谁能发一个 imc radius服务器搭建,交换机通过radius认证 配置案列 连接!
(0)
最佳答案
交换机做认证么? 1x吗?
远程802.1X认证组网图
· 配置AP的序列号时请确保该序列号与AP唯一对应,AP的序列号可以通过AP设备背面的标签获取。
· 为了使服务器对用户授权信息进行动态修改或强制用户下线,必须开启RADIUS session control功能。
· 为了防止用户上线过程中,动态授权信息下发失败,需要配置RADIUS DAE服务器功能。
(1) 配置AC的接口
# 创建VLAN 100以及对应的VLAN接口,并为该接口配置IP地址。AP将获取该IP地址与AC建立CAPWAP隧道。
<AC> system-view
[AC] vlan 100
[AC-vlan100] quit
[AC] interface vlan-interface 100
[AC-Vlan-interface100] ip address 10.1.1.46 24
[AC-Vlan-interface100] quit
# 创建VLAN 200及其对应的VLAN接口,并为该接口配置IP地址。Client将使用该VLAN接入无线网络。
[AC] vlan 200
[AC-vlan200] quit
[AC] interface vlan-interface 200
[AC-Vlan-interface200] ip address 10.1.2.1 24
[AC-Vlan-interface200] quit
(2) 配置RADIUS方案
# 创建RADIUS方案radius1并进入其视图。
[AC] radius scheme radius1
# 配置主认证/计费RADIUS服务器的IP地址为10.1.1.3。
[AC-radius-radius1] primary authentication 10.1.1.3
[AC-radius-radius1] primary accounting 10.1.1.3
# 配置AC与认证/计费RADIUS服务器交互报文时的共享密钥为明文字符串12345。
[AC-radius-radius1] key authentication simple 12345
[AC-radius-radius1] key accounting simple 12345
# 配置设备发送RADIUS报文使用的源IP地址为10.1.2.1。
[AC-radius-radius1] nas-ip 10.1.2.1
[AC-radius-radius1] quit
# 创建名为dom1的ISP域并进入其视图。
[AC] domain dom1
# 配置802.1X用户使用RADIUS方案radius1进行认证、授权、计费。
[AC-isp-dom1] authentication lan-access radius-scheme radius1
[AC-isp-dom1] authorization lan-access radius-scheme radius1
[AC-isp-dom1] accounting lan-access radius-scheme radius1
[AC-isp-dom1] quit
# 使能RADUIS session control功能。
[AC] radius session-control enable
# 开启RADIUS DAE服务,并进入RADIUS DAE服务器视图。
[AC] radius dynamic-author server
# 设置RADIUS DAE客户端的IP地址为10.1.1.3,与RADIUS DAE客户端交互DAE报文时使用的共享密钥为明文12345。
[AC-radius-da-server] client ip 10.1.1.3 key simple 12345
[AC-radius-da-server] quit
(3) 配置802.1X认证
# 配置802.1X系统的认证方法为EAP。
[AC] dot1x authentication-method eap
(4) 配置无线服务模板
# 创建无线服务模板service,并进入无线服务模板视图。
[AC] wlan service-template service
# 配置SSID为service。
[AC-wlan-st-service] ssid service
# 配置无线服务模板VLAN为200。
[AC-wlan-st-service] vlan 200
# 配置身份认证与密钥管理的模式为802.1X。
[AC-wlan-st-service] akm mode dot1x
# 配置CCMP为加密套件,配RSN为安全信息元素。
[AC-wlan-st-service] cipher-suite ccmp
[AC-wlan-st-service] security-ie rsn
# 配置用户接入认证模式为802.1X。
[AC-wlan-st-service] client-security authentication-mode dot1x
# 配置802.1X用户使用认证域为dom1。
[AC-wlan-st-service] dot1x domain dom1
# 使能无线服务模板。
[AC-wlan-st-service] service-template enable
[AC-wlan-st-service] quit
# 创建AP,配置AP名称为office,型号名称选择WA4320i-ACN,并配置序列号210235A1GQC158004457。
[AC] wlan ap office model WA4320i-ACN
[AC-wlan-ap-office] serial-id 210235A1GQC158004457
