H3C EIA典型配置举例-5W136

08-H3C EIA 802.1X认证+接入时间策略典型配置举例

H3C EIA 802.1X+接入时间策略

典型配置举例

资料版本：5W136-20260704

产品版本：EIA (E6604)

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

3.4.2 用户在线时，在EIA中查看在线用户

1 介绍

接入时段策略使接入用户可以在不同的接入时间使用不同的接入策略。本案例实现接入用户只能在特定时段通过802.1X认证接入网络的场景。

2 特性使用指南

2.1 使用场合

适用于需要控制认证上网时段的场合。

2.2 配置前提

接入设备需支持802.1X协议。

3 配置举例

3.1 组网需求

某公司计划启用802.1X认证，用户在工作日工作时间（09:00~18:00）接入网络时需要进行802.1X认证，其他时间不允许接入网络。具体组网如图3-1所示。EIA服务器IP地址为192.168.7.196，接入设备IP地址为192.168.71.11。PC安装了Windows操作系统，并准备安装iNode客户端。本案例中各部分使用的版本如下：

· EIA版本为EIA (E6604)，在集群部署环境中，会涉及EIA服务器IP地址使用北向业务虚IP还是所在实际节点IP的问题，该地址请务必填写为北向业务虚IP，查看方法如下：

a. 打开浏览器输入https://ip_address:8443/matrix/ui，打开matrix页面。其中，ip_address为北向业务虚IP或节点IP。

b. 选择“部署”页签，单击“集群”菜单项，切换至“集群参数”页签，进入集群参数页面，该页面中的北向业务虚IP即为EIA服务器的IP地址。

· 接入设备为H3C S5560-54C-PWR-EI Comware Software, Version 7.1.045, Release 1122P01。

· iNode版本为iNode PC 7.3 (E0617)。

图3-1 组网图

3.2 配置EIA服务器

EIA具体环境界面等因版本不同而有差异，配置时请以实际情况为准，同时建议您按照本文章节顺序进行相关配置。

3.2.1 增加接入设备

(1) 选择“自动化”页签，单击导航树中的[用户业务>接入服务]菜单项，进入接入服务页面。切换至“接入设备”页签，进入接入设备配置页面，如图3-2所示。

图3-2 接入设备配置页面

(2) 单击<增加>按钮，进入增加接入设备页面，如图3-3所示。

图3-3 增加接入设备页面

(3) 配置接入配置参数。接入配置参数说明如表3-1所示，配置完成效果如图3-4所示。

表3-1 接入配置参数说明

参数	说明
认证端口	EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812
计费端口	EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813
业务类型	选择该设备承载的业务，本例保持默认配置
接入设备类型	在下拉框中选择接入设备的厂商和类型。下拉框中包含了Standard、EIA系统预定义和管理员自定义的厂商和类型。支持标准RADIUS协议的设备都可以选择Standard。系统预定义的厂商和类型有以下几种，包括H3C(General)、3COM(General)、HUAWEI(General)、CISCO(General)、RG(General)、HP(MSM)、HP(Comware)、MICROSOFT(General)、JUNIPER(General)、HP(ProCurve)和ARUBA(General)
业务分组	在下拉框中选择接入设备所属的业务分组。将接入设备加入不同的业务分组以便进行分权管理，本例保持默认配置
共享密钥/确认共享密钥	输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。本例为“movie”
接入位置分组	在下拉框中选择接入设备需要加入的接入设备分组。可选项包括EIA中已经存在的接入设备分组和“无”。接入设备分组是区分终端用户的接入条件之一，本例保持默认配置

目前仅支持将EIA同时作为认证和计费服务器，即不支持将EIA作为认证服务器，而其他服务器作为计费服务器的场景。

图3-4 接入配置参数配置完成效果

(4) 配置设备列表。单击“设备列表”区域中的<增加IPv4设备>按钮，本例“设备IP地址”配置为“192.168.71.11”，如图3-5所示。单击<确定>按钮，返回接入设备配置页面。

