- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
14-远程802.1X+远程MAC认证典型配置
本章节下载： 14-远程802.1X+远程MAC认证典型配置 (450.08 KB)
远程802.1X认证和远程MAC认证是一种网络访问控制的机制，以确保网络的安全性和合规性。本文档提供了关于远程802.1X认证和远程MAC认证的典型配置示例，将帮助读者理解和掌握远程802.1X+远程MAC认证的配置过程，并能够在实际环境中进行相应的配置和部署。
· 本配置举例以mac-and-dot1x无线用户接入认证模式为例。若未配置加密，则需要选择EAP终结方式，并且必须与iNode客户端结合使用；若配置加密，则需要选择EAP中继方式，无需结合iNode客户端使用（即不使用iNode客户端也可以）。
· dot1x-then-mac、mac-then-dot1x与mac-and-dot1x的配置步骤基本相同，主要区别在于dot1x-then-mac和mac-then-dot1x认证模式不能配置加密，只能选择EAP终结方式，并且必须结合iNode客户端使用。
· “配置加密”是指配置akm mode、cipher-suite、security-ie命令。
如图1所示组网，Switch作为DHCP server为AP和Client分配IP地址，采用iMC作为RADIUS服务器对用户进行认证、授权和计费，要求：
· 对无线用户先进行MAC地址认证，如果失败，则不再进行认证。如果认证成功，则再进行802.1X认证。
· 通过配置客户端和AP之间的数据报文采用802.1X身份认证与密钥管理来确保用户数据的传输安全。
· 客户端链路层认证使用开放式系统认证。
图1 远程802.1X+远程MAC认证组网图
· 配置AP的序列号时请确保该序列号与AP唯一对应。
· 部分款型终端默认会开启随机MAC功能，可能会导致MAC认证失败，建议终端侧关闭随机MAC功能。
(1) 配置AC的接口
# 创建VLAN 100以及对应的VLAN接口，并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。
<AC> system-view
[AC] vlan 100
[AC-vlan100] quit
[AC] interface vlan-interface 100
[AC-Vlan-interface100] ip address 10.1.1.46 24
[AC-Vlan-interface100] quit
# 创建VLAN 200，Client将使用该VLAN接入无线网络。
[AC] vlan 200
[AC-vlan200] quit
# 将AC与Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk，并允许VLAN 100和VLAN 200通过。
[AC] interface gigabitethernet 1/0/1
[AC-GigabitEthernet1/0/1] port link-type trunk
[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[AC-GigabitEthernet1/0/1] quit
(2) 配置RADIUS
# 创建RADIUS方案radius1并进入其视图。
[AC] radius scheme radius1
# 配置主认证/计费RADIUS服务器的IP地址为10.1.1.3。
[AC-radius-radius1] primary authentication 10.1.1.3
[AC-radius-radius1] primary accounting 10.1.1.3
# 配置AC与认证/计费RADIUS服务器交互报文时的共享密钥为明文字符串12345。
[AC-radius-radius1] key authentication simple 12345
[AC-radius-radius1] key accounting simple 12345
# 配置发送给RADIUS服务器的用户名不携带域名。
[AC-radius-radius1] user-name-format without-domain
# 配置设备发送RADIUS报文使用的源IP地址为10.1.1.46。
[AC-radius-radius1] nas-ip 10.1.1.46
[AC-radius-radius1] quit
# 创建名为dom1的ISP域并进入其视图。
[AC] domain dom1
# 配置lan-access用户使用RADIUS方案radius1进行认证、授权、计费。
[AC-isp-dom1] authentication lan-access radius-scheme radius1
[AC-isp-dom1] authorization lan-access radius-scheme radius1
[AC-isp-dom1] accounting lan-access radius-scheme radius1
[AC-isp-dom1] quit
# 使能RADUIS session control功能。
[AC] radius session-control enable
# 开启RADIUS DAE服务，并进入RADIUS DAE服务器视图。
[AC] radius dynamic-author server
# 设置RADIUS DAE客户端的IP地址为10.1.1.3，与RADIUS DAE客户端交互DAE报文时使用的共享密钥为明文12345。
[AC-radius-da-server] client ip 10.1.1.3 key simple 12345
[AC-radius-da-server] quit
(3) 配置MAC地址认证用户的账号格式
# 配置MAC地址认证的用户名和密码均为用户的MAC地址，且不带连字符（该配置为缺省配置）。
[AC] mac-authentication user-name-format mac-address without-hyphen lowercase
(4) 配置802.1X认证
# 配置802.1X系统的认证方法为EAP。
[AC] dot1x authentication-method eap
(5) 配置无线服务模板
# 创建无线服务模板service，并进入无线服务模板视图。
[AC] wlan service-template service
# 配置SSID为service。
[AC-wlan-st-service] ssid service
# 配置无线服务模板VLAN为200。
[AC-wlan-st-service] vlan 200
# 配置身份认证与密钥管理的模式为802.1X。
[AC-wlan-st-service] akm mode dot1x
# 配置CCMP为加密套件，配RSN为安全信息元素。
[AC-wlan-st-service] cipher-suite ccmp
[AC-wlan-st-service] security-ie rsn
# 配置用户接入认证模式为mac-and-dot1x。
[AC-wlan-st-service] client-security authentication-mode mac-and-dot1x
# 配置802.1X用户使用认证域为dom1。
[AC-wlan-st-service] dot1x domain dom1