# 进入Radio 1视图。
[AC-wlan-ap-office] radio 1
# 将无线服务模板service绑定到radio 1,并开启射频。
[AC-wlan-ap-office-radio-1] service-template service
[AC-wlan-ap-office-radio-1] radio enable
[AC-wlan-ap-office-radio-1] quit
[AC-wlan-ap-office] quit
# 创建VLAN 100,用于转发AC和AP间CAPWAP隧道内的流量。
<Switch> system-view
[Switch] vlan 100
[Switch-vlan100] quit
# 创建VLAN 200,用于转发Client无线报文。
[Switch] vlan 200
[Switch-vlan200] quit
# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk,允许VLAN 100和VLAN 200通过。
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type trunk
[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 200
[Switch-GigabitEthernet1/0/1] quit
# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access,并允许VLAN 100通过。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access
[Switch-GigabitEthernet1/0/2] port access vlan 100
# 使能PoE功能。
[Switch-GigabitEthernet1/0/2] poe enable
[Switch-GigabitEthernet1/0/2] quit
# 配置VLAN 100接口的IP地址。
[Switch] interface vlan-interface 100
[Switch-Vlan-interface100] ip address 10.1.1.47 24
[Switch-Vlan-interface100] quit
# 配置VLAN 200接口的IP地址。
[Switch] interface vlan-interface 200
[Switch-Vlan-interface200] ip address 10.1.2.2 24
[Switch-Vlan-interface200] quit
# 配置DHCP地址池100,用于为AP分配IP地址。
[Switch] dhcp server ip-pool 100
[Switch-dhcp-pool-100] network 10.1.1.0 mask 255.255.255.0
[Switch-dhcp-pool-100] gateway-list 10.1.1.46
[Switch-dhcp-pool-100] quit
# 配置DHCP地址池200,用于为Client分配IP地址,为Client分配的DNS服务器地址为网关地址(实际使用过程中请根据实际网络规划配置无线客户端的DNS服务器地址)。
[Switch] dhcp server ip-pool 200
[Switch-dhcp-pool-200] network 10.1.2.0 mask 255.255.255.0
[Switch-dhcp-pool-200] gateway-list 10.1.2.1
[Switch-dhcp-pool-200] dns-list 10.1.2.1
[Switch-dhcp-pool-200] quit
# 开启DHCP服务。
[Switch] dhcp enable
下面以iMC为例(使用iMC版本为:iMC PLAT 7.1(E0302)、iMC UAM 7.1(E0302)),说明AAA服务器的基本配置。
# 增加接入设备。
登录进入iMC管理平台,选择“用户”页签,单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项,进入接入配置管理页面。在该页面中点击<增加>按钮,进入增加接入设备页面。
· 设置认证、计费共享密钥为12345,其它保持缺省配置;
· 选择或手工增加接入设备,添加IP地址为10.1.2.1的接入设备。
图2 增加接入设备页面
# 增加接入策略。
选择“用户”页签,单击导航树中的[接入策略管理/接入策略管理]菜单项,进入接入策略管理页面,在该页面中单击<增加>按钮,进入增加接入策略页面。
· 设置接入策略名输入dot1x;
· 选择证书认证为EAP证书认证;
· 选择认证证书类型为EAP-PEAP认证,认证证书子类型为MS-CHAPV2认证。认证证书子类型需要与客户端的身份验证方法一致。
图3 增加服务策略页面
# 增加接入服务。
选择“用户”页签,单击导航树[接入策略管理/接入服务管理]菜单项,进入接入服务管理页面,在该页面中单击<增加>按钮,进入增加接入服务页面。
· 设置服务名为dot1x;
· 设置缺省接入策略为已经创建的dot1x策略。
图4 增加接入服务页面
# 增加接入用户。
选择“用户”页签,单击导航树中的[接入用户管理/接入用户]菜单项,进入接入用户页面,在该页面中单击<增加>按钮,进入增加接入用户页面。
· 添加用户user;
· 添加账号名为dot1x,密码为dot1x123;
· 选中之前配置的服务dot1x。
图5 增加接入用户页面
(0)
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论