1  主备AC+主备iMC组网：远程MAC+远程Portal无感知认证典型配置

1.1  简介

本文档介绍通过部署主备AC+主备iMC实现远程MAC+远程Portal的无感知认证配置，为读者提供一种典型的配置实例。

1.2  组网需求

如图1所示，AP通过Access Switch、Core Switch连接到AC 1和AC 2，AP和Client通过DHCP服务器获取IP地址，主备iMC同时作为Portal认证服务器和Portal Web服务器、RADIUS 服务器，要求：

·     使用双链路备份对AC进行备份，AC 1工作在主用状态，AC 2工作在备用状态，当AC 1发生故障或主备AC切换时，AP可以通过AC 2继续提供服务，当AC 1恢复工作后，AP重新关联到AC 1。

·     配置主备iMC对认证服务器进行备份。

·     当终端第一次上线时，会触发MAC认证。终端会向EIA查询其MAC地址信息，返回的查询结果为失败值，终端将继续进行Portal认证。一旦Portal认证成功，EIA将记录终端的MAC地址信息。在第二次上线时，终端会按照正常的流程进行MAC认证以进行上线。

 

图1 主备AC+主备iMC实现远程MAC+远程Portal的无感知认证组网图

 

设备	接口	IP地址	用途
AC1	Vlan-int 1	192.168.1.1/24	管理IP
	Vlan-int 100	192.168.2.1/24	AP注册
AC2	Vlan-int 1	192.168.1.2/24	管理IP
	Vlan-int 100	192.168.2.2/24	AP注册
核心交换机	Vlan-int 1	192.168.1.254/24	管理IP
	Vlan-int 2	172.16.1.3/24	用于转发AC和iMC间的流量
	Vlan-int 400	10.10.1.1/16	用于转发去往外网的流量
	Vlan-int 100	192.168.2.3/24	服务于AP注册
	Vlan-int 200	192.168.3.1/24	服务于无线终端业务
主iMC	/	172.16.1.1/24	认证交互
备iMC	/	172.16.1.2/24	认证交互
无线业务VLAN		VLAN 200	/
无线业务网段		192.168.3.0/24	/

 

1.3  配置注意事项

·     配置AP的序列号时请确保该序列号与AP唯一对应。

·     设备重定向给用户的Portal Web服务器的URL默认是不携带参数，需要根据实际应用手动添加需要携带的参数信息。

·     若在VLAN接口视图下开启Portal认证，只能采用集中转发；若在服务模板视图下开启Portal认证，则本地转发和集中式转发都支持（本例以服务模板视图下开启Portal认证为例）。在采用本地转发模式的无线组网环境中，AC上没有Portal客户端的ARP表项，为了保证合法用户可以进行Portal认证，需要开启无线Portal客户端合法性检查功能。

·     短时间内Portal客户端的频繁上下线可能会造成Portal认证失败，需要关闭Portal客户端ARP表项固化功能。

·     终端开启随机MAC功能后，会导致无感知认证失效，建议终端侧关闭随机MAC功能。

·     为了使用户可以在VLAN内的任何二层端口上访问网络资源，且移动接入端口时无须重复认证，必须开启Portal用户漫游功能。

·     为了使服务器对用户授权信息进行动态修改或强制用户下线，必须开启RADIUS session control功能。

·     为了防止用户上线过程中，动态授权信息下发失败，需要配置RADIUS DAE服务器功能。

·     配置两个主备的Radius服务器，并进行探测。

·     配置两个Portal服务器，并进行探测。

·     配置两个Portal Web服务器，并进行探测。

·     确保以上三种服务器的探测检测时间尽量保持一致，本例中都设置为1分钟。iMC要求在设备侧的Radius服务器、Portal服务器和Portal Web服务器均配置为主iMC或备iMC时用户才能够正常认证成功。

·     iMC纳管设备时的IP地址需要和设备侧配置的NAS-IP以及BAS-IP一致。

·     在配置Portal认证服务时，不同端口组绑定同一IP地址组必须选择允许。

·     当iMC发生主备切换时，已上线的终端不会受到影响，但新上线的终端会受影响，影响时间大约为2～3分钟。

1.4  配置步骤

1.4.1  配置AC 1

1. 配置网络互联

(1)     配置AC 1的接口

# 配置VLAN 1接口的IP地址，用于与iMC服务器通信。

<AC1> system-view

[AC1] interface vlan-interface 1

[AC1-Vlan-interface1] ip address 192.168.1.1 24

[AC1-Vlan-interface1] quit

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AP将获取该IP地址与AC 1建立CAPWAP隧道。

[AC1] vlan 100

[AC1-vlan100] quit

[AC1] interface vlan-interface 100

[AC1-Vlan-interface100] ip address 192.168.2.1 24

[AC1-Vlan-interface100] quit

# 配置AC 1与Core Switch相连的接口GigabitEthernet1/0/1的属性为Trunk，允许VLAN 1、VLAN 100通过。

[AC1] interface gigabitethernet 1/0/1

[AC1-GigabitEthernet1/0/1] port link-type trunk

[AC1-GigabitEthernet1/0/1] port trunk permit vlan 1 100

[AC1-GigabitEthernet1/0/1] quit

(2)     配置缺省路由

# 配置缺省路由指向核心交换机。

[AC1] ip route-static 0.0.0.0 0 192.168.1.254

2. 配置AP License共享功能

(1)     安装License

# 配置AC 1安装License，配置步骤略。

(2)     配置AP License共享功能

# 配置AP License共享功能。

[AC1] wlan ap-license-group

[AC1-wlan-als-group] local ip 192.168.2.1

[AC1-wlan-als-group] member ip 192.168.2.2

[AC1-wlan-als-group] ap-license-synchronization enable

[AC1-wlan-als-group] quit

3. 配置RADIUS方案

# 使能RADUIS session control功能。

[AC1] radius session-control enable

# 配置RADIUS服务器探测模板Profile，探测报文中携带的用户名为testaccout（该用户名可以随意创建，且不需要在iMC上添加该用户），探测报文的发送间隔为1分钟，每一轮可达性判断所需的连续探测次数为2次。

[AC1] radius-server test-profile Profile username testaccout interval 1 probe-count 2