# 配置MAC认证用户使用认证域为dom1。
[AC-wlan-st-service] mac-authentication domain dom1
# 配置客户端数据报文转发位置为AC。（如果客户端数据报文的缺省转发位置与本配置相同，请跳过此步骤）
[AC-wlan-st-service] client forwarding-location ac
# 使能无线服务模板。
[AC-wlan-st-service] service-template enable
[AC-wlan-st-service] quit
(6) 配置AP
在大规模组网时，推荐在AP组内进行配置。
# 创建AP，配置AP名称为office，型号名称选择WA6320，并配置序列号219801A28N819CE0002T。
[AC] wlan ap office model WA6320
[AC-wlan-ap-office] serial-id 219801A28N819CE0002T
[AC-wlan-ap-office] quit
# 创建AP组group1，并配置AP名称入组规则。
[AC] wlan ap-group group1
[AC-wlan-ap-group-group1] ap office
# 将无线服务模板service绑定到AP组group1下的Radio 1上。
[AC-wlan-ap-group-group1] ap-model WA6320
[AC-wlan-ap-group-group1-ap-model-WA6320] radio 1
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] service-template service
# 开启Radio 1的射频功能。
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] radio enable
[AC-wlan-ap-group-group1-ap-model-WA6320-radio-1] quit
[AC-wlan-ap-group-group1-ap-model-WA6320] quit
[AC-wlan-ap-group-group1] quit
# 开启DHCP服务。
<Switch> system-view
[Switch] dhcp enable
# 创建VLAN 100，用于转发AC和AP间CAPWAP隧道内的流量。
[Switch] vlan 100
[Switch-vlan100] quit
# 创建VLAN 200，用于转发Client无线报文。
[Switch] vlan 200
[Switch-vlan200] quit
# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk，允许VLAN 100和VLAN 200通过。
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type trunk
[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[Switch-GigabitEthernet1/0/1] quit
# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access
[Switch-GigabitEthernet1/0/2] port access vlan 100
# 使能PoE功能。
[Switch-GigabitEthernet1/0/2] poe enable
[Switch-GigabitEthernet1/0/2] quit
# 配置Switch与RADIUS服务器相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN 100通过。
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] port link-type access
[Switch-GigabitEthernet1/0/3] port access vlan 100
[Switch-GigabitEthernet1/0/3] quit
# 配置VLAN 100接口的IP地址。
[Switch] interface vlan-interface 100
[Switch-Vlan-interface100] ip address 10.1.1.47 24
[Switch-Vlan-interface100] quit
# 配置VLAN 200接口的IP地址。
[Switch] interface vlan-interface 200
[Switch-Vlan-interface200] ip address 10.1.2.2 24
[Switch-Vlan-interface200] quit
# 配置DHCP地址池100，用于为AP分配IP地址。
[Switch] dhcp server ip-pool 100
[Switch-dhcp-pool-100] network 10.1.1.0 mask 255.255.255.0
[Switch-dhcp-pool-100] forbidden-ip 10.1.1.46 10.1.1.3
[Switch-dhcp-pool-100] gateway-list 10.1.1.47
[Switch-dhcp-pool-100] quit
# 配置DHCP地址池200，用于为Client分配IP地址，为Client分配的DNS服务器地址为网关地址（实际使用过程中请根据实际网络规划配置无线客户端的DNS服务器地址）。
[Switch] dhcp server ip-pool 200
[Switch-dhcp-pool-200] network 10.1.2.0 mask 255.255.255.0
[Switch-dhcp-pool-200] gateway-list 10.1.2.2
[Switch-dhcp-pool-200] dns-list 10.1.2.2
[Switch-dhcp-pool-200] quit
下面以iMC为例（使用iMC版本为：iMC PLAT 7.1(E0302)、iMC UAM 7.1(E0302)），说明RADIUS server的基本配置。
登录进入iMC管理平台，选择“用户”页签，单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项，进入接入配置管理页面。在该页面中点击<增加>按钮，进入增加接入设备页面。
· 设置认证、计费共享密钥为12345，其它保持缺省配置；
· 选择或手工增加接入设备，添加IP地址为10.1.1.46的接入设备。
图2 增加接入设备页面
(1) 增加接入策略
选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，进入接入策略管理页面，在该页面中单击<增加>按钮，进入增加接入策略页面。
· 输入接入策略名dot1x；
· 选择证书认证为EAP证书认证；
· 选择认证证书类型为EAP-PEAP认证，认证证书子类型为MS-CHAPV2认证。认证证书子类型需要与客户端的身份验证方法一致。
图3 增加接入策略页面
(2) 增加接入服务
选择“用户”页签，单击导航树[接入策略管理/接入服务管理]菜单项，进入接入服务管理页面，在该页面中单击<增加>按钮，进入增加接入服务页面。
· 设置服务名为dot1x；
· 设置缺省接入策略为已经创建的dot1x策略。
图4 增加接入服务页面
(3) 增加接入用户
