imc

WX系列AC与iMC配合实现无线Portal认证典型配置

一、组网需求：

WX系列AC、WA系列FIT AP（如WA2620-AGN）、便携机

二、组网图：

三、配置步骤：

1.配置信息

1）AC配置

[WX3010-AC]dis cu

#

 version 5.20, Release 3111P11

#

 Sysname WX3010-AC

#

 domain default enable portal

#

 telnet server enable

#

 port-security enable

#

 portal server imc ip 192.168.1.254 url http://192.168.1.254/portal/logon.htm

 portal free-rule 0 source interface GigabitEthernet1/0/1 destination any

 portal local-server http

 portal trap server-down

#

 oap management-ip 192.168.0.101 slot 0

#

vlan 1

#

vlan 2

#

vlan 100

#              

radius scheme portal

 server-type extended

 primary authentication 172.16.100.200

 primary accounting 172.16.100.200

 key authentication h3c

 key accounting h3c

 user-name-format without-domain

 nas-ip 192.168.1.254

#

domain portal

 authentication portal radius-scheme portal

 authorization portal radius-scheme portal

 accounting portal radius-scheme portal

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

domain system

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#              

dhcp server ip-pool ap_add

 network 192.168.1.0 mask 255.255.255.0

 gateway-list 192.168.1.254

#

dhcp server ip-pool sta_add

 network 192.168.2.0 mask 255.255.255.0

 gateway-list 192.168.2.254

#

user-group system

#

local-user admin

 password simple admin

 authorization-attribute level 3

 service-type telnet

#

wlan rrm

 dot11a mandatory-rate 6 12 24

 dot11a supported-rate 9 18 36 48 54

 dot11b mandatory-rate 1 2

 dot11b supported-rate 5.5 11

 dot11g mandatory-rate 1 2 5.5 11

 dot11g supported-rate 6 9 12 18 24 36 48 54

#              

wlan service-template 1 crypto

 ssid H3C-PORTAL

 bind WLAN-ESS 1

 cipher-suite ccmp

 security-ie rsn

 service-template enable

#

interface NULL0

#

interface Vlan-interface1

 ip address 192.168.1.254 255.255.255.0

#

interface Vlan-interface2

 ip address 192.168.2.254 255.255.255.0

 portal server imc method direct

#

interface Vlan-interface100

 ip address 172.16.100.201 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan all

#              

interface WLAN-ESS1

 port access vlan 2

 port-security port-mode psk

 port-security tx-key-type 11key

 port-security preshared-key pass-phrase cipher 4rRxTMRshjevHnWJFnodbA==

#

wlan ap ap1 model WA2620-AGN id 1

 serial-id 219801A0A79101G05128

 radio 1

  radio enable

 radio 2

  max-power 5

  service-template 1

  radio enable

#

 ip route-static 172.16.100.0 255.255.255.0 192.168.1.253

 ip route-static 172.16.100.0 255.255.255.0 192.168.2.253

#

 dhcp enable

#

 load xml-configuration

#

user-interface aux 0

user-interface vty 0 4

 authentication-mode scheme

 user privilege level 3

#

Return

o c s 0

Press CTRL+K to quit.

Connected to OAP!

%Sep 18 16:46:11:607 2011 WX3010-SW SHELL/5/LOGIN:- 1 - Console(aux0) in unit1 login

