无线认证

25-H3C无线控制器802.1X远程认证典型配置举例(V7)-新华三集团-H3C

802.1X认证（CHAP本地认证）典型配置举例

1. 组网需求

·     AC和AP通过交换机建立连接。AC的IP地址为10.18.1.1。

·     要求使用802.1X CHAP非加密方式进行用户身份认证。

2. 组网图

图1-4 802.1X认证（CHAP本地认证）典型配置组网图

3. 配置步骤

(1)     配置802.1X认证方式及本地用户

# 配置802.1X认证方式为CHAP。

<AC> system-view

[AC] dot1x authentication-method chap

# 配置本地用户，用户名为chap1，所属的组为网络接入用户组，密码为明文123456，服务类型为lan-access。

[AC] local-user chap1 class network

[AC-luser-network-chap1] password simple 123456

[AC-luser-network-chap1] service-type lan-access

[AC-luser-network-chap1] quit

(2)     配置ISP域的AAA方法

# 配置名称为local的ISP域，并将认证、授权和计费的方式配置为本地。

[AC] domain local

[AC-isp-local] authentication lan-access local

[AC-isp-local] authorization lan-access local

[AC-isp-local] accounting lan-access local

[AC-isp-local] quit

(3)     配置无线服务模板

# 配置无线服务模板，名称为wlas_local_chap，用户认证方式为802.1X，ISP域为local，SSID为wlas_local_chap。

[AC] wlan service-template wlas_local_chap

[AC-wlan-st-wlas_local_chap] client-security authentication-mode dot1x

[AC-wlan-st-wlas_local_chap] dot1x domain local

[AC-wlan-st-wlas_local_chap] ssid wlas_local_chap

# 使能无线服务模板。

[AC-wlan-st-wlas_local_chap] service-template enable

[AC-wlan-st-wlas_local_chap] quit

(4)     配置手工AP，并将无线服务模板绑定到radio上

# 创建ap1，并配置序列号。

[AC] wlan ap ap1 model WA4320i-ACN

[AC-wlan-ap-ap1] serial-id 210235A1BSC123000050

# 配置Radio信道为149，并使能射频。

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] channel 149

[AC-wlan-ap-ap1-radio-1] radio enable

# 将无线服务模板wlas_local_chap绑定到radio1上。

[AC-wlan-ap-ap1-radio-1] service-template wlas_local_chap

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

4. 验证结果

使用命令display wlan service-template可以查看AP上的802.1X配置情况。当802.1X用户输入正确的用户名和密码成功上线后，可使用命令display dot1x connection查看到上线用户的连接情况。

1.11.2  802.1X认证（EAP-PEAP加密）典型配置举例

1. 组网需求

·     AC和RADIUS服务器通过交换机建立连接。AC的IP地址为10.18.1.1，与AC相连的RADIUS服务器的IP地址为10.18.1.88。

·     要求使用EAP-PEAP方式进行802.1X用户身份认证。

2. 组网图

图1-5 802.1X认证（EAP-PEAP加密）典型配置组网图

3. 配置步骤

(1)     配置802.1X认证方式及Radius方案

# 配置802.1X认证方式为EAP。

<AC> system-view

[AC] dot1x authentication-method eap

# 配置RADIUS方案，名称为imcc，主认证服务器的IP地址为10.18.1.88，端口号为1812，配置主计费服务器的IP地址为10.18.1.88，端口号为1813，认证密钥为明文12345678，计费密钥为明文12345678，用户名格式为without-domain。

