华为无线部署案例+radius认证

最新推荐文章于 2024-05-14 11:19:59 发布
最新推荐文章于 2024-05-14 11:19:59 发布
阅读量7.1k 收藏 29
点赞数 2
分类专栏： Huawei
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wj2555111/article/details/105857460
版权

要想配置无线，先看懂摸板逻辑关系

关于模板的详细可以看华为官网，也可以参考https://blog.csdn.net/seaship/article/details/86165045

AC业务摸板配置

华为下的AC配置，开启Dhcp,用vlan pool形式部署便于多无线vlan拓展

vlan pool Test
 vlan 2021 to 2022 

interface Vlanif1250
 description GuanLi
 ip address 192.168.250.1 255.255.255.0

#
interface Vlanif2021
 ip address 172.16.21.1 255.255.255.0     
 dhcp select interface
 dhcp server dns-list 202.96.128.86 114.114.114.114
#
interface Vlanif2022
 ip address 172.16.22.1 255.255.255.0
 dhcp select interface
 dhcp server dns-list 202.96.128.86 114.114.114.114
#

interface Vlanif2000
 description WX_Mgt
 ip address 172.16.100.1 255.255.255.0
 dhcp select interface

AC到poe的下联接口配置,这里以vlan2000为AP管理网段

interface GigabitEthernet5/1/4
 description LINK-2F-POE
 port link-type trunk
 port trunk allow-pass vlan 1012 1051 1250 2000 2011 to 2012 2021 to 2022

 

POE的配置

vlan batch 1250 2000  2021 to 2022

aaa

 local-user admin password irreversible-cipher xxxxxx
 local-user admin privilege level 15
 local-user admin service-type terminal ssh http
#

interface Vlanif1250
 ip address 192.168.250.22 255.255.255.0  

POE下联AP的配置，pvid 2000是为了剥离2000VLAN标签，成为终端接受的原始数据，释放管理Ip

interface GigabitEthernet0/0/5
 description LINK-AP2-10
 port link-type trunk
 port trunk pvid vlan 2000
 port trunk allow-pass vlan 2000 2011 to 2012 2021 to 2022

POE上联核心

interface GigabitEthernet0/0/28
 description UPLINK-SW-CORE
 port link-type trunk
 port trunk allow-pass vlan 1012 1051 1250 2000 2011 to 2012 2021 to 2022

基本网络配通，这里就可以把AP连接POE，AC就能读到AP了

然后配置射频管理的国家码，配置SSID模板（wifi名字），安全模板（wifi密码），认证模板（802.1x或者portal+ radius）

配置VAP模板，VAP模板调用ssid ，安全模板等

配置AP组，将AP加入相应的AP组，AP组调用VAP模板，射频模板

这里只是粗略不严谨的说法，便于看懂

 

< Home

  • 配置流程
  • 组网需求
  • 配置思路
  • 配置注意事项
  • 操作步骤
  • 配置文件

配置不同业务VLAN的AP间快速漫游功能示例

 

组网图形

图1 配置不同业务VLAN的AP间快速漫游组网图

 

图1 配置不同业务VLAN的AP间快速漫游组网图

-

  • 配置流程
  • 组网需求
  • 配置思路
  • 配置注意事项
  • 操作步骤
  • 配置文件

配置流程

WLAN不同的特性和功能需要在不同类型的模板下进行配置和维护，这些模板统称为WLAN模板，如域管理模板、射频模板、VAP模板、AP系统模板、AP有线口模板、WIDS模板、WDS模板、Mesh模板。当用户在配置WLAN业务功能时，需要在对应功能的WLAN模板中进行参数配置，配置完成后，须将此模板引用到AP组或AP中，配置才会自动下发到AP，进而配置的功能在AP上生效。由于模板之间是存在相互引用关系的，因此在用户配置过程中，需要先了解各个模板之间存在的逻辑关系。模板的逻辑关系和基本配置流程请参见WLAN业务配置流程。

组网需求

如图1所示，某园区网部署两台AP，分别为两个部门的员工提供WLAN接入服务，通过AC集中管理和控制。AC为AP和STA动态分配IP地址。两个部门的用户分属于不同VLAN，即AP1和AP2采用不同的业务VLAN，分别为101和102。用户采用的安全策略为WPA2+802.1X+AES，数据转发模式为隧道转发。

用户希望STA从AP1的无线信号覆盖区域移动到AP2的无线信号覆盖区域时业务不会中断。

配置思路

采用如下的思路配置不同业务VLAN的AP间快速漫游：

  1. 用户采用的安全策略为WPA2+802.1X+AES，需要进行接入认证，漫游切换时间较长。因此，通过配置同一业务VLAN的AP间快速漫游，实现用户在漫游过程中业务不中断。
  2. 配置网络互通，使AP与AC之间能够传输CAPWAP报文。
  3. 配置AC作为DHCP服务器，为STA和AP分配IP地址。
  4. 配置WLAN基本业务，保证用户能够连接到无线网络。
表1 数据规划表