# 创建名称为rs1的RADIUS方案，并进入该方案视图。

[AC1] radius scheme rs1

# 配置RADIUS方案的认证和计费服务器及其通信密钥。

[AC1-radius-rs1] primary authentication 172.16.1.1 test-profile Profile

[AC1-radius-rs1] primary accounting 172.16.1.1

[AC1-radius-rs1] secondary authentication 172.16.1.2 test-profile Profile

[AC1-radius-rs1] secondary accounting 172.16.1.2

[AC1-radius-rs1] key authentication simple imceia

[AC1-radius-rs1] key accounting simple imceia

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC1-radius-rs1] user-name-format without-domain

# 配置发送RADIUS报文时使用的源IP地址为192.168.1.1。

[AC1-radius-rs1] nas-ip 192.168.1.1

[AC1-radius-rs1] quit

# 开启RADIUS DAE服务，并进入RADIUS DAE服务器视图。

[AC1] radius dynamic-author server

# 设置RADIUS DAE客户端的IP地址为172.16.1.1 和172.16.1.2，与RADIUS DAE客户端交互DAE报文时使用的共享密钥为明文imceia。

[AC1-radius-da-server] client ip 172.16.1.1 key simple imceia

[AC1-radius-da-server] client ip 172.16.1.2 key simple imceia

[AC1-radius-da-server] quit

4. 配置认证域

(1)     配置MAC认证域mac-dm

# 创建名为mac-dm的ISP域并进入其视图。

[AC1] domain mac-dm

# 为lan-access用户配置认证、授权、计费方案为RADIUS方案rs1

[AC1-isp-mac-dm] authentication lan-access radius-scheme rs1

[AC1-isp-mac-dm] authorization lan-access radius-scheme rs1

[AC1-isp-mac-dm] accounting lan-access radius-scheme rs1

[AC1-isp-mac-dm] quit

(2)     配置Portal认证域portal-dm

# 创建名为portal-dm的ISP域并进入其视图。

[AC1] domain portal-dm

# 为Portal用户配置AAA认证方法为RADIUS。

[AC1-isp-portal-dm] authentication portal radius-scheme rs1

# 为Portal用户配置AAA授权方法为RADIUS。

[AC1-isp-portal-dm] authorization portal radius-scheme rs1

# 为Portal用户配置AAA计费方法为none，不计费。

[AC1-isp-portal-dm] accounting portal none

# 指定ISP域portal-dm下的用户闲置切断时间为15分钟，闲置切断时间内产生的流量为1024字节。

[AC1-isp-portal-dm] authorization-attribute idle-cut 15 1024

[AC1-isp-portal-dm] quit

5. 配置Portal认证

# 配置主Portal认证服务器，名称为ps1，IP地址为172.16.1.1，开启对Portal认证服务器ps1的探测功能。

[AC1] portal server ps1

[AC1-portal-server-ps1] ip 172.16.1.1 key simple imceia

[AC1-portal-server-ps1] server-detect timeout 60 log trap

[AC1-portal-server-ps1] quit

# 配置备Portal认证服务器，名称为ps1_backup，IP地址为172.16.1.2，开启对备Portal认证服务器ps1_backup的探测功能。

[AC1] portal server ps1_backup

[AC1-portal-server-ps1_backup] ip 172.16.1.2 key simple imceia

[AC1-portal-server-ps1_backup] server-detect timeout 60 log trap

[AC1-portal-server-ps1_backup] quit

# 配置主Portal Web服务器的URL为http://172.16.1.1:8080/portal，开启主Portal Web服务器的可达性探测功能。

[AC1] portal web-server ws1

[AC1-portal-websvr-ws1] url http://172.16.1.1:8080/portal

[AC1-portal-websvr-ws1] server-detect interval 60 retry 3 log trap

[AC1-portal-websvr-ws1] server-detect url http://172.16.1.1:8080/portal/

# 配置设备重定向给用户的主Portal Web服务器的URL中携带参数ssid、wlanuserip和wlanacname，其值分别为AP的SSID、用户的IP地址和AC名称。

[AC1-portal-websvr-ws1] url-parameter ssid ssid

[AC1-portal-websvr-ws1] url-parameter wlanuserip source-address

[AC1-portal-websvr-ws1] url-parameter wlanacname value AC

[AC1-portal-websvr-ws1] quit

# 配置备Portal Web服务器的URL为http://172.16.1.2:8080/portal，开启备Portal Web服务器的可达性探测功能。

[AC1] portal web-server ws1_backup

[AC1-portal-websvr-ws1_backup] url http://172.16.1.2:8080/portal

[AC1-portal-websvr-ws1_backup] server-detect interval 60 retry 3 log trap

[AC1-portal-websvr-ws1_backup] server-detect url http://172.16.1.2:8080/portal/

# 配置设备重定向给用户的备Portal Web服务器的URL中携带参数ssid、wlanuserip和wlanacname，其值分别为AP的SSID、用户的IP地址和AC名称。

[AC1-portal-websvr-ws1_backup] url-parameter ssid ssid

[AC1-portal-websvr-ws1_backup] url-parameter wlanuserip source-address

[AC1-portal-websvr-ws1_backup] url-parameter wlanacname value AC

[AC1-portal-websvr-ws1_backup] quit

# 配置基于IPv4地址的Portal免认证规则，目的地址为172.16.1.1和172.16.1.2，以便放行访问Portal Web服务器的流量，让用户可以正常访问Portal Web服务器。

[AC1] portal free-rule 0 destination ip 172.16.1.1 255.255.255.255

[AC1] portal free-rule 1 destination ip 172.16.1.2 255.255.255.255

# 配置两条基于目的的Portal免认证规则，放行访问DNS服务器的流量。

[AC1] portal free-rule 2 destination ip any udp 53

[AC1] portal free-rule 3 destination ip any tcp 53

# 配置Portal认证时客户端访问AC的接口。

[AC1] portal client-gateway interface vlan-interface 100

# 开启无线Portal漫游功能。

[AC1] portal roaming enable

# 关闭无线Portal客户端ARP表项固化功能。

[AC1] undo portal refresh arp enable

# 开启无线Portal客户端合法性检查功能。

[AC1] portal host-check enable

6. 配置无线服务

# 创建无线服务模板st1，并进入无线服务模板视图。

[AC1] wlan service-template st1

# 配置SSID为service。

[AC1-wlan-st-st1] ssid service

# 配置无线服务模板VLAN为200。

[AC1-wlan-st-st1] vlan 200

# 配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。

[AC1-wlan-st-st1] akm mode psk

