H3C MSR3610-IE-EAD终端准入控制网关虚拟机部署手册-6W101

01-正文

1 简介

H3C MSR3610-IE-EAD终端准入控制网关可以和L2TP、802.1x认证、Portal认证等业务结合，具备保证终端安全、阻止终端威胁入侵网络、控制终端网络访问行为等功能。为了保证认证数据的可靠性，H3C MSR3610-IE-EAD终端准入控制网关内置了双SIC-M2-SATA存储卡并已配置为RAID 1模式，可以将认证数据进行冗余备份。

MSR3610-IE-EAD终端准入控制网关出厂时部署了一个安装有iMC软件和EAD组件的虚拟机。该虚拟机使用Centos操作系统，配置有高性能的SR-IOV网卡且已设置了固定的IP地址。

1.1 终端准入控制网关出厂状态

1.1.1 终端准入控制网关接口

MSR3610-IE-EAD终端准入控制网关接口有以下几种：

· 三层以太网COMBO口：GigibitEthernet 0/0、GigibitEthernet 0/1。

· 二层以太网电口：GigibitEthernet 0/2~GigibitEthernet 0/8，其中GigibitEthernet 0/8为内置接口，用于连接虚拟机SR-IOV网卡。

MSR3610-IE-EAD终端准入控制网关的接口如图1-1所示。

图1-1 终端准入控制网关接口示意图

1.1.2 终端准入控制网关虚拟机参数

MSR3610-IE-EAD终端准入控制网关出厂时已部署一个虚拟机，相关参数如下：

· 虚拟机名称：EAD_VM，区分大小写。

· 虚拟机操作系统：Centos系统。

· 虚拟机操作系统登录名：root，区分大小。

· 虚拟机操作系统登录密码：iMC123，区分大小。

· VNC端口号：98，使用该端口号通过VNC Viewer软件可登录虚拟机桌面。

· 虚拟机网卡：SR-IOV网卡，缺省属于VLAN 4094。

· 虚拟机IP地址：10.1.1.2/30，默认网关：10.1.1.1。

· VLAN interface 1接口IP地址：192.168.0.1/23。

· VLAN interface 4094接口IP地址：10.1.1.1/30。

1.2 虚拟机的登录方式

使用管理计算机登录虚拟机需确保管理计算机与MSR3610-IE-EAD终端准入控制网关之间网络可达。

MSR3610-IE-EAD终端准入控制网关支持用户在管理计算机上使用VNC Viewer软件通过“VNC Server IP地址:VNC端口号”的方式登录虚拟机的桌面。其中：

· VNC Server IP地址：终端准入控制网关三层接口IP地址或VLAN接口IP地址。

· VNC端口号：通过命令行创建虚拟机时设置的VNC端口号。

图1-2 使用三层接口IP地址登录示意图

图1-3 使用VLAN接口IP地址登录示意图

1.3 虚拟机网络设置

MSR3610-IE-EAD终端准入控制网关上已部署的虚拟机默认配置了高性能的SR-IOV网卡，出厂时，已设置了IP地址，IP地址为10.1.1.2/30，默认网关为10.1.1.1。用户既可以设置客户端主机的IP地址为到该网段可达的地址，也可以登录虚拟机桌面在网络设置中为虚拟机重新设置用户组网中所需要的IP地址，来完成虚拟机与客户端主机之间的网络通信。

1.4 虚拟机的业务数据交互方式

虚拟机的业务数据交互方式分为两种：二层广播方式和三层路由方式。

终端准入控制网关中的虚拟机SR-IOV网卡缺省属于VLAN 4094。

1. 二层广播方式

将虚拟机的IP地址设置成与客户端主机在同一网段的地址，并设置虚拟机与客户端主机在同一VLAN内，客户端主机通过终端准入控制网关的二层以太网接口与虚拟机完成业务数据在同一VLAN间的交互，如图1-4所示。

图1-4 二层广播方式示意图

2. 三层路由方式

将虚拟机网卡所属VLAN的VLAN接口IP地址设置成客户端主机路由可达网段的地址，并指定虚拟机的默认网关为VLAN接口的IP地址。客户端主机通过终端准入控制网关的三层以太网接口或VLAN接口与虚拟机完成业务数据在不同网段间的交互，如图1-5所示。

