s7006x，f100-e-g5

  1.23 Portal典型配置举例 1.23.1 Portal直接认证配置举例 1. 组网需求 • 用户主机与接入设备 Switch 直接相连，采用直接方式的 Portal 认证。用户通过手工配置或 DHCP 获取的一个公网 IP 地址进行认证，在通过 Portal 认证前，只能访问 Portal Web 服务器； 在通过 Portal 认证后，可以使用此 IP 地址访问非受限互联网资源。 • 采用一台 Portal 服务器承担 Portal 认证服务器和 Portal Web 服务器的职责。 • 采用 RADIUS 服务器作为认证/计费服务器。 1-34 2. 组网图 图1-6 配置 Portal 直接认证组网图 3. 配置步骤 • 按照组网图配置设备各接口的 IP 地址，保证启动 Portal 之前各主机、服务器和设备之间的路由 可达。 • 完成 RADIUS 服务器上的配置，保证用户的认证/计费功能正常运行。 (1) 配置 Portal server（iMC PLAT 3.20） 下面以 iMC 为例（使用 iMC 版本为：iMC PLAT 3.20-R2602P13、iMC UAM 3.60-E6301），说明 Portal server 的基本配置。 # 配置 Portal 认证服务器。 登录进入 iMC 管理平台，选择“业务”页签，单击导航树中的[Portal 认证服务器管理/服务器配置] 菜单项，进入服务器配置页面。 • 根据实际组网情况调整以下参数，本例中使用缺省配置。 1-35 图1-7 Portal 认证服务器配置页面 # 配置 IP 地址组。 单击导航树中的[Portal 认证服务器管理/IP 地址组配置]菜单项，进入 Portal IP 地址组配置页面，在 该页面中单击<增加>按钮，进入增加 IP 地址组配置页面。 • 填写 IP 地址组名； • 输入起始地址和终止地址。用户主机 IP 地址必须包含在该 IP 地址组范围内； • 选择业务分组，本例中使用缺省的“未分组”； • 选择 IP 地址组的类型为“普通”。 图1-8 增加 IP 地址组配置页面 # 增加 Portal 设备。 单击导航树中的[Portal 认证服务器管理/设备配置]菜单项，进入 Portal 设备配置页面，在该页面中 单击<增加>按钮，进入增加设备信息配置页面。 • 填写设备名； • 指定 IP 地址为与接入用户相连的设备接口 IP； • 输入密钥，与接入设备 Switch 上的配置保持一致； • 选择是否进行二次地址分配，本例中为直接认证，因此为否； • 选择是否支持逃生心跳功能和用户心跳功能，本例中不支持。 1-36 图1-9 增加设备信息配置页面 # Portal 设备关联 IP 地址组 在 Portal 设备配置页面中的设备信息列表中，点击 NAS 设备的<端口组信息管理>链接，进入端口 组信息配置页面。 图1-10 设备信息列表 在端口组信息配置页面中点击<增加>按钮，进入增加端口组信息配置页面。 • 填写端口组名； • 选择 IP 地址组，用户接入网络时使用的 IP 地址必须属于所选的 IP 地址组； • 其它参数采用缺省值。 1-37 图1-11 增加端口组信息配置页面 # 最后单击导航树中的[业务参数配置/系统配置手工生效]菜单项，使以上 Portal 认证服务器配置生 效。 (2) 配置 Portal server（iMC PLAT 5.0） 下面以 iMC 为例（使用 iMC 版本为：iMC PLAT 5.0(E0101)、iMC UAM 5.0(E0101)），说明 Portal server 的基本配置。 # 配置 Portal 认证服务器。 登录进入 iMC 管理平台，选择“业务”页签，单击导航树中的[Portal 认证服务器管理/服务器配置] 菜单项，进入服务器配置页面。 • 根据实际组网情况调整以下参数，本例中使用缺省配置。 1-38 图1-12 Portal 认证服务器配置页面 # 配置 IP 地址组。 单击导航树中的[Portal 认证服务器管理/IP 地址组配置]菜单项，进入 Portal IP 地址组配置页面，在 该页面中单击<增加>按钮，进入增加 IP 地址组配置页面。 • 填写 IP 地址组名； • 输入起始地址和终止地址。用户主机 IP 地址必须包含在该 IP 地址组范围内； • 选择业务分组，本例中使用缺省的“未分组”； • 选择 IP 地址组的类型为“普通”。 图1-13 增加 IP 地址组配置页面 # 增加 Portal 设备。 单击导航树中的[Portal 认证服务器管理/设备配置]菜单项，进入 Portal 设备配置页面，在该页面中 单击<增加>按钮，进入增加设备信息配置页面。 • 填写设备名； 1-39 • 指定 IP 地址为与接入用户相连的设备接口 IP； • 输入密钥，与接入设备 Switch 上的配置保持一致； • 选择是否进行二次地址分配，本例中为直接认证，因此为否； • 选择是否支持逃生心跳功能和用户心跳功能，本例中不支持。 图1-14 增加设备信息配置页面 # Portal 设备关联 IP 地址组 在 Portal 设备配置页面中的设备信息列表中，点击 NAS 设备的<端口组信息管理>链接，进入端口 组信息配置页面。 图1-15 设备信息列表 在端口组信息配置页面中点击<增加>按钮，进入增加端口组信息配置页面。 • 填写端口组名； • 选择 IP 地址组，用户接入网络时使用的 IP 地址必须属于所选的 IP 地址组； • 其它参数采用缺省值。 1-40 图1-16 增加端口组信息配置页面 # 最后单击导航树中的[业务参数配置/系统配置手工生效]菜单项，使以上 Portal 认证服务器配置生 效。 (3) 配置 Switch • 配置 RADIUS 方案 # 创建名称为 rs1 的 RADIUS 方案并进入该方案视图。 system-view [Switch] radius scheme rs1 # 配置 RADIUS 方案的主认证和主计费服务器及其通信密钥。 [Switch-radius-rs1] primary authentication 192.168.0.112 [Switch-radius-rs1] primary accounting 192.168.0.112 [Switch-radius-rs1] key authentication simple radius [Switch-radius-rs1] key accounting simple radius # 配置发送给 RADIUS 服务器的用户名不携带 ISP 域名。 [Switch-radius-rs1] user-name-format without-domain [Switch-radius-rs1] quit # 开启 RADIUS session control 功能。 [Switch] radius session-control enable • 配置认证域 # 创建并进入名称为 dm1 的 ISP 域。 [Switch] domain dm1 # 配置 ISP 域的 AAA 方法。 [Switch-isp-dm1] authentication portal radius-scheme rs1 [Switch-isp-dm1] authorization portal radius-scheme rs1 [Switch-isp-dm1] accounting portal radius-scheme rs1 [Switch-isp-dm1] quit # 配置系统缺省的 ISP 域 dm1，所有接入用户共用此缺省域的认证和计费方法。若用户登录时输入 的用户名未携带 ISP 域名，则使用缺省域下的认证方法。 1-41 [Switch] domain default enable dm1 • 配置 Portal 认证 # 配置 Portal 认证服务器：名称为 newpt，IP 地址为 192.168.0.111，密钥为明文 portal，监听 Portal 报文的端口为 50100。 [Switch] portal server newpt [Switch-portal-server-newpt] ip 192.168.0.111 key simple portal [Switch-portal-server-newpt] port 50100 [Switch-portal-server-newpt] quit # 配置 Portal Web 服务器的 URL 为 http://192.168.0.111:8080/portal。（Portal Web 服务器的 URL 请与实际环境中的 Portal Web 服务器配置保持一致，此处仅为示例） [Switch] portal web-server newpt [Switch-portal-websvr-newpt] url http://192.168.0.111:8080/portal [Switch-portal-websvr-newpt] quit # 在接口 Vlan-interface100 上开启直接方式的 Portal 认证。 [Switch] interface vlan-interface 100 [Switch–Vlan-interface100] portal enable method direct # 在接口 Vlan-interface100 上引用 Portal Web 服务器 newpt。 [Switch–Vlan-interface100] portal apply web-server newpt # 在接口 Vlan-interface100 上设置发送给 Portal 认证服务器的 Portal 报文中的 BAS-IP 属性值为 2.2.2.1。 [Switch–Vlan-interface100] portal bas-ip 2.2.2.1 [Switch–Vlan-interface100] quit 4. 验证配置 以上配置完成后，通过执行以下显示命令可查看 Portal 配置是否生效。 [Switch] display portal interface vlan-interface 100 Portal information of Vlan-interface100 NAS-ID profile: Not configured VSRP instance : Not configured VSRP state : N/A Authorization : Strict checking ACL : Disabled User profile : Disabled IPv4: Portal status: Enabled Portal authentication method: Direct Portal web server: newpt Authentication domain: Not configured Pre-auth domain: Not configured User-dhcp-only: Disabled Pre-auth IP pool: Not configured Max Portal users: Not configured Bas-ip: 2.2.2.1 User detection: Not configured Action for server detection: Server type Server name Action -- -- -- 1-42 Layer3 source network: IP address Mask Destination authenticate subnet: IP address Mask IPv6: Portal status: Disabled Portal authentication method: Disabled Portal web server: Not configured Authentication domain: Not configured Pre-auth domain: Not configured User-dhcp-only: Disabled Pre-auth IP pool: Not configured Max Portal users: Not configured Bas-ipv6: Not configured User detection: Not configured Action for server detection: Server type Server name Action -- -- -- Layer3 source network: IP address Prefix length Destination authenticate subnet: IP address Prefix length 用户既可以使用 H3C 的 iNode 客户端，也可以通过网页方式进行 Portal 认证。用户在通过认证前， 只能访问认证页面 http://192.168.0.111:8080/portal，且发起的 Web 访问均被重定向到该认证页面， 在通过认证后，可访问非受限的互联网资源。 Portal 用户认证通过后，可通过执行以下显示命令查看 Switch 上生成的 Portal 在线用户信息。 [Switch] display portal user interface vlan-interface 100 Total portal users: 1 Username: abc Portal server: newpt State: Online VPN instance: N/A MAC IP VLAN Interface 0015-e9a6-7cfe 2.2.2.2 100 Vlan-interface100 Authorization information: DHCP IP pool: N/A ACL: N/A CAR: N/A