[AC1-wlan-st-st1] preshared-key pass-phrase simple 12345678

# 配置加密套件为CCMP，安全信息元素为RSN。

[AC1-wlan-st-st1] cipher-suite ccmp

[AC1-wlan-st-st1] security-ie rsn

# 配置客户端数据报文转发位置为AP。（如果客户端数据报文的缺省转发位置与本配置相同，请跳过此步骤）

[AC1-wlan-st-st1] client forwarding-location ap

# 在无线服务模板st1上使能直接方式的Portal认证。

[AC1-wlan-st-st1] portal enable method direct

# 配置接入的Portal用户使用认证域为portal-dm。

[AC1-wlan-st-st1] portal domain portal-dm

# 在无线服务模板st1上引用Portal Web服务器ws1和ws1_backup。

[AC1-wlan-st-st1] portal apply web-server ws1

[AC1-wlan-st-st1] portal apply web-server ws1_backup secondary

# 在无线服务模板st1上配置portal报文发送的源地址。

[AC1-wlan-st-st1] portal bas-ip 192.168.1.1

# 配置MAC认证，并配置忽略MAC地址认证结果。

[AC1-wlan-st-st1] client-security authentication-mode mac

[AC1-wlan-st-st1] client-security ignore-authentication

[AC1-wlan-st-st1] mac-authentication domain mac-dm

# 开启无线服务模板。

[AC1-wlan-st-st1] service-template enable

[AC1-wlan-st-st1] quit

7. 创建配置模板

# 创建名为profile1的配置模板Profile。

[AC1] configuration profile profile1 model WA6320

# 在该配置模板下创建VLAN 200。

[AC1-config-profile-profile1] vlan 200

[AC1-config-profile-profile1-vlan200] quit

# 配置AP上行接口GigabitEthernet1/0/1为Trunk类型，允许无线业务VLAN 200通过。

[AC1-config-profile-profile1] interface gigabitethernet 1/0/1

[AC1-config-profile-profile1-GigabitEthernet1/0/1] port link-type trunk

[AC1-config-profile-profile1-GigabitEthernet1/0/1] port trunk permit vlan 200

[AC1-config-profile-profile1-GigabitEthernet1/0/1] quit

[AC1-config-profile-profile1] quit

8. 配置AP

 

# 创建AP，配置AP名称为office，型号名称选择WA6320，并配置序列号219801A28N819CE0002T。

[AC1] wlan ap office model WA6320

[AC1-wlan-ap-office] serial-id 219801A28N819CE0002T

[AC1-wlan-ap-office] quit

# 创建AP组group1，并配置AP名称入组规则。

[AC1] wlan ap-group group1

[AC1-wlan-ap-group-group1] ap office

# 配置AP连接的优先级为7。

[AC1-wlan-ap-group-group1] priority 7

# 配置备AC IP地址为192.168.2.2。

[AC1-wlan-ap-group-group1] backup-ac ip 192.168.2.2

# 配置CAPWAP隧道抢占功能，当主AC故障恢复后AP可以重新关联到主AC。

[AC1-wlan-ap-group-group1] wlan tunnel-preempt enable

# 指定AP组下AP引用的配置模板为profile1。

[AC1-wlan-ap-group-group1] ap-model WA6320

[AC1-wlan-ap-group-group1-ap-model-WA6320] configuration-profile profile1

# 将无线服务模板st1绑定到AP组group1下的Radio 2上。

[AC1-wlan-ap-group-group1-ap-model-WA6320] radio 2

[AC1-wlan-ap-group-group1-ap-model-WA6320-radio-2] service-template st1

# 开启Radio 2的射频功能。

[AC1-wlan-ap-group-group1-ap-model-WA6320-radio-2] radio enable

[AC1-wlan-ap-group-group1-ap-model-WA6320-radio-2] quit

[AC1-wlan-ap-group-group1-ap-model-WA6320] quit

[AC1-wlan-ap-group-group1] quit

1.4.2  配置AC 2

1. 配置网络互联

(1)     配置AC 2的接口

# 配置VLAN 1接口的IP地址，用于与iMC服务器通信。

<AC2> system-view

[AC2] interface vlan-interface 1

[AC2-Vlan-interface1] ip address 192.168.1.2 24

[AC2-Vlan-interface1] quit

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AP将获取该IP地址与AC 2建立CAPWAP隧道。

[AC2] vlan 100

[AC2-vlan100] quit

[AC2] interface vlan-interface 100

[AC2-Vlan-interface100] ip address 192.168.2.2 24

[AC2-Vlan-interface100] quit

# 配置AC 2与Core Switch相连的接口GigabitEthernet1/0/1的属性为Trunk，允许VLAN 1、VLAN 100通过。

[AC2] interface gigabitethernet 1/0/1

[AC2-GigabitEthernet1/0/1] port link-type trunk

[AC2-GigabitEthernet1/0/1] port trunk permit vlan 1 100

[AC2-GigabitEthernet1/0/1] quit

(2)     配置缺省路由

# 配置缺省路由指向核心交换机。

[AC2] ip route-static 0.0.0.0 0 192.168.1.254

2. 配置AP License共享功能

(1)     安装License

# 配置AC 2安装License，配置步骤略。

(2)     配置AP License共享功能

# 配置AP License共享功能。

[AC2] wlan ap-license-group

[AC2-wlan-als-group] local ip 192.168.2.2

[AC2-wlan-als-group] member ip 192.168.2.1

[AC2-wlan-als-group] ap-license-synchronization enable

[AC2-wlan-als-group] quit

3. 配置RADIUS方案

# 使能RADUIS session control功能。

[AC2] radius session-control enable

# 配置RADIUS服务器探测模板Profile，探测报文中携带的用户名为testaccout（该用户名可以随意创建，且不需要在iMC上添加该用户），探测报文的发送间隔为1分钟，每一轮可达性判断所需的连续探测次数为2次。

[AC2] radius-server test-profile Profile username testaccout interval 1 probe-count 2

# 创建名称为rs1的RADIUS方案，并进入该方案视图。

[AC2] radius scheme rs1

# 配置RADIUS方案的认证和计费服务器及其通信密钥。

[AC2-radius-rs1] primary authentication 172.16.1.1 test-profile Profile

[AC2-radius-rs1] primary accounting 172.16.1.1

[AC2-radius-rs1] secondary authentication 172.16.1.2 test-profile Profile

[AC2-radius-rs1] secondary accounting 172.16.1.2

[AC2-radius-rs1] key authentication simple imceia

[AC2-radius-rs1] key accounting simple imceia

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC2-radius-rs1] user-name-format without-domain

