原标题:【WLAN从入门到精通之对接案例】配置802.1X认证示例_Web(锐捷SAM服务器)
802.1X认证简介
802.1X认证是网络接入控制方案(NAC)中的一种,它是基于端口对用户的网络访问权限进行控制的认证方法,通过802.1X认证能够实现保护企业内网安全性的目的。
802.1X认证安全性较高,但是需要客户终端安装802.1X客户端,网络部署不灵活。相较而言,NAC中的MAC认证方式不需要安装客户端,但是需要在认证服务器上登记MAC地址,管理复杂,而Portal认证方式同样不需要客户端并且部署灵活,但是安全性不高。所以,802.1X认证一般适用于新建网络、用户集中并且信息安全要求严格的场景。
AC和锐捷SAM对接时,802.1X认证支持PAP、CHAP和EAP三种认证方式,本举例以EAP认证方式为例,PAP和CHAP认证方式的配置与之类似,但是PAP和CHAP认证方式下,终端需要安装锐捷认证客户端,通过输入正确的用户名和密码后,才能正常访问WLAN网络。
对于设备侧配置,如果您只需查阅802.1X认证相关的配置方法,请直接参见步骤5配置AC设备的读写团体名和步骤6配置WLAN业务。
如果您只需查阅锐捷SAM服务器侧的配置方法,请直接参见步骤8配置锐捷SAM服务器。
举例适用的产品和版本
表1-1 举例适用的产品和版本
产品
版本
华为AC
V200R007C10及之后版本
锐捷SAM
ENTERPRISE_3.9(p1)
业务需求
用户接入WLAN网络,使用802.1X客户端进行认证,输入正确的用户名和密码后可以无线上网。且在覆盖区域内移动发生漫游时,不影响用户的业务使用。
组网需求
AC组网方式:旁挂二层组网。
DHCP部署方式:AC作为DHCP服务器为AP分配IP地址,SwitchB作为DHCP服务器为STA分配IP地址。
业务数据转发方式:直接转发。
WLAN认证方式:WPA-WPA2+802.1X+AES。
图1-1 配置802.1X认证组网图
数据规划
表1-2 AC数据规划
配置项
数据
管理VLAN
VLAN100
业务VLAN
VLAN101
AC的源接口
VLANIF100:10.23.100.1/24
DHCP服务器
AC作为DHCP服务器为AP分配IP地址,SwitchB作为DHCP服务器为STA分配IP地址
AP的IP地址池
10.23.100.2~10.23.100.254/24
STA的IP地址池
10.23.101.2~10.23.101.254/24
RADIUS认证参数
RADIUS服务器模板名称:wlan-net
IP地址:10.23.103.1
认证端口号:1812
共享密钥:huawei@123
认证方案:wlan-net
802.1X接入模板
名称:wlan-net
认证方式:EAP
认证模板
名称:wlan-net
引用模板和认证方案:802.1X接入模板wlan-net、RADIUS服务器模板wlan-net、认证方案wlan-net
读写团体名
名称:Huawei123
AP组
名称:ap-group1
引用模板:VAP模板wlan-net、域管理模板default
域管理模板
名称:default
国家码:中国
SSID模板
名称:wlan-net
SSID名称:wlan-net
安全模板
名称:wlan-net
安全策略:WPA-WPA2+802.1X+AES
VAP模板
名称:wlan-net
转发模式:直接转发
业务VLAN:VLAN101
引用模板:SSID模板wlan-net、安全模板wlan-net、认证模板wlan-net
表1-3 锐捷SAM数据规划
配置项
数据
设备信息
设备IP地址:10.23.102.2
设备类型:无线交换机
具体型号:其他厂家设备
设备Key:huawei@123
读写Community:Huawei123
接入控制
名称:dot1x
允许重复登录次数:0
允许的接入方式:有线1X接入、无线1X接入、智能终端1X接入
用户模板
名称:dot1x
套餐
名称:dot1x
重复登录次数限制:不启用
计费策略:不计费
规则:服务为dot1x,接入控制为dot1x
用户组
名称:dot1x
默认用户模板:dot1x
默认套餐:dot1x
用户
账号:huawei
密码:huawei123
用户组:dot1x
用户模板: