ASM入网规范管理系统准入控制技术快速配置手册.docx
《ASM入网规范管理系统准入控制技术快速配置手册.docx》由会员分享,可在线阅读,更多相关《ASM入网规范管理系统准入控制技术快速配置手册.docx(27页珍藏版)》请在冰豆网上搜索。
ASM入网规范管理系统准入控制技术快速配置手册
ASM
盈高入网规范管理系统
网络联动控制快速配置手册
INFOGOAccessStandardManagementSystem
Ver2010.0831
版权声明:
本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容,除另有特别注明,版权均属盈高科技所有,并受到有关产权及版权法保护。
任何个人、机构未经盈高科技的书面授权许可,不得以任何方式复制或引用本文的任何片断。
商标:
盈高、INFOGO是盈高科技的注册商标,未经允许,不得引用。
目录
第一章策略路由快速配置3
1.1ASM系统界面配置3
1.1.1网卡配置3
1.1.2策略路由参数配置3
1.2网络联动设备配置4
1.2.1CISCO交换机配置4
1.2.2H3C交换机配置5
1.2.2.1policy-based-route方法配置5
1.2.2.2qospolicy方法配置5
1.2.2.3routepolicy方法配置6
1.2.2.4traffic-redirect方法配置6
1.2.3华为交换机配置6
1.2.3.1traffic-policy方法配置6
1.2.3.2traffic-redirect方法配置7
1.2.3.3routepolicy方法配置7
第二章VG虚拟网关快速配置9
2.1ASM系统界面配置9
2.1.1网卡配置9
2.1.2VG虚拟网关参数设置9
2.2网络联动设备配置11
第三章EOU认证技术快速配置12
3.1ASM系统界面配置12
3.1.1网卡配置12
3.1.2EOU参数配置12
3.2网络联动设备配置14
第四章PORTAL认证技术快速配置17
4.1ASM系统界面配置17
4.1.1网卡配置17
4.1.2PORTAL参数设置17
4.2网络联动设备配置18
第五章透明网桥快速配置20
5.1ASM系统界面配置20
5.1.1网卡配置20
5.1.2透明网桥参数配置20
第一章策略路由快速配置
1.1ASM系统界面配置
1.1.1网卡配置
启用ETH0和ETH2两块网卡并配置IP地址:
ETH0与联动网络设备相连,配置的IP地址作为策略路由的下一跳地址;ETH2配置的IP地址需要全网或者控制的网段能够访问。
1.1.2策略路由参数配置
a)认证参数设置
1、配置重定向URL地址:
http:
//eth2口ip地址。
2、配置下一跳IP地址:
该地址为与ASM系统eth0口直连的网络联动设备的IP地址。
3、配置好下一跳IP地址后点击“获取下一跳MAC地址”按钮,若能网络正常则网络联动设备的MAC地址将显示于“下一条MAC地址”文本框中。
4、当您在开启策略路由认证技术后又希望放开所有设备,则可“启用紧急模式”。
5、其余配置项使用默认配置即可。
6、点击“完成配置”。
b)例外设备管理
1、配置隔离服务器:
若您希望设备被隔离后仍然可以访问指定的服务器,则可以在“开始IP”、“结束IP”处填写该服务器的IP地址,然后选择“添加”按钮。
同样,选择“删除”按钮进行删除。
2、配置不管理网段:
若你希望将指定的设备不进行入网控制,则可以在“开始IP:
”、“结束IP”处填写该设备的IP地址,然后选择“添加”按钮。
同样,选择“删除”按钮进行删除。
1.2网络联动设备配置
1.2.1CISCO交换机配置
方法一、(不具备逃生方案)
建立ACL
ipaccess-listextendedpolicy-route-acl
permitipanyany
exit
配置route-map路由图
route-mappolicy-route
matchipaddresspolicy-route-acl
setipnext-hop192.168.100.123
exit
在接口上应用route-map
interfacevlan54
ippolicyroute-mappolicy-route
exit
方法二、(具备逃生方案)
建立ACL
access-list101permitip192.168.36.00.0.0.255any
ipaccess-listextendedpolicy-route-acl
permitipanyany
exit
配置带下跳检测的route-map路由图
ipslamonitor1
typeechoprotocolipIcmpEcho172.28.1.11
frequency8
ipslamonitorschedule1lifeforeverstart-timenow
track123rtr1reachability
ipslamonitor2
typeechoprotocolipIcmpEcho172.28.1.12
frequency8
ipslamonitorschedule2lifeforeverstart-timenow
track223rtr2reachability
route-mappolicy_route
matchipaddresspolicy-route-acl
setipnext-hopverify-availability172.28.1.1110track123
