由浅入深玩转华为WLAN—12安全认证配置（5）Portal认证，外置Protal服务器TSM对接（网页认证）

最新推荐文章于 2022-10-09 15:53:54 发布
最新推荐文章于 2022-10-09 15:53:54 发布
阅读量1k 收藏 6
点赞数 1
分类专栏： 由浅入深玩转华为WLAN
文章原创网络之路Blog（其他平台同名，公众号：网络之路博客），用心分享技术的IT人，主要精通思科、华为、H3C路由交换、防火墙、无线、安全系列，希望分享的技术对大家有帮助，原创不易，大家多多支持！
本文链接：https://blog.csdn.net/weixin_46948473/article/details/114576421
版权

简介

这也是安全认证的最后一种方式了，就是AC与外边Protal服务器对接的认证，这里采用的是华为TSM（目前最新的已经改为policy center了），也支持第三方认证服务器，这里只是简单演示下，更多策略的控制跟应用，可以参考手册说明。

拓扑（省略）

拓扑其实很简单的，跟平常的无线拓扑一样，可以参考之前的文章即可，这里主要讲解AC上面的Protal定义，以及测试。

AC初始化

[Huawei-AC6605]dhcp enable
[Huawei-AC6605]vlan batch 88 100

[Huawei-AC6605]interface Vlanif 88
[Huawei-AC6605-Vlanif88]ip address 192.168.88.1 255.255.255.0
[Huawei-AC6605-Vlanif88]dhcp select interface

[Huawei-AC6605]interface Vlanif 100
[Huawei-AC6605-Vlanif100]ip address 192.168.100.1 255.255.255.0
[Huawei-AC6605-Vlanif100]dhcp select interface
[Huawei-AC6605-Vlanif100]dhcp server dns-list 218.85.152.99

[Huawei-AC6605]interface Vlanif 1
[Huawei-AC6605-Vlanif1]ip address 192.168.31.100 255.255.255.0

配置AC与AP相连的端口

[Huawei-AC6605]interface GigabitEthernet0/0/11
[Huawei-AC6605-GigabitEthernet0/0/11]port link-type trunk
[Huawei-AC6605-GigabitEthernet0/0/11]port trunk pvid vlan 88
[Huawei-AC6605-GigabitEthernet0/0/11]undo port trunk allow-pass vlan 1
[Huawei-AC6605-GigabitEthernet0/0/11]port trunk allow-pass vlan 88 100

配置RADIUS服务器模版

[Huawei-AC6605]radius-server template portal
[Huawei-AC6605-radius-portal]radius-server authentication 192.168.31.209 1812
[Huawei-AC6605-radius-portal]radius-server accounting 192.168.31.209 1813
[Huawei-AC6605-radius-portal]radius-server shared-key simple huawei123

配置RADIUS授权服务器

[Huawei-AC6605]radius-server authorization 192.168.31.209 shared-key simple huawei123

配置认证方案和计费方案

[Huawei-AC6605] aaa
[Huawei-AC6605-aaa]authentication-scheme portal
[Huawei-AC6605-aaa-authen-portal] authentication-mode radius
[Huawei-AC6605-aaa]accounting-scheme portal
[Huawei-AC6605-aaa-accounting-portal] accounting-mode none

配置域

[Huawei-AC6605-aaa]domain portal
[Huawei-AC6605-aaa-domain-portal]radius-server portal
[Huawei-AC6605-aaa-domain-portal]authentication-scheme portal
[Huawei-AC6605-aaa-domain-portal]accounting-scheme portal

配置Portal认证服务器

[Huawei-AC6605]web-auth-server portal
[Huawei-AC6605-web-auth-server-portal]server-ip 192.168.31.209
[Huawei-AC6605-web-auth-server-portal]port 50100
[Huawei-AC6605-web-auth-server-portal]shared-key simple password
[Huawei-AC6605-web-auth-server-portal]url https://192.168.31.209:8443/newwebauth

