• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

无线802.1x认证的认证点是否能做在AP上?

2021-07-13提问
  • 0关注
  • 1收藏,1403浏览
粉丝:2人 关注:0人

问题描述:

无线802.1x认证的认证点是否能做在AP上?麻烦大佬发一下相关案例

组网及组网描述:


4 个回答
粉丝:15人 关注:3人

您好

认证点做AP上是什么意思,是要对接入的用户进行认证然后是本地转发么,还是什么,认证案例如下:

简介

本文档介绍本地802.1X认证的典型配置举例。

配置前提

本文档适用于使用Comware V7软件版本的无线控制器和接入点产品,不严格与具体硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解WLAN接入、WLAN用户接入认证和802.1X的相关特性。

配置举例

3.1  组网需求

1所示组网,Switch作为DHCP serverAPClient分配IP地址,要求:

·            对无线用户进行802.1X认证。

·            客户端链路层认证使用开放式系统认证。

图1 本地802.1X认证组网图

 

3.2  配置注意事项

·            本地802.1X认证不支持数据加密功能。

·            本地802.1X认证不支持EAP中继认证方式。

·            目前,无线客户端只支持采用iNode智能客户端进行本地802.1X认证。

3.3  配置步骤

3.3.1  配置AC

(1)       配置AC的接口

# 创建VLAN 100以及对应的VLAN接口,并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 2.2.2.1 24

[AC-Vlan-interface100] quit

# 创建VLAN 200及其对应的VLAN接口,并为该接口配置IP地址。Client将使用该VLAN接入无线网络。

[AC] vlan 200

[AC-vlan200] quit

[AC] interface vlan-interface 200

[AC-Vlan-interface200] ip address 2.2.1.1 24

[AC-Vlan-interface200] quit

(2)       配置本地用户

# 配置本地用户,用户名为localuser,密码为明文输入的localpass

[AC] local-user localuser class network

[AC-luser-network-localuser] password simple localpass

# 配置本地用户的服务类型为lan-access

[AC-luser-network-localuser] service-type lan-access

[AC-luser-network-localuser] quit

(3)       配置ISP

# 创建名为bbbISP域并进入其视图。

[AC] domain bbb

# 802.1X用户配置AAA认证方法为本地认证、授权和计费。

[AC-isp-bbb] authentication lan-access local

[AC-isp-bbb] authorization lan-access local

[AC-isp-bbb] accounting lan-access local

[AC-isp-bbb] quit

(4)       配置802.1X认证

# 配置802.1X系统的认证方法为CHAP

[AC] dot1x authentication-method chap

(5)       配置无线服务模板

# 创建无线服务模板service,并进入无线服务模板视图。

[AC] wlan service-template service

# 配置SSIDservice

[AC-wlan-st-service] ssid service

# 配置无线服务模板VLAN200

[AC-wlan-st-service] vlan 200

# 配置用户接入认证模式为802.1X

[AC-wlan-st-service] client-security authentication-mode dot1x

# 配置802.1X用户使用认证域为bbb

[AC-wlan-st-service] dot1x domain bbb

# 使能无线服务模板。

[AC-wlan-st-service] service-template enable

[AC-wlan-st-service] quit

# 创建AP,配置AP名称为office,型号名称选择WA4320i-ACN,并配置序列号210235A1GQC158004457

[AC] wlan ap office model WA4320i-ACN

[AC-wlan-ap-office] serial-id 210235A1GQC158004457

# 进入Radio 1视图。

[AC-wlan-ap-office] radio 1

# 将无线服务模板service绑定到radio 1,并开启射频。

[AC-wlan-ap-office-radio-1] service-template service

[AC-wlan-ap-office-radio-1] radio enable

[AC-wlan-ap-office-radio-1] quit

[AC-wlan-ap-office] quit

3.3.2  配置Switch

# 创建VLAN 100,用于转发ACAPCAPWAP隧道内的流量。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

# 创建VLAN 200,用于转发Client无线报文。

[Switch] vlan 200

[Switch-vlan200] quit

# 配置SwitchAC相连的GigabitEthernet1/0/1接口的属性为Trunk,允许VLAN 100VLAN 200通过。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[Switch-GigabitEthernet1/0/1] quit

# 配置SwitchAP相连的GigabitEthernet1/0/2接口属性为Access,并允许VLAN 100通过。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置VLAN 100接口的IP地址。

[Switch] interface vlan-interface 100

[Switch-Vlan-interface100] ip address 2.2.2.100 255.255.255.0

[Switch-Vlan-interface100] quit

# 配置VLAN 200接口的IP地址。

[Switch] interface vlan-interface 200

[Switch-Vlan-interface200] ip address 2.2.1.2 255.255.255.0

[Switch-Vlan-interface200] quit

# 配置DHCP地址池100,用于为AP分配IP地址。

[Switch] dhcp server ip-pool 100

[Switch-dhcp-pool-100] network 2.2.2.0 mask 255.255.255.0

[Switch-dhcp-pool-100] gateway-list 2.2.2.1

[Switch-dhcp-pool-100] quit

# 配置DHCP地址池200,用于为Client分配IP地址。

[Switch] dhcp server ip-pool 200

[Switch-dhcp-pool-200] network 2.2.1.0 mask 255.255.255.0

[Switch-dhcp-pool-200] gateway-list 2.2.1.1

[Switch-dhcp-pool-200] quit

暂无评论

粉丝:199人 关注:0人

您好,不行的

暂无评论

粉丝:8人 关注:1人

你的意思是接入Ap之后  直接进入8021.X的认证吧  这样的话是可以的

暂无评论

粉丝:122人 关注:6人

您好,请知:

如果是FAT AP的环境下,可以在AP上配置的。

另外可参考如下本地802.1X的配置举例:

本文档介绍本地802.1X的典型配置举例。

2  配置前提

本文档适用于使用Comware V7软件版本的无线控制器和接入点产品,不严格与具体硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解WLAN接入、WLAN用户接入认证和802.1X的相关特性。

3  配置举例

3.1  组网需求

1所示组网,Switch作为DHCP serverAPClient分配IP地址,要求:

·            对无线用户进行802.1X认证。

·            客户端链路层认证使用开放式系统认证。

图1 本地802.1X认证组网图

 

3.2  配置注意事项

·            本地802.1X认证不支持数据加密功能。

·            本地802.1X认证不支持EAP中继认证方式。

·            目前,无线客户端只支持采用iNode智能客户端进行本地802.1X认证。

3.3  配置步骤

3.3.1  配置AC

(1)       配置AC的接口

创建VLAN 100以及对应的VLAN接口,并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 2.2.2.1 24

[AC-Vlan-interface100] quit

创建VLAN 200及其对应的VLAN接口,并为该接口配置IP地址。Client将使用该VLAN接入无线网络。

[AC] vlan 200

[AC-vlan200] quit

[AC] interface vlan-interface 200

[AC-Vlan-interface200] ip address 2.2.1.1 24

[AC-Vlan-interface200] quit

(2)       配置本地用户

配置本地用户,用户名为localuser,密码为明文输入的localpass

[AC] local-user localuser class network

[AC-luser-network-localuser] password simple localpass

配置本地用户的服务类型为lan-access

[AC-luser-network-localuser] service-type lan-access

[AC-luser-network-localuser] quit

(3)       配置ISP

创建名为bbbISP域并进入其视图。

[AC] domain bbb

802.1X用户配置AAA认证方法为本地认证、授权和计费。

[AC-isp-bbb] authentication lan-access local

[AC-isp-bbb] authorization lan-access local

[AC-isp-bbb] accounting lan-access local

[AC-isp-bbb] quit

(4)       配置802.1X认证

配置802.1X系统的认证方法为CHAP

[AC] dot1x authentication-method chap

(5)       配置无线服务模板

创建无线服务模板service,并进入无线服务模板视图。

[AC] wlan service-template service

配置SSIDservice

[AC-wlan-st-service] ssid service

配置无线服务模板VLAN200

[AC-wlan-st-service] vlan 200

配置用户接入认证模式为802.1X

[AC-wlan-st-service] client-security authentication-mode dot1x

配置802.1X用户使用认证域为bbb

[AC-wlan-st-service] dot1x domain bbb

使能无线服务模板。

[AC-wlan-st-service] service-template enable

[AC-wlan-st-service] quit

创建AP,配置AP名称为office,型号名称选择WA4320i-ACN,并配置序列号210235A1GQC158004457

[AC] wlan ap office model WA4320i-ACN

[AC-wlan-ap-office] serial-id 210235A1GQC158004457

进入Radio 1视图。

[AC-wlan-ap-office] radio 1

将无线服务模板service绑定到radio 1,并开启射频。

[AC-wlan-ap-office-radio-1] service-template service

[AC-wlan-ap-office-radio-1] radio enable

[AC-wlan-ap-office-radio-1] quit

[AC-wlan-ap-office] quit

3.3.2  配置Switch

创建VLAN 100,用于转发ACAPCAPWAP隧道内的流量。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

创建VLAN 200,用于转发Client无线报文。

[Switch] vlan 200

[Switch-vlan200] quit

配置SwitchAC相连的GigabitEthernet1/0/1接口的属性为Trunk,允许VLAN 100VLAN 200通过。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200

[Switch-GigabitEthernet1/0/1] quit

配置SwitchAP相连的GigabitEthernet1/0/2接口属性为Access,并允许VLAN 100通过。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

配置VLAN 100接口的IP地址。

[Switch] interface vlan-interface 100

[Switch-Vlan-interface100] ip address 2.2.2.100 255.255.255.0

[Switch-Vlan-interface100] quit

配置VLAN 200接口的IP地址。

[Switch] interface vlan-interface 200

[Switch-Vlan-interface200] ip address 2.2.1.2 255.255.255.0

[Switch-Vlan-interface200] quit

配置DHCP地址池100,用于为AP分配IP地址。

[Switch] dhcp server ip-pool 100

[Switch-dhcp-pool-100] network 2.2.2.0 mask 255.255.255.0

[Switch-dhcp-pool-100] gateway-list 2.2.2.1

[Switch-dhcp-pool-100] quit

配置DHCP地址池200,用于为Client分配IP地址。

[Switch] dhcp server ip-pool 200

[Switch-dhcp-pool-200] network 2.2.1.0 mask 255.255.255.0

[Switch-dhcp-pool-200] gateway-list 2.2.1.1

[Switch-dhcp-pool-200] quit

暂无评论

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问,请使用评论功能。

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明