WX3500X WAPI证书问题

参考

标准证书认证配置举例

1. 组网需求

·     AP 1和AP 2通过二层交换机与AC建立连接，Client 1和Client 2分别通过AP 1和AP 2接入网络。

·     Client 1、Client 2、AP 1和AP 2都从DHCP服务器获取IP地址。

·     CA证书、AC本地证书和AS证书均已保存至AC；单播密钥和组播密钥的更新时间均为20000秒，关闭BK更新功能。

2. 组网图

图1-5 标准证书认证配置组网图

3. 配置步骤

(1)     配置IP地址

请按照图1-5配置各设备的IP地址和子网掩码，具体配置过程略。

(2)     配置AC

# 创建PKI域pki1，在该域中禁止CRL检查（对导入的证书不进行是否吊销检查，即默认此方式下用户证书有效）。

<AC> system-view

[AC] pki domain pki1

[AC-pki-domain-pki1] undo crl check enable

[AC-pki-domain-pki1] quit

# 分别导入证书文件ca.cer、ap.cer和as.cer。

[AC] pki import domain pki1 pem ca filename ca.cer

[AC] pki import domain pki1 pem local filename ap.cer

[AC] pki import domain pki1 pem peer filename as.cer

# 创建服务模板1，配置其SSID为wapi1。

[AC] wlan service-template 1

[AC-wlan-st-1] ssid wapi1

# 开启WAPI认证功能。

[AC-wlan-st-1] wapi enable

# 配置WAPI采用证书认证方式。

[AC-wlan-st-1] wapi authentication-method certificate

[AC-wlan-st-1] wapi authentication-server ip 10.10.1.3

[AC-wlan-st-1] wapi certificate domain pki1 serial 29

[AC-wlan-st-1] undo wapi bk-rekey enable

[AC-wlan-st-1] wapi msk-rekey method time-based 20000

[AC-wlan-st-1] wapi usk lifetime 20000

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

# 创建型号为WA3628i-AGN的AP管理模板ap1，并配置其序列号为210235A29G007C000020。

[AC] wlan ap ap1 model WA3628i-AGN

[AC-wlan-ap-ap1] serial-id 210235A29G007C000020

# 创建射频1，配置其与无线服务模板1关联，并开启该射频。

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] service-template 1

[AC-wlan-ap-ap1-radio-1] radio enable

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

# 创建型号为WA3628i-AGN的AP管理模板ap2，并配置其序列号为210235A29G007C000021。

[AC] wlan ap ap2 model WA3628i-AGN

[AC-wlan-ap-ap2] serial-id 210235A29G007C000021

# 创建射频1，配置其与无线服务模板1关联，并开启该射频。

[AC-wlan-ap-ap2] radio 1

[AC-wlan-ap-ap2-radio-1] service-template 1

[AC-wlan-ap-ap2-radio-1] radio enable

[AC-wlan-ap-ap2-radio-1] quit

[AC-wlan-ap-ap2] quit

4. 验证配置

通过使用display wapi user命令可以查看接口上WAPI用户的信息。例如：

# 查看AC所有接口上WAPI用户的信息。

[AC] display wapi user

Total number of users: 2

AP name                                   : ap1

Radio ID                                  : 1

SSID                                      : wapi1

BSSID                                     : 487a-da52-d4f0

MAC address                               : 000b-c002-5e39

VLAN                                      : 1

Authentication method                     : Certificate

Current state                             : Online

    Authentication state                  : Authenticated

    Unicast key negotiation state         : Established

    Multicast key negotiation state       : Established

    Authorization state                   : Idle

    Accounting state                      : Idle

Uptime                                    : 00:02:26

AP name                                   : ap1

Radio ID                                  : 1

SSID                                      : wapi1

BSSID                                     : 487a-da52-d4f0

MAC address                               : 000b-c002-5e2f

VLAN                                      : 1

Authentication method                     : Certificate

Current state                             : Online

    Authentication state                  : Authenticated

    Unicast key negotiation state         : Established

    Multicast key negotiation state       : Established

    Authorization state                   : Idle

    Accounting state                      : Idle

Uptime                                    : 00:02:30