在接口下绑定Portal认证服务器

[Huawei-AC6605]interface vlanif 100
[Huawei-AC6605-Vlanif100]web-auth-server portal direct

配置免认证规则

[Huawei-AC6605]portal free-rule 0 destination ip 192.168.31.209 mask 255.255.255.255
[Huawei-AC6605]portal free-rule 1 destination ip 218.85.152.99 mask 255.255.255.255

建立wlan-ess接口和调用Portal认证服务器与认证域

[Huawei-AC6605]interface Wlan-Ess 1
[Huawei-AC6605-Wlan-Ess1] port hybrid pvid vlan 100
[Huawei-AC6605-Wlan-Ess1] port hybrid untagged vlan 100
[Huawei-AC6605-Wlan-Ess1] web-authentication first-mac
[Huawei-AC6605-Wlan-Ess1] permit-domain name portal

配置wlan-ess接口，在wlan-ess接口调用内置Portal与允许的认证域

[Huawei-AC6605]interface Wlan-Ess 1
[Huawei-AC6605-Wlan-Ess1]port hybrid pvid vlan 100
[Huawei-AC6605-Wlan-Ess1]port hybrid untagged vlan 100
[Huawei-AC6605-Wlan-Ess1]portal local-server enable
[Huawei-AC6605-Wlan-Ess1]permit-domain name default
配置AC的源接口，用于AC和AP之间建立隧道通信。

[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]wlan ac source interface vlanif88

配置AP的认证方式为免认证

[Huawei-AC6605-wlan-view]ap-auth-mode no-auth

添加AP

[Huawei-AC6605-wlan-view]ap id 0 type-id 31 mac d4b1-10ac-0b00 sn 210235582910D6000354

创建名为“wmm1”的WMM模版，参数采用默认配置

[Huawei-AC6605-wlan-view]wmm-profile name wmm1 id 1

创建名为“radio1”的射频模版，绑定WMM模版“wmm1”

[Huawei-AC6605-wlan-view]radio-profile name radio1 id 1
[Huawei-AC6605-wlan-radio-prof-radio1]wmm-profile id 1

创建名为“traffic1”的流量模版，参数采用默认配置

[Huawei-AC6605-wlan-view]traffic-profile name traffic1 id 1

创建名为“security1”的安全模版，认证方式为WEP认证，开放认证，不加密

[Huawei-AC6605-wlan-view]security-profile name security1 id 1

创建名为“service1”的服务集，并绑定流量模版和安全模版，WLAN-ESS接口

[Huawei-AC6605-wlan-view]service-set name service1 id 1
[Huawei-AC6605-wlan-service-set-service1]wlan-ess 1
[Huawei-AC6605-wlan-service-set-service1]ssid huawei-portal
[Huawei-AC6605-wlan-service-set-service1]traffic-profile id 1
[Huawei-AC6605-wlan-service-set-service1]security-profile id 1
[Huawei-AC6605-wlan-service-set-service1]service-vlan 100

配置AP对应的VAP，下发WLAN服务

[Huawei-AC6605-wlan-view]ap 0 radio 0
[Huawei-AC6605-wlan-radio-0/0]radio-profile id 1
[Huawei-AC6605-wlan-radio-0/0]service-set id 1 wlan 1

下发AP的WLAN配置

[Huawei-AC6605-wlan-view]commit all

TSM服务器配置

接入控制 – RADIUS服务器 – 添加RADIUS服务器

wireless

接入控制 – Portal网关 – 添加Portal网关

wireless

添加后域

wireless

修改后域的授权策略
建立一个“policy”策略
下发一个ACL，针对认证通过后的用户做访问限制

wireless

接入控制 – 授权规则模版 – 添加一个授权模版名为”ac6605-portal”
在Portal网关访问授权规则选择刚才创建好的后域

wireless

对创建好的授权规则模板”ac6605-portal”分配给部门
添加整个TSM部门包括子部门

wireless

部门管理 – 部门用户管理 – 创建用户，终端认证时候用到的用户
需要勾选”Web”选项，否则默认建立的用户只能用于TSM Agent代理的登陆

wireless

测试结果

终端搜索SSID，并连接。

wireless
wireless

测试PING www.qq.com

wireless

打开IE，输入www.qq.com
自动跳转到认证页面

wireless

输入已经在TSM服务器创建好的用户进行登陆

wireless

登陆成功后，测试登陆后是否可以正常访问互联网

wireless
wireless

 

