WX系列远程portal认证与IMCv7平台典型配置

一、组网需求及背景

1.     portal认证概述

Portal在英语中“入口”的意思。Portal认证也称为Web认证，Portal认证网站称为门户网站。PORTAL页面在显著的位置设置认证窗口，用户开机后获取IP地址，通过登陆PORTAL认证窗口进行认证，认证通过后即可访问Internet。

Portal基本功能的实现需要4个元素：Portal Server，RADIUS 服务器，支持Portal协议的接入设备，Portal客户端。其中Portal Server的作用是，接受Portal客户端认证请求的服务器端系统，提供基于Web认证的界面，与接入设备交互认证客户端的认证信息。

设备内嵌Portal-Web Server能够解析客户端发来的http上线认证、下线，形成认证、下线请求给Portal模块，然后根据返回的结果，推出对应的页面给客户端。这样设备就支持web用户直接登录而不需要额外的部署Portal Server。从而大大加强了Portal功能的通用性，如图1-1所示。

 

从图1-1可以看出：Portal-Web Server和Portal客户端之间是http协议报文，发送用户的登录请求、下线请求；设备Portal-Web Server解析http请求，封装成Portal-Web Server模块与Portal模块之间的消息，传递给Portal模块；Portal接收到消息后，触发相应的动作，向Radius Server发送认证、授权和计费报文。

Portal认证中

AC作用：管理portal client。

Portal server作用：登记portal client用户信息，用户名密码。

Radius server作用：认证、验证 用户名密码信息。

2.组网图

本配置举例中，使用WX3024作为无线控制器，版本号为R3120P13。AC作为AP网关（vlan-interface10:192.168.1.254/24）并配置DHCP server为AP分配IP地址。AC作为STA网关(vlan-interface10：192.168.10.254/24)并配置DHCP Server为STA分配IP地址。交换机为AP提供POE供电。Vlan 100作为接入服务器的vlan。

二、配置步骤

1.AC侧配置

[WX3024]dis cu

#

 version 5.20, Release 3120P13

#

 sysname WX3024

#

 domain default enable portal

#

 telnet server enable

#

 port-security enable

#

 portal server imc ip 10.153.43.100 key cipher $c$3$itGGvsiMps7ZVVGRRI40l/6E160UchEs url http://10.153.43.100:80/portal server-type imc

#

 portal free-rule 0 source interface GigabitEthernet1/0/1 destination any 

#

 oap management-ip 192.168.0.101 slot 0

#

 password-recovery enable

#

vlan 1

#

vlan 10

#

vlan 100       

#

radius scheme portal                    

primary authentication 10.153.43.100

 primary accounting 10.153.43.100

 key authentication cipher $c$3$t+9cWQ48XdhS2Quths+KClYMwVa9oGKt

 key accounting cipher $c$3$l6V/RTZVkThp3fZVYCtqf/9Gj1cUvW1T

 user-name-format without-domain     

 nas-ip 10.153.43.166                 

#

domain portal                      

 authentication portal radius-scheme portal

 authorization portal radius-scheme portal

 accounting portal radius-scheme portal

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

domain system

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

dhcp server ip-pool 10   

 network 192.168.10.0 mask 255.255.255.0

 gateway-list 192.168.10.254

#

dhcp server ip-pool vlan1 

 network 192.168.1.0 mask 255.255.255.0

 gateway-list 192.168.1.254

#

user-group system

 group-attribute allow-guest

#

local-user admin

 password cipher $c$3$NdK60B00+clPqkKk1AxAFbETbktHL//4

 authorization-attribute level 3

 service-type telnet

#

wlan rrm

 dot11a mandatory-rate 6 12 24

 dot11a supported-rate 9 18 36 48 54

 dot11b mandatory-rate 1 2

 dot11b supported-rate 5.5 11

 dot11g mandatory-rate 1 2 5.5 11

 dot11g supported-rate 6 9 12 18 24 36 48 54

#

wlan service-template 1 clear

 ssid h3c-wu

 bind WLAN-ESS 10

 service-template enable

#

wlan ap-group default_group

 ap ap1

 ap ap2

 ap ap3

#

interface NULL0

#

interface Vlan-interface1

 ip address 192.168.1.254 255.255.255.0

#

interface Vlan-interface10

 ip address 192.168.10.254 255.255.255.0

 portal server imc method direct

 portal domain portal

 portal nas-port-type wireless

 portal nas-ip 10.153.43.144

    #

interface Vlan-interface100

 ip address 10.153.43.144 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan all