接入设备的IP地址必须满足以下要求：

· 如果在接入设备上配置radius scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip映射后的公网地址的配置保持一致。

· 如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）。

图3-5 手工增加接入设备

(5) 全部参数配置完成效果如图3-6所示。单击<确定>按钮，增加接入设备操作执行完毕。

图3-6 查看新增的接入设备

3.2.2 增加接入策略

配置一个不进行任何接入控制的接入策略，接入策略可被接入服务引用。增加接入策略的方法如下：

(1) 选择“自动化”页签，单击[用户业务>接入服务]菜单项，进入接入服务页面。切换至“接入策略”页签，进入接入策略页面，如图3-7所示。

图3-7 接入策略页面

(2) 单击<增加>按钮，进入增加接入策略页面，部分参数说明如表3-2所示。由于不进行任何接入控制，此处只需输入接入策略名“Access Policy”，其他参数保持默认即可，配置完成效果如图3-8、图3-9所示。

表3-2 接入策略参数说明

参数	参数说明
接入策略名	接入策略在接入业务中的唯一标识
业务分组	用于分权管理，使特定的人只能管理特定的业务，既职责分明，也不会互相越权。配置该接入策略所属的业务分组，用于接入策略的分权管理。只有拥有该业务分组权限的相关人员才能配置接入策略
描述	针对该接入策略的描述，方便操作员的日常维护
接入时段	选择了某一接入时段策略后，使用此规则的用户只能在接入时段策略中定制的时间段内允许接入
分配IP地址	是否下发用户IP地址。当选择“是”时，则为用户选择使用此接入策略的服务时须填写要下发的IP地址，用户在使用此接入策略上线时，RADIUS服务器会把填写的IP地址下发给客户端，客户端会将此IP应用到所在终端并进行重认证。此外接入策略“用户客户端配置”区域的“IP地址获取方式”不要选择“必须动态获取”；如果接入策略勾选了“绑定用户IP地址”，需把下发给用户的IP地址加入该用户的绑定的IP地址中或保证可以通过自学习的方式绑定此IP地址，已使得用户可通过IP地址检查
上行、下行速率	根据设定的上下行速率来限制用户使用该规则上网时的上传、下载速率
优先级	其值高低确定了在网络拥塞时转发报文的优先顺序，此参数应从设备支持的优先级中选取，数值越小优先级越高。配置错误可能导致用户无法上线
首选EAP类型/子类型	进行EAP认证时，RADIUS服务器优先下发给客户端的EAP类型。包括：EAP-MD5、EAP-TLS、EAP-TTLS和EAP-PEAP。当首选EAP类型为EAP-TTLS和EAP-PEAP时，还需要首选EAP-MSCHAPv2，EAP-MD5和EAP-GTC其中的一种子类型 · EAP-MD5：一种EAP认证方式，使用CHAP方式进行认证 · EAP-TLS：是一种基于证书的身份认证，它需要PKI的部署来管理证书。它推荐进行服务器和客户端之间双向认证，认证双方是用证书来标识自己的身份。在认证通过之后，TLS的认证双方会协商出一个共享密钥、SessionID以及整套的加密套件（加密，压缩和数据完整性校验），这样认证双方就建立了一个安全可靠的数据传输通道EAP-TLS是客户端和AAA服务器借助接入设备的透传，通过TLS协议进行的身份认证。EAP-TLS可以利用SessionID进行快速重认证，简化认证流程，加快认证速度，可对较大的TLS报文进行分片处理 · EAP-TTLS：是一种基于证书的身份认证，利用TLS认证在客户端和AAA服务器之间建立起一个安全通道，在安全通道内部再承载子类型。它具有保护用户标识和EAP认证的协商过程的作用。隧道内的子类型可以是EAP类型，也可以是非EAP类型。目前EIA支持TTLS下三个EAP的子类型（EAP-MSCHAPv2，EAP-MD5，EAP-GTC）和两个非EAP的子类型（MSCHAPv2，PAP）。