配置项

数据

DHCP服务器AC作为DHCP服务器为STA和AP分配IP地址
AP的IP地址池10.23.100.2～10.23.100.254/24
STA的IP地址池

10.23.101.2～10.23.101.254/24

10.23.102.2～10.23.102.254/24

AC的源接口IP地址VLANIF100：10.23.100.1/24

RADIUS认证参数
  • RADIUS服务器模板名称：radius_huawei
  • IP地址：10.23.103.1
  • 认证端口号：1812
  • 共享密钥：huawei@123
  • 认证方案：radius_huawei

STA的用户名和密码
  • 用户名：test@huawei.com
  • 密码：123456

802.1X接入模板
  • 名称：wlan-dot1x
  • 认证方式：EAP

认证模板
  • 名称：wlan-authentication
  • 引用模板和认证方案：802.1X接入模板wlan-dot1x、认证方案radius_huawei、RADIUS服务器模板radius_huawei
AP组
  • 名称：ap-group1
  • 引用模板：VAP模板wlan-vap1、域管理模板domain1
  • 名称：ap-group2
  • 引用模板：VAP模板wlan-vap2、域管理模板domain1
域管理模板
  • 名称：domain1
  • 国家码：CN
SSID模板
  • 名称：wlan-ssid
  • SSID名称：wlan-net
安全模板
  • 名称：wlan-security
  • 安全策略：WPA2+802.1X+AES
VAP模板
  • 名称：wlan-vap1
  • 转发模式：隧道转发
  • 业务VLAN：VLAN101
  • 引用模板：SSID模板wlan-ssid、安全模板wlan-security、认证模板wlan-authentication
  • 名称：wlan-vap2
  • 转发模式：隧道转发
  • 业务VLAN：VLAN102
  • 引用模板：SSID模板wlan-ssid、安全模板wlan-security、认证模板wlan-authentication

配置注意事项

  • 纯组播报文由于协议要求在无线空口没有ACK机制保障，且无线空口链路不稳定，为了纯组播报文能够稳定发送，通常会以低速报文形式发送。如果网络侧有大量异常组播流量涌入，则会造成无线空口拥堵。为了减小大量低速组播报文对无线网络造成的冲击，建议配置组播报文抑制功能。配置前请确认是否有组播业务，如果有，请谨慎配置限速值。
    • 业务数据转发方式采用直接转发时，建议在直连AP的交换机接口上配置组播报文抑制。
    • 业务数据转发方式采用隧道转发时，建议在AC的流量模板下配置组播报文抑制。
    配置方法请参见：如何配置组播报文抑制，减小大量低速组播报文对无线网络造成的冲击？

  • 建议在与AP直连的设备接口上配置端口隔离，如果不配置端口隔离，尤其是业务数据转发方式采用直接转发时，可能会在VLAN内形成大量不必要的广播报文，导致网络阻塞，影响用户体验。

  • 隧道转发模式下，管理VLAN和业务VLAN不能配置为同一VLAN，且AP和AC之间只能放通管理VLAN，不能放通业务VLAN。

操作步骤

  1. 在AC上配置NAC模式为统一模式，以保证用户能够正常接入网络

     

    <HUAWEI> system-view
[HUAWEI] authentication unified-mode
说明：

    如果当前NAC模式为传统模式，则配置NAC模式为统一模式后，需要保存配置并重启设备后生效。

     

  2. 配置Switch_A和AC，使AP与AC之间能够传输CAPWAP报文

     

    # 配置Switch_A的接口GE0/0/1～GE0/0/3都加入VLAN100（管理VLAN）。

    <HUAWEI> system-view
[HUAWEI] sysname Switch_A
[Switch_A] vlan batch 100
[Switch_A] interface gigabitethernet 0/0/1
[Switch_A-GigabitEthernet0/0/1] port link-type trunk
[Switch_A-GigabitEthernet0/0/1] port trunk pvid vlan 100
[Switch_A-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[Switch_A-GigabitEthernet0/0/1] port-isolate enable
[Switch_A-GigabitEthernet0/0/1] quit
[Switch_A] interface gigabitethernet 0/0/2
[Switch_A-GigabitEthernet0/0/2] port link-type trunk
[Switch_A-GigabitEthernet0/0/2] port trunk pvid vlan 100
[Switch_A-GigabitEthernet0/0/2] port trunk allow-pass vlan 100
[Switch_A-GigabitEthernet0/0/2] port-isolate enable
[Switch_A-GigabitEthernet0/0/2] quit
[Switch_A] interface gigabitethernet 0/0/3
[Switch_A-GigabitEthernet0/0/3] port link-type trunk
[Switch_A-GigabitEthernet0/0/3] port trunk allow-pass vlan 100
[Switch_A-GigabitEthernet0/0/3] quit