如果大家有任何疑问或者文中有错误跟疏忽的地方，欢迎大家留言指出，博主看到后会第一时间修改，谢谢大家的支持，更多技术文章尽在网络之路Blog（其他平台同名），版权归网络之路Blog所有，原创不易，侵权必究，觉得有帮助的，关注、转发、点赞支持下！~。

网络之路Blog
关注
  • 1
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
华为防火墙——本地Portal认证
m0_49864110的博客
05-15 1798
配置IP地址、路由、Nat策略使得内网主机可以访问公网服务器对网段不进行认证，对网段进行portal认证。
华为TSM终端安全管理系统身份认证功能 (2).pdf
06-10
华为TSM终端安全管理系统身份认证功能 (2).pdf华为TSM终端安全管理系统身份认证功能 (2).pdf华为TSM终端安全管理系统身份认证功能 (2).pdf华为TSM终端安全管理系统身份认证功能 (2).pdf华为TSM终端安全管理系统身份认证功能 (2).pdf华为TSM终端安全管理系统身份认证功能 (2).pdf华为TSM终端安全管理系统身份认证功能 (2).pdf华为TSM终端安全管理系统身份认证功能 (2).pdf
28.WLAN组网配置
分享学习网络的点点滴滴
09-18 5675
WLAN组网配置_WLAN配置拓扑WLAN配置拓扑一、基本拓扑介绍二、WLAN数据规划表 WLAN配置拓扑 一、基本拓扑介绍 如图所示，由接入交换机分配业务VLAN，并给AP管理报文打管理VLAN tag。AP1的SSID为huawei-1，业务vlan为101，属于Region101；AP1和AP2上业务数据采用数据直接转发模式，AC同时作为DHCP Server给AP分配IP地址。   二、WLAN数据规划表 主要配置接入交换机，汇聚交换机和AC，实现AP和AC互通。 配置AC，
【项目案例】配置小型网络WLAN基本业务示例
念舒C.ying
07-30 1656
1.配置AP和AC，实现二层互通。 2.在AC上配置基于接口的DHCP服务器为STA和AP分配IP地址。 3.配置AC的系统参数，包括国家码、AC ID、运营商标识和AC与AP之间通信的源接口。 4.配置AP上线的认证方式，并把AP加入AP域中，实现AP正常工作。 5.配置VAP，下发WLAN业务，实现STA访问WLAN网络。 a.配置AP对应的WMM模板、射频模板，使用WMM模板和射频模板的默认配置，并在射频模板下绑定WMM模板，实现STA与AP之间的无线通信参数配置。 b.配置WLAN-ES.
华为AC基本调试步骤
weixin_33924770的博客
11-16 9582
有线介质在某些特定的场合存在一定的问题，双绞线则存在铺设费用高、施工周期长、移动困难等问题 AC主要功能: 1、AP的集中配置和管理 2、无线用户的接入控制（认证和授权） 3、WLAN业务的配置和发放 4、集成DHCP服务器功能，为无线终端分配地址 5、数据包的流量管理、拥塞控制和转发调度功能 在进行WLAN配置前确保AC与AP的版本相配套，否则可能导...
由浅入深玩转华为WLAN—11 安全认证配置（4）AC内置Portal认证（网页认证）
网络之路Blog（其他平台同名）
03-09 3601
简介 之前介绍了4种安全认证方式了，这次介绍另外一种比较常用的，华为 H3C称为Protal认证，也就是平常讲的网页认证，它的思路就是可以直接通过open的方式连接到AP上，然后在打开任意网站的时候，它会自动跳转到认证页面，需要输入用户名密码后，才能访问外网，当然这里使用的是AC内置的Protal，也可以使用专门的Protal服务器，那会更加强大，注意，AC的版本需要到V2R3后才有内置的，支持1000个用户。 拓扑（省略） 拓扑其实很简单的，跟平常的无线拓扑一样，可以参考之前的文章即可，这里主要讲解
