S10508+ IMC 做有线portal认证

做认证

 第一步：iMC 服务器侧配置 (EIA组件)

1. 配置接入设备
   • 登录 iMC 管理平台，进入“用户” -> “接入策略管理” -> “接入设备管理” -> “接入设备配置”。
   • 点击“增加”，手工输入 S10508 的 IP 地址。
   • 关键参数：认证端口默认为 1812，计费端口默认为 1813。设置一个共享密钥（如 Radius@123），这个密钥必须与交换机上配置的完全一致。
2. 配置 Portal 服务
   • 进入“接入策略管理” -> “Portal 服务管理” -> “服务器配置”，确保 Portal 服务器的 IP（iMC 服务器 IP）和 Web 端口（如 8080）已启用。
   • 进入“IP地址组配置”，将需要认证的业务网段（例如 10.18.18.0/23）添加进去，类型选择“普通”。
3. 配置接入策略与接入服务
   • 接入策略：新建一个策略（如 iNode-Only-Policy），在用户客户端配置区域，务必勾选“仅限 iNode 客户端”。
   • 接入服务：新建一个接入服务（如 Portal-iNode-Service），认证方式选择“Portal 认证”，并绑定刚刚创建的 iNode-Only-Policy 策略。

 第二步：H3C S10508 核心交换机侧配置

 第三步：实现“访问特定业务地址段”的权限控制

• iMC 下发 ACL（推荐）：在 iMC 的“接入服务”或“用户”属性中，配置授权 ACL，允许目的地址为 192.168.50.0/24，拒绝其他所有流量。
• 交换机本地 ACL：在 S10508 的 Vlan-interface 100 入方向（inbound）配置 ACL，仅放行去往特定业务地址段的流量。

一、组网与前提
IMC7.3（EIA+EAD 已授权）：192.168.1.100
S10508 核心：192.168.1.10（三层转发）
认证网段：10.20.0.0/24（用户网关在 S10508 三层接口）
需求：10.20.0.0/24 必须 iNode Portal 认证才能上网 / 访问业务
二、IMC EIA 侧配置（关键）
1. 加接入设备（S10508）
用户 → 接入策略管理 → 接入设备管理 → 接入设备配置 → 增加
设备 IP：192.168.1.10（S10508）
认证端口：1812；计费端口：1813
共享密钥：Radius@123（和交换机一致）
设备类型：H3C；版本：Portal 3.0


2. Portal 服务器配置
用户 → 接入策略管理 → Portal 服务管理 → 服务器配置
Portal 服务器 IP：192.168.1.100（IMC）
Web 端口：8080
URL：http://192.168.1.100:8080/portal


3. 认证网段（IP 地址组）
用户 → 接入策略管理 → Portal 服务管理 → IP 地址组配置 → 增加
名称：Portal_User_Net
起止 IP：10.20.0.1–10.20.0.254
类型：普通


4. 接入策略（强制 iNode）
用户 → 接入策略管理 → 接入策略管理 → 增加
策略名：iNode_Only_Policy
客户端控制：勾选 “仅限 iNode 客户端”（必选）
其他默认


5. 接入服务（绑定策略 + Portal）
用户 → 接入策略管理 → 接入服务管理 → 增加
服务名：Portal_iNode_Service
缺省接入策略：选 iNode_Only_Policy
认证方式：Portal 认证
地址组：选 Portal_User_Net


6. 接入用户（测试）
用户 → 接入用户管理 → 接入用户 → 增加
账号：testuser；密码：Test@123
接入服务：Portal_iNode_Service


7. EAD 准入（可选，软件检查）
安全策略管理 → 安全策略 → 增加
策略名：SW_Check
软件检查：勾选 “必须安装 XX 软件”
接入服务：绑定 Portal_iNode_Service
三、S10508 配置（Comware V7）
1. 基础 + 路由
bash
运行
system-view
vlan 10
quit
interface Vlan-interface 10
ip address 192.168.1.10 24 # 连IMC
quit

vlan 20
quit
interface Vlan-interface 20
ip address 10.20.0.1 24 # 用户网关（认证网段）
quit

ip route-static 0.0.0.0 0 192.168.1.1 # 默认路由
2. RADIUS 方案（指向 IMC）
bash
运行
radius scheme rs1
primary authentication 192.168.1.100 1812
primary accounting 192.168.1.100 1813
key authentication simple Radius@123
key accounting simple Radius@123
user-name-format without-domain
quit

radius session-control enable # 会话控制（必开）
3. Portal 服务器绑定 IMC
bash
运行
portal server imc-portal
ip 192.168.1.100 key simple Radius@123
port 50100 # 设备默认Portal端口
quit

portal web-server imc-web
url http://192.168.1.100:8080/portal
quit
4. 认证域（AAA）
bash
运行
domain portal-domain
authentication portal radius-scheme rs1
authorization portal radius-scheme rs1
accounting portal radius-scheme rs1
quit
5. 三层接口启用 Portal（关键）
bash
运行
interface Vlan-interface 20 # 用户网关接口
portal server imc-portal method layer3 # 三层Portal
portal web-server imc-web
domain portal-domain # 绑定认证域
quit
6. 保存
bash
运行
save
四、iNode 客户端配置（用户侧）
安装 iNode PC 7.3+
新建 Portal 连接：
名称：IMC-Portal
服务器：192.168.1.100
端口：8080
账号 / 密码：testuser/Test@123
连接成功后，即可访问网络
五、验证与排错
1. 查看交换机 Portal 状态
bash
运行
display portal interface Vlan-interface 20
display radius scheme rs1
display aaa domain portal-domain
2. IMC 侧查看在线用户
用户 → 接入用户管理 → 在线用户
3. 常见问题
认证失败：密钥不一致、IP 不通、端口未开放
能认证但不能上网：检查默认路由、接口是否启用 Portal
iNode 弹不出页面：检查 Portal URL、IMC 服务是否启动