    # 配置AC连接Switch_A的接口GE1/0/1加入VLAN100。

    <HUAWEI> system-view
[HUAWEI] sysname AC
[AC] vlan batch 100
[AC] interface gigabitethernet 1/0/1
[AC-GigabitEthernet1/0/1] port link-type trunk
[AC-GigabitEthernet1/0/1] port trunk allow-pass vlan 100
[AC-GigabitEthernet1/0/1] quit

     

  3. 配置AC与上层网络设备互通

     

    # 配置AC上行接口GE1/0/3加入VLAN101和VLAN102并配置AC连接RADIUS服务器的接口GE1/0/4加入VLAN103。

    [AC] vlan batch 101 to 103
[AC] interface gigabitethernet 1/0/3
[AC-GigabitEthernet1/0/3] port link-type trunk
[AC-GigabitEthernet1/0/3] port trunk allow-pass vlan 101 102
[AC-GigabitEthernet1/0/3] quit
[AC] interface gigabitethernet 1/0/4
[AC-GigabitEthernet1/0/4] port link-type trunk
[AC-GigabitEthernet1/0/4] port trunk pvid vlan 103
[AC-GigabitEthernet1/0/4] port trunk allow-pass vlan 103
[AC-GigabitEthernet1/0/4] quit

     

  4. 配置AC作为DHCP服务器，为STA和AP分配IP地址。配置VLANIF103，使AC和RADIUS服务器之间能够通信

     

    # 配置基于接口地址池的DHCP服务器，其中，VLANIF100接口为AP1和AP2提供IP地址，VLANIF101为AP1下的STA提供IP地址，VLANIF102为AP2下的STA提供IP地址。说明： DNS服务器地址请根据实际需要配置。常用配置方法如下：

    • 接口地址池场景，需要在VLANIF接口视图下执行命令dhcp server dns-list ip-address &<1-8>。
    • 全局地址池场景，需要在IP地址池视图下执行命令dns-list ip-address &<1-8>。
    [AC] dhcp enable
[AC] interface vlanif 100
[AC-Vlanif100] ip address 10.23.100.1 24
[AC-Vlanif100] dhcp select interface
[AC-Vlanif100] quit
[AC] interface vlanif 101
[AC-Vlanif101] ip address 10.23.101.1 24
[AC-Vlanif101] dhcp select interface
[AC-Vlanif101] quit
[AC] interface vlanif 102
[AC-Vlanif102] ip address 10.23.102.1 24
[AC-Vlanif102] dhcp select interface
[AC-Vlanif102] quit

    # 配置VLANIF103。

    [AC] interface vlanif 103
[AC-Vlanif103] ip address 10.23.103.2 24
[AC-Vlanif103] quit

     

  5. 配置RADIUS认证参数

    说明：

    请确保AC与RADIUS服务器的共享密钥相同。

    # 创建RADIUS服务器模板。

    [AC] radius-server template radius_huawei
[AC-radius-radius_huawei] radius-server authentication 10.23.103.1 1812
[AC-radius-radius_huawei] radius-server shared-key cipher huawei@123
[AC-radius-radius_huawei] quit

    # 创建RADIUS方式的认证方案。

    [AC] aaa
[AC-aaa] authentication-scheme radius_huawei
[AC-aaa-authen-radius_huawei] authentication-mode radius
[AC-aaa-authen-radius_huawei] quit

    # 创建AAA域并配置域的RADIUS服务器模板和认证方案。

    [AC-aaa] domain huawei.com
[AC-aaa-domain-huawei.com] radius-server radius_huawei
[AC-aaa-domain-huawei.com] authentication-scheme radius_huawei
[AC-aaa-domain-huawei.com] quit
[AC-aaa] quit
说明：

    配置了域“huawei.com”后，认证用户名后面需要加上域名。

    # 测试用户是否能够通过RADIUS模板的认证。（已在RADIUS服务器上配置了测试用户test@huawei.com，用户密码123456）

    [AC] test-aaa test@huawei.com 123456 radius-template radius_huawei
Info: Account test succeed.

     

  6. 配置802.1X接入模板，管理802.1X接入控制参数

     

    # 创建名为“wlan-dot1x”的802.1X接入模板。

    [AC] dot1x-access-profile name wlan-dot1x

    # 配置认证方式为EAP中继模式。

    [AC-dot1x-access-profile-wlan-dot1x] dot1x authentication-method eap
[AC-dot1x-access-profile-wlan-dot1x] quit

     

  7. 创建名为“wlan-authentication”的认证模板，绑定802.1X接入模板，并配置用户强制域

     

    [AC] authentication-profile name wlan-authentication
[AC-authen-profile-wlan-authentication] dot1x-access-profile wlan-dot1x
[AC-authen-profile-wlan-authentication] access-domain huawei.com dot1x force
[AC-authen-profile-wlan-authentication] quit

     

  8. 配置AP上线

     

    # 创建AP组，用于将相同配置的AP都加入同一AP组中。

    [AC] wlan
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] quit
[AC-wlan-view] ap-group name ap-group2
[AC-wlan-ap-group-ap-group2] quit