选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，进入接入用户页面，在该页面中单击<增加>按钮，进入增加接入用户页面。
· 添加用户user；
· 添加账号名为dot1x，密码为dot1x123；
· 选中之前配置的服务dot1x。
图5 增加接入用户页面
(1) 增加接入策略
选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，单击<增加>按钮，创建一条接入策略。
· 配置接入策略名为“office”。
· 其它参数采用缺省值，并单击<确定>按钮完成操作。
(2) 增加接入服务
选择“用户”页签，单击导航树中的[接入策略管理/接入服务管理]菜单项，单击<增加>按钮，创建一条服务。
· 配置服务名为“office_mac”（这里的服务名可以任意命名）。
· 缺省接入策略选择“office”。
· 其他采用默认配置。
· 单击<确定>按钮完成配置。
(3) 增加接入用户
选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，单击<增加>按钮，增加一个接入用户。
· 单击<增加用户>按钮，输入用户姓名“adm_office_mac”和证件号码“adm_office_mac”，单击<确定>按钮完成。
· 配置帐号名和密码为客户端的MAC地址“3891d5833b20”。
· 勾选绑定服务名“office_mac”。
· 单击<确定>按钮完成。
无线用户先进行MAC地址认证，如果失败，则不再进行认证。如果认证成功，则再进行802.1X认证，通过802.1X认证成功并上线之后，AC上可以通过display dot1x connection命令看到上线用户的连接情况。
[AC] display dot1x connection
Total connections: 1
User MAC address : 3891-d583-3b20
AP name : office
Radio ID : 1
SSID : service
BSSID : 741f-4ad4-1fe0
Username : dot1x
Authentication domain : dom1
IPv4 address : 10.1.2.3
Authentication method : EAP
Initial VLAN : 200
Authorization VLAN : 200
Authorization ACL number : N/A
Authorization user profile : N/A
Termination action : Default
Session timeout period : 36000001 s
Online from : 2015/12/21 11:27:11
Online duration : 0h 1m 1s
· AC：
#
dot1x authentication-method eap
#
vlan 100
#
vlan 200
#
wlan service-template service
ssid service
vlan 200
client forwarding-location ac
akm mode dot1x
cipher-suite ccmp
security-ie rsn
client-security authentication-mode mac-and-dot1x
dot1x domain dom1
mac-authentication domain dom1
service-template enable
#
interface Vlan-interface100
ip address 10.1.1.46 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 1 100 200
#
radius scheme radius1
primary authentication 10.1.1.3
primary accounting 10.1.1.3
key authentication cipher $c$3$Bb61SHV2ZsVYPJU2+RFB/8ntk0uCQkmxdA==
key accounting cipher $c$3$w03NfxnBmfDuedv9/xo7ESnoxKjowmmX9A==
user-name-format without-domain
nas-ip 10.1.1.46
#
radius dynamic-author server
client ip 10.1.1.3 key cipher $c$3$AkTEB7OgMYnCqsfDeplhoAgXUek/rVrLZw==
#
domain dom1
authentication lan-access radius-scheme radius1
authorization lan-access radius-scheme radius1
accounting lan-access radius-scheme radius1
#
wlan ap-group group1
ap office
ap-model WA6320
radio 1
radio enable
service-template service
radio 2
#
wlan ap office model WA6320
serial-id 219801A28N819CE0002T
#
· Switch：
#
dhcp enable
#
vlan 100
#
vlan 200
#
dhcp server ip-pool 100
gateway-list 10.1.1.47
network 10.1.1.0 mask 255.255.255.0
forbidden-ip 10.1.1.3
forbidden-ip 10.1.1.46
#
dhcp server ip-pool 200
gateway-list 10.1.2.2
network 10.1.2.0 mask 255.255.255.0
dns-list 10.1.2.2
#
interface Vlan-interface100
ip address 10.1.1.47 255.255.255.0
#
interface Vlan-interface200
ip address 10.1.2.2 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-type trunk
port trunk permit vlan 1 100 200
#
interface GigabitEthernet1/0/2
port link-type access
port access vlan 100
poe enable
#
interface GigabitEthernet1/0/3
port link-type access
port access vlan 100
#
· 《H3C 无线控制器产品 配置指导》中的“用户接入与认证配置指导”。
· 《H3C 无线控制器产品 命令参考》中的“用户接入与认证命令参考”。
· 《H3C 无线控制器产品 配置指导》中的“WLAN接入配置指导”。
· 《H3C 无线控制器产品 命令参考》中的“WLAN接入命令参考”。
· 《H3C 无线控制器产品 配置指导》中的“AP管理配置指导”。
· 《H3C 无线控制器产品 命令参考》中的“AP管理命令参考”。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
