华为设备无线环境中的Portal认证

1.基本IP地址及连通性配置
（1）配置LSW1
[LSW1]vlan batch 12 25 23
[LSW1-Vlanif12]ip add 10.1.12.2 24
[LSW1-Vlanif23]ip add 10.1.23.2 24
[LSW1-Vlanif25]ip add 10.1.25.2 24
[LSW1-GigabitEthernet0/0/1]port link-type access
[LSW1-GigabitEthernet0/0/1]port default vlan 12
[LSW1-GigabitEthernet0/0/2]port link-type access
[LSW1-GigabitEthernet0/0/2]port default vlan 23
[LSW1-GigabitEthernet0/0/3]port link-type access
[LSW1-GigabitEthernet0/0/3]port default vlan 25
（2）配置LSW2
[LSW2]vlan batch 23 34
[LSW2-Vlanif23]ip add 10.1.23.3 24
[LSW2-Vlanif34]ip add 10.1.34.3 24
[LSW2-GigabitEthernet0/0/1]port link-type access
[LSW2-GigabitEthernet0/0/1]port default vlan 23
[LSW2-GigabitEthernet0/0/2]port link-type trunk
[LSW2-GigabitEthernet0/0/2]port trunk allow-pass vlan 34 43
[LSW2-GigabitEthernet0/0/3]port link-type trunk
[LSW2-GigabitEthernet0/0/3]port trunk allow-pass vlan 34
[LSW2-GigabitEthernet0/0/3]port trunk pvid vlan 34
（3）配置AC1
[AC1]vlan batch 34 43
[AC1-Vlanif34]ip add 10.1.34.254 24
[AC1-Vlanif43]ip add 10.1.43.254 24
[AC1-GigabitEthernet0/0/1]port link-type trunk
[AC1-GigabitEthernet0/0/1]port trunk allow-pass vlan 34 43
（4）配置FW1
[FW1-GigabitEthernet1/0/1]ip add 10.1.12.1 24
[FW1-GigabitEthernet1/0/2]ip add 20.1.1.1 24
（5）配置终端IP地址

（6）配置内网连通性
[FW1]ospf 1
[FW1-ospf-1]area 0
[FW1-ospf-1-area-0.0.0.0]network 10.1.12.0 0.0.0.255
[LSW1]ospf 1
[LSW1-ospf-1]area 0
[LSW1-ospf-1-area-0.0.0.0]network 10.1.12.0 0.0.0.255
[LSW1-ospf-1-area-0.0.0.0]network 10.1.23.0 0.0.0.255
[LSW1-ospf-1-area-0.0.0.0]network 10.1.25.0 0.0.0.255
[LSW2]ospf 1
[LSW2-ospf-1-area-0.0.0.0]network 10.1.23.0 0.0.0.255
[LSW2-ospf-1-area-0.0.0.0]network 10.1.34.0 0.0.0.255
[LSW2-ospf-1-area-0.0.0.0]network 10.1.43.0 0.0.0.255
[AC1]ospf 1
[AC1-ospf-1]area 0
[AC1-ospf-1-area-0.0.0.0]network 10.1.34.0 0.0.0.255
[AC1-ospf-1-area-0.0.0.0]network 10.1.43.0 0.0.0.255
（7）配置访问外网
[FW1]nat-policy
[FW1-policy-nat]rule name out
[FW1-policy-nat-rule-out]source-zone trust
[FW1-policy-nat-rule-out]destination-zone untrust
[FW1-policy-nat-rule-out]action source-nat easy-ip
[FW1-zone-trust]add interface g1/0/1
[FW1-zone-untrust]add interface g1/0/2
[FW1]security-policy
[FW1-policy-security]rule name out
[FW1-policy-security-rule-out]source-zone trust
[FW1-policy-security-rule-out]destination-zone untrust
[FW1-policy-security-rule-out]action permit
[FW1]ip route-static 0.0.0.0 0.0.0.0 20.1.1.2
[LSW2]ip route-static 0.0.0.0 0.0.0.0 10.1.23.2
[LSW1]ip route-static 0.0.0.0 0.0.0.0 10.1.12.1
2.在AC1上配置DHCP功能，为接入用户分配地址
[AC1]dhcp enable
[AC1]int Vlanif 34
[AC1-Vlanif34]dhcp select interface
[AC1-Vlanif34]int Vlanif 43
[AC1-Vlanif43]dhcp select interface
3.配置AP上线
（1）配置域管理模板
[AC1]wlan
[AC1-wlan-view]regulatory-domain-profile name domain
[AC1-wlan-regulate-domain-domain]country-code cn
（2）创建AP组并引用域管理模板
[AC1-wlan-view]ap-group name ap-group1
[AC1-wlan-ap-group-ap-group1]regulatory-domain-profile domain
（3）配置AC源接口
[AC1]capwap source interface Vlanif 34
4.配置AP认证：导入AP，采用默认的mac认证，并将其加入AP组中
[AC1]wlan
[AC1-wlan-view]ap auth-mode mac-auth
[AC1-wlan-view]ap-mac 00e0-fca1-1650 ap-id 0
[AC1-wlan-ap-0]ap-name ap0
[AC1-wlan-ap-0]ap-group ap-group1

5.配置wlan业务参数
（1）配置安全模板
[AC1]wlan
[AC1-wlan-view]security-profile name portal_authen
（2）配置ssid模板
[AC1-wlan-view]ssid-profile name portal_authen
[AC1-wlan-ssid-prof-portal_authen]ssid portal_authen
（3）配置vap模板，并引用安全模板和ssid模板
[AC1-wlan-view]vap-profile name portal_authen
[AC1-wlan-vap-prof-portal_authen]forward-mode tunnel
[AC1-wlan-vap-prof-portal_authen]service-vlan vlan-id 43
[AC1-wlan-vap-prof-portal_authen]security-profile portal_authen
[AC1-wlan-vap-prof-portal_authen]ssid-profile portal_authen
（3）配置AP组并引用VAP模板
[AC1-wlan-view]ap-group name ap-group1
[AC1-wlan-ap-group-ap-group1]vap-profile portal_authen wlan 2 radio 1
[AC1-wlan-ap-group-ap-group1]vap-profile portal_authen wlan 2 radio 0
（4）检查配置