    # 创建域管理模板，在域管理模板下配置AC的国家码并在AP组下引用域管理模板。

    [AC-wlan-view] regulatory-domain-profile name domain1
[AC-wlan-regulate-domain-domain1] country-code cn
[AC-wlan-regulate-domain-domain1] quit
[AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] regulatory-domain-profile domain1
Warning: Modifying the country code will clear channel, power and antenna gain configurations of the radio and reset the AP. Continu
e?[Y/N]:y 
[AC-wlan-ap-group-ap-group1] quit
[AC-wlan-view] ap-group name ap-group2
[AC-wlan-ap-group-ap-group2] regulatory-domain-profile domain1
Warning: Modifying the country code will clear channel, power and antenna gain configurations of the radio and reset the AP. Continu
e?[Y/N]:y 
[AC-wlan-ap-group-ap-group2] quit
[AC-wlan-view] quit
    # 配置AC的源接口。 
    [AC] capwap source interface vlanif 100
    # 在AC上离线导入AP1和AP2，并将AP1和AP2分别加入AP组“ap-group1”和“ap-group2”中。假设AP的MAC地址为60de-4476-e360和60de-4474-9640，并且根据AP的部署位置为AP配置名称，便于从名称上就能够了解AP的部署位置。例如MAC地址为60de-4476-e360的AP部署在1号区域，命名此AP为area_1。
  9. 说明：

    ap auth-mode命令缺省情况下为MAC认证，如果之前没有修改其缺省配置，可以不用执行ap auth-mode mac-auth命令。

    举例中使用的AP为AP6010DN-AGN，具有射频0和射频1两个射频。AP6010DN-AGN的射频0为2.4GHz射频，射频1为5GHz射频。

    [AC] wlan
[AC-wlan-view] ap auth-mode mac-auth
[AC-wlan-view] ap-id 0 ap-mac 60de-4476-e360
[AC-wlan-ap-0] ap-name area_1
[AC-wlan-ap-0] ap-group ap-group1
Warning: This operation may cause AP reset. If the country code changes, it will clear channel, power and antenna gain configuration
s of the radio, Whether to continue? [Y/N]:y 
[AC-wlan-ap-0] quit
[AC-wlan-view] ap-id 1 ap-mac 60de-4474-9640
[AC-wlan-ap-1] ap-name area_2
[AC-wlan-ap-1] ap-group ap-group2
Warning: This operation may cause AP reset. If the country code changes, it will clear channel, power and antenna gain configuration
s of the radio, Whether to continue? [Y/N]:y 
[AC-wlan-ap-1] quit

    # 将AP上电后，当执行命令display ap all查看到AP的“State”字段为“nor”时，表示AP正常上线。

    [AC-wlan-view] display ap all
Total AP information:
nor  : normal          [2]
--------------------------------------------------------------------------------
ID   MAC            Name   Group     IP            Type            State STA Uptime
--------------------------------------------------------------------------------
0    60de-4476-e360 area_1 ap-group1 10.23.100.254 AP6010DN-AGN    nor   0   5M:2S
1    60de-4474-9640 area_2 ap-group2 10.23.100.253 AP6010DN-AGN    nor   0   5M:4S
--------------------------------------------------------------------------------
Total: 2

     

  10. 配置WLAN业务参数

     

    # 创建名为“wlan-security”的安全模板，并配置安全策略。

    [AC-wlan-view] security-profile name wlan-security
[AC-wlan-sec-prof-wlan-security] security wpa2 dot1x aes
[AC-wlan-sec-prof-wlan-security] quit

    # 创建名为“wlan-ssid”的SSID模板，并配置SSID名称为“wlan-net”。

    [AC-wlan-view] ssid-profile name wlan-ssid
[AC-wlan-ssid-prof-wlan-ssid] ssid wlan-net
[AC-wlan-ssid-prof-wlan-ssid] quit

    # 分别创建名为“wlan-vap1”和“wlan-vap2”的VAP模板，配置业务数据转发模式、业务VLAN，并且引用安全模板、SSID模板和认证模板。

    [AC-wlan-view] vap-profile name wlan-vap1
[AC-wlan-vap-prof-wlan-vap1] forward-mode tunnel
[AC-wlan-vap-prof-wlan-vap1] service-vlan vlan-id 101
[AC-wlan-vap-prof-wlan-vap1] security-profile wlan-security
[AC-wlan-vap-prof-wlan-vap1] authentication-profile wlan-authentication
[AC-wlan-vap-prof-wlan-vap1] ssid-profile wlan-ssid
[AC-wlan-vap-prof-wlan-vap1] quit
[AC-wlan-view] vap-profile name wlan-vap2
[AC-wlan-vap-prof-wlan-vap2] forward-mode tunnel
[AC-wlan-vap-prof-wlan-vap2] service-vlan vlan-id 102
[AC-wlan-vap-prof-wlan-vap2] security-profile wlan-security
[AC-wlan-vap-prof-wlan-vap2] authentication-profile wlan-authentication
[AC-wlan-vap-prof-wlan-vap2] ssid-profile wlan-ssid
[AC-wlan-vap-prof-wlan-vap2] quit