# 配置发送RADIUS报文时使用的源IP地址为192.168.1.2。

[AC2-radius-rs1] nas-ip 192.168.1.2

[AC2-radius-rs1] quit

# 开启RADIUS DAE服务，并进入RADIUS DAE服务器视图。

[AC2] radius dynamic-author server

# 设置RADIUS DAE客户端的IP地址为172.16.1.1 和172.16.1.2，与RADIUS DAE客户端交互DAE报文时使用的共享密钥为明文imceia。

[AC2-radius-da-server] client ip 172.16.1.1 key simple imceia

[AC2-radius-da-server] client ip 172.16.1.2 key simple imceia

[AC2-radius-da-server] quit

4. 配置认证域

(1)     配置MAC认证域mac-dm

# 创建名为mac-dm的ISP域并进入其视图。

[AC2] domain mac-dm

# 为lan-access用户配置认证、授权、计费方案为RADIUS方案rs1

[AC2-isp-mac-dm] authentication lan-access radius-scheme rs1

[AC2-isp-mac-dm] authorization lan-access radius-scheme rs1

[AC2-isp-mac-dm] accounting lan-access radius-scheme rs1

[AC2-isp-mac-dm] quit

(2)     配置Portal认证域portal-dm

# 创建名为portal-dm的ISP域并进入其视图。

[AC2] domain portal-dm

# 为Portal用户配置AAA认证方法为RADIUS。

[AC2-isp-portal-dm] authentication portal radius-scheme rs1

# 为Portal用户配置AAA授权方法为RADIUS。

[AC2-isp-portal-dm] authorization portal radius-scheme rs1

# 为Portal用户配置AAA计费方法为none，不计费。

[AC2-isp-portal-dm] accounting portal none

# 指定ISP域portal-dm下的用户闲置切断时间为15分钟，闲置切断时间内产生的流量为1024字节。

[AC2-isp-portal-dm] authorization-attribute idle-cut 15 1024

[AC2-isp-portal-dm] quit

5. 配置Portal认证

# 配置主Portal认证服务器，名称为ps1，IP地址为172.16.1.1，开启对Portal认证服务器ps1的探测功能。

[AC2] portal server ps1

[AC2-portal-server-ps1] ip 172.16.1.1 key simple imceia

[AC2-portal-server-ps1] server-detect timeout 60 log trap

[AC2-portal-server-ps1] quit

# 配置备Portal认证服务器，名称为ps1_backup，IP地址为172.16.1.2，开启对备Portal认证服务器ps1_backup的探测功能。

[AC2] portal server ps1_backup

[AC2-portal-server-ps1_backup] ip 172.16.1.2 key simple imceia

[AC2-portal-server-ps1_backup] server-detect timeout 60 log trap

[AC2-portal-server-ps1_backup] quit

# 配置主Portal Web服务器的URL为http://172.16.1.1:8080/portal，开启主Portal Web服务器的可达性探测功能。

[AC2] portal web-server ws1

[AC2-portal-websvr-ws1] url http://172.16.1.1:8080/portal

[AC2-portal-websvr-ws1] server-detect interval 60 retry 3 log trap

[AC2-portal-websvr-ws1] server-detect url http://172.16.1.1:8080/portal/

# 配置设备重定向给用户的主Portal Web服务器的URL中携带参数ssid、wlanuserip和wlanacname，其值分别为AP的SSID、用户的IP地址和AC名称。

[AC2-portal-websvr-ws1] url-parameter ssid ssid

[AC2-portal-websvr-ws1] url-parameter wlanuserip source-address

[AC2-portal-websvr-ws1] url-parameter wlanacname value AC

[AC2-portal-websvr-ws1] quit

# 配置备Portal Web服务器的URL为http://172.16.1.2:8080/portal，开启备Portal Web服务器的可达性探测功能。

[AC2] portal web-server ws1_backup

[AC2-portal-websvr-ws1_backup] url http://172.16.1.2:8080/portal

[AC2-portal-websvr-ws1_backup] server-detect interval 60 retry 3 log trap

[AC2-portal-websvr-ws1_backup] server-detect url http://172.16.1.2:8080/portal/

# 配置设备重定向给用户的备Portal Web服务器的URL中携带参数ssid、wlanuserip和wlanacname，其值分别为AP的SSID、用户的IP地址和AC名称。

[AC2-portal-websvr-ws1_backup] url-parameter ssid ssid

[AC2-portal-websvr-ws1_backup] url-parameter wlanuserip source-address

[AC2-portal-websvr-ws1_backup] url-parameter wlanacname value AC

[AC2-portal-websvr-ws1_backup] quit

# 配置基于IPv4地址的Portal免认证规则，目的地址为172.16.1.1和172.16.1.2，以便放行访问Portal Web服务器的流量，让用户可以正常访问Portal Web服务器。

[AC2] portal free-rule 0 destination ip 172.16.1.1 255.255.255.255

[AC2] portal free-rule 1 destination ip 172.16.1.2 255.255.255.255

# 配置两条基于目的的Portal免认证规则，放行访问DNS服务器的流量。

[AC2] portal free-rule 2 destination ip any udp 53

[AC2] portal free-rule 3 destination ip any tcp 53

# 配置Portal认证时客户端访问AC的接口。

[AC2] portal client-gateway interface vlan-interface 100

# 开启无线Portal漫游功能。

[AC2] portal roaming enable

# 关闭无线Portal客户端ARP表项固化功能。

[AC2] undo portal refresh arp enable

# 开启无线Portal客户端合法性检查功能。

[AC2] portal host-check enable

6. 配置无线服务

# 创建无线服务模板st1，并进入无线服务模板视图。

[AC2] wlan service-template st1

# 配置SSID为service。

[AC2-wlan-st-st1] ssid service

# 配置无线服务模板VLAN为200。

[AC2-wlan-st-st1] vlan 200

# 配置身份认证与密钥管理模式为PSK模式，配置PSK密钥为明文字符串12345678。

[AC2-wlan-st-st1] akm mode psk

[AC2-wlan-st-st1] preshared-key pass-phrase simple 12345678

# 配置加密套件为CCMP，安全信息元素为RSN。

[AC2-wlan-st-st1] cipher-suite ccmp

[AC2-wlan-st-st1] security-ie rsn

# 配置客户端数据报文转发位置为AP。（如果客户端数据报文的缺省转发位置与本配置相同，请跳过此步骤）

[AC2-wlan-st-st1] client forwarding-location ap

# 在无线服务模板st1上使能直接方式的Portal认证。

[AC2-wlan-st-st1] portal enable method direct

# 配置接入的Portal用户使用认证域为portal-dm。

[AC2-wlan-st-st1] portal domain portal-dm

# 在无线服务模板st1上引用Portal Web服务器ws1和ws1_backup。

[AC2-wlan-st-st1] portal apply web-server ws1

[AC2-wlan-st-st1] portal apply web-server ws1_backup secondary

# 在无线服务模板st1上配置portal报文发送的源地址。

[AC2-wlan-st-st1] portal bas-ip 192.168.1.2

# 配置MAC认证，并配置忽略MAC地址认证结果。

[AC2-wlan-st-st1] client-security authentication-mode mac

[AC2-wlan-st-st1] client-security ignore-authentication

[AC2-wlan-st-st1] mac-authentication domain mac-dm

# 开启无线服务模板。

[AC2-wlan-st-st1] service-template enable

[AC2-wlan-st-st1] quit

7. 创建配置模板

# 创建名为profile1的配置模板Profile。

[AC2] configuration profile profile1 model WA6320

# 在该配置模板下创建VLAN 200。

[AC2-config-profile-profile1] vlan 200

[AC2-config-profile-profile1-vlan200] quit

# 配置AP上行接口GigabitEthernet1/0/1为Trunk类型，允许无线业务VLAN 200通过。

[AC2-config-profile-profile1] interface gigabitethernet 1/0/1

[AC2-config-profile-profile1-GigabitEthernet1/0/1] port link-type trunk

[AC2-config-profile-profile1-GigabitEthernet1/0/1] port trunk permit vlan 200

[AC2-config-profile-profile1-GigabitEthernet1/0/1] quit

[AC2-config-profile-profile1] quit

8. 配置AP

 

