WX3540X，无线这块集成AD域服务器，我这边需要准备什么，需要怎么操作？

参考案例：https://zhiliao.h3c.com/Theme/details/191822

参考

04-LDA https://www.h3c.com/cn/d_202506/2540444_30005_0.htm

您好，参考

04-LDAP接入认证功能对接指导-新华三集团-H3C

可以的，WX3540X无线控制器完全支持通过AD域账号密码进行802.1X无线认证。这是一个非常成熟的方案，能让员工用公司电脑的账号密码安全地连接Wi-Fi。

这个方案的核心是 WX3540X（无线控制器） + RADIUS认证服务器（如Windows NPS）+ AD域服务器 的联动。终端连接Wi-Fi时，WX3540X会把认证请求转给RADIUS服务器，再由RADIUS服务器去AD域核实账号密码，并把结果返回给WX3540X。

下面是根据H3C官方资料整理的规划和配置思路。

📋 准备阶段：你需要准备什么？

• 一台RADIUS认证服务器：这是关键组件，最常用的是Windows Server上的网络策略服务器（NPS）。你需要提前安装并配置好NPS角色，并确保其能与AD域正常通信。

• 一份服务器证书：为了安全，802.1X认证（尤其是EAP-PEAP等常用协议）需要在RADIUS服务器上安装一份由企业CA颁发的服务器证书。客户端连接时会验证此证书。

• 终端侧的准备：公司的Windows电脑必须加入AD域。通常，使用Windows自带的Wi-Fi配置（WLAN AutoConfig服务）即可，无需额外安装客户端。

⚙️ 操作阶段：你需要怎么操作？

整个过程可以分为服务器和无线控制器两大部分。

1. 在RADIUS服务器上（以Windows NPS为例）

• 注册并配置NPS：在NPS控制台中，将WX3540X添加为RADIUS客户端，并配置好共享密钥。

• 创建网络策略：新建一个用于无线802.1X认证的策略。

  • 指定认证方法：选择符合你安全要求的EAP类型，例如 Microsoft: Protected EAP (PEAP)。这是最常用的类型，用户体验好。

  • 配置用户组：将策略应用于AD域中允许接入无线网络的用户组（如 Domain Users）。

  • 指定认证服务器：确保NPS配置为与AD域进行认证。

2. 在WX3540X无线控制器上

这部分是将无线控制器与RADIUS服务器对接，并发布启用802.1X的无线服务。

• 创建RADIUS方案

  • 进入系统视图，创建一个RADIUS方案，指定服务器的IP地址、端口（默认认证1812，计费1813）和共享密钥。

  • 根据经验，可将RADIUS方案的类型设置为 standard，这有助于解决一些兼容性问题。

  • 配置发送给RADIUS服务器的用户名格式，比如 without-domain，表示不携带域名。

• 创建AAA域

  • 创建一个新的域，并在该域下引用上一步配置的RADIUS方案作为其默认认证、授权和计费方案。

• 配置无线服务（SSID）

  • 创建一个无线服务模板，设置好SSID（网络名称）。

  • 在安全配置中，选择 802.1X 认证方式，并指定使用你刚才创建的AAA域。

• 开启相关功能

  • 在接口或全局开启802.1X功能。

  • （可选）开启MAC地址认证：如果希望仅允许公司已注册的设备接入，可以开启MAC地址认证，将允许的MAC地址加入本地列表或由RADIUS服务器进行验证。

  • （可选）配置Guest VLAN：可以为未认证的用户提供一个受限的VLAN，用于访问有限的资源（如补丁服务器）。

💡 关键注意事项

• 证书问题：802.1X认证严重依赖证书。如果客户端连接失败，请优先检查RADIUS服务器的证书是否有效、可信，以及客户端是否勾选了“验证服务器证书”。

• 单点登录（SSO）问题：实现“免二次输入，连接Wi-Fi自动上线”的效果，需要终端、无线控制器和服务器都支持并正确配置。这通常与“单点登录”功能相关，配置相对复杂，需要查阅更详细的官方文档。

• 密码变更问题：用户更改AD域密码后，再次连接Wi-Fi时只需要输入新密码即可。如果一直提示失败，可以在Windows的“凭据管理器”中清除旧的无线网络凭据重试。

• 参考官方文档：上述步骤是通用流程。具体到每一个命令，建议参考H3C官方发布的《WX系列无线控制器配置指导》中的“安全配置指导”章节，里面有最准确的命令和示例。

