EIA对接企业微信和BARS路由器做IPOE认证

方案整体架构与流程

1. 认证触发：用户设备（PC/手机）连接到网络后，BARS作为BRAS设备，会要求其进行IPoE认证。
2. 认证联动：BARS将认证请求（通常使用RADIUS协议）转发给EIA服务器。
3. 身份验证：EIA支持与企业微信对接，因此它可以：
   • 方式一（推荐，无感知认证）：EIA根据终端IP或设备特征，与企业微信侧的用户-IP绑定信息进行匹配，实现无感知认证。
   • 方式二（Portal认证）：弹出Portal页面，用户可以选择“企业微信扫码”或“账号密码”登录。扫码后，EIA与企业微信服务器通信验证二维码合法性及用户身份。
4. 授权下发：认证成功后，EIA会根据该用户的身份（如部门、角色），在RADIUS响应报文中携带特定的授权参数（如Filter-ID、ACL编号、User-Profile名称）给BARS。
5. 策略执行：BARS收到授权参数后，会为这个用户会话动态下发相应的访问控制策略（ACL），从而实现不同级别的网络访问权限。

核心配置要点分解

一、 EIA侧配置

1. 对接企业微信：

   • 在企业微信管理后台创建自建应用，获取AgentId、Secret、CorpId。
   • 在EIA的【用户管理】>【外部数据源】中，添加“企业微信”数据源，填入上述信息。同步组织架构和用户账号。
   • 关键：确保企业微信中的用户账号能与EIA中的用户标识（如用户名、手机号、邮箱）对应起来。

2. 创建认证服务：

   • 选择“IPoE认证”或“Portal认证”（如果采用扫码）。
   • 绑定对应的接入设备（BARS）的IP地址作为RADIUS客户端。

3. 配置授权策略（核心）：
   这是实现“三个权限”的关键。您需要在EIA的【策略管理】>【授权策略】中创建三条规则，条件可以是“用户组”、“角色”或“终端类型”，结果是指定不同的Filter-ID或User-Profile。

   • 规则1（全通权限）： 例如，为“IT管理员”或“特定高权限组”设置，授权参数为 Filter-。
   • 规则2（仅内网）： 例如，为“财务部”、“研发部”设置，授权参数为 Filter-。
   • 规则3（仅互联网）： 例如，为“访客”或“临时员工”设置，授权参数为 Filter-。

二、 BARS（路由器）侧配置

1. 配置RADIUS服务器：

   bash

   复制
   radius scheme eia-scheme primary authentication 10.1.1.10 (EIA服务器IP) primary accounting 10.1.1.10 key authentication cipher h3c@12345 (与EIA侧配置的共享密钥一致) key accounting cipher h3c@12345 user-name-format without-domain (根据实际情况调整) ​

2. 配置认证域并应用RADIUS方案：

   bash

   复制
   domain h3c.com authentication ipoe radius-scheme eia-scheme authorization ipoe radius-scheme eia-scheme accounting ipoe radius-scheme eia-scheme ​

3. 定义IPSG（IPoE）接入：

   bash

   复制
   interface GigabitEthernet1/0/1 (连接用户侧的接口) ip subscriber l2-connected enable ip subscriber authentication-method bind ip subscriber dhcp domain h3c.com ​

4. 预定义授权策略（关键步骤）：
   在BARS上，需要将EIA下发的Filter-ID映射为本地可执行的ACL或QoS策略。

   • 创建ACL：
     bash

     复制
     # 定义内网网段 acl advanced 3000 rule 5 permit ip destination 10.0.0.0 0.255.255.255 (内网网段) rule 10 deny ip (默认拒绝其他) acl advanced 3001 rule 5 permit ip (允许所有，即互联网) acl advanced 3002 rule 5 permit ip destination 10.0.0.0 0.255.255.255 rule 10 permit ip (也允许互联网，实现内外网都通) ​
   • 创建User-Profile并与Filter-ID关联：
     bash

     复制
     user-profile Full-Access authorization-attribute acl 3002 id 3002 user-profile Intranet-Only authorization-attribute acl 3000 id 3000 user-profile Internet-Only authorization-attribute acl 3001 id 3001 ​注意：User-Profile的名称（如Full-Access）必须与EIA下发的Filter-ID值完全一致，BARS才能正确匹配并应用。

权限逻辑对应表

实施建议与注意事项

1. 测试顺序：建议先完成BARS与EIA的基础IPoE认证连通性测试，再配置复杂的授权策略。
2. 无感知认证：若希望员工企业微信在线即自动联网，需部署EIA的无感知代理或利用企业微信的API进行终端IP绑定，实现更佳体验。
3. 访客流程：对于“仅互联网”权限的访客，更适合采用Portal认证方式，让其扫码或获取临时密码，便于管理和审计。
4. 安全加固：仅互联网访问的ACL（3001）在实际部署中，建议将其修改为 允许访问除内网网段外的所有地址，以防止从互联网侧发起的对内网的攻击穿透。例如：
   bash

   复制
   acl advanced 3001 rule 5 deny ip destination 10.0.0.0 0.255.255.255 rule 10 permit ip ​
5. 日志审计：确保在EIA和BARS上开启相应的记账和日志功能，便于事后追溯。