华为无线AC 配置内置Portal认证和Radius服务器示例

 

配置内置Portal认证示例

组网图形

图1 配置内置Portal认证组网图 

· 组网需求

· 配置思路

· 数据规划

· 操作步骤

· 配置文件

组网需求

如图1所示，某企业AC直连AP。通过WLAN部署，提供名为“wlan-net”的无线网络方便员工接入。同时，AC作为DHCP服务器为无线用户提供10.23.101.0/24网段的IP地址。

由于无线网络开放性的特点，如果无线网络不采取适当的接入控制，企业信息就存在安全风险。为了满足企业的安全性需求，同时为节约成本，采用内置Portal认证，并通过RADIUS服务器对无线用户进行身份认证。

配置思路

1.      配置WLAN基本业务，实现AC与上下游网络互通和AP上线。

2.      配置RADIUS认证参数。

3.      配置针对内置Portal服务器的Portal接入模板，管理Portal接入控制参数。

4.      配置免认证规则模板，实现AC放行访问DNS服务器的报文。

5.      配置认证模板，管理NAC认证的相关配置。

6.      配置WLAN业务参数，在VAP模板下绑定安全策略模板和认证模板等，对访问WLAN网络的STA进行接入控制。

 说明：

如果不使用RADIUS服务器，而采用本地认证时，需要在配置认证方式为本地认证。并配置本地用户的用户名、密码和服务类型。例如配置用户名为user01，密码为Huawei@123的本地用户。

# 配置本地认证方案“a1”。

[AC] aaa

[AC-aaa] authentication-scheme a1

[AC-aaa-authen-a1] authentication-mode local

[AC-aaa-authen-a1] quit

# 配置本地用户的用户名、密码和服务类型。

[AC-aaa] local-user user01 password cipher Huawei@123

[AC-aaa] local-user user01 service-type web

[AC-aaa] quit

数据规划

配置项	数据
RADIUS认证参数	RADIUS认证方案名称：radius_huawei RADIUS计费方案名称：scheme1 RADIUS服务器模板名称：radius_huawei，其中： · IP地址：10.23.200.1 · 认证端口号：1812 · 计费端口号：1813 · 共享密钥：Huawei@123
Portal接入模板	· 名称：portal1 · 使用内置Portal服务器，其中 §  内置Portal服务器的IP地址：10.1.1.1/24 §  使用的SSL策略：sslserver §  HTTPS协议使用的TCP端口号:1025
免认证规则模板	· 名称：default_free_rule · 免认证资源：DNS服务器的地址（10.23.200.2）
认证模板	· 名称：p1 · 绑定的模板和认证方案：Portal接入模板portal1、RADIUS服务器模板radius_huawei、RADIUS认证方案radius_huawei、RADIUS计费方案scheme1、免认证规则模板default_free_rule
DHCP服务器	AC作为DHCP服务器为STA和AP分配IP地址
AP的IP地址池	10.23.100.2～10.23.100.254/24
STA的IP地址池	10.23.101.2～10.23.101.254/24
AC的源接口IP地址	VLANIF100：10.23.100.1/24
AP组	· 名称：ap-group1 · 绑定模板：VAP模板wlan-vap、域管理模板domain1
域管理模板	· 名称：domain1 · 国家码：CN
SSID模板	· 名称：wlan-ssid · SSID名称：wlan-net
安全模板	· 名称：wlan-security · 安全策略：开放认证
VAP模板	· 名称：wlan-vap · 转发模式：隧道转发 · 业务VLAN：VLAN101 · 绑定模板：SSID模板wlan-ssid、安全模板wlan-security、认证模板p1

操作步骤

1.      配置AC，使AP与AC之间能够传输CAPWAP报文

# 配置AC，将接口GE0/0/1加入VLAN100（管理VLAN）。

 说明：

本示例的业务数据转发方式采用隧道转发。如果用户的数据转发方式为直接转发，建议在AC连接AP的接口GE0/0/1上配置端口隔离，如果不配置端口隔离，可能会在VLAN内产生不必要的广播报文，或者导致不同AP间的WLAN用户二层互通的问题。

如果用户的数据转发方式为直接转发，需要将接口GE0/0/1加入VLAN100（管理VLAN）和VLAN101（业务VLAN）。

隧道转发模式下，管理VLAN和业务VLAN不能配置为同一VLAN。

<AC6605> system-view

[AC6605] sysname AC

[AC] vlan batch 100 101

[AC] interface gigabitethernet 0/0/1