EIA在配置接入策略指定首选EAP类型为EAP-TTLS时，也必须首选一种EAP的子类型。在实际认证过程中，如果终端采用非EAP的子类型，如PAP，则终端可以忽略EIA的配置，使用终端配置的子类型进行认证 · EAP-PEAP：是一种基于证书的身份认证，利用TLS认证在客户端和AAA服务器之间建立起一个安全通道，在安全通道上再发起EAP认证。它具有保护用户标识，保护EAP认证的协商过程的作用。目前EIA仅支持EAP-MSCHAPv2、EAP-MD5和EAP-GTC认证类型 · EAP-SIM：是一种基于GSM-SIM卡的身份认证，EAP-SIM提供了双向认证，即服务器端认证客户端，客户端认证服务器端，只有双向认证通过之后，服务器端才发送EAP-Success消息至客户端，客户端才可以接入网络。同时，EAP-SIM认证机制还通过多次挑战响应机制，生成更强的会话密钥
EAP自协商	当客户端配置的EAP类型与EIA中配置的首选EAP类型不同时的处理方式 · 配置为“启用”时，EIA完全适应由客户端中配置的EAP认证方式，即无论客户端中配置什么类型的EAP认证，EIA都允许客户端继续认证 · 配置为“禁用”时，如果客户端配置的EAP类型与EIA中配置的首选EAP类型不同，则EIA拒绝其认证
单次最大在线时长（分钟）	使用该策略的接入帐号认证成功后可在线的最长时间，单位为分钟。该参数默认值为空，表示不限制；最小值为1，最大值为1440。如果帐号在线时间超过该参数值，EIA则强制该用户下线
在线最大时长预警阀值（分钟）	达到最大在线时长下线提前预警，适用于使用iNode认证。该参数取值范围为1~1440，单位为分钟；默认值为20，表示将达到最大在线时长时提前20分钟预警。此功能必须启用策略服务器心跳，且心跳周期需要小于该参数值
下发地址池	输入地址池名称。EIA将地址池名称下发给接入设备，接入设备根据下发的地址池名称寻找设备上对应的地址池，然后给用户分配该地址池中的IP地址。只有下发设备上配置了对应的地址池，该功能才生效
下发VLAN	设置向用户下发的VLAN · 当接入设备类型为H3C(General)、Huawei(General)、HP(Comware)、3Com(General)时，如果配置的VLAN为1～4094，接入业务将以整型的VLAN ID下发给设备，设备上的VLAN分配模式应为整型；所有其他值都以字符型VLAN NAME下发给设备，设备上VLAN分配模式应为字符型 · 其他设备类型都以字符型VLAN NAME下发给设备，设备上VLAN分配模式应为字符型
下发User Profile	将用户配置文件名称下发给设备，实现基于用户的QoS功能。只有下发设备上已经配置完成了User Profile，User Profile才生效
下发VSI名称	对于采用VXLAN组网的场景，Leaf设备作为接入设备时，可以下发VSI名称，将用户划分到相应的VXLAN中
下发ACL	设置向用户下发的访问控制列表
离线检查时长（小时）	哑终端用户认证通过后向设备下发该参数，设备以该参数作为时间间隔周期性检测哑终端，如果在周期内未收到哑终端的报文，则断开该哑终端的连接并通知RADIUS服务器该哑终端用户已下线。该参数为空时，表示不检测；时长必须为整数，范围为[0，596523]。该参数只适用于哑终端
认证密码方式	· 如果选择“帐号密码”，服务器只校验帐号密码 · 如果选择“动态密码”，服务器只校验动态密码，动态密码可由短信、电子邮件两种方式发送给用户 · 如果选择“帐号密码+动态密码”，服务器同时校验帐号密码和动态密码，动态密码由短信方式发送给用户由于动态密码只支持PAP、EAP-MD5、EAP-PEAP/EAP-MD5和EAP-PEAP/EAP-GTCS四种认证方式，所以选择“动态密码”或“帐号密码＋动态密码”时，认证方式只能配置为以上四种方式