# 创建AP，配置AP名称为office，型号名称选择WA6320，并配置序列号219801A28N819CE0002T。

[AC2] wlan ap office model WA6320

[AC2-wlan-ap-office] serial-id 219801A28N819CE0002T

[AC2-wlan-ap-office] quit

# 创建AP组group1，并配置AP名称入组规则。

[AC2] wlan ap-group group1

[AC2-wlan-ap-group-group1] ap office

# 配置备AC IP地址为192.168.2.1。

[AC2-wlan-ap-group-group1] backup-ac ip 192.168.2.1

# 指定AP组下AP引用的配置模板为profile1。

[AC2-wlan-ap-group-group1] ap-model WA6320

[AC2-wlan-ap-group-group1-ap-model-WA6320] configuration-profile profile1

# 将无线服务模板st1绑定到AP组group1下的Radio 2上。

[AC2-wlan-ap-group-group1-ap-model-WA6320] radio 2

[AC2-wlan-ap-group-group1-ap-model-WA6320-radio-2] service-template st1

# 开启Radio 2的射频功能。

[AC2-wlan-ap-group-group1-ap-model-WA6320-radio-2] radio enable

[AC2-wlan-ap-group-group1-ap-model-WA6320-radio-2] quit

[AC2-wlan-ap-group-group1-ap-model-WA6320] quit

[AC2-wlan-ap-group-group1] quit

1.4.3  配置Core Switch

(1)     配置Core Switch接口

# 创建VLAN 100，并配置VLAN 100接口的IP地址，用于转发AC和AP间CAPWAP隧道内的流量。

<Core Switch> system-view

[Core Switch] vlan 100

[Core Switch-vlan100] quit

[Core Switch] interface vlan-interface 100

[Core Switch-Vlan-interface100] ip address 192.168.2.3 24

[Core Switch-Vlan-interface100] quit

# 创建VLAN 200，并为该接口配置IP地址。Client使用该VLAN接入无线网络。

[Core Switch] vlan 200

[Core Switch-vlan200] quit

[Core Switch] interface vlan-interface 200

[Core Switch-Vlan-interface200] ip address 192.168.3.1 24

[Core Switch-Vlan-interface200] quit

# 配置VLAN 1接口的IP地址，用于转发AC和iMC间的流量。

[Core Switch] interface vlan-interface 1

[Core Switch-Vlan-interface1] ip address 192.168.1.254 24

[Core Switch-Vlan-interface1] quit

# 创建VLAN 2，并配置VLAN 2接口的IP地址，用于转发AC和iMC间的流量。

[Core Switch] vlan 2

[Core Switch-vlan2] quit

[Core Switch] interface vlan-interface 2

[Core Switch-Vlan-interface2] ip address 172.16.1.3 255.255.255.0

[Core Switch-Vlan-interface2] quit

# 创建VLAN 400，并配置VLAN 400接口的IP地址，用于转发去往外网的流量。

[Core Switch] vlan 400

[Core Switch-vlan400] quit

[Core Switch] interface vlan-interface 400

[Core Switch-Vlan-interface400] ip address 10.10.1.1 16

[Core Switch-Vlan-interface400] quit

# 配置Core Switch与AC 1相连的GigabitEthernet1/0/1接口的属性为Trunk，允许VLAN 100和VLAN 1通过。

[Core Switch] interface gigabitethernet 1/0/1

[Core Switch-GigabitEthernet1/0/1] port link-type trunk

[Core Switch-GigabitEthernet1/0/1] port trunk permit vlan 1 100

[Core Switch-GigabitEthernet1/0/1] quit

# 配置Core Switch与AC 2相连的GigabitEthernet1/0/2接口属性为Trunk，允许VLAN 100和VLAN 1通过。

[Core Switch] interface gigabitethernet 1/0/2

[Core Switch-GigabitEthernet1/0/2] port link-type trunk

[Core Switch-GigabitEthernet1/0/2] port trunk permit vlan 1 100

[Core Switch-GigabitEthernet1/0/2] quit

# 配置Core Switch与Access Switch相连的GigabitEthernet1/0/3接口属性为Trunk，允许VLAN 100和VLAN 200通过。

[Core Switch] interface gigabitethernet 1/0/3

[Core Switch-GigabitEthernet1/0/3] port link-type trunk

[Core Switch-GigabitEthernet1/0/3] port trunk permit vlan 100 200

[Core Switch-GigabitEthernet1/0/3] quit

# 配置Core Switch与外网相连的GigabitEthernet1/0/4接口属性为Access，并允许VLAN 400通过。

[Core Switch] interface gigabitethernet 1/0/4

[Core Switch-GigabitEthernet1/0/4] port link-type access

[Core Switch-GigabitEthernet1/0/4] port access vlan 400

[Core Switch-GigabitEthernet1/0/4] quit

# 配置Core Switch与主iMC服务器相连的GigabitEthernet1/0/5接口属性为Access，并允许VLAN 2通过。

[Core Switch] interface gigabitethernet 1/0/5

[Core Switch-GigabitEthernet1/0/5] port link-type access

[Core Switch-GigabitEthernet1/0/5] port access vlan 2

[Core Switch-GigabitEthernet1/0/5] quit