dis cu

#

 sysname WX3010-SW

#

 oap management-ip 192.168.0.100 slot 0

#

radius scheme system

#

domain system

#

local-user admin

 password simple admin

 service-type telnet

 level 3

#

vlan 1 to 2

#

vlan 100

#

interface Vlan-interface1

 ip address 192.168.0.101 255.255.255.0

#

interface Aux1/0/0

#

interface GigabitEthernet1/0/1

 port link-type trunk                    

 port trunk permit vlan all

#

interface GigabitEthernet1/0/2

 poe enable

#

interface GigabitEthernet1/0/3

#

interface GigabitEthernet1/0/4

#

interface GigabitEthernet1/0/5

#

interface GigabitEthernet1/0/6

#

interface GigabitEthernet1/0/7

#

interface GigabitEthernet1/0/8

#

interface GigabitEthernet1/0/9

#

interface GigabitEthernet1/0/10

#

interface GigabitEthernet1/0/11

 stp disable

 port link-type trunk                    

 port trunk permit vlan all

#

interface NULL0

#

user-interface aux 0

user-interface vty 0 4

 authentication-mode scheme

 user privilege level 3

#

Return

2）主要配置步骤

(1)        创建RADIUS方案。

# 创建RADIUS方案portal并进入其视图。

[WX3010-AC] radius scheme portal

# 设置主认证RADIUS服务器的IP地址172.16.100.122。

[WX3010-AC-radius-h3c] primary authentication 172.16.100.122

# 设置主计费RADIUS服务器的IP地址172.16.100.122。

[WX3010-WX3010-AC-radius-h3c] primary accounting 172.16.100.122

# 设置系统与认证RADIUS服务器交互报文时的共享密钥为h3c。

[WX3010-AC-radius-h3c] key authentication h3c

# 设置系统与计费RADIUS服务器交互报文时的共享密钥为h3c。

[WX3010-AC-radius-h3c] key accounting h3c

# 将RADIUS方案h3c的RADIUS服务器类型设置为extended。

[WX3010-AC-radius-h3c] server-type extended

# 将RADIUS方案中用户认证设置为不带域认证。

[WX3010-AC-radius-h3c] user-name-format without-domain

(2)        创建domain域。

# 创建portal域并进入其视图。

[WX3010-AC] domain portal

# 为lan-access用户配置认证方案为RADIUS方案，方案名为portal。

[WX3010-AC-isp-system] authentication portal radius-scheme portal

# 为lan-access用户配置授权方案为RADIUS方案，方案名为portal。

[WX3010-AC-isp-system] authorization portal radius-scheme portal

# 为lan-access用户配置计费方案为RADIUS方案，方案名为portal。

[WX3010-AC-isp-system]accounting portal radius-scheme portal

(3)        全局使能端口安全。

[WX3010-AC] port-security enable

(4)        设置Portal用户的认证域默认为portal。

[WX3010-AC] domain default enable portal

(5)        配置接口WLAN-ESS 1。

# 创建接口WLAN-ESS1并进入其视图。

[WX3010-AC] interface WLAN-ESS 1

 (6)        无线服务集设置。

# 创建clear类型的服务模板1并进入其视图。

[WX3010-AC] wlan service-template 1 clear

# 设置当前服务模板的SSID（服务模板的标识）为H3C-PORTAL。

[WX3010-AC-wlan-st-1] ssid  H3C-PORTAL

# 将WLAN-ESS1接口绑定到服务模板1。

[WX3010-AC-wlan-st-1] bind WLAN-ESS 1

# 设置无线客户端接入该无线服务（SSID）的认证方式为开放式系统认证。

[WX3010-AC-wlan-st-1] authentication-method open-system

# 使能服务模板。

[WX3010-AC-wlan-st-1] service-template enable

2、配置iMC

1）接入设备配置

在iMC控制界面，点击菜单栏中[业务]->[接入业务] ->[接入设备管理] ->[接入设备配置]的“增加接入设备”。

进入接入设备配置，选择“手工增加”->“手工增加接入设备”后，进入接入设备配置页面。根据设备上的RADIUS属性配置，对参数进行设置，然后点击“确定”。

2）服务配置

在iMC控制界面，首先进入“业务”、“接入业务”。然后进入“服务配置管理”、“增加服务配置”，在服务配置列表中，选择“增加”，添加服务名，在计费策略中选中配置好的计费策略（计费策略配置方法，此处略），这里选择不计费。

3）用户配置

在iMC控制界面，进入“用户”，选择“增加用户”输入用户名和密码。此处需要注意将刚才配置的服务选上。

4、验证结果

l在未通过Portal认证的情况下使用PC1访问internet，PC不能访问Internet上的资源。

l 在PC1上打开浏览器，输入IP地址或域名访问Internet，Portal服务器会将用户请求的页面强制重定向到Portal认证页面，并要求用户输入用户名、密码。用户输入正确的用户名和密码后可以正常访问Internet上的资源。

(1) 关联SSID。

   (2) 打开浏览器，输入IP地址或域名进行认证，Portal服务器会将用户请求的页面强制重定向到Portal认证页面，并要求用户输入用户名、密码。

(3)用户通过认证。

(4)点击“Logoff”按钮，PC1下线。