6.配置Portal准入控制
（1）创建radius服务器模板
[AC1]radius-server template radius1
[AC1-radius-radius1]radius-server authentication 10.1.25.5 1812
[AC1-radius-radius1]radius-server accounting 10.1.25.5 1813
[AC1-radius-radius1]radius-server shared-key cipher ABCabc@123
[AC1-radius-radius1]radius-server user-name original
[AC1]radius-server authorization 10.1.25.5 shared-key cipher ABCabc@123
（2）创建AAA认证模板
[AC1-aaa]authentication-scheme radius1
[AC1-aaa-authen-radius1]authentication-mode radius
[AC1-aaa]accounting-scheme radius1
[AC1-aaa-accounting-radius1]accounting-mode radius
（3）创建URL模板
[AC1]url-template name portal_authen
[AC1-url-template-portal_authen]url http://10.1.25.5:8080/portal
[AC1-url-template-portal_authen]url-parameter ssid ssid redirect-url url
（4）创建web-server模板
[AC1]web-auth-server portal_authen
[AC1-web-auth-server-portal_authen]server-ip 10.1.25.5
[AC1-web-auth-server-portal_authen]port 50200
[AC1-web-auth-server-portal_authen]shared-key cipher ABCabc@123
[AC1-web-auth-server-portal_authen]url-template portal_authen
（5）允许认证前访问Agile Controller
[AC1]free-rule-template name default_free_rule
[AC1-free-rule-default_free_rule]free-rule 1 destination ip 10.1.25.5 mask 25
（6）创建MAC接入模板
[AC1]mac-access-profile name mac_acc1
（7）创建Portal接入模板
[AC1]portal-access-profile name portal_access_profile
[AC1-portal-access-profile-portal_access_profile]web-auth-server portal_authen direct
6.创建认证模板，并应用MAC和portal接入模板、认证模板、计费方案模板以及radius服务器模板
[AC1]authentication-profile name macportal_authen_profile
[AC1-authentication-profile-macportal_authen_profile]mac-access-profile mac_acc1
[AC1-authentication-profile-macportal_authen_profile]free-rule-template default_free_rule
[AC1-authentication-profile-macportal_authen_profile]authentication-scheme radius
[AC1-authentication-profile-macportal_authen_profile]accounting-scheme radius1
[AC1-authentication-profile-macportal_authen_profile]radius-server radius1
7.应用认证模板
[AC1]wlan
[AC1-wlan-view]vap-profile name portal_authen
[AC1-wlan-vap-prof-portal_authen]authentication-profile macportal_authen_profile
8.配置Agile Controller
（1）添加AC，实现联动
资源—设备—设备管理—增加：名称为AC1，IP地址为10.1.23.254，选择启用radius；radius认证参数中认证计费秘钥和授权秘钥都是ABCabc@123；portal认证参数秘钥为ABCabc@123，选中启用接入设备与portal服务器的心跳，portal服务器IP地址列表为10.1.25.5
（2）在AC1上测试联动
[AC1]test-aaa user1 ABCabc@123 radius-template radius1 pap
（3）添加认证规则：
策略—准入控制—策略元素—ssid—增加：名称为portal_authen。—确定
策略—准入控制—策略元素—动态ACL—增加：基本信息名称为Wireless_portal_authen，增加规则号为10001，目的IP地址为20.1.1.2，掩码长度为32，协议类型为all，控制类型为放行。—确定
继续增加：规则号为10100，目的IP地址为0.0.0.0，掩码长度为0，协议类型为all，控制类型为组织。—确定
策略—准入控制—认证授权—授权结果：名称为wireless_portal，动态ACL选择wireless_portal_authen。—确定
策略—准入控制—认证授权—认证规则—增加：基本信息名称为wireless_portal，用户选择用户，SSID选择portal_authen，请选择允许使用的认证协议中选中全部
策略—准入控制—认证授权—授权规则—增加：基本信息名称为wireless_portal，选择用户组，SSID选择portal_authen，授权结果选择wireless_portal。—确定
（4）定制Web推送页面
配置员工账号：策略—准入控制—访客管理—访客账号策略—增加：输入名称，账号创建方式为自注册，账号名生成策略为账号，密码类型为手工输入密码，访客所属用户组为ROOT\Development，申请方式为免审批，访客通知方式为Web通知（打印）。—确定
策略—准入控制—页面定制—页面定制：选择相应模板，设置页面基本信息—下一步：根据需要设置手机端或PC端推送的认证页面和认证成功页面等。—发布
策略—准入控制—页面定制—Portal页面推送策略—增加：选择名称，选择推送页面，输入url。—确定
（5）启用MAC优先的Portal认证
系统—终端参数配置—全局参数—接入管理参数：在mac优先的Portal认证页面下勾选启用mac优先的Portal认证页面，配置MAC地址有效时间为60分钟
9.结果验证
（1）在终端上输入http://10.1.25.5:8080/portal，会弹出推送的认证页面，输入用户名和密码进行注册和认证，之后才能访问网络
（2）[AC1-]display access-user，[AC1-]display access-user user-id 号
（3）在Agile Controller上：资源—用户—radius日志：查看用户radius认证详细信息
资源—用户—用户在线管理：查看在线radius用户详细信息