# 配置Core Switch与备iMC服务器相连的GigabitEthernet1/0/6接口属性为Access，并允许VLAN 2通过。

[Core Switch] interface gigabitethernet 1/0/6

[Core Switch-GigabitEthernet1/0/6] port link-type access

[Core Switch-GigabitEthernet1/0/6] port access vlan 2

[Core Switch-GigabitEthernet1/0/6] quit

# 配置Core Switch缺省路由下一跳为Router的IP地址10.10.1.2。

[Core Switch] ip route-static 0.0.0.0 0 10.10.1.2

(2)     配置DHCP功能

# 配置DHCP地址池100，用于为AP分配IP地址，地址范围为192.168.2.0/24，网关地址为192.168.2.3。

[Core Switch] dhcp server ip-pool 100

[Core Switch-dhcp-pool-100] network 192.168.2.0 mask 255.255.255.0

[Core Switch-dhcp-pool-100] gateway-list 192.168.2.3

[Core Switch-dhcp-pool-100] quit

# 配置DHCP地址池2为Client分配地址范围为192.168.3.0/24，为Client分配的DNS服务器地址为网关地址（实际使用过程中请根据实际网络规划配置无线客户端的DNS服务器地址），网关地址为192.168.3.1。

[Core Switch] dhcp server ip-pool 2

[Core Switch-dhcp-pool-2] network 192.168.3.0 mask 255.255.255.0

[Core Switch-dhcp-pool-2] gateway-list 192.168.3.1

[Core Switch-dhcp-pool-2] dns-list 192.168.3.1

[Core Switch-dhcp-pool-2] quit

# 开启DHCP server服务。

[Core Switch] dhcp enable

1.4.4  配置Access Switch

# 创建VLAN 100，VLAN 100为AP接入的VLAN。

<Access Switch> system-view

[Access Switch] vlan 100

[Access Switch-vlan100] quit

# 创建VLAN 200，用于转发Client无线报文。

[Access Switch] vlan 200

[Access Switch-vlan200] quit

# 配置Access Switch与Core Switch相连的接口GigabitEthernet1/0/1为Trunk类型，允许VLAN 100和VLAN 200通过。

[Access Switch] interface gigabitEthernet 1/0/1

[Access Switch-GigabitEthernet1/0/1] port link-type trunk

[Access Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[Access Switch-GigabitEthernet1/0/1] quit

# 配置Access Switch与AP相连的GigabitEthernet1/0/2接口属性为Trunk类型，允许VLAN 100和VLAN 200通过，当前Trunk口的PVID为100。

[Access Switch] interface gigabitethernet 1/0/2

[Access Switch-GigabitEthernet1/0/2] port link-type trunk

[Access Switch-GigabitEthernet1/0/2] port trunk permit vlan 100 200

[Access Switch-GigabitEthernet1/0/2] port trunk pvid vlan 100

# 开启PoE接口远程供电功能。

[Access Switch-GigabitEthernet1/0/2] poe enable

[Access Switch-GigabitEthernet1/0/2] quit

1.4.5  配置iMC

 

1. iMC纳管2台AC

(1)     增加接入设备

登录进入iMC管理平台，选择“资源”页签，单击导航树中的[资源管理/增加设备]菜单项，进入“增加设备”页面。

·     设备IP地址为无线控制器vlan1接口地址。

·     设置登录方式为SSH/Telnet。

图2 设备基本信息

 

(2)     配置SNMP参数。

图3 配置SNMP参数

 

(3)     配置Telnet参数。

图4 配置Telnet参数

 

(4)     配置SSH参数。

图5 配置SSH参数

 

(5)     单击<确定>按钮完成AC1设备的添加，然后按照此方式添加纳管AC2。

2. 配置RADIUS server

(1)     增加接入设备

登录进入iMC管理平台，选择“用户”页签，单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项，单击<增加>按钮，进入“增加接入设备”页面。

·     配置共享密钥为imceia，该共享密钥与AC上配置RADIUS服务器时的密钥一致。

·     单击<手工增加>按钮，进入“手工增加接入设备”页面，填写设备IP地址为192.168.1.1，单击<确定>按钮完成操作。（按照同样的操作步骤完成AC 2设备192.168.1.2的添加）

·     其他配置采用页面默认配置即可。

·     单击<确定>按钮完成操作。

图6 接入设备配置

 

图7 增加接入设备

 

(2)     增加接入策略

单击导航树中的[接入策略管理/接入策略管理]菜单项，并单击<增加>按钮，进入“增加接入策略”页面。

·     填写接入策略名AccessPolicy；

·     选择业务分组；

·     其它参数可采用缺省配置。

图8 接入策略管理

 

图9 增加接入策略配置

 

(3)     增加接入服务

单击导航树中的[接入策略管理/接入服务管理]菜单项，并单击<增加>按钮，进入“增加接入服务配置”页面。

·     填写服务名AccessServer；

·     缺省接入策略选择已配置好的接入策略AccessPolicy；

·     勾选“无感知认证”；

·     其它参数可采用缺省配置。

图10 接入服务管理

 

图11 增加接入服务配置

 

(4)     增加接入用户

单击导航树中的[接入用户管理/接入用户]菜单项，并单击<增加>按钮，进入增加接入用户页面。

·     用户姓名选择已经存在的可接入的用户或单击<增加用户>按钮，增加一个新用户；

·     填写账号名；

·     设置密码；

·     勾选服务名AccessServer；

·     其它参数可采用缺省配置。

图12 接入用户

 

图13 增加接入用户

 

3. 配置Portal server

(1)     配置Portal服务器

选择“用户”页签，单击导航树中的[接入策略管理/Portal服务管理/服务器配置]菜单项，进入服务器配置页面。

·     不同端口组绑定同一IP地址组选择允许。

·     其它参数可采用缺省配置。

图14 Portal服务器配置页面

 

(2)     配置IP地址组

单击导航树中的[接入策略管理/Portal服务管理/IP地址组配置]菜单项，进入Portal IP地址组配置页面，在该页面中单击<增加>按钮，进入增加IP地址组配置页面。

