WA1208E的WPA-PSK+WEB认证

WA1208E的WPA-PSK+WEB认证

一、组网需求

MA5200、H3C POE以太网交换机3600、WA1208E、RADIUS服务器。实现如下功能：无线网卡上输入WPA-PSK密码，接入WA1208E；验证密码通过，接受网卡的接入；开启WEB页面，随意输入一个网址，自动转到MA5200的认证页面；用户输入管理员提供的用户名密码，即可访问Internet。

二、组网图

三、配置WA1208E

1、建立SSID

[H3C]ssid wa1208

New ssid!

2、配置SSID支持的链路级认证方式为open-system

[H3C-ssid-wa1208]authentication link open-system

3、配置采用WPA/WPA2安全模式

[H3C-ssid-wa1208]security-mode wpa wpa2

4、用字符串形式配置PSK认证方式的密钥为12345678。

[H3C-ssid-wa1208e]authentication psk ascii 12345678

5、配置采用加密方式为CCMP

[H3C-ssid-wa1208]encryption suite ccmp

6、将SSID绑定到接口

[H3C]interface Wireless-access 1/2

[H3C-Wireless-access1/2]bind ssid wa1208

bind the ssid sucessfully!

[H3C-Wireless-access1/2]access uplayer

四、配置交换机

1、进入系统视图，建立vlan 10: (与WA1208E相连)

<H3C>vlan 10

[H3C-vlan10]

2、VLAN 10中加入port 10: (与WA1208E相连)

[H3C-vlan10]port Ethernet 0/10

3、进入端口3（上行端口），配置端口为hybrid，可以允许VLAN10 上传VLAN ID。

[H3C]interface Ethernet 0/3

[H3C-Ethernet 0/3]port hybrid vlan 10 tagged

五、配置MA5200

1、系统视图下，配置IP POOL：WLAN.

<MA5200E>SYS

[MA5200E]ip pool wlan local

[MA5200E-ip-pool-wlan]gateway 192.168.66.1 255.255.255.0

[MA5200E-ip-pool-wlan]section 0 192.168.66.100 192.168.66.200

[MA5200E-ip-pool-wlan]dns-server 210.52.149.2

2、系统视图下，配置RADIUS SERVER GROUP: TEST.

[MA5200E]radius-server group test

[MA5200E-radius-test]radius-server authentication 192.168.1.38 1812

[MA5200E-radius-test]radius-server accounting 192.168.1.38 1813

[MA5200E-radius-test]radius-server key wlan

[MA5200E-radius-test]undo radius-server user-name domain-included

3、系统视图下，配置WEB SERVER.

[MA5200E]web-server

[MA5200E-web-server]directory flash:/webfile/chn

[MA5200E-web-server]default-page /index.html

4、系统视图下，配置上行接口ip.

[MA5200E]portvlan ethernet 6 vlan 0

[MA5200E-ethernet6-6-vlan0-0]access-type interface

[MA5200E]interface Ethernet 6.0

[MA5200E-Ethernet6.0]ip address 192.168.1.1 255.255.255.0

5、系统视图下，配置默认路由

[MA5200E]ip route-static 0.0.0.0 0.0.0.0 192.168.1.38

6、系统视图下，配置认证前域:pre

[MA5200E]aaa

[MA5200E-aaa]domain pre

[MA5200E-aaa-domain-pre]authentication-scheme default0

[MA5200E-aaa-domain-pre]accounting-scheme default0

[MA5200E-aaa-domain-pre]ip-pool wlan

[MA5200E-aaa-domain-pre]web-server 127.0.0.1

[MA5200E-aaa-domain-pre]ucl-group 0

7、系统视图下，配置认证后域:auth

[MA5200E]aaa

[MA5200E-aaa]domain auth

[MA5200E-aaa-domain-auth]authentication-scheme default1

[MA5200E-aaa-domain-auth]accounting-scheme default1

[MA5200E-aaa-domain-auth]ip-pool wlan

[MA5200E-aaa-domain-auth]ucl-group 1

[MA5200E-aaa-domain-auth]radius-server group test

8、系统视图下，配置ACL访问控制列表.

[MA5200E]acl number 100

[MA5200E-acl-adv-100]rule user-net deny ip source 0

[MA5200E-acl-adv-100]rule user-net permit ip source 1

[MA5200E-acl-adv-100]rule user-net permit ip source 0 destination 210.52.149.2 0

[MA5200E]access-group 100

9、系统视图下，配置下行接口portvlan.

[MA5200E]portvlan ethernet 1 vlan 10

[MA5200E-ethernet1-1-vlan10-10]access-type layer2-subscriber

[MA5200E-ethernet1-1-vlan10-10]default-domain  pre-authentication pre

[MA5200E-ethernet1-1-vlan10-10]default-domain  authentiation auth

[MA5200E-ethernet1-1-vlan10-10]authentication-method web

[MA5200E]access-group 100

六、配置RADIUS SERVER

1、在win2003下，配置IAS并把IAS注册到Active Directory中。

2、新建远程访问策略。本实验中选择EAP-MD5。

3、配置Active Directory：建立要认证的用户。

七、配置关键点

由于本实验涉及较多的设备，因此配置时，注意以下：

l        确保认证密钥的配置和Radius服务器端一致

l        确保认证、计费端口的配置和Radius服务器端一致

l        注意MA5200的上行与下行端口的配置。