setipnext-hopverify-availability172.28.1.1220track223
在接口上应用route-map
interfacevlan200
ippolicyroute-mappolicy-route
1.2.2H3C交换机配置
1.2.2.1policy-based-route方法配置
建立ACL
aclnumber3040
rule0permitipsourceany
quit
配置policy-based-route路由图
policy-based-routepolicy-routepermitnode10
if-matchacl3040
applyip-addressnext-hop192.168.100.123
quit
在接口应用policy-based-route
interfaceEthernet0/3.40
ippolicy-based-routepolicy-route
quit
1.2.2.2qospolicy方法配置
配置ACL策略
[H3C7506E]aclnumber3040
[H3C7506E-acl-adv-3040]rule10permitipsourceany
[H3C7506E-acl-adv-3040]quit
配置匹配ACL的流分类1
[H3C7506E]trafficclassifier1
[H3C7506E-classifier-1]if-matchacl3040
[H3C7506E-classifier-1]quit
配置刚才定义的流分类1的行为,定义如果匹配就下一跳至192.168.100.123
[H3C7506E]trafficbehavior1
[H3C7506E-behavior-1]redirectnext-hop192.168.100.123
[H3C7506E-behavior-1]quit
将刚才设置的流分类及行为应用至QOS策略中,定义policy1
[H3C7506E]qospolicy1
[H3C7506E-qospolicy-1]classifier1
[H3C7506E-qospolicy-1]behavior1
[H3C7506E-qospolicy-1]quit
在接口上应用定义的QOS策略policy1
[H3C7506E]interfaceGigabitEthernet2/0/11
[H3C7506E-GigabitEthernet2/0/11]qosapplypolicy1inbound
[H3C7506E-GigabitEthernet2/0/11]quit
1.2.2.3routepolicy方法配置
建立ACL
aclnumber3000
rule0permitipsourceany
quit
配置routepolicy路由图
route-policypolicy-routepermitnode1
if-matchacl3000
applyip-addressnext-hop192.168.100.123
quit
在接口应用routepolicy
interfaceEthernet1/0
ippolicyroute-policypolicy-route
quit
1.2.2.4traffic-redirect方法配置
建立ACL
aclnumber3000
rule0permitipsourceany
quit
在接口应用traffic-redirec
interfaceGigabitEthernet6/1/1
traffic-redirectinboundip-group3000rule0next-hop192.168.100.123
quit
1.2.3华为交换机配置
1.2.3.1traffic-policy方法配置
配置ACL策略
aclnumber3040
rule10permitipsourceany
quit
配置匹配ACL的流分类1
trafficclassifier1
if-matchacl3040
quit
配置刚才定义的流分类1的行为,定义如果匹配就下一跳至192.168.100.123
trafficbehavior1
redirectnext-hop192.168.100.123
quit
将刚才设置的流分类及行为应用至traffic-policy策略中,定义policy1
trafficpolicy1
classifier1behavior1
quit
在接口上应用定义的QOS策略policy1
interfaceGigabitEthernet2/0/11
traffic-policy1inbound
quit
1.2.3.2traffic-redirect方法配置
建立ACL
aclnumber3000
rule0permitipsourceany
quit
在接口应用traffic-redirec
interfaceGigabitEthernet6/1/1
traffic-redirectinboundip-group3000rule0next-hop192.168.100.123
quit
1.2.3.3routepolicy方法配置
建立ACL
aclnumber3000
rule0permitipsourceany
quit
配置routepolicy路由图
route-policypolicy-routepermitnode1
if-matchacl3000
applyip-addressnext-hop192.168.100.123
quit
在接口应用routepolicy