#

interface WLAN-ESS10

 port access vlan 10

#

nqa entry imclinktopologypleaseignore ping

 type icmp-echo

  destination ip 10.153.43.254

  frequency 270000

#

wlan ap ap1 model WA2612-AGN id 1

 serial-id 210235A35WB09C000028

 radio 1

  service-template 1

  radio enable

#

snmp-agent

 snmp-agent local-engineid 800063A203000FE2873066

 snmp-agent community read public

 snmp-agent community write private

 snmp-agent sys-info version v2c v3

 snmp-agent target-host trap address udp-domain 10.153.43.100 params securityname public v2c

#

 dhcp enable

#

arp-snooping enable

#

 nqa schedule imclinktopologypleaseignore ping start-time now lifetime 630720000

#

user-interface con 0

user-interface vty 0 4

 authentication-mode scheme

 user privilege level 3

#

Return

2.主要配置步骤

①#创建vlan，并配置vlan接口ip地址。

#控制vlan

vlan 1

#业务vlan

vlan 10

#接入服务器vlan

vlan 100       

#管理vlan接口信息

interface Vlan-interface1

 ip address 192.168.1.254 255.255.255.0

#业务vlan接口上使能portal认证，并配置接入的portal用户使用认证域imc

interface Vlan-interface10

 ip address 192.168.10.254 255.255.255.0

 portal server imc method direct

 portal domain portal

 portal nas-port-type wireless

 portal nas-ip 10.153.43.144

#接入服务器vlan，及服务器下发的地址ip 10.153.43.144              

interface Vlan-interface100

 ip address 10.153.43.144 255.255.255.0

②#配置DHCP server              

dhcp server ip-pool 10     #业务vlan地址池

 network 192.168.10.0 mask 255.255.255.0

 gateway-list 192.168.10.254

#

dhcp server ip-pool vlan1  #AP注册vlan地址池

 network 192.168.1.0 mask 255.255.255.0

 gateway-list 192.168.1.254

③#使能ARP Snooping功能

命令display wlan client显示无线客户端的IP地址。命令display wlan client显示的无线客户端的IP地址首先从ARP Snooping模块获取，从ARP Snooping模块获取不到时从DHCP Snooping模块获取。从DHCP Snooping模块也获取不到时显示0.0.0.0。

[AC] arp-snooping enable

④#无线服务模板

wlan service-template 1 clear

 ssid h3c-wu

 bind WLAN-ESS 10

 service-template enable

#配置无线虚接口，并放通相应的业务vlan10

interface WLAN-ESS10

 port access vlan 10

#AP管理模板，绑定相应服务模板并使能radio

wlan ap ap1 model WA2612-AGN id 1

 serial-id 210235A35WB09C000028

 radio 1

  service-template 1

  radio enable

⑤#配置portal server

#配置portal server，名字为imc，URL为http://10.153.43.100/portal  key：admin

 portal server imc ip 10.153.43.100 key cipher $c$3$itGGvsiMps7ZVVGRRI40l/6E160UchEs url http://10.153.43.100:80/portal server-type imc