·     填写IP地址组名；

·     输入起始地址和终止地址，输入的地址范围中应包含用户主机的IP地址；

·     选择业务分组，本例中使用缺省的“未分组”；

·     选择IP地址组的类型为“普通”。

图15 IP地址组配置

 

图16 增加IP地址组配置页面

 

(3)     增加Portal设备

单击导航树中的[接入策略管理/Portal服务管理/设备配置]菜单项，进入Portal设备配置页面，在该页面中单击<增加>按钮，进入增加设备信息配置页面，分别添加AC 1和AC 2。

·     填写设备名；

·     指定IP地址为192.168.1.1和192.168.1.2，与AC上的bas-ip配置保持一致；

·     输入密钥imceia，与AC上的配置保持一致；

·     选择组网方式为直连；

·     其它参数可采用缺省配置。

图17 设备配置

 

图18 增加AC1设备信息配置页面

 

图19 增加AC2设备信息配置页面

 

(4)     Portal设备关联IP地址组

在Portal设备配置页面中的设备信息列表中，单击AC1和AC2设备的端口组信息管理图标，进入端口组信息配置页面。

图20 设备信息列表

 

在端口组信息配置页面中单击<增加>按钮，进入增加端口组信息配置页面。

·     填写端口组名；

·     选择认证方式为PAP认证；

·     选择IP地址组test，用户接入网络时使用的IP地址必须属于所选的IP地址组；

·     无感知认证选择“支持”；

·     其它参数可采用缺省配置。

图21 增加AC1端口组信息配置页面

 

图22 增加AC2端口组信息配置页面

 

(5)     配置系统参数

单击导航树中的[接入策略管理/业务参数配置/系统配置]菜单项，并单击[终端管理参数配置]对应的配置图标，进入终端管理参数配置页面。

·     “非智能终端Portal无感知认证”可根据实际需要启用或禁用，本例中为允许。

·     启用无感知认证。

图23 配置终端管理参数

 

单击导航树中的[接入策略管理/业务参数配置/系统配置]菜单项，单击[终端老化策略配置]对应的配置图标，然后单击修改图标，进入终端老化策略配置页面。

·     配置无感知终端老化时长为180天。

·     配置非无感知终端老化时长为20天。

·     配置终端老化方式为按闲置时长。

图24 配置终端老化策略

 

(6)     最后单击导航树中的[接入策略管理/业务参数配置/系统配置手工生效]菜单项，使以上配置立即生效。

1.5  验证配置

(1)     当终端第一次上线时，会触发MAC认证。终端会向EIA查询其MAC地址信息，返回的查询结果为失败值，终端将继续进行Portal认证。一旦Portal认证成功，EIA将记录终端的MAC地址信息。

[AC1] display portal user all

Total portal users: 1

Username: client

  AP name: office

  Radio ID: 2

  SSID: service

  Portal server: ps1

  State: Online

  VPN instance: N/A

  MAC             IP                    VLAN    Interface

  0021-6330-0933  192.168.3.2           200     WLAN-BSS1/0/2

  Authorization information:

    DHCP IP pool: N/A

    User profile: N/A

    Session group profile: N/A

    ACL number: N/A

    Inbound CAR: N/A

         Outbound CAR: N/A

(2)     在第二次上线时，终端会按照正常的流程进行MAC认证以进行上线。

[AC1] display mac-authentication connection

User MAC address              : 0021-6330-0933

AP name                         : office

Radio ID                        : 2

SSID                             : service

BSSID                            : 70ba-efaf-ddb0

Username                        : 002163300933

Authentication domain         : mac-dm

Initial VLAN                   : 200

Authorization VLAN            : 200

Authorization ACL number      : N/A

Authorization user profile    : N/A

Termination action            : Default

Session timeout period        : 86401 s

Online from                   : 2016/04/22 18:56:20

1.6  配置文件

·     AC1：

#

vlan 1

#

vlan 100

#

wlan service-template st1

 ssid service

 vlan 200

 client forwarding-location ap

 akm mode psk

 preshared-key pass-phrase simple 12345678

 cipher-suite ccmp

 security-ie rsn

client-security authentication-mode mac

 client-security ignore-authentication

 mac-authentication domain mac-dm

portal enable method direct

 portal domain portal-dm

portal bas-ip 192.168.1.1

 portal apply web-server ws1

 portal apply web-server ws1_backup secondary

service-template enable

#

interface Vlan-interface1

 ip address 192.168.1.1 255.255.255.0

#

interface Vlan-interface100

 ip address 192.168.2.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 1 100

#

ip route-static 0.0.0.0 0 192.168.1.254

#

radius session-control enable

#

radius-server test-profile Profile username testaccout interval 1 probe-count 2

#

radius scheme rs1

 primary authentication 172.16.1.1 test-profile Profile

 primary accounting 172.16.1.1

 secondary authentication 172.16.1.2 test-profile Profile

 secondary accounting 172.16.1.2

 key authentication simple imceia

 key accounting simple imceia

 user-name-format without-domain

 nas-ip 192.168.1.1

#

radius dynamic-author server

 client ip 172.16.1.1 key simple imceia

 client ip 172.16.1.2 key simple imceia

#

domain mac-dm

 authentication lan-access radius-scheme rs1

 authorization lan-access radius-scheme rs1

 accounting lan-access radius-scheme rs1

#

domain portal-dm

 authentication portal radius-scheme rs1

 authorization portal radius-scheme rs1

 accounting portal none

 authorization-attribute idle-cut 15 1024

#

portal host-check enable

portal client-gateway interface vlan-interface 100

portal free-rule 0 destination ip 172.16.1.1 255.255.255.255

portal free-rule 1 destination ip 172.16.1.2 255.255.255.255

portal free-rule 2 destination ip any udp 53

portal free-rule 3 destination ip any tcp 53

#

portal roaming enable

undo portal refresh arp enable

#

portal web-server ws1

 url http://172.16.1.1:8080/portal

 server-detect interval 60 retry 3 log trap

server-detect url http://172.16.1.1:8080/portal/

url-parameter ssid ssid

 url-parameter wlanacname value AC

 url-parameter wlanuserip source-address

 

