- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
18-IC卡认证典型配置举例
本章节下载： 18-IC卡认证典型配置举例 (694.26 KB)
目 录
本文档介绍设备的IC卡认证功能配置举例，在配置前，先了解如下定义：
· IC卡：IC卡是集成电路卡，IC卡芯片具有写入数据和存储数据的能力，可对IC卡存储器中的内容进行判定。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
在配置前，需要做如下准备：
· 本文档假设您已了解IC卡认证特性。
如图1所示，某公司内网用户网段IP地址为172.16.1.0/24，172.16.1.1/24作为内网用户的网关。使用设备的ge1和ge2接口以三层路由模式部署在网络中，设备作为出口网关设备，下联二层交换机。设备上开启IC卡认证功能，用户通过IC卡认证后才能上网。
图1 IC卡认证路由模式组网图
· 配置IC卡认证功能。
本举例是在R6618版本上进行配置和验证的。
IC卡卡机型号为：750AU。
(1) 配置路由接口
如图2所示，进入“网络配置>接口配置”页面，点击编辑ge1接口，把ge1的地址配置为10.0.219.131/24。点击编辑ge2接口，把ge2的地址配置为172.16.1.1/24。
图2 配置ge1接口
图3 配置ge2接口
(2) 配置静态路由
如图4所示，配置访问外网的默认路由。
(3) 配置对象
如图5所示，进入“策略配置>对象管理>地址对象>地址对象”页面，点击<新建>按钮创建用户地址对象，地址为172.16.1.0/24，点击<提交>。
(4) 配置IC卡认证策略
如图6所示，进入“用户管理 > 认证管理 > 认证策略”页面，选择新建认证策略，源接口选择内网口ge2，源地址选择“用户地址”，认证方式使用“IC卡认证”，提交策略。
图6 IC卡认证策略页面
(5) 配置用户识别范围
如图7所示，进入“用户管理>认证管理>高级选项”页面，识别范围选择“用户地址”，其它配置默认，提交配置。
(6) 配置源NAT
如图8所示，进入“策略配置>NAT转换策略”页面，在源NAT页面创建策略，接口选择ge1，其它配置默认，提交配置。
(7) 导入IC卡认证信息
进入“用户管理>认证管理>IC卡认证>IC卡卡号信息”页面，点击“导出”按钮，导出IC卡卡号信息文件（CSV格式），打开下载后的文件，如图9所示。录入IC卡卡号信息和用户名，然后保存。
图9 IC卡卡号信息文件
在IC卡卡号信息页面，点击“导入”按钮，弹出导入IC卡卡号信息页面，点击“选择文件”，选择已编辑完成的IC卡信息文件，点击“提交”按钮，完成上传。
图10 导入IC卡卡号信息页面
导入成功后，在IC卡卡号信息页面可以查看已导入的IC卡信息，如下图所示。
(8) 上传IC卡认证程序
进入“用户管理>认证管理>认证方式>IC卡认证”，勾选“本地检查”，点击安装包导入的“选择文件”按钮，选择IC卡认证程序，点击“上传”，上传成功后点击“提交”。
图11 上传IC卡认证程序页面
(1) 在需要安装卡机的PC端通过设备访问外网，弹出IC卡认证页面，如下图。单击IC卡安装程序下载，等待下载完成，找到本地安装程序，安装IC卡认证程序。可以参考程序安装说明书，下载链接在IC卡安装程序下方。
图12 IC卡认证页面
(2) 找到下载到本地的安装程序，双击安装，输入设备端IP地址，点击下一步，如下图：
(3) 安装组件选择BC7500，点击下一步，如下图：
(4) 选择对应的安装目录，点击安装，如下图：
(5) 安装完成点击完成，如下图：
(6) 安装成功后，检查netCardCtrlSrv.exe程序是否运行，若没有运行，则找到安装好的IC卡认证程序安装路径，运行netCardCtrlSrv.exe程序，如下图所示。
(7) 检查卡机配置文件config.ini。IP为设备的IP地址，sleep、lockscreen、force使用默认配置，如下图所示。
具体参数的配置说明如下表所示。
表1 IC卡认证程序配置文件参数说明
|
参数 |
说明 |
|
ip |
服务器IP，需配置为设备的IP地址。 |
|
sleep |
检查时间，卡机每隔一定的时间检测一次卡是否刷上。 |
|
lockscreen |
