实验背景
某公司需要在企业的公司网络出口使用上网行为管理设备,以审计管理局域网的所有设备,同时,局域网内的所有设备都将通过上网行为代理上网,但是发生过访客外传一些非法信息,所以需要对外来人员进行实名认证,用户拥有自己独立的上网账号。
实验设备
Win-Ser2003一台
三层交换机一台
AAA服务器一台
网络net:cloud0一个
山石网科防火墙一台
实验拓扑
实验目的
掌握上网行为管理设备网关部署的应用场景和方法
掌握上网行为管理设备本地和 raduis 身份认证的配置方法。
实验步骤
Win-XP
内网 Win-Ser2003 主机配置,指定主机ip为 192.168.10.1/24
网关为 192.168.10.254,dns114.114.114.114
L3-Switch
核心交换机
Switch(config)#ip routing启动路由功能
Switch(config)#interface g0/0
Switch(config-if)#no switchport 改为三层接口
Switch(config-if)#no shutdown
Switch(config-if)#ip address 192.168.10.254 255.255.255.0
Switch(config-if)#exit
Switch(config)#interface g0/1
Switch(config-if)#no switchport 改为三层接口
Switch(config-if)#no shutdown
Switch(config-if)#ip address 10.1.1.1 255.255.255.252
Switch(config-if)#exit
Switch(config)#interface g0/2 互联AAA 服务器
Switch(config-if)#no switchport 改为三层接口
Switch(config-if)#no shutdown
Switch(config-if)#ip address 10.2.2.1 255.255.255.252
Switch(config-if)#exit
Switch(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.2 配置上网的缺省路由,下一跳为上网行为管理接口e0/1 IP
防火墙
修改 e0/0 口属性为管理口且采用 http 管理方式,默认启动 DHCP
login: hillstone 用户名和密码都为hillstone
password:
SG-6000# conf
SG-6000(config)# interface e0/0
SG-6000(config-if-eth0/0)# manage http
SG-6000(config-if-eth0/0)# showinterface 查看e0/0自动获得的IP地址,为管理IP
在物理主机上,通过浏览器访问管理IP,使用图形化管理:用户名密码都是 hillstone
配置 e0/1接口:绑定安全区域为trust 三层安全区域(路由模式)、IP地址等
配置e0/0接口:修改绑定安全区域为untrust 三层安全区域(路由模式)、IP等
为路由模式,配置路由,包括回程路由和缺省路由
为路由模式,配置源NAT策略(即动态NAT),实现内网及AAA服务器上公网需求
为路由模式,配置安全策略即包过滤策略(默认拒绝区域间访问),配置策略。让内网网段可以访问公网
接下来测试内网主机可以上公网,如图
本地认证
公共区域实行实名认证上网,防止外来人员随意上网,在上网行为管理上开启身份认证
采用本地 DB 认证,在设备上创建本地用户和密码,用于用户登陆时的凭证:
全局开启 web认证功能,认证模式指定为口令认证,最后单击应用
配置安全策略,在未认证之前允许dns通过 (提问:为什么)
配置安全策略,配置unknown角色策略,即开启web认证,截获会话进行身份认证
调整策略执行顺序(默认从上往下执行),如图,内网主机必须通过认证,表明才能访问公网
在 AAA 服务器上测试,不需认证,可以直接访问公网
在内网 win-XP 主机上测试,触发认证,需输入凭证方可访问公网
认证成功
查看在线用户列表
至此,完成上网行为管理的本地 DB 用户名和密码认证。
外部认证
接下来,上网行为管理结合 AAA服务器完成集中身份认证功能
等待启动完成,输入用户名admin 和 密码Aaa@123456
默认服务器的ip为10.2.2.2/30,网关为10.2.2.1,可以根据需求修改
接下来,在内网 Win-XP 主机上浏览器栏输入 https://10.2.2.2,进入可视化界面
登录时,输入的用户名和密码,用户名acsadmin,密码zhongyuan
配置 AAA 服务器端,指定NASIP、通信 key 等
配置AAA服务器端,创建用户上网时,身份认证需要的用户名和密码
接下来,配置上网行为管理,指定一台raduis AAA 服务器,关联配置如下
配置上网行为管理,修改之前的web认证策略,改认证方式为 radius 认证
最后,在内网 win 主机上测试,触发认证,需输入AAA服务器上创建的凭证方可访问公网
由于开启计费,在AAA服务器上查看计费情况如下:
实验总结
对PC实名认证,本地认证,外部认证