上网行为管理--身份认证实验

实验背景

某公司需要在企业的公司网络出口使用上网行为管理设备，以审计管理局域网的所有设备，同时，局域网内的所有设备都将通过上网行为代理上网，但是发生过访客外传一些非法信息，所以需要对外来人员进行实名认证，用户拥有自己独立的上网账号。

实验设备

Win-Ser2003一台

三层交换机一台

AAA服务器一台

网络net:cloud0一个

山石网科防火墙一台

实验拓扑

实验目的

掌握上网行为管理设备网关部署的应用场景和方法

掌握上网行为管理设备本地和 raduis 身份认证的配置方法。

实验步骤

Win-XP

内网 Win-Ser2003 主机配置，指定主机ip为 192.168.10.1/24

网关为 192.168.10.254，dns114.114.114.114

L3-Switch

核心交换机

Switch(config)#ip routing启动路由功能

Switch(config)#interface g0/0
Switch(config-if)#no switchport 改为三层接口
Switch(config-if)#no shutdown
Switch(config-if)#ip address 192.168.10.254 255.255.255.0
Switch(config-if)#exit

Switch(config)#interface g0/1
Switch(config-if)#no switchport 改为三层接口
Switch(config-if)#no shutdown
Switch(config-if)#ip address 10.1.1.1 255.255.255.252
Switch(config-if)#exit

Switch(config)#interface g0/2  互联AAA 服务器
Switch(config-if)#no switchport 改为三层接口
Switch(config-if)#no shutdown
Switch(config-if)#ip address 10.2.2.1 255.255.255.252
Switch(config-if)#exit

Switch(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.2  配置上网的缺省路由，下一跳为上网行为管理接口e0/1 IP

防火墙

修改 e0/0 口属性为管理口且采用 http 管理方式,默认启动 DHCP

login: hillstone        用户名和密码都为hillstone
password:

SG-6000# conf
SG-6000(config)# interface e0/0
SG-6000(config-if-eth0/0)# manage http
SG-6000(config-if-eth0/0)# showinterface    查看e0/0自动获得的IP地址，为管理IP

在物理主机上，通过浏览器访问管理IP，使用图形化管理：用户名密码都是 hillstone

配置 e0/1接口:绑定安全区域为trust 三层安全区域(路由模式)、IP地址等

配置e0/0接口:修改绑定安全区域为untrust 三层安全区域(路由模式)、IP等

为路由模式，配置路由，包括回程路由和缺省路由

为路由模式，配置源NAT策略(即动态NAT)，实现内网及AAA服务器上公网需求

为路由模式，配置安全策略即包过滤策略(默认拒绝区域间访问)，配置策略。让内网网段可以访问公网

接下来测试内网主机可以上公网，如图

本地认证

公共区域实行实名认证上网，防止外来人员随意上网，在上网行为管理上开启身份认证

采用本地 DB 认证，在设备上创建本地用户和密码，用于用户登陆时的凭证:

全局开启 web认证功能，认证模式指定为口令认证，最后单击应用

配置安全策略，在未认证之前允许dns通过   (提问：为什么)

配置安全策略，配置unknown角色策略，即开启web认证，截获会话进行身份认证

调整策略执行顺序(默认从上往下执行)，如图，内网主机必须通过认证，表明才能访问公网

在 AAA 服务器上测试，不需认证，可以直接访问公网

在内网 win-XP 主机上测试，触发认证，需输入凭证方可访问公网

认证成功

查看在线用户列表

至此，完成上网行为管理的本地 DB 用户名和密码认证。

外部认证

接下来，上网行为管理结合 AAA服务器完成集中身份认证功能

等待启动完成，输入用户名admin  和  密码Aaa@123456

默认服务器的ip为10.2.2.2/30，网关为10.2.2.1，可以根据需求修改

接下来，在内网 Win-XP 主机上浏览器栏输入 https://10.2.2.2，进入可视化界面

登录时，输入的用户名和密码，用户名acsadmin，密码zhongyuan

配置 AAA 服务器端，指定NASIP、通信 key 等

配置AAA服务器端，创建用户上网时，身份认证需要的用户名和密码

接下来，配置上网行为管理，指定一台raduis AAA 服务器，关联配置如下

 

配置上网行为管理，修改之前的web认证策略，改认证方式为 radius 认证

最后，在内网 win 主机上测试，触发认证，需输入AAA服务器上创建的凭证方可访问公网

由于开启计费，在AAA服务器上查看计费情况如下:

实验总结

对PC实名认证，本地认证，外部认证