode                          : 802.1X

 Cipher suite                      : CCMP

 User authentication mode          : 802.1X

 Authorization ACL ID              : N/A

 Authorization user profile        : aaa

 Roam status                       : N/A

 Key derivation                    : SHA1

 PMF status                        : N/A

 Forwarding policy name            : N/A

 Online time                       : 0days 0hours 0minutes 17seconds

 FT status                         : Inactive

(2)     Client成功上线后,使用IxChariot工具测试用户的上行和下行速率,速率限制都限速AC上设置的范围内,具体测试结果如下:

 

3.6  配置文件

·     AC

#

port-security enable

#

dot1x authentication-method eap

#

vlan 100

#

vlan 200

#

wlan service-template 1

 ssid service

client forwarding-location ac

 vlan 200

 akm mode dot1x

 cipher-suite ccmp

 security-ie rsn

client-security authentication-mode dot1x

 dot1x domain office

service-template enable

#

interface Vlan-interface100

 ip address 138.100.1.101 255.255.0.0

#

interface Vlan-interface200

 ip address 138.200.1.101 255.255.0.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

undo port trunk permit vlan 1

 port trunk permit vlan 100 200

#

ip route-static 0.0.0.0 0.0.0.0 138.100.1.100

#

user-profile aaa

 qos car inbound any cir 2048 cbs 128000 ebs 0

 qos car outbound any cir 2048 cbs 128000 ebs 0

#

radius scheme office

primary authentication 8.1.1.50

 primary accounting 8.1.1.50

 key authentication simple $c$3$h7ouSYGGL5EgJZ6HpwIIgRdgiLKJCd6zZxE4

 key accounting simple $c$3$qf3E+i6hAgx/rpYxDApL0E0NSDWHZCZ3OI1g

 nas-ip 138.100.1.101

#

domain office

 authentication lan-access radius-scheme office

 authorization lan-access radius-scheme office

 accounting lan-access none

#

wlan ap-group group1

 ap ap1

 ap-model WA6320

  radio 1

   radio enable

   service-template 1

#

wlan ap ap1 model WA6320

 serial-id 219801A28N819CE0002T

#

·     Switch

#

vlan8

#

vlan 100

#

vlan 200

#

dhcp server ip-pool vlan100

network 138.100.0.0 mask 255.255.0.0

gateway-list 138.100.1.100

#

dhcp server ip-pool 200

network 138.200.0.0 mask 255.255.0.0

gateway-list 138.200.1.100

dns-list 138.200.1.100

#

interface Vlan-interface8

 ip address 8.1.1.100 255.255.0.0

#

interface Vlan-interface100

 ip address 138.100.1.100 255.255.0.0

#

interface Vlan-interface200

 ip address 138.200.1.100 255.255.0.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan all

#

interface GigabitEthernet1/0/2

port link-type trunk

undo port trunk permit vlan 1

port trunk permit vlan 100

port trunk pvid vlan 100

poe enable

#

interface GigabitEthernet1/0/3

port link-type access

port access vlan 8

#

dhcp enable

4  相关资料

·     《H3C无线控制器产品 配置指导》中的“用户接入与认证配置指导”。

·     《H3C 无线控制器产品 命令参考》中的“用户接入与认证命令参考”。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们