    # 配置AP组“ap-group1”和“ap-group2”分别引用VAP模板“wlan-vap1”和“wlan-vap2”，AP上射频0和射频1都使用VAP模板的配置。

    [AC-wlan-view] ap-group name ap-group1
[AC-wlan-ap-group-ap-group1] vap-profile wlan-vap1 wlan 1 radio 0
[AC-wlan-ap-group-ap-group1] vap-profile wlan-vap1 wlan 1 radio 1
[AC-wlan-ap-group-ap-group1] quit
[AC-wlan-view] ap-group name ap-group2
[AC-wlan-ap-group-ap-group2] vap-profile wlan-vap2 wlan 1 radio 0
[AC-wlan-ap-group-ap-group2] vap-profile wlan-vap2 wlan 1 radio 1
[AC-wlan-ap-group-ap-group2] quit

     

  11. 配置AP射频的信道和功率

    说明：

    举例中AP射频的信道和功率仅为示例，实际配置中请根据AP的国家码和网规结果进行配置。

    # 关闭射频的信道和功率自动调优功能。

    射频的信道和功率自动调优功能默认开启，如果不关闭此功能则会导致手动配置不生效。 
    [AC-wlan-view] rrm-profile name default
[AC-wlan-rrm-prof-default] calibrate auto-channel-select disable
[AC-wlan-rrm-prof-default] calibrate auto-txpower-select disable
[AC-wlan-rrm-prof-default] quit
    # 配置AP射频0的信道和功率。 
    [AC-wlan-view] ap-id 0
[AC-wlan-ap-0] radio 0
[AC-wlan-radio-0/0] channel 20mhz 6
Warning: This action may cause service interruption. Continue?[Y/N]y
[AC-wlan-radio-0/0] eirp 127
[AC-wlan-radio-0/0] quit
    # 配置AP射频1的信道和功率。 
    [AC-wlan-ap-0] radio 1
[AC-wlan-radio-0/1] channel 20mhz 149
Warning: This action may cause service interruption. Continue?[Y/N]y
[AC-wlan-radio-0/1] eirp 127
[AC-wlan-radio-0/1] quit
[AC-wlan-ap-0] quit

     

  12. 提交配置

     

    [AC-wlan-view] commit all
Warning: Committing configuration may cause service interruption, continue?[Y/N]:y

     

  13. 验证配置结果

     

    完成配置后，用户可通过无线终端搜索到SSID为wlan-net的无线网络。用户在STA上使用802.1X客户端进行认证，输入正确的用户名和密码，STA认证成功后，可以正常访问Internet上的资源。需要根据设置的认证方式（peap）对客户端进行相应的配置。

    • WINDOWS XP系统下的配置

      1. 首先在无线网络属性中，添加SSID为wlan-net，并选择认证方式为WPA2，加密方式为CCMP使用的算法AES。
      2. 在“验证”选项卡中，选择EAP类型为PEAP，单击“属性”，去掉验证服务器证书选项（此处不验证服务器证书），单击“配置”，去掉自动使用Windows登录名和密码选项，然后单击“确定”。