授权下发需要设备支持对应属性，认证绑定需要设备在RADIUS属性中上传对应信息。本例不对设备进行任何下发，因此保持默认。

图3-8 增加接入策略页面1

图3-9 增加接入策略页面2

(3) 单击<确定>按钮，返回接入策略管理页面，新增的接入策略显示在列表中，如图3-10所示。

图3-10 查看新增的接入策略

3.2.3 增加接入条件（接入时段策略）

(1) 选择“自动化”页签，单击导航树中的[用户业务>接入服务>接入条件>WHEN]菜单项，进入接入时段策略页面，如图3-11所示。

图3-11 接入时段策略

(2) 单击<增加>按钮，进入增加接入时段策略页面，配置接入时段策略基本信息，本例参考配置如下，其他参数配置保持缺省值即可，配置完成效果如图3-12所示。

¡ 接入时段策略名：输入策略名称，在EIA中必须唯一。本例为“Permit time”。

¡ 策略生效/失效时间：选择策略的生效/失效时间，失效时间必须晚于生效时间。

¡ 缺省接入类型/缺省匹配动作：本例勾选“禁止接入/不匹配”项。

图3-12 增加接入时段策略

(3) 在接入时段列表区域单击<增加>按钮，弹出增加接入时段窗口，如图3-13所示。配置完成后单击<确定>按钮，返回接入时段策略页面。

a. 接入时段类型选择“周为周期”。

b. 接入类型/匹配动作选择“允许接入/匹配”项。

c. 接入时间段设置为星期一09:00:00~18:00:00。

图3-13 增加接入时段

(4) 重复步骤(3)增加其他工作日09:00:00~18:00:00时间段，如图3-14所示。

图3-14 接入时段列表

(5) 单击<确定>按钮，完成增加接入时段策略，返回接入时段策略页面。可在列表中查看新增的接入时段策略，如图3-15所示。

图3-15 查看增加的接入时段策略

3.2.4 增加接入服务

(1) 选择“自动化”页签，单击导航树中的[用户业务>接入服务]菜单项，进入接入服务页面，如图3-16所示。

图3-16 接入服务管理

(2) 单击<增加>按钮，进入增加接入服务页面，参数说明如表3-3所示。本例分别配置服务名、服务后缀为“控制接入时间服务”、“629”，其他参数保持默认配置即可，配置完成效果如图3-17所示。

表3-3 接入服务参数说明

参数	参数说明
服务名	输入服务名称，其为特定服务在接入业务中的唯一标识
服务后缀	服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表3-4
缺省接入策略	当接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省接入策略的控制
缺省私有属性下发策略	不受接入位置分组限制的用户上网时，EIA会根据本参数指定的策略将私有属性下发到此用户连接的接入设备上
缺省单帐号最大绑定终端数	接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单帐号最大绑定终端数的控制。该参数只有在部署了EIP组件后才会显示。取值范围为0~999，值为0时表示不限制
缺省单帐号在线数量限制	接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单帐号在线数量限制的控制。取值范围为0~999，取值为0时表示不限制
单日累计在线最长时间（分钟）	每天允许帐号使用该服务接入网络的总时长，达到该时长后，帐号将被强制下线，且当日不能再次接入。若一个帐号对应多个终端，则多个终端时长累计，累计时长达到该时长后，帐号将被强制下线，且当日不能再次接入。取值范围为0~1440，单位为分钟，只支持输入整数，取值为0时表示不限制
无感知认证	决定服务是否支持无感知认证功能。无感知认证是指终端通过网页方式进行认证，第一次认证时会强制推出认证页面，用户需要输入用户名和密码进行认证，第一次认证成功后，服务器会将该终端的MAC地址和接入用户绑定（如果是Portal认证方式，还会和服务绑定），之后如果该智能终端再次接入网络，服务器会根据终端的MAC地址自动匹配绑定的接入用户和服务，并自动进行认证，不会再强制推出认证页面，无需再次输入用户名和密码。该项需勾选“MAC Portal认证”后方能显示

表3-4 服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	服务的后缀
X@Y	Y	user-name-format with-domain	Y
X@Y	Y	user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
X	[Default Domain] 设备上指定的缺省域	user-name-format without-domain	无后缀