由浅入深玩转华为WLAN---12安全认证配置（5）Portal认证，外置Protal服务器TSM对接（网页认证）1
08-03
在本文中，我们将深入探讨华为WLAN环境下的安全认证配置，特别是如何实现Portal认证与外置Portal服务器（如华为TSM，现更名为Policy Center）的对接。这种认证方式是网络接入安全的重要一环，它允许用户通过Web界面...
实战华为无线 12.安全认证配置（5）外置Protal服务器
12-28
实战华为无线 12.安全认证配置（5）Portal认证，外置Protal服务器TSM对接（网页认证）
protal本地认证配置
05-24
protal 配置 H3C WX系列本地Portal Server典型配置举例
由浅入深玩转华为WLAN—18 漫游系列（5）同一AC内AP之间三层漫游【三层上线+旁挂+直接转发组网方式】
网络之路Blog（其他平台同名）
03-10 7716
简介 同一AC的三层漫游：指的是在同一个AC下面的不同AP之间不同业务之间的漫游（跨越三层网络），比如图中AP-1的业务VLAN 是10（192.168.10.0/24），而AP-2的业务VLAN是20（192.168.20.0/24），无线客户端从AP-1漫游到AP-2后，虽然处于AP-2上面，但是业务VLAN保持不变，IP地址也保持不变，只是由原先的AP-1变成了AP-2来转发无线客户端的业务。 之前已经把网络基本初始化了，整个网络除了WLAN业务没有跑起来以外，其他的都能够正常运行，这次主要介
由浅入深玩转华为WLAN—16 漫游系列（3）同一AC内AP之间二层漫游【二层上线+旁挂+直接转发组网方式以及漫游后业务不同故障解决方案讲解】
网络之路Blog（其他平台同名）
03-09 4567
简介 上一篇已经把整个网络的网络初始化已经完毕，从接入交换机的VLAN划分以及接口类型配置，到核心交换机的初始化，VLANIF创建跟DHCP与路由，出口路由器的路由 NAT等，这些初始化的目的主要是为了让整个网络能够通信起来，比如AP能获取到地址与AC建立CAPWAP隧道，当WLAN业务部署起来后，无线客户端关联后获取到地址能够正常访问其他内网或者外网。这次主要介绍WLAN业务相关，以及如何在两个AP之间进行漫游，包括二层漫游的注意事项。 【掌握目标】 1、AP正常上线 2、配置WLAN业务 3、下发
11、华为 华三中小型企业网络架构搭建 【无线架构之三层漫游】
网络之路Blog（其他平台同名）
02-24 1975
拓扑 拓扑可以保存到本地，然后扩大查看，这样才能看的更清楚。（拖动到新窗口打开即可） 【无线架构之三层漫游】 三层漫游的实现主要在跨网段进行通信，而且在漫游后，地址保持不变。 三层漫游需要注意的事项 （1）必须在同一AC下 （2）WALN-ESS的接口策略必须相同 （3）安全模板的认证方式必须一致，包括密钥 （4）服务集模板中的SSID和数据转发模式必须一致 （5）需要定义多个服务集，关联不同的ESS接口，但是SSID与其他策略必须相同，而且port Hybrid untagged v.
由浅入深玩转华为WLAN—-9 安全认证配置（2）基于无线的MAC地址认证
网络之路Blog（其他平台同名）
03-09 2176
简介 之前已经介绍过无线的认证了，包括open以及WPA的方式，这次介绍一个在企业网络中比较特殊的方式，基于客户的MAC地址认证，它必须实现知道客户端的MAC地址，然后在本地或者基于radius外部数据库的方式。 掌握目标 一、AC的基本配置 二、测试是否正常拨入 三、基于本地MAC地址的方式 四、基于radius 拓扑说明（省略） 这里拓扑很简单，具体配置都在AC上面，所以参考之前的拓扑即可。 一、AC的基本配置 Dhcp enable [Huawei-AC6605]int vlan 1
27.WLAN组网介绍_VLAN在WLAN业务中的应用
