H3C无线控制器MAC认证+PSK认证典型配置举例（V7）

1  组网需求

如图1所示，集中式转发架构下，AP和Client通过DHCP server获取IP地址，设备管理员希望对Client进行MAC地址和PSK认证，以控制其对网络资源的访问，具体要求如下：

·配置VLAN 200为Client的接入VLAN，Client通过VLAN 200上线并在RADIUS

server上进行MAC地址认证。

· 配置Client和AP之间的数据报文采用PSK认证密钥管理模式来确保用户数据的传

输安全。

图1 MAC认证+PSK认证典型配置举例组网图

2  配置关键点

2.1  配置AC

(1) 在AC上配置相关VLAN和对应虚接口地址，并放通对应接口，开启DHCP server

功能，AP、无线客户端Client通过DHCP server自动获取IP地址。

(2) 配置radius认证,配置radius服务器的IP地址、秘钥、不携带域名及radius

报文发送的源地址。

[AC] radius scheme office

[AC-radius-office] primary authentication 8.1.1.50

[AC-radius-office] primary accounting 8.1.1.50

[AC-radius-office] key authentication simple 123456789

[AC-radius-office] key accounting simple 123456789

[AC-radius-office] user-name-format without-domain

[AC-radius-office] nas-ip 112.12.1.25

# 创建名为office1的ISP域，配置认证、计费、授权方案，配置闲置时长。

[AC] domain office1

[AC-isp-office1] authentication lan-access radius-scheme office

[AC-isp-office1] authorization lan-access radius-scheme office

[AC-isp-office1] accounting lan-access radius-scheme office

[AC-isp-office1] authorization-attribute idle-cut 15 1024

# 配置MAC地址认证的用户名和密码均为用户的MAC地址，且不带连字符（该配置为缺省配置）。

[AC] mac-authentication user-name-format mac-address without-hyphen lowercase

(3)  配置服务模板、MAC认证方式、MAC认证域、guest vlan，PSK认证。

[AC] wlan service-template 1

[AC-wlan-st-1] ssid service

[AC-wlan-st-1] vlan 200

[AC-wlan-st-1] client-security authentication-mode mac

[AC-wlan-st-1] mac-authentication domain office1

[AC-wlan-st-1] akm mode psk

[AC-wlan-st-1] preshared-key pass-phrase simple 123456789

[AC-wlan-st-1] cipher-suite ccmp

[AC-wlan-st-1] security-ie rsn

[AC-wlan-st-1] service-template enable

(4) 配置射频接口并绑定服务模板。

[AC] wlan ap officeap model WA4320i-ACN

[AC-wlan-ap-officeap] serial-id 210235A1Q2C159000021

[AC-wlan-ap-officeap] radio 2

[AC-wlan-ap-officeap-radio-2] service-template 1

[AC-wlan-ap-officeap-radio-2] radio enable

2.2  配置Switch

#创建相关VLAN和对应虚接口地址，配置L2 switch和AP相连的接口为Trunk类型，PVID为AP 管理VLAN，并开启PoE供电功能。

2.3  配置RADIUS服务器

下面以iMC为例（使用iMC版本为：iMC PLAT 7.1(E0303P10)、iMC UAM 7.1(E0303P10)，说明RADIUS server的基本配置。

(1)增加接入设备。

登录进入iMC管理平台，选择“用户”页签，单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项，单击<增加>按钮，进入“增加接入设备”页面，单击<手工增加>按钮，进入“手工增加接入设备”页面。

·填写起始IP地址为“112.12.1.25”，该IP地址为AC上配置的radius scheme视图

下的nas-ip地址。

·单击<确定>按钮完成操作。

·在“接入配置”区域配置共享密钥为“123456789”，该共享密钥与AC上配置RADIUS

服务器时的密钥一致。

·其他配置采用页面默认配置即可。

·单击<确定>按钮完成操作。

(2)增加接入规则配置。

选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，单击<增加>按钮，创建一条接入策略。

·配置接入策略名为“office”。

·其它参数采用缺省值，并单击<确定>按钮完成操作。

(3)增加服务配置。

选择“用户”页签，单击导航树中的[接入策略管理/接入服务管理]菜单项，单击<增加>按钮，创建一条服务。

·配置服务名为“office_mac”（这里的服务名可以任意命名）。

·缺省接入策略选择“office”。

·其他采用默认配置。

·单击<确定>按钮完成配置。

(4)增加接入用户。

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，单击<增加>按钮，增加一个接入用户。

·单击<增加用户>按钮，输入用户姓名“adm_office_mac”和证件号码

“adm_office_mac”，单击<确定>按钮完成。

·配置帐号名和密码为客户端的MAC地址“3891d5833b20”。

· 勾选绑定服务名“office_mac”。

·单击<确定>按钮完成。

3 验证配置

# 完成以上配置后，无线用户Client上线进行MAC地址认证，在AC上通过命令display wlan client可以看见无线用户从VLAN 200上线，说明无线用户已经成功的通过了MAC认证和PSK认证接入WLAN网络。

[AC] display wlan client

 Total Number of Clients : 1

MAC address Username  AP name RID IP address IPv6 address   VLAN

3891-d583-3b20  3891d5833b20  officeap 2 112.13.0.2  N/A  200