WX3540X 无线使用 AD 域账号 802.1X 认证完整方案
一、核心结论
可以实现员工用 Windows AD 域账号密码连接 WiFi，WX3540X 本身不能直接对接 AD 校验账号，必须依赖 Windows 服务器自带的NPS（网络策略服务器） 作为 RADIUS 中间代理：
无线终端→WX3540X (AC)→NPS→AD 域控，NPS 调用 AD 完成账号密码校验，再把认证结果回传给 AC 放行无线网络。
有两种部署路线：
纯 AC+AD+NPS（无 iMC）：仅靠 Windows 服务实现，适合小规模环境；
AC+iMC EIA+AD LDAP 同步：企业标准 ADCampus 方案，支持 MAC 哑终端、安全准入、策略下发，推荐大规模园区。
二、前期需要提前准备的资源
1. Windows AD 域服务器侧准备
一台 Windows Server 域控（2016/2019/2022），安装 NPS 网络策略服务器角色（必须，AC 无法直连 AD 做 802.1X）；
AD 域正常运行，员工域账号已创建，员工电脑已加入域；
可选：部署域内 CA 证书服务器，给 NPS 颁发证书（PEAP 加密认证必备，避免终端弹窗警告）；
网络互通：WX3540X 管理 IP 能通 NPS 服务器 1812/1813 端口，无防火墙拦截 RADIUS 报文。
2. WX3540X 无线控制器侧准备
AC 已完成 AP 注册、基础 VLAN、DHCP、服务模板基础配置；
AC 规划好认证业务 VLAN，终端认证后分配对应业务网段；
自定义一组 RADIUS 共享密钥（AC 和 NPS 必须完全一致，如H3C@2026AD）；
AC 版本建议 R77XX 及以上，完整支持 PEAP-MSCHAPv2（Windows 终端默认认证协议）。
3. 终端侧准备
Windows 域内电脑：通过组策略推送无线 802.1X 配置，自动使用域账号登录 WiFi；
手机 / 外来电脑：手动配置 WiFi 企业级 PEAP 认证，输入 AD 账号密码接入。
三、方案一：纯 WX3540X+AD+NPS（无 iMC，简易部署）
阶段 1：Windows 服务器 NPS 配置（AD 域控或独立服务器）
服务器添加角色：网络策略和访问服务 (NPS)；
NPS 添加 RADIUS 客户端：填入 WX3540X 管理 IP，填写统一共享密钥；
创建连接请求策略：转发认证请求至本地 AD 域；
创建网络策略：允许域用户组接入，认证方式选择PEAP-MSCHAPv2；
绑定服务器证书（有 CA 则用域证书，无 CA 可临时自签）。
阶段 2：WX3540X 完整命令配置
bash
运行
# 1. 全局开启802.1X，指定EAP加密认证
system-view
dot1x authentication-method eap
dot1x enable

# 2. 配置RADIUS方案，指向NPS服务器
radius scheme AD-NPS
primary authentication 10.8.8.10 1812 # NPS服务器IP
primary accounting 10.8.8.10 1813
key authentication simple H3C@2026AD # 和NPS共享密钥完全一致
key accounting simple H3C@2026AD
user-name-format without-domain # 去除域名前缀，适配AD账号
nas-ip 10.8.8.1 # AC管理IP，NPS识别客户端

# 3. 创建ISP认证域，绑定RADIUS方案
domain AD-WIFI
authentication lan-access radius-scheme AD-NPS
authorization lan-access radius-scheme AD-NPS
accounting lan-access radius-scheme AD-NPS

# 4. 无线服务模板（员工SSID）开启802.1X认证
wlan service-template 1 wifi-ad
ssid Company-WIFI
vlan 100 # 认证后业务VLAN
port-security port-mode dot1x
port-security authentication-method dot1x
radius scheme AD-NPS
domain AD-WIFI
service-template enable

# 5. AP射频绑定服务模板（示例Radio2）
wlan ap-group office-group
wlan service-template 1 radio 2
阶段 3：终端测试
Windows 电脑连接 SSIDCompany-WIFI，选择企业级安全 PEAP；
输入 AD 域账号（仅用户名，无需 @域名）+ 域密码，即可完成 WiFi 接入；
排查命令：display dot1x connection、display radius statistics查看认证交互。
四、方案二：ADCampus 标准方案（WX3540X+iMC EIA+AD，推荐企业）
额外需要准备
iMC PLAT 标准版 + EIA 终端接入组件；
AD 域控开启 LDAP 服务，开放 389 端口供 iMC 同步域账号；
实现逻辑
iMC EIA 通过 LDAP 定期同步 AD 全量员工账号，无需在 iMC 手动新建用户；
WX3540X 将无线 802.1X 认证请求转发给 iMC EIA；
EIA 调用 LDAP 校验 AD 账号密码，同时下发准入策略（VLAN、ACL、哑终端 MAC 认证联动）；
优势
支持哑终端 MAC 认证、PC 802.1X、访客 Portal 三合一；
可做终端安全检查（iNode EAD）、账号有效期、上网权限精细化管控；
AD 账号离职自动同步禁用，WiFi 同步无法接入。
五、常见踩坑与注意事项
AC 不能直接对接 AD：AD 只提供 LDAP 账号查询，不支持标准 RADIUS 802.1X 报文，必须 NPS/iMC 做中间层；
共享密钥不一致：AC 和 NPS 密钥大小写、符号必须完全相同，否则认证直接失败；
端口拦截：防火墙放行 AC 与 NPS 的 UDP 1812 (认证)/1813 (计费)；
终端证书告警：域内部署 CA，通过组策略推送根证书到终端，消除安全警告；
哑终端需求：仅 NPS 方案无法做 MAC 免认证，必须搭配 iMC EIA 同步 AD+MAC 白名单。
六、极简操作流程总结
前置准备：AD 域控安装 NPS、AC 与 NPS 网络互通、统一 RADIUS 密钥；
Windows 侧：NPS 添加 AC 为 RADIUS 客户端，配置 PEAP 认证策略、绑定 AD 用户组；
AC 侧：配置 RADIUS 方案、认证域、无线服务模板开启 802.1X；
终端配置 PEAP 企业 WiFi，输入 AD 账号密码完成接入；
企业大规模场景：加装 iMC EIA，LDAP 同步 AD 账号，扩展准入、哑终端、安全管控能力。