图1-5 三层路由方式示意图

2 终端准入控制网关部署

2.1 终端准入控制网关部署流程

在网络中部署终端准入控制网关可以完成对网络中各终端的安全保障，网络访问行为控制以及网络认证数据的冗余备份。具体的部署流程如图2-1所示。

图2-1 终端准入控制网关部署流程图

2.2 准备工作

2.2.1 准备管理计算机及工具软件

· 准备用于登录虚拟机桌面的管理计算机和用于连接MSR3610-IE-EAD终端准入控制网关与管理计算机的串口线和网线。

· 在管理计算机安装串口控制台，如Putty，用于登录终端准入控制网关的命令行系统，并查询虚拟机的相关参数。

· 在管理计算机上安装远程控制软件，如VNC Viewer，用于登录虚拟机桌面，并操作虚拟机处理业务。

2.2.2 准备管理计算机网络环境

1. 组网需求

使用串口线连接管理计算机和终端准入控制网关的Console口，管理计算机通过串口线使用Putty软件可登录终端准入控制网关命令行系统；使用网线连接管理计算机和终端准入控制网关的GE0/3，管理计算机通过网线可与终端准入控制网关相互通信。组网图如图2-2所示。

2. 组网图

图2-2 管理计算机和终端准入控制网关连接示意图

3. 配置管理计算机IP地址

配置管理计算机IP地址的方式有两种：

· 自动获取IP地址，MSR3610-IE-EAD终端准入控制网关已开启了DHCP服务，管理计算机选择自动获得IP地址，可由终端准入控制网关从地址池中随机为管理计算分配IP地址，DHCP地址池为192.168.1.1/23~192.168.1.254/23。

· 手动设置IP地址，以管理计算机IP地址为192.168.0.2/23为例。打开网络和共享中心，在本地连接→属性→Internet协议版本4选项中为管理计算机手动设置IP地址。如图2-3所示。

图2-3 管理计算机IP地址配置示意

4. 配置验证

在管理计算机上可以ping通终端准入控制网关，在终端准入控制网关上可以ping通管理计算机则表明配置完成。

2.2.3 查询虚拟机参数

使用VNC Viewer登录虚拟机桌面，需要获取虚拟机的名称及VNC端口号，并确保虚拟机处于开启状态。

MSR3610-IE-EAD终端准入控制网关上已部署的虚拟机名称默认设置为EAD_VM，VNC端口号默认设置为98。

1. 查询虚拟机名称

登录终端准入控制网关命令行系统后，通过display vmlist命令可查询虚拟机名称及状态。若虚拟机状态为shutoff，需要通过start vm命令开启虚拟机，如下所示。

(1) 查询虚拟机名称及状态。

# 查询虚拟机名称及状态。

<H3C> display vmlist

Id Name Status

------------------------------------------

- EAD_VM running

(2) （可选）开启虚拟机。

# 开启虚拟机EAD_VM。

<H3C> system-view

[H3C] vmm

[H3C-vmm] start vm EAD_VM

Domain EAD_VM started

2. （可选）查询虚拟机VNC端口

通过display vncport vm命令可查询虚拟机的VNC端口号，如下所示。

# 查询虚拟机EAD_VM的VNC端口号。

<H3C> display vncport vm EAD_VM

:98

2.3 登录虚拟机

VNC Server IP地址以MSR3610-IE-EAD终端准入控制网关的VLAN interface 1的出厂默认IP地址192.168.0.1/23为例。

1. 登录虚拟机桌面

在管理计算机上使用VNC Viewer通过“VNC Server IP地址:VNC端口号”登录虚拟机桌面，如下所示：

(1) 打开VNC Viewer软件，输入VNC Server IP地址和VNC端口号。

图2-4 VNC Viewer登录界面示意

(2) 若VNC Viewer闪退，请修改VNC Viewer色彩等级为“full”，操作如下。

单击[options]→[Expert]→[ColorLevel]菜单项，在“Value”栏中修改色彩等级为“full”，具体如图2-5所示。

图2-5 修改色彩等级界面示意

2. 登录虚拟机操作系统

出于信息安全考虑，建议用户及时修改虚拟机操作系统的登录密码。

使用VNC Viewer登录虚拟机桌面后，需要输入登录虚拟机操作系统的用户名和密码。MSR3610-IE-EAD终端准入控制网关上中的虚拟机出厂时已配置了以管理员权限登录操作系统的用户名和密码分别是：用户名为root，密码为iMC123。

