web服务器认证无线接入,外部Web认证服务器与.PDF

外部Web认证服务器与

外部Web 认证服务器与

FlexConnect 本地交换模式部署指南

简介

本文档介绍了对于不同的Web 认证政策如何使用外部Web 认证服务器与FlexConnect 本地

交换模式配合。

先决条件

要求

确保你满足下列要求，然后再尝试配置：

* 轻量级无线接入点和思科FlexConnect 架构知识。

* 关于如何设置和配置外部 Web 服务器的知识

* 关于如何设置和配置DHCP 和DNS 服务器的知识

组件使用

本文档中的信息是基于这些软件和硬件版本：

* 运行 版本的7500 系列无线控制器

* 思科Aironet 3500 系列轻量接入点

* 外部Web 服务器上承载的Web 认证登录页面

* DNS 服务器负责地址解析和DHCP 服务器分配给无线客户端IP 地址

本文档中的资料是从一个特定实验室环境中的设备上生成的。本文档中使用的所有设备以缺

省(默认)配置开始配置。如果您的网络是正在使用的生产系统，请确保您了解所有命令带

来的潜在影响。

功能概述

此功能扩展了工作在 FlexConnect 模式的无线接入点上本机交换 WLAN 的Web 认证到外部

Web 服务器的能力。在无线控制器 版本之前，到外部服务器进行的Web 认证支持

本地模式和FlexConnect 模式无线接入点上的集中交换WLAN 。

现在外部Web 身份验证功能已经延伸到支持FlexConnect 本地交换的WLAN，支持所有的3

层Web 重定向安全类型，目前由无线控制器提供的方式：

* Web Authentication - Web 认证

* Web Pass-through - 通过且无需认证

* Web Conditional Redirect – 有条件重定向

* Splash Page Conditional Redirect - 初始登录页面有条件重定向

对比配置本地交换WLAN 的Web 认证，这个功能背后的逻辑是直接在无线接入点上配置和

分发预认证FlexConnect 访问控制列表，而不是在无线控制器上。这样，无线接入点将转发

由ACL 允许的本地无线客户端的数据包。不被允许的数据包仍然由CAPWAP 隧道发送到无

线控制器。另一方面，当无线接入点从有线接口接收的流量是ACL 允许的，也将其转发到无

线客户端。否则，数据包被丢弃。一旦客户端身份通过验证并授权，预认证FlexConnect ACL

将移除并允许所有客户端的数据流量本地交换。

注意：此功能假设客户端从本地交换VLAN 可以到达外部服务器。

摘要：

* WLAN 配置为 FlexConnect 本地交换和L3 安全

* FlexConnect ACL 将被用作预认证的ACL

* FlexConnect ACL 配置后必须通过 FlexConnect 组推送到无线接入点数据库，或者可以对

WLAN 应用

* 无线接入点允许所有匹配预认证ACL 的流量本地交换

配置步骤：

完成下列步骤以配置此功能：

1. 配置WLAN 为FlexConnect 本地交换。

2. 为启用外部Web 认证，你需要配置Web 策略为下面四个选项之一：

* Web Authentication - Web 认证

* Web Pass-through - 通过且无需认证

* Web Conditional Redirect – 有条件重定向

* Splash Page Conditional Redirect - 初始登录页面有条件重定向

本文档使用Web 认证作为例子：

3. 需要配置预认证FlexConnect ACL 允许无线客户端可以到达外部服务器的IP 地址。ARP 协

议，DHCP 和DNS 流量被自动允许，并不需要特殊指定。在Security > Access Control List 选择

FlexConnect ACL 。然后，单击“添加”定义名称和规则，就像设置无线控制器正常的ACL 一

样。

注：FlexConnect ACL 是与常规ACL 不同之处是没有必要指定流量的方向。每个规则将按照出

入流量生效。此外，如果你要配置集中交换WLAN 的Web 认证 (无论是在本地模式或Flex

模式)，你仍然需要使用常规ACL 。因此，你需要指定流量的方向。

4. 一旦FlexConnect ACL 创建，它可以应用到无线接入点、FlexConnect 组和WLAN 。最后一

个选项(FlexConnect ACL 和WLAN )仅适用于Web 认证和Web 直通，对于其他