为移除卡片后的动作，0代表没有动作、1代表锁屏、2代表注销、3代表强制注销。 |
|
force |
无卡锁屏字段，0代表未开启，1代表开启。 |
(8) 配置完成后，在需要认证的PC端插入IC卡认证卡机。
(1) 将IC卡放在刷卡机上，使用测试PC访问外网，可以正常上网。
(2) 如图14所示，登录设备的Web管理页面，进入“数据中心>系统监控>在线用户”，可以查看在线用户信息，IC卡刷卡认证上线成功，卡号识别为编辑的用户名。
如下图所示，某公司内网用户网段IP地址为172.16.1.0/24，172.16.1.1/24作为内网用户的网关。使用设备的ge1和ge2接口以三层路由模式部署在网络中，设备作为出口网关设备，下联二层交换机。设备上开启IC卡认证功能，用户通过IC卡认证后才能上网。
图15 IC卡认证路由模式组网图
· 配置IC卡认证功能。
本举例是在R6618版本上进行配置和验证的。
IC卡卡机型号为：D8型号（D8-ULF-II）。
(1) 配置路由接口
如下图所示，进入“网络配置>接口配置”页面，点击编辑ge1接口，把ge1的地址配置为10.0.219.131/24。点击编辑ge2接口，把ge2的地址配置为172.16.1.1/24。
图16 配置ge1接口
图17 配置ge2接口
(2) 配置静态路由
如下图所示，配置访问外网的默认路由。
图18 配置静态路由
(3) 配置对象
如下图所示，进入“策略配置>对象管理>地址对象>地址对象”页面，点击<新建>按钮创建用户地址对象，地址为172.16.1.0/24，点击<提交>。
图19 配置用户地址对象
(4) 配置IC卡认证策略
如下图所示，进入“用户管理 > 认证管理 > 认证策略”页面，选择新建认证策略，源接口选择内网口ge2，源地址选择“用户地址”，认证方式使用“IC卡认证”，提交策略。
图20 IC卡认证策略页面
(5) 配置用户识别范围
如下图所示，进入“用户管理>认证管理>高级选项”页面，识别范围选择“用户地址”，其它配置默认，提交配置。
图21 用户识别范围
(6) 配置源NAT
如下图所示，进入“策略配置>NAT转换策略”页面，在源NAT页面创建策略，接口选择ge1，其它配置默认，提交配置。
图22 配置源NAT
(1) 在需要安装卡机的PC端通过设备访问外网，弹出IC卡认证页面，如下图。单击IC卡安装程序下载，等待下载完成，找到本地安装程序，安装IC卡认证程序。也可以参考程序安装说明书，下载链接在IC卡安装程序下方。
图23 IC卡认证页面
(2) 找到下载到本地的安装程序，双击安装，输入设备端IP地址，点击下一步，如下图：
(3) 安装组件选择Deka T10，点击下一步，如下图：
(4) 选择对应的安装目录，点击安装，如下图：
(5) 安装完成点击完成，如下图：
(6) 安装成功后，检查netCardCtrlSrv.exe程序是否运行，若没有运行，则找到IC卡认证程序的安装路径，运行netCardCtrlSrv.exe程序，如下图所示。
(7) 检查卡机配置文件。IP为设备的IP地址，sleep、lockscreen、force使用默认配置，如下图所示。
具体参数的配置说明如下表所示。
表2 IC卡认证程序配置文件参数说明
|
参数 |
说明 |
|
ip |
服务器IP，需配置为设备的IP地址。 |
|
sleep |
检查时间，卡机每隔一定的时间检测一次卡是否刷上。 |
|
lockscreen |
为移除卡片后的动作，0代表没有动作、1代表锁屏、2代表注销、3代表强制注销。 |
|
force |
无卡锁屏字段，0代表未开启，1代表开启。 |
|
ic |
卡机型号 |
(8) 配置完成后，在需要认证的PC端插入IC卡认证卡机。
(1) 将IC卡放在刷卡机上，使用测试PC访问外网，可以正常上网。
(2) 如下图所示，登录设备的Web管理页面，进入“数据中心>系统监控>在线用户”，可以查看在线用户信息，IC卡刷卡认证上线成功，卡号识别为编辑的用户名。
图24 在线用户
如图25所示，某公司内网用户网段IP地址为172.16.1.0/24，172.16.1.1/24作为内网用户的网关。使用设备的ge1和ge2接口以三层路由模式部署在网络中，设备作为出口网关设备，下联二层交换机。设备上开启IC卡认证功能，用户通过IC卡认证后才能上网。
图25 IC卡认证路由模式组网图