#配置portal免认证规则，允许从GE1/0/1口接入的用户的所有报文

 portal free-rule 0 source interface GigabitEthernet1/0/1 destination any  #

#

#radius（AAA）服务器策略，服务器地址：10.153.43.100

radius scheme portal                     #创建名为portal的radius方案

primary authentication 10.153.43.100      #创建radius方案的主认证和主计费服务器及通信密钥

 primary accounting 10.153.43.100

 key authentication cipher $c$3$t+9cWQ48XdhS2Quths+KClYMwVa9oGKt

 key accounting cipher $c$3$l6V/RTZVkThp3fZVYCtqf/9Gj1cUvW1T

 user-name-format without-domain        #配置发送给radius服务器的用户不携带isp域名

 nas-ip 10.153.43.144                  #radius服务器，下发的接入nas-ip地址

#

domain portal                              #创建名为portal的isp认证域

 authentication portal radius-scheme portal

 authorization portal radius-scheme portal

 accounting portal radius-scheme portal

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

⑥#配置SNMP，必须与imc配置一致

snmp-agent

 snmp-agent local-engineid 800063A203000FE2873066

 snmp-agent community read public

 snmp-agent community write private

 snmp-agent sys-info version v2c v3

 snmp-agent target-host trap address udp-domain 10.153.43.100 params securityname public v2c

 

3.SW侧配置：略

 

4.IMCv7平台配置

#配置Portal服务器。

登录进入iMC管理平台，选择“用户”页签，点击导航树中的[接入策略管理/Portal服务管理/服务器配置]菜单项，根据实际组网情况调整参数，本例中使用缺省配置。

#配置IP地址组。

点击导航树中的[Portal服务管理/ IP地址组配置]菜单项，进入IP地址组配置页面，在该页面中点击<增加>按钮，进入增加IP地址组配置页面。填写IP地址组名portal-h3c；输入起始地址192.168.10.1和终止地址192.168.10.254。用户主机IP地址必须包含 在该IP地址组范围内；选择业务分组，本例中使用缺省的“未分组”；选择IP地址组的类型为“普通”。

# 增加Portal设备。

点击导航树中的[Portal服务管理/菜单项，进入设备配置页面，在该页面中点击<增加>按钮，进入增加设备信息配置页面。填写设备名portal-h3c；IP地址为接入设备AC上与Portal服务器通信的NAS-IP 10.153.43.144；密钥h3c，与接入设备AC上的配置保持一致；组网方式选择”直连”；其它参数采用缺省值。

# Portal设备关联IP地址组。

在Portal设备配置页面中的设备信息列表中，点击AC设备的<端口组信息管理>链接，进入端口组信息配置页面。

在端口组信息配置页面中点击<增加>按钮，进入增加端口组信息配置页面。填写端口组名portal-h3c；选择IP地址组portal-h3c，用户接入网络时使用的IP地址必须属于所选的IP地址组；其它参数采用缺省值。

#配置接入设备。

选择“资源”页签，点击导航树中的[资源管理/增加设备]菜单项。填写主机名或IP地址 10.153.43.144；根据实际组网情况配置登录方式，并配置SNMP参数（只读团体字public，读写团体字private）、Telnet参数（用户名admin，密码admin）、SSH参数（默认）。

选择“用户”页签，点击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项。在接入设备列表点击<增加>按钮，进入增加接入设备配置页面。填写共享密钥h3c，与接入设备AC上的配置保持一致。

在设备列表点击<选择>，进入选取设备页面，通过设备IP：10.153.43.144的精确查询查找设备，并添加为<已选择设备>，点击<确定>。

点击 <确定>完成接入设备的配置。

#配置服务配置管理。

选择“用户”页签，点击导航树中的[接入策略管理/接入服务管理]菜单项。在服务列表点击<增加>，进入增加服务配置页面，填写服务名h3c-portal，其它参数采用缺省值。

#配置接入用户。

选择“用户”页签，点击导航树中的[用户管理/增加用户]菜单项。填写用户姓名: portal001和证件号码：01022171414，其他默认，并点击确认。

点击<增加用户账号>，进入增加接入用户界面，填写账号名portal001和密码portal001(可另设)，并选择接入服务h3c-portal，点击确定，查看接入用户列表；

三、实验验证

1.验证

在IE浏览器输入10.153.43.100:80/portal,portal服务器会将用户请求的页面强制重定向到portal认证页面，并输入用户名和密码，即可登录访问网络；注：需要在服务器上设置回程路由，否则AC接入设备能ping通服务器地址，但是PC上web无法访问服务器。

2.结果验证

（1）查看客户端信息

 

（2）认证前客户端无法ping通iMC接口10.153.43.100。

（3）进行Portal认证。

（4）认证通过后客户端可以ping通iMC接口10.153.43.100。