    • WINDOWS 7系统下的配置

      1. 进入管理无线网络页面，单击“添加”，选择“手动创建网络配置文件”，添加SSID为wlan-net，并选择认证方式为WPA2-企业，加密使用的算法AES，单击“下一步”。
      2. 单击“更改连接设置”，进入“无线网络属性”界面，选择“安全”页签，单击“设置”，取消勾选“验证服务器证书”（此处不验证服务器证书），单击“配置”，取消勾选“自动使用Windows登录名和密码”，单击“确定”。
      3. 单击“确定”，返回“无线网络属性”界面，单击“高级设置”，在“高级设置”界面，勾选“指定身份验证模式”，并选择身份验证模式为“用户身份验证”，单击“确定”。
    STA在AP1的覆盖范围内搜索到SSID为“wlan-net”的无线网络，输入密码“123456”并正常关联后，在AC上执行命令display station ssid wlan-net，查看STA的接入信息，可以看到STA关联到了AP1，STA的MAC地址为“e019-1dc7-1e08”。 
    [AC-wlan-view] display station ssid wlan-net
Rf/WLAN: Radio ID/WLAN ID
Rx/Tx: link receive rate/link transmit rate(Mbps)
---------------------------------------------------------------------------------
STA MAC         AP ID Ap name  Rf/WLAN  Band  Type  Rx/Tx      RSSI  VLAN  IP address
---------------------------------------------------------------------------------
e019-1dc7-1e08  0     area_1   1/1      5G    11n   38/64      -68   101   10.23.101.254
---------------------------------------------------------------------------------
Total: 1 2.4G: 0 5G: 1
    当STA从AP1的覆盖范围移动到AP2的覆盖范围时，在AC上执行命令display station ssid wlan-net，查看STA的接入信息，可以看到STA关联到了AP2。 
    [AC-wlan-view] display station ssid wlan-net
Rf/WLAN: Radio ID/WLAN ID                                                     
Rx/Tx: link receive rate/link transmit rate(Mbps)                             
----------------------------------------------------------------------------------------
STA MAC          AP ID Ap name  Rf/WLAN  Band  Type  Rx/Tx      RSSI  VLAN  IP address     
----------------------------------------------------------------------------------------
e019-1dc7-1e08   1     area_2   1/1      5G    11n   46/59      -58   101   10.23.101.254
----------------------------------------------------------------------------------------
Total: 1 2.4G: 0 5G: 1
    在AC上执行命令display station roam-track sta-mac e019-1dc7-1e08，可以查看该STA的漫游轨迹。 
    [AC-wlan-view] display station roam-track sta-mac e019-1dc7-1e08
Access SSID:huawei
Rx/Tx:link receive rate/link transmit rate(Mbps)
------------------------------------------------------------------------------
L2/L3           AC IP                  AP name              Radio ID
BSSID           TIME                   In/Out RSSI          Out Rx/Tx
------------------------------------------------------------------------------
--              10.23.100.1            area_1               0
60de-4476-e360  2015/02/07 17:48:30    -51/-48              46/13
L2              10.23.100.1            area_2               0
60de-4474-9640  2015/02/07 17:54:50    -58/-                -/-
------------------------------------------------------------------------------
Number: 1

     

配置文件

  • 接入交换机的配置文件

    #
sysname Switch_A
#
vlan batch 100
#
interface GigabitEthernet0/0/1
 port link-type trunk
 port trunk pvid vlan 100
 port trunk allow-pass vlan 100
 port-isolate enable group 1 
#
interface GigabitEthernet0/0/2
 port link-type trunk
 port trunk pvid vlan 100
 port trunk allow-pass vlan 100
 port-isolate enable group 1 
#
interface GigabitEthernet0/0/3
 port link-type trunk
 port trunk allow-pass vlan 100
#
return

  • AC的配置文件

    #
sysname AC
#
vlan batch 100 to 103
#
authentication-profile name wlan-authentication
 dot1x-access-profile wlan-dot1x 
 access-domain huawei.com dot1x force 
#
dhcp enable
#
radius-server template radius_huawei
 radius-server shared-key cipher %^%#*7d1;XNof/|Q0:DsP!,W51DIYPx}`AARBdJ'0B^$%^%#
 radius-server authentication 10.23.103.1 1812 weight 80
#
aaa
 authentication-scheme radius_huawei
  authentication-mode radius
 domain huawei.com 
  authentication-scheme radius_huawei
  radius-server radius_huawei
#
interface Vlanif100
 ip address 10.23.100.1 255.255.255.0
 dhcp select interface
#
interface Vlanif101
 ip address 10.23.101.1 255.255.255.0
 dhcp select interface
#
interface Vlanif102
 ip address 10.23.102.1 255.255.255.0
 dhcp select interface
#
interface Vlanif103
 ip address 10.23.103.2 255.255.255.0
#
interface GigabitEthernet1/0/1
 port link-type trunk
 port trunk allow-pass vlan 100
#
interface GigabitEthernet1/0/3
 port link-type trunk
 port trunk allow-pass vlan 101 to 102
#
interface GigabitEthernet1/0/4
 port link-type trunk
 port trunk pvid vlan 103
 port trunk allow-pass vlan 103
#
capwap source interface vlanif100
#
wlan
 security-profile name wlan-security
  security wpa2 dot1x aes
 ssid-profile name wlan-ssid
  ssid wlan-net
 vap-profile name wlan-vap1
  forward-mode tunnel
  service-vlan vlan-id 101
  ssid-profile wlan-ssid
  security-profile wlan-security
  authentication-profile wlan-authentication
 vap-profile name wlan-vap2
  forward-mode tunnel
  service-vlan vlan-id 102
  ssid-profile wlan-ssid
  security-profile wlan-security
  authentication-profile wlan-authentication
 regulatory-domain-profile name domain1
 rrm-profile name default
  calibrate auto-channel-select disable
  calibrate auto-txpower-select disable
 ap-group name ap-group1
  regulatory-domain-profile domain1
  radio 0
   vap-profile wlan-vap1 wlan 1
  radio 1
   vap-profile wlan-vap1 wlan 1
 ap-group name ap-group2
  regulatory-domain-profile domain1
  radio 0
   vap-profile wlan-vap2 wlan 1
  radio 1
   vap-profile wlan-vap2 wlan 1
 ap-id 0 type-id 19 ap-mac 60de-4476-e360 ap-sn 210235554710CB000042
  ap-name area_1
  ap-group ap-group1
  radio 0
   channel 20mhz 6
   eirp 127
  radio 1
   channel 20mhz 149
   eirp 127
 ap-id 1 type-id 19 ap-mac 60de-4474-9640 ap-sn 210235554710CB000078
  ap-name area_2
  ap-group ap-group2
#
dot1x-access-profile name wlan-dot1x
#
return