· 配置IC卡认证功能。
本举例是在R6618版本上进行配置和验证的。
IC卡卡机型号为：HS108。
(1) 配置路由接口
如图26、图27所示，进入“网络配置>接口配置”页面，点击编辑ge1接口，把ge1的地址配置为10.0.219.131/24。点击编辑ge2接口，把ge2的地址配置为172.16.1.1/24。
(2) 配置静态路由
如图28所示，配置访问外网的默认路由。
(3) 配置对象
如图29所示，进入“策略配置>对象管理>地址对象>地址对象”页面，点击<新建>按钮创建用户地址对象，地址为172.16.1.0/24，点击<提交>。
(4) 配置IC卡认证策略
如图30所示，进入“用户管理 > 认证管理 > 认证策略”页面，选择新建认证策略，源接口选择内网口ge2，源地址选择“用户地址”，认证方式使用“IC卡认证”，提交策略。
图30 IC卡认证策略页面
(5) 配置用户识别范围
如图31所示，进入“用户管理>认证管理>高级选项”页面，识别范围选择“用户地址”，其它配置默认，提交配置。
(6) 配置源NAT
如图32所示，进入“策略配置>NAT转换策略”页面，在源NAT页面创建策略，接口选择ge1，其它配置默认，提交配置。
(1) 在需要安装卡机的PC端通过设备访问外网，弹出IC卡认证页面，如图33所示。单击IC卡安装程序下载，等待下载完成，找到本地安装程序，安装IC卡认证程序。也可以参考程序安装说明书，下载链接在IC卡安装程序下方。
图33 IC卡认证页面
(2) 找到下载下来的本地安装程序，双击安装，输入设备端IP地址，点击下一步，如下图：
(3) 安装组件选择HS108，点击下一步，如下图：
(4) 选择对应的安装目录，点击安装，如下图：
(5) 安装完成点击完成，如下图：
(6) 安装成功后，检查netCardCtrlSrv.exe程序是否运行，若没有运行，则找到IC卡认证程序的安装路径，运行netCardCtrlSrv.exe程序，如下图所示。
(7) 检查卡机配置文件。IP为设备的IP地址，sleep、lockscreen、force使用默认配置，如下图所示。
具体参数的配置说明如下表所示。
表3 IC卡认证程序配置文件参数说明
|
参数 |
说明 |
|
ip |
服务器IP，需配置为设备的IP地址。 |
|
sleep |
检查时间，卡机每隔一定的时间检测一次卡是否刷上。 |
|
lockscreen |
为移除卡片后的动作，0代表没有动作、1代表锁屏、2代表注销、3代表强制注销。 |
|
force |
无卡锁屏字段，0代表未开启，1代表开启。 |
|
ic |
卡机型号 |
(8) 配置完成后，在需要认证的PC端插入IC卡认证卡机。
(1) 将IC卡放在刷卡机上，使用测试PC访问外网，可以正常上网。
(2) 如图34所示，登录设备的Web管理页面，进入“数据中心>系统监控>在线用户”，可以查看在线用户信息，IC卡刷卡认证上线成功，卡号识别为编辑的用户名。
· 目前支持三种型号卡机：旧款深圳市德卡科技有限公司的D8（D8-ULF-II）、新款750AU（如需购买请联系技术支持人员）、北京智安慧扫科技有限公司的HS108。
· 新款750AU卡机支持WIN7、WIN10系统。（旧款D8卡机只支持WIN10）、HS108卡机支持WIN7、WIN10系统。
· 认证用户网段必须在用户识别范围中，否则会导致不能正常认证。
· 导入IC卡信息时为覆盖导入。
· IC卡信息导入规格为用户规格的三分之一。
· 如果使用以前配套的旧卡机软件安装包，IC卡认证上线后是十六进制格式的IC卡卡号信息，且开启了本地检查，已导入了十六进制的卡片信息，那么替换成现在新的卡机软件安装包无法认证上线，因为新的卡机软件安装包采用的是十进制处理的，需要重新导入对应的十进制卡片信息，或者禁用本地检查，否则无法认证上线。
· 同一时间只能支持一款卡机，切换卡机需要修改卡机安装配置文件或者卸载卡机安装程序后重新安装。
· 安装卡机软件程序时，如果勾选了多个卡机组件选项(优先级为 HS108 > Deka T10 > BC7500)，则根据优先级默认支持优先级高的型号卡机认证；如果勾选的是单个卡机组件选项则支持对应卡机型号的卡机认证。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