在如图2-6所示界面，输入密码即可登录到虚拟机的桌面。

图2-6 切换登录用户示意图

2.4 配置虚拟机网络

MSR3610-IE-EAD终端准入控制网关出厂时，已设置了IP地址为10.1.1.2/30，默认网关为10.1.1.1的地址。若需要修改虚拟机的IP地址，请参见以下步骤。

1. 设置虚拟机IP地址

登录虚拟机操作系统后，根据用户组网要求，在虚拟机的网络设置中修改虚拟机的IP地址。虚拟机的默认网关需要设置为虚拟机网卡当前所属VLAN的VLAN接口的IP地址，具体操作如下。

选中桌面右上角[网络设置]菜单项后，选中[Wired Connected]菜单项，单击[Wired Setting]选项，进入网络设置，根据需要设置IP地址。如图2-7，图2-8，图2-9所示。

图2-7 进入网络设置示意图

图2-8 打开网络设置示意图

图2-9 配置IP地址示意图

2. 重启网卡。

在网络设置界面，重新启动一下网卡。

图2-10 网络设置界面

3. 配置验证

MSR3610-IE-EAD终端准入控制网关中的虚拟机出厂时防火墙已设置为关闭状态。完成虚拟机IP地址设置后，在管理计算机中可以ping通虚拟机，表明管理计算机与虚拟机通信正常。

4. 修改虚拟机配置文件

若您已修改虚拟机IP地址，请同时修改iMC的server-addr.xml文件中的iMC地址，操作步骤如下：

(1) 在虚拟机桌面空白处，点击鼠标右键，选择“Open Terminal”进入CentOS系统命令行界面。

图2-11 CentOS系统命令行界面

(2) 在CentOS系统命令行界面中，输入如下命令进入iMC软件界面，点击<停止>按钮，停止iMC所有服务进程。

[root@localhost~]# cd /opt/iMC/deploy/

[root@localhost deploy]# ./dma.sh

图2-12 停止iMC部署监控代理

(3) 在CentOS系统命令行界面中，输入如下命令打开地址配置文件。

[root@localhost~]# vi /opt/iMC/common/conf/server-addr.xml

图2-13 打开地址配置文件

(4) 在CentOS系统命令行界面中，输入下面命令将配置文件旧的地址分别替换为修改后对应的地址。如需要将“10.1.1.2”替换为“20.1.1.2”，如果修改前的地址为环回地址（“127.0.0.1”或“localhost”），则不要进行替换操作。替换完成，最后输入:wq保存退出。

:%s/10.1.1.2/20.1.1.2/g

:wq

图2-14 对文件中的IP地址内容进行查找/替换操作

图2-15 保存修改

(5) 在CentOS系统命令行界面中，输入如下命令执行instInfoMgr.sh脚本。

[root@localhost~]# cd /opt/iMC/deploy

[root@localhost deploy]# sh instInfoMgr.sh

图2-16 执行instInfoMgr.sh脚本

(6) 上述步骤完成后，在iMC软件界面重启iMC进程或重启控制网关，地址修改操作完成。

2.5 部署终端准入控制网关

在网络中部署MSR3610-IE-EAD终端准入控制网关后，可以通过管理计算机访问iMC平台的WEB界面，进行相应的配置。关于iMC平台的相关介绍和操作，请参见文档中心管理软件栏目中的H3C智能管理中心中的《H3C智能管理中心用户手册》。

2.5.1 查看iMC服务运行状态

MSR3610-IE-EAD终端准入控制网关中的虚拟机安装的iMC平台相关服务在出厂时已设置为自启动。即，在虚拟机启动时，iMC平台相关服务会随着虚拟机一起启动，可通过如下方式进行查看。

(1) 点击鼠标右键，选择“Open Terminal”进入Centos系统命令行界面，如图2-17所示。

图2-17 命令行界面示意图

(2) 输入如下命令打开iMC平台相关服务的查看界面，如图2-18所示。

[root@localhost~]# cd /opt/iMC/deploy/

[root@localhost~]# ./dma.sh

图2-18 iMC平台服务查看界面示意图

(3) 如需查看iMC平台服务的相关进程和EAD组件的部署情况，可点击右上角的<进程>和<部署>选项查看，如图2-19，图2-20所示。

图2-19 iMC进程显示示意图

图2-20 查看EAD组件部署示意图