华为无线AC 配置内置Portal认证和Radius服务器示例

组网图形

图1 配置内置Portal认证组网图 

· 组网需求

· 配置思路

· 数据规划

· 操作步骤

· 配置文件

组网需求

如图1所示，某企业AC直连AP。通过WLAN部署，提供名为“wlan-net”的无线网络方便员工接入。同时，AC作为DHCP服务器为无线用户提供10.23.101.0/24网段的IP地址。

由于无线网络开放性的特点，如果无线网络不采取适当的接入控制，企业信息就存在安全风险。为了满足企业的安全性需求，同时为节约成本，采用内置Portal认证，并通过RADIUS服务器对无线用户进行身份认证。

配置思路

1.      配置WLAN基本业务，实现AC与上下游网络互通和AP上线。

2.      配置RADIUS认证参数。

3.      配置针对内置Portal服务器的Portal接入模板，管理Portal接入控制参数。

4.      配置免认证规则模板，实现AC放行访问DNS服务器的报文。

5.      配置认证模板，管理NAC认证的相关配置。

6.      配置WLAN业务参数，在VAP模板下绑定安全策略模板和认证模板等，对访问WLAN网络的STA进行接入控制。

 说明：

如果不使用RADIUS服务器，而采用本地认证时，需要在配置认证方式为本地认证。并配置本地用户的用户名、密码和服务类型。例如配置用户名为user01，密码为Huawei@123的本地用户。

# 配置本地认证方案“a1”。

# 配置本地用户的用户名、密码和服务类型。

数据规划

配置项

数据

RADIUS认证参数

RADIUS认证方案名称：radius_huawei

RADIUS计费方案名称：scheme1

RADIUS服务器模板名称：radius_huawei，其中：

· IP地址：10.23.200.1

· 认证端口号：1812

· 计费端口号：1813

· 共享密钥：Huawei@123

Portal接入模板

· 名称：portal1

· 使用内置Portal服务器，其中

§  内置Portal服务器的IP地址：10.1.1.1/24

§  使用的SSL策略：sslserver

§  HTTPS协议使用的TCP端口号:1025

免认证规则模板

· 名称：default_free_rule

· 免认证资源：DNS服务器的地址（10.23.200.2）

认证模板

· 名称：p1

· 绑定的模板和认证方案：Portal接入模板portal1、RADIUS服务器模板radius_huawei、RADIUS认证方案radius_huawei、RADIUS计费方案scheme1、免认证规则模板default_free_rule

DHCP服务器

AC作为DHCP服务器为STA和AP分配IP地址

AP的IP地址池

10.23.100.2～10.23.100.254/24

STA的IP地址池

10.23.101.2～10.23.101.254/24

AC的源接口IP地址

VLANIF100：10.23.100.1/24

AP组

· 名称：ap-group1

· 绑定模板：VAP模板wlan-vap、域管理模板domain1

域管理模板

· 名称：domain1

· 国家码：CN

SSID模板

· 名称：wlan-ssid

· SSID名称：wlan-net

安全模板

· 名称：wlan-security

· 安全策略：开放认证

VAP模板

· 名称：wlan-vap

· 转发模式：隧道转发

· 业务VLAN：VLAN101

· 绑定模板：SSID模板wlan-ssid、安全模板wlan-security、认证模板p1

操作步骤

1.      配置AC，使AP与AC之间能够传输CAPWAP报文

# 配置AC，将接口GE0/0/1加入VLAN100（管理VLAN）。

 说明：

本示例的业务数据转发方式采用隧道转发。如果用户的数据转发方式为直接转发，建议在AC连接AP的接口GE0/0/1上配置端口隔离，如果不配置端口隔离，可能会在VLAN内产生不必要的广播报文，或者导致不同AP间的WLAN用户二层互通的问题。