父主题： 配置举例

版权所有 © 华为技术有限公司

版权所有 © 华为技术有限公司

< 上一节

WJ.L
关注
  • 2
    点赞
  • 踩
  • 29
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【无线AP企业级认证之搭建FreeRadius服务器（一）】
不emo的博客
03-18 1896
TLS、TTLS、EAP等证书加密
华为ac配置radius认证服务器_华为AC配置802.1X认证(示例代码)
weixin_42550614的博客
01-13 974
system-view[AC6005]vlan batch 10 to 14[AC6005]int vlan 10[AC6005-Vlanif10]ip address 192.168.10.254 24[AC6005-Vlanif10]quit[AC6005]capwap source interface vlan 10[AC6005]wlan[AC6005-wlan-view]ap auth-...
Radius搭建以及双因素认证
最新发布
if_Echo_else的博客
05-14 1140
网络接入服务器（Network Access Server，NAS）是RADIUS的客户端，它负责将用户的验证信息传递给指定的RADIUS服务器，然后处理返回的响应。搭建Radius服务器的方法：用户接入NAS，NAS向RADIUS服务器使用Access-Require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；给 /usr/local/etc/raddb/mods-available/sql做个软连接。
华为ac配置radius认证服务器_华为防火墙配置DHCP Snooping保护DHCP服务器
weixin_28900989的博客
12-09 627
DHCP Snooping是一种DHCP安全特性，通过MAC地址限制、DHCP Snooping安全绑定、IP + MAC绑定、Option82特性等功能过滤不信任的DHCP消息，解决了设备应用DHCP时遇到DHCP DoS攻击、DHCP Server仿冒攻击、ARP中间人攻击及IP/MAC Spoofing攻击的问题。组网需求如图1所示，USG作为DHCP Relay，部署在DHCP Clien...
华为无线设备配置利用WDS技术部署WLAN业务
Tony_long7483的博客
07-28 711
华为无线设备配置利用WDS技术部署WLAN业务
华为ac配置radius认证服务器_华为设备配置802.1x Radius服务器远端认证
weixin_27024175的博客
01-06 3109
组网需求用户通过RouterA访问网络。RouterA与RADIUS服务器之间路由可达。为了保证网络的安全性，要求在用户接入网络时进行认证。认证成功后可以正常访问网络。图1 802.1x远端认证组网图操作步骤RouterA的配置V200R007及之前版本：# vlan batch 10#dot1x enable //使能全局802.1x认证#radius-server template radiu...
华为ac配置radius认证服务器_常用交换机802.1x配置步骤手册.doc
weixin_36079387的博客
01-04 5250
在路上目录一． H3C设备配置模板二． 迈普交换机802.1X模板三． 锐捷交换机802.1X模板四． 思科交换机802.1X配置模板五． 华为交换机802.1X配置模板不同类型交换机配置步骤不同，以下提供交换机配置步骤，以供参考。一． H3C设备配置模板(1) CMWV3平台(S5600/ S3900/ S5100 EI/ S5100SI/ S3600 EI/S3600 SI/ S3100-52...
华为无线控制器对接深信服AC做短信认证
07-14
我们知道华为的企业级无线基础功能是没有自带短信认证的，如果客户想要应用在商城环境中，如何解决这个问题呢？ 我们可以借助华为自己的短信认证平台或者利用第三方的设备进行，比如深信服的AC行为管理设备。 该文档...
华为无线AC 配置内置Portal认证和Radius服务器示例.docx
07-09
华为无线AC配置内置Portal认证和Radius服务器示例 本文档详细介绍了华为无线AC配置内置Portal认证和Radius服务器的示例配置。该配置主要用于解决企业无线网络安全问题，实现了对无线用户的身份认证和接入控制。 一...
华为模拟器ENSP -AC+AP无线配置
10-30
在网上找了多个华为ENSP 实验的AC+AP的无线资料，均有不少缺陷，希望这个对于初学者有帮助。
华为网络工程师HCIA+HCIP华为HCIA HCIP认证课程大纲.pdf
05-13
资料介绍：华为认证考试题库，题库答案，备考...华为认证覆盖路由交换、安全、无线局域网、SDN、LTE 、传送网 、接入、统一通信 、数据中心设施、存储、云计算 、大数据、数据中心、云服务、IoT、AI等20个技术领域。
Freeradius配置wifi认证
07-12
使用开源软件Freeradius配置Wifi认证的说明文档
配置采用RADIUS协议对用户进行认证和计费
11-14
配置采用RADIUS协议对用户进行认证和计费，详细讲解华为路由器RADIUS配置
华为路由器AAA和Radius协议配置命令
08-25
华为路由器AAA和Radius协议配置命令 华为路由器AAA和Radius协议配置命令
大数据Big Data+华为认证HCIE+培训资料+已解锁无密码
02-10
