- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
16-用户认证功能典型配置举例
本章节下载 (767.50 KB)
本文档介绍设备的用户认证配置举例，包括本地用户Web认证、Radius联动Web认证和LDAP联动Web认证。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解用户认证特性。
无
如图1所示，某公司；财务部、工程部和生产部实行用户认证上网，其网段分别是172.16.1.0/24、172.16.2.0/24和172.16.3.0/24。内网Radius服务器的地址为172.16.0.10/24、LDAP服务器的地址为172.16.0.20/24。使用设备以旁挂方式部署于核心设备旁边，将用户上网的流量通过端口镜像的方式镜像至设备的旁路接口，在设备上配置用户认证功能。具体要求如下：
· 财务部进行Web认证上网，用户名和密码存储在设备的本地。
· 工程部进行Web认证上网，用户名和密码存储在Radius服务器上。
· 生产部进行Web认证上网，用户名和密码存储在LDAP服务器上。
· 财务部、工程部和生产部的每个Web认证用户需要支持两个终端同时并发登录，要求用户成功登录后跳转到http://www.baidu.com。
· 基本网络配置。
· 开启旁路认证。
· 配置Radius和LDAP服务器对象，设备上的相关参数配置需要和服务器保持一致。
· 配置地址对象。
· 配置本地认证用户，RADIUS和LDAP认证用户直接在相应的服务器创建即可。
· 配置用户认证策略。
本举例是在E6501版本上进行配置和验证的。
· 设备的配置Web认证时，允许用户的TCP三次握手报文、DNS报文以及ICMP报文通过，当检测到用户HTTP报文时拦截并弹出认证页面。所以，在使用Web认证功能时，需要保证终端可以进行正常的HTTP访问。
· 如果需要实现访问某些资源时免Web认证，请在对应用户策略的目的地址对象中配置排除地址，将需要免认证访问的目的IP地址排除即可。
· 旁路部署时，认证策略和控制策略的源接口以及目的接口必须配置接收镜像流量的旁路部署接口或者是any。
· 旁路认证务必保证旁路设备到上网PC可达，否则功能无法使用。
· 旁路认证只对于HTTP流量生效。
(1) 配置网络接口
如图2所示，进入“网络配置>接口配置>物理接口”，点击ge1<编辑>按钮，配置ge1的IP地址为192.168.2.2/24。
图2 配置接口地址
(2) 配置静态路由
进入“网络配置 > 路由管理 > 静态路由”，进入IPv4静态路由页面，点击“新建”配置静态路由，最后点击“提交”提交配置，如下图所示。
图3 配置静态路由
(3) 配置部署方式
如图4所示，进入“网络配置>基础网络>部署方式”，配置勾选ge2口启用。
图4 配置部署方式
如图5所示，进入“网络配置>基础网络>部署方式>高级配置”，开启旁路认证。
图5 配置旁路认证和旁路阻断
(1) 配置工程部Radius服务器
如图6所示，进入“用户管理>认证管理>认证服务器”，点击<新建>，选择Radius服务器，配置“服务器地址”为172.16.0.10，“服务器密码”和“端口”需要和Radius服务器保持一致，点击<提交>。
(2) 配置生产部LDAP服务器
如图7所示，进入“用户管理>认证管理>认证服务器>”，点击<新建>选择LDAP服务器，配置“服务器地址”为172.16.0.20，“端口”和“通用名标识”和“Base DN”需要和LDAP服务器保持一致，点击<提交>。
图7 添加生产部LDAP服务器
(1) 配置市场部本地认证用户
如图8所示，进入“用户管理>用户组织结构”，点击“新建>用户”，配置用户名称为“user1”，配置和确认密码后，点击<提交>。
(2) 配置工程部Radius认证用户
设备本地不需要创建Radius认证用户，直接在Radius服务器上创建即可。
(3) 配置生产部LDAP认证用户
设备本地不需要创建LDAP认证用户，直接在LDAP服务器上创建即可。
如图9所示，添加完成的认证用户对象配置如下。
图9 Web认证用户对象配置完成
(1) 配置财务部地址对象
如图10所示，进入“策略配置>对象管理>地址对象>地址对象”，点击<新建>，命名为“财务部地址对象”，“地址项目”选为子网地址，配置地址为172.16.1.0/24，点击<提交>。
(2) 配置工程部地址对象
如图11所示，进入“策略配置>对象管理>地址对象>地址对象”，点击<新建>，命名为“工程部地址对象”，“地址项目”选为子网地址，配置地址为172.16.2.0/24，点击<提交>。
(3) 配置生产部地址对象
如图12所示，进入“策略配置>对象管理>地址对象>地址对象”，点击<新建>，命名为“生产部地址对象”，“地址项目”选为子网地址，配置地址为172.16.3.0/24，点击<提交>。
如图13所示，创建完成的地址对象配置如下。
如图14所示，进入“用户管理>认证管理>认证方式>本地WEB认证”，勾选“允许重复登录”，配置“允许登录数”为2，配置重定向URL为https://www.baidu.com，点击<提交>。
如图15所示，进入“策略配置>控制策略”，将默认规则修改为允许。
(1) 配置财务部用户认证策略
如图16所示，进入“用户管理>认证管理>认证策略”，点击<新建>，源地址配置为“财务部地址对象”，认证方式选择“本地WEB认证”，其它选项保持默认，点击<提交>。
(2) 配置工程部用户策略
如图17所示，进入“用户管理>认证管理>认证策略”，点击<新建>，源地址配置为“工程部地址对象”，认证方式选择“本地WEB认证”，其它选项保持默认，点击<提交>。
(3) 配置生产部用户认证策略
如图18所示，进入“用户管理>认证管理>认证策略”，点击<新建>，源地址配置为“生产部地址对象”，认证方式选择“本地WEB认证”，其它选项保持默认，点击<提交>。
如图19所示，添加完成的用户策略配置如下。
如图20、图21所示，进入“用户管理>认证管理>高级选项>全局配置”，当与Radius服务器认证对接时，启用Radius方式，当与LDAP服务器认证对接时，启用LDAP服务器。
图21 启用第三方认证LDAP
如图22所示，以WinRadius为例搭建Radius服务器，点击<操作>，配置用户名为user2，密码为123456，点击<确定>。
图22 配置Radius服务器
如图23所示，在LDAP服务器上配置Common Name和Sumname为user3，User Password为123456。
图23 配置LDAP服务器
如图24所示，在每个网段使用终端进行HTTP访问，弹出如下本地Web认证页面，填写用户名和密码进行认证。
图24 本地Web认证页面
如图25所示，财务部（172.16.1.0/24）本地用户user1测试认证成功。
图25 财务部本地Web认证成功
如图26所示，工程部（172.16.2.0/24）Radius联动用户user2测试认证成功。
图26 Radius联动用户Web认证成功
如图27所示，生产部（172.16.3.0/24）LDAP联动用户user3测试认证成功。
图27 LDAP联动用户Web认证成功
如图28所示，用户Web认证通过后跳转到配置的https://www.baidu.com。
图28 Web认证通过后重定向到www.baidu.com
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