如果用户的数据转发方式为直接转发，需要将接口GE0/0/1加入VLAN100（管理VLAN）和VLAN101（业务VLAN）。

隧道转发模式下，管理VLAN和业务VLAN不能配置为同一VLAN。

2.      配置AC与上层网络设备互通

# 配置AC上行接口GE0/0/2加入VLAN101（业务VLAN）。

3.      配置AC作为DHCP服务器，为STA和AP分配IP地址

# 配置基于接口地址池的DHCP服务器，其中，VLANIF100接口为AP提供IP地址，VLANIF101为STA提供IP地址。

4.      配置AC到服务器区的路由（假设与AC相连的上游设备的IP地址为10.23.101.2）

6.      配置AP上线

# 创建AP组，用于将相同配置的AP都加入同一AP组中。

# 创建域管理模板，在域管理模板下配置AC的国家码并在AP组下引用域管理模板。

# 配置AC的源接口。

# 在AC上离线导入AP，并将AP加入AP组“ap-group1”中。假设AP的MAC地址为60de-4476-e360，并且根据AP的部署位置为AP配置名称，便于从名称上就能够了解AP的部署位置。例如MAC地址为60de-4476-e360的AP部署在1号区域，命名此AP为area_1。

 说明：

ap auth-mode命令缺省情况下为MAC认证，如果之前没有修改其缺省配置，可以不用执行ap auth-mode mac-auth命令。

举例中使用的AP为AP6010DN，具有射频0和射频1两个射频。AP6010DN的射频0为2.4GHz射频，射频1为5GHz射频。

# 将AP上电后，当执行命令display ap all查看到AP的“State”字段为“nor”时，表示AP正常上线。

7.      配置RADIUS服务器模板、RADIUS认证方案和RAIUDS计费方案

 说明：

请确保RADIUS服务器地址、端口号、共享密钥配置正确，并且和RADIUS服务器保持一致。

# 配置RADIUS服务器模板。

# 配置RADIUS方式的认证方案。

# 配置RADIUS方式的计费方案。

 说明：

· 以设备与Agile Controller-Campus对接为例，计费功能并非真实意义上的计算费用，而是通过计费报文维护终端的在线信息。

· accounting realtime命令用来配置实时计费间隔。实时计费间隔的取值对设备和RADIUS服务器的性能有要求，实时计费间隔的取值越小，对设备和RADIUS服务器的性能就越高。请根据用户数设置实时计费间隔。

用户数

实时计费间隔

1～99

3min

100～499

6min

500～999

12min

≥1000

≥15min

8.      配置Portal接入模板“portal1”

# 加载证书和RSA密钥对。

 说明：

已申请获取到本地证书、CA证书和RSA密钥分别为abc_local.pem、abc_ca.pem、privatekey.pem，并已将这些都上传到设备的存储介质中。如果申请到多个CA证书，请执行相同的操作加载到设备内存中。生成privatekey.pem时的密钥为Huawei@123。

# 配置SSL策略“sslserver”并加载数字证书。

# 查看SSL策略的配置信息，其中CA与本地证书的状态必须为loaded。

# 使能内置Portal服务器功能。

# 创建Portal接入模板“portal1”，并配置其使用内置Portal服务器。

9.      配置免认证规则模板

13.  配置认证模板“p1”

20.  配置WLAN业务参数

# 创建名为“wlan-security”的安全模板，并配置安全策略。缺省情况下，安全策略为open方式的开放认证。

# 创建名为“wlan-ssid”的SSID模板，并配置SSID名称为“wlan-net”。

# 创建名为“wlan-vap”的VAP模板，配置业务数据转发模式、业务VLAN，并且引用安全模板、SSID模板和认证模板。

 说明：

本示例的业务数据转发方式采用隧道转发。如果用户的数据转发方式为直接转发，需要将示例中命令forward-mode的参数tunnel改为direct-forward。

# 配置AP组引用VAP模板，AP上射频0和射频1都使用VAP模板“wlan-vap”的配置。

21.  配置AP射频的信道和功率

 说明：

举例中AP射频的信道和功率仅为示例，实际配置中请根据AP的国家码和网规结果进行配置。

# 关闭射频的信道和功率自动调优功能。

射频的信道和功率自动调优功能默认开启，如果不关闭此功能则会导致手动配置不生效。

# 配置AP射频0的信道和功率。

# 配置AP射频1的信道和功率。

22.  检查配置结果

· 完成配置后，STA可以搜索到SSID为wlan-net的无线网络。

· STA关联到无线网络上后，能够被分配相应的IP地址。

· STA上打开浏览器访问网络时，会自动跳转到Portal服务器提供的认证页面，在页面上输入正确的用户名和密码后，STA认证成功并可以访问网络。

配置文件

AC的配置文件