分享学习网络的点点滴滴
09-17 2834
WLAN组网介绍_VLAN在WLAN业务中的应用VLAN在WLAN业务中的应用一、VLAN的分类1.管理VLAN2.业务VLAN3.用户VLAN4.授权VLAN总结 VLAN在WLAN业务中的应用 一、VLAN的分类 VLAN即虚拟局域网，在网络中通过协议控制使得数据发送具有局域网的性质，在实际的计算机网络中有大量的应用。WLAN网络中也可以通过协议制定具有不同功能的虚拟局域网，包括管理VLAN、业务VLAN、用户VLAN和授权VLAN. 1.管理VLAN 管理VLAN主要是用来传送AC和AP之间的管
linux 下搭建portal服务器搭建,Ubuntu下OpenLDAP服务器的部署步骤
weixin_39751076的博客
04-28 827
Ubuntu下OpenLDAP服务器的部署步骤1：安装zlib下载zlib-1.2.3.tar.gz(或其他版本)wget http://down1.chinaunix.net/distfiles/zlib-1.2.3.tar.gz# ./configure --shared# make# make install2：安装openssl不要卸载系统自带的Openssl,否则很多服务都起不来wget...
华为AC6605二层组网，配置无线漫游
qq_35511540的博客
11-11 9979
1、主要验证在同一个AC下不同AP之间的无线漫游。拓扑图如下所示： AC与路由器之间三层连接，AC跟SW1之间trunk连接，并且允许vlan10、vlan100，也就是管理vlan和业务vlan。SW1上联AC也是trunk并且放行vlan通过。SW1与两个AP之间也采用trunk并放行vlan，同时配置trunk的pvid为vlan10，这样ap才能通过dhcp跟AC获取到ip地址。 2、配...
华为无线基于黑白名单认证上网
杜颐的博客
10-09 2158
无线设置完成后所有人都可以进行连接，公司领导说不想让公司以外的人连接，或者某些终端不让连接，这里我们就可以使用黑白名单，对于小企业可以这样，如果设备多的话一台一台会很麻烦增加工作量，可以提前手机MAC地址制作白名单，然后将表格导入到白名单内就可以了。
学习笔记-无线的简单配置
weixin_42463871的博客
06-30 1567
某企业部署了WLAN基本业务实现移动 办公。为了保障网络的稳定和安全，预防 泛洪攻击和暴力破解PSK密钥攻击，可以 配置攻击检测和动态黑名单。通过将检测 到的攻击设备加入动态黑名单，丢弃攻击 设备的报文，阻止攻击行为。 具体拓扑如下图所示，本次实验操作 选用ENSP模拟器（AC设备型号为AC6605， AP设备型号为AP6050DN），AC作为DHCP 为AP和STA分配地址） 配置AC，配置管理和业务VLAN的IP地址并开启DHCP。AC作为DHCP服务器，为STA 和AP分配IP地址 sy...
华为 无线AP与AC详细配置 你学废了吗？
热门推荐
艺博东的博客
09-21 2万+
无线AP与AC详细配置 你学废了吗？ 无线局域网一体化发展的下一个阶段是集中式WLAN架构。这种模式使用位于网络核心的WLAN控制器，在集中式的无线局域网体系结构中，基于控制器的接入点，也称为轻量型AP
portal 思科交换配置
最新发布
07-27
- *1* *2* *3* [由浅入深玩转华为WLAN—12安全认证配置（5）Portal认证，外置Protal服务器TSM对接](https://blog.csdn.net/huzia/article/details/121552097)[target="_blank" data-report-click={"spm":"1018.2226....
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值