#

portal web-server ws1_backup

 url http://172.16.1.2:8080/portal

 server-detect interval 60 retry 3 log trap

server-detect url http://172.16.1.2:8080/portal/

url-parameter ssid ssid

 url-parameter wlanacname value AC

 url-parameter wlanuserip source-address

#

portal server ps1

 ip 172.16.1.1 key simple imceia

 server-detect timeout 60 log trap

#

portal server ps1_backup

 ip 172.16.1.2 key simple imceia

 server-detect timeout 60 log trap

#

wlan ap-group group1

priority 7

wlan tunnel-preempt enable

 backup-ac ip 192.168.2.2

ap office

ap-model WA6320

configuration-profile profile1

  radio 2

radio enable

   service-template st1

#

wlan ap office model WA6320

 serial-id 219801A28N819CE0002T

#

wlan ap-license-group

 local ip 192.168.2.1

 member ip 192.168.2.2

 ap-license-synchronization enable

#

configuration profile profile1 model WA6320

 vlan 200

 interface GigabitEthernet1/0/1

  port link-type trunk

  port trunk permit vlan 1 200

#

·     AC2：

#

vlan 1

#

vlan 100

#

wlan service-template st1

 ssid service

 vlan 200

 client forwarding-location ap

 akm mode psk

 preshared-key pass-phrase simple 12345678

 cipher-suite ccmp

 security-ie rsn

client-security authentication-mode mac

 client-security ignore-authentication

 mac-authentication domain mac-dm

portal enable method direct

 portal domain portal-dm

portal bas-ip 192.168.1.2

 portal apply web-server ws1

 portal apply web-server ws1_backup secondary

service-template enable

#

interface Vlan-interface1

 ip address 192.168.1.2 255.255.255.0

#

interface Vlan-interface100

 ip address 192.168.2.2 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 1 100

#

ip route-static 0.0.0.0 0 192.168.1.254

#

radius session-control enable

#

radius-server test-profile Profile username testaccout interval 1 probe-count 2

#

radius scheme rs1

 primary authentication 172.16.1.1 test-profile Profile

 primary accounting 172.16.1.1

 secondary authentication 172.16.1.2 test-profile Profile

 secondary accounting 172.16.1.2

 key authentication simple imceia

 key accounting simple imceia

 user-name-format without-domain

 nas-ip 192.168.1.2

#

radius dynamic-author server

 client ip 172.16.1.1 key simple imceia

 client ip 172.16.1.2 key simple imceia

#

domain mac-dm

 authentication lan-access radius-scheme rs1

 authorization lan-access radius-scheme rs1

 accounting lan-access radius-scheme rs1

#

domain portal-dm

 authentication portal radius-scheme rs1

 authorization portal radius-scheme rs1

 accounting portal none

 authorization-attribute idle-cut 15 1024

#

portal host-check enable

portal client-gateway interface vlan-interface 100

portal free-rule 0 destination ip 172.16.1.1 255.255.255.255

portal free-rule 1 destination ip 172.16.1.2 255.255.255.255

portal free-rule 2 destination ip any udp 53

portal free-rule 3 destination ip any tcp 53

#

portal roaming enable

undo portal refresh arp enable

#

portal web-server ws1

 url http://172.16.1.1:8080/portal

 server-detect interval 60 retry 3 log trap

server-detect url http://172.16.1.1:8080/portal/

url-parameter ssid ssid

 url-parameter wlanacname value AC

 url-parameter wlanuserip source-address

 

#

portal web-server ws1_backup

 url http://172.16.1.2:8080/portal

 server-detect interval 60 retry 3 log trap

server-detect url http://172.16.1.2:8080/portal/

url-parameter ssid ssid

 url-parameter wlanacname value AC

 url-parameter wlanuserip source-address

#

portal server ps1

 ip 172.16.1.1 key simple imceia

 server-detect timeout 60 log trap

#

portal server ps1_backup

 ip 172.16.1.2 key simple imceia

 server-detect timeout 60 log trap

#

wlan ap-group group1

priority 7

wlan tunnel-preempt enable

 backup-ac ip 192.168.2.1

ap office

ap-model WA6320

configuration-profile profile1

  radio 2

radio enable

   service-template st1

#

wlan ap office model WA6320

 serial-id 219801A28N819CE0002T

#

wlan ap-license-group

 local ip 192.168.2.2

 member ip 192.168.2.1

 ap-license-synchronization enable

#

configuration profile profile1 model WA6320

 vlan 200

 interface GigabitEthernet1/0/1

  port link-type trunk

  port trunk permit vlan 1 200

#

·     Core Switch：

#

dhcp enable

#

vlan 1

#

vlan 2

#

vlan 100

#

vlan 200

#

vlan 400

#

dhcp server ip-pool 2

 network 192.168.3.0 mask 255.255.255.0

 gateway-list 192.168.3.1

 dns-list 192.168.3.1

#

dhcp server ip-pool 100

 network 192.168.2.0 mask 255.255.255.0

 gateway-list 192.168.2.3

#

interface Vlan-interface1

 ip address 192.168.1.254 255.255.255.0

#

interface Vlan-interface2

 ip address 172.16.1.3 255.255.255.0

#

interface Vlan-interface100

 ip address 192.168.2.3 255.255.255.0

#

interface Vlan-interface200

 ip address 192.168.3.1 255.255.255.0

#

interface Vlan-interface400

 ip address 10.10.1.1 255.255.0.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 1 100

#

interface GigabitEthernet1/0/2

 port link-type trunk

 port trunk permit vlan 1 100

#

interface GigabitEthernet1/0/3

 port link-type trunk

 port trunk permit vlan 100 200

#

interface GigabitEthernet1/0/4

 port link-type access

 port access vlan 400

#

interface GigabitEthernet1/0/5

 port link-type access

 port access vlan 2

#

interface GigabitEthernet1/0/6

 port link-type access

 port access vlan 2

#

ip route-static 0.0.0.0 0 10.10.1.2

#

·     Access Switch：

#

vlan 100

#

vlan 200

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 200

#

interface GigabitEthernet1/0/2

 port link-type trunk

 port trunk permit vlan 100 200

 port trunk pvid vlan 100

 poe enable

#

1.7  相关资料

·     《H3C 无线控制器产品 配置指导》中的“用户接入与认证配置指导”。

·     《H3C 无线控制器产品 命令参考》中的“用户接入与认证命令参考”。

·     《H3C 无线控制器产品 配置指导》中的“WLAN接入配置指导”。

·     《H3C 无线控制器产品 命令参考》中的“WLAN接入命令参考”。

·     《H3C 无线控制器产品 配置指导》中的“AP管理配置指导”。

·     《H3C 无线控制器产品 命令参考》中的“AP管理命令参考”。