[AC] radius scheme imcc

[AC-radius-imcc] primary authentication 10.18.1.88  1812

[AC-radius-imcc] primary accounting 10.18.1.88  1813

[AC-radius-imcc] key authentication simple 12345678

[AC-radius-imcc] key accounting simple 12345678

[AC-radius-imcc] user-name-format without-domain

[AC-radius-imcc] quit

(2)     配置ISP域的AAA方法

# 配置名称为imc的ISP域，并将认证、授权和计费的方式配置为使用RADIUS方案imcc。

[AC] domain imc

[AC-isp-imc] authentication lan-access radius-scheme imcc

[AC-isp-imc] authorization lan-access radius-scheme imcc

[AC-isp-imc] accounting lan-access radius-scheme imcc

[AC-isp-imc] quit

(3)     配置无线服务模板

# 配置无线服务模板名称为wlas_imc_peap，用户认证方式为802.1X，ISP域为imc，SSID为wlas_imc_peap，AKM模式为802.1X，加密套件为CCMP，安全IE为RSN。

[AC] wlan service-template wlas_imc_peap

[AC-wlan-st-wlas_imc_peap] client-security authentication-mode dot1x

[AC-wlan-st-wlas_imc_peap] dot1x domain imc

[AC-wlan-st-wlas_imc_peap] ssid wlas_imc_peap

[AC-wlan-st-wlas_imc_peap] akm mode dot1x

[AC-wlan-st-wlas_imc_peap] cipher-suite ccmp

[AC-wlan-st-wlas_imc_peap] security-ie rsn

# 使能无线服务模板。

[AC-wlan-st-wlas_imc_tls] service-template enable

[AC-wlan-st-wlas_imc_tls] quit

(4)     配置手工AP，并将无线服务模板绑定到radio上

# 创建ap1。

[AC] wlan ap ap1 model WA4320i-ACN

[AC-wlan-ap-ap1] serial-id 210235A1BSC123000050

# 配置信道为149，并使能射频。

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] channel 149

[AC-wlan-ap-ap1-radio-1] radio enable

# 绑定无线服务模板。

[AC-wlan-ap-ap1-radio-1] service-template wlas_imc_peap

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

(5)     配置RADIUS server（iMC V7）

# 增加接入设备。

登录进入iMC管理平台，选择“用户”页签，单击导航树中的[接入策略管理/接入设备管理菜单项，进入接入设备管理页面，点击页面中的接入设备配置按钮，进入接入设备配置页面，在该页面中单击“增加”按钮，进入增加接入设备页面。

¡     设置认证、计费共享密钥为12345678，其它保持缺省配置；

¡     选择或手工增加接入设备，添加IP地址为10.18.1.1的接入设备。

图1-6 增加接入设备页面

# 增加服务策略。

选择“用户”页签，单击导航树中的[接入策略管理/接入策略管理]菜单项，进入接入策略管理页面，在该页面中单击“增加”按钮，进入增加接入策略页面。

¡     设置接入策略名为dot1x；

¡     选择证书认证为EAP证书认证；

¡     选择认证证书类型为EAP-PEAP认证，认证证书子类型为MS-CHAPV2认证。认证证书子类型需要与客户端的身份验证方法一致。

图1-7 增加服务策略页面

# 增加接入服务。

选择“用户”页签，单击导航栏中的[接入策略管理/接入服务管理]菜单项，进入接入服务管理页面，在该页面中单击<增加>按钮，进入增加接入服务页面。

¡     设置服务名为dot1x；

¡     设置缺省接入策略为已经创建的dot1x策略。

图1-8 增加接入服务页面

# 增加接入用户。

选择“用户”页签，单击导航树中的[接入用户管理/接入用户]菜单项，进入接入用户页面，在该页面中单击<增加>按钮，进入增加接入用户页面。

¡     添加用户user；

¡     添加帐号名为user，密码为dot1x；

¡     选中之前配置的服务dot1x。

图1-9 增加接入用户页面

(6)     配置无线网卡

选择无线网卡，在验证对话框中，选择EAP类型为PEAP，点击“属性”，去掉验证服务器证书选项（此处不验证服务器证书），点击“配置”，去掉自动使用Windows登录名和密码选项。然后“确定”。整个过程如下图所示。

图1-10 无线网卡配置过程

图1-11 无线网卡配置过程

图1-12 无线网卡配置过程

图1-13 无线网卡配置过程

图1-14 无线网卡配置过程

4. 验证结果