华为认证HCIE Big Data认证培训资料 已解锁+无密码 真实理论+实验考题 想要考取华为HCIE Big Data认证的同学不容错过
思科ap默认的账号密码_思科无线 AP（胖）多 SSID、Radius 认证的配置命令
weixin_39942572的博客
11-22 5433
一、前言上一篇文章介绍了思科胖 AP 的基本配置命令，这次来介绍下一些高级点的安全特性。本文将介绍思科胖 AP 多 SSID 和 Radius 认证的配置命令。这些都是企业网中常用的无线安全功能。二、网络拓扑图及说明如图，某小型企业有三个网段，分别是服务器网段（VLAN 1）、员工网段（VLAN 100）和访客网段（VLAN 200）。其中，服务器网段（VLAN 1）的流量在交换机的 Trunk...
华为ac配置radius认证服务器_WIFI怎样用域用户认证？用Windows Server 2019搭建Radius服务器...
weixin_42364640的博客
01-06 3930
在实际的网络环境中，很多企业往往要求WIFI至少分为两个VLAN，一个VLAN给员工用，要求用域用户登录；另一个VLAN给访客使用，一般输入密码就可以了。要想采用域用户的形式作为无线网络的认证，AC控制器必须支持访问外部服务器，现在一般企业级的AC控制器都标配此功能，今天的这篇文章，暂时不写AC控制器的配置，我们先只讨论Radius服务器的搭建。1、添加服务器角色：“网络策略和访问服务”2、添加服...
华为ac配置radius认证服务器_合作生态 | 升腾威讯云系统与华为泰山服务器完成产品互认证...
weixin_31421613的博客
01-05 397
近日，福建升腾资讯有限公司与华为技术有限公司共同进行了升腾威讯云系统与华为泰山的产品测试认证。测试结果表明：升腾威讯云系统V6在华为TaiShan 100平台上顺利安装、运行良好，且整体系统运行稳定，性能卓越。1 升腾与华为基于双方合作的成熟模式，此次快速推出基于鲲鹏芯片泰山服务器的全自研云平台— —升腾威讯云系统。 升腾威讯云系统通过虚拟化技术，...
认证篇：Spring Security 表单登录认证源码解析
小奇学编程的博客
09-26 476
认证（二）：表单登录的源码解析 原理讲解 接上回分解，上回我们聊到了《基于表单登录的认证模式》【todo： 这里做一个文章的超链接】，正所谓：“知其然，然后知其所以然”；就让我们来一探究竟，瞅瞅 Spring Security到底是怎么实现表单登录的。 首先我们先来回顾一下上篇文章我们制作的 Spring Security的表单认证的流程图： 从流程图中我们可以简单的了解到，整个认证流程大致上分为3个模块： 登录信息的封装 认证 收尾处理（成功&失败处理） 核心模块为 认证模块，
华为AC如何生成radius认证
05-26
华为AC（Access Controller）可以作为Radius客户端，可以将用户的认证请求发送到Radius服务器进行认证。下面是生成Radius认证的步骤： 1. 配置Radius服务器IP地址和共享密钥 在AC上，需要配置Radius服务器的IP地址和共享密钥，以便AC可以与Radius服务器进行通信和认证。可以使用以下命令进行配置： ``` radius scheme scheme-name server-type extended primary authentication-server ip-address secret shared-secret accounting-server ip-address secret shared-secret ``` 其中，scheme-name 是Radius认证方案的名称，ip-address 是Radius服务器的IP地址，shared-secret 是Radius服务器和AC之间共享的密钥。 2. 配置SSID 在AC上，需要配置SSID，以便用户可以连接到该SSID，并且进行Radius认证。可以使用以下命令进行配置： ``` wlan service-set service-set-name ssid ssid-name authentication-type radius ``` 其中，service-set-name 是SSID的名称，ssid-name 是SSID的名称，authentication-type 设置为 radius。 3. 配置用户认证方式 在AC上，需要配置用户认证方式，以便AC可以将用户的认证请求发送到Radius服务器进行认证。可以使用以下命令进行配置： ``` authentication-profile profile-name radius-scheme scheme-name ``` 其中，profile-name 是用户认证方式的名称，scheme-name 是Radius认证方案的名称。 4. 配置端口 在AC上，需要配置端口，以便用户可以连接到该端口，并且进行Radius认证。可以使用以下命令进行配置： ``` interface interface-type interface-number port link-type access authentication-profile profile-name service-set service-set-name ``` 其中，interface-type 是端口类型，interface-number 是端口号，profile-name 是用户认证方式的名称，service-set-name 是SSID的名称。 以上就是华为AC生成Radius认证的步骤，需要根据实际情况进行配置。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值