interfaceEthernet1/0
ippolicyroute-policypolicy-route
quit
第二章VG虚拟网关快速配置
2.1ASM系统界面配置
2.1.1网卡配置
启用ETH0、ETH2和ETH3三块网卡:
ETH0和ETH3与联动网络设备的TRUNK口相连;ETH2配置的IP地址需要全网或者控制的网段能够访问。
2.1.2VG虚拟网关参数设置
a)基本参数设置
1、配置重定向URL地址:
http:
//eth2口ip地址。
2、配置隔离服务器:
若您希望设备被隔离后仍然可以访问指定的服务器,则可以在“开始IP”、“结束IP”处填写该服务器的IP地址,然后选择“添加”按钮。
同样,选择“删除”按钮进行删除。
3、点击“完成配置”。
b)VG交换机管理
配置好VG基本参数后,才能开始配置VG交换机管理。
进入“VG虚拟网关设置”栏,选择“VG交换机管理”,如下界面所示:
1、添加交换机:
选择“添加交换机”按钮进入如下界面:
2、填写完各参数配置选择“完成配置”后出现如下界面:
3、配置交换机:
选中添加的交换机后选择“配置交换机”按钮进入如下界面:
4、选中要在交换机上开启VG认证技术的端口,然后选择“保存配置”。
(若交换机上的端口更改了Vlan信息,则需点击“更新初始Vlan”按钮后再选择“保存配置”。
)
c)Vlan映射配置
配置完交换机管理后,还需要对Vlan映射进行配置,保证接入设备认证前后属于不同权限的Vlan,从而达到接入控制的目的。
2.2网络联动设备配置
配制用于通过SNMP查询交换机信息的共同体
snmp-servercommunityasmpublicro
配制用于通过snmp设置交机信息的共同体
snmp-servercommunityasmprivaterw
启用linkdowntrap
snmp-serverenabletrapssnmplinkdown
启用MACaddress通知Trap
snmp-serverenabletrapsmac-notification
指定将Trap报文发给ASM(192.168.56.14)
snmp-serverhost192.168.56.14version2casmtrap
macaddress-tablenotification
第三章EOU认证技术快速配置
3.1ASM系统界面配置
3.1.1网卡配置
启用ETH2网卡并配置IP地址:
ETH2配置的IP地址需要全网或者控制的网段能够访问。
3.1.2EOU参数配置
a)基本参数设置
1、配置重定向URL地址:
http:
//eth2口ip地址。
2、配置重定向的交换机ACL名称:
AsmEouUrlAcl。
3、当您在开启EOU认证技术后又希望放开所有设备,则可“启用紧急模式”。
4、其余配置项使用默认配置即可。
5、点击“完成配置”。
b)EOU全局参数设置
1、配置主认证服务器地址:
主ASM设备eth2口ip地址(若您有两台ASM设备,则配置备认证服务器地址:
备ASM设备eth2口ip地址)。
2、配置隔离服务器:
若您希望设备被隔离后仍然可以访问指定的服务器,则可以在“IP地址”处填写该服务器的IP地址,然后选择“添加”按钮。
3、同样,您也可以选中希望设备被隔离后不可以访问指定的服务器,然后选择“删除”按钮或者选择“清空”按钮,进行删除或清空。
4、点击“完成配置”。
c)EOU交换机管理
当您配置好EOU基本参数和全局参数后,才能开始配置EOU交换机管理。
进入“EOU认证技术设置”栏,选择“EOU交换机管理”,如下界面所示:
1、添加交换机:
选择“添加交换机”按钮进入如下界面:
当交换机型号选项中没有与网络联动设备型号向对应时,请参照3.2网络联动设备配置
2、填写完各参数配置选择“完成配置”后出现如下界面:
3、配置交换机:
选中添加的交换机后选择“配置交换机”按钮进入如下界面:
4、选中要在交换机上开启EOU认证技术的端口,然后选择“生效EOU配置”。
(至此,EOU认证技术已配置完成。
)
3.2网络联动设备配置
此处配置与ASM系统界面配置中EOU参数配置的C步骤具有相同作用,二者选其一。
aaanew-model
aaagroupserverradiusASMEOU
#下面这个地址要进行修改,另外如果有多个AMC可以进行增加(192.168.40.214)
server-private192.168.56.22auth-port1812acct-port1813keymsackey
exit
aaaauthorizationnetworkdefaultlocal
aaaaccountingnetworkdefaultnone
aaaauthenticationlogindefaultline
radius-serverattribute8include-in-access-req
radius-servervsasendauthentication
radius-serverdeadtime720
radius-serverdead-criteriatries3
ipaccess-listextendedAsmEouAllAcl
permitipanyany
exit
ipaccess-listextendedAsmEouDefaultAcl
remarkallowDHCP
permitudpanyanyeqbootps
remarkallowDNS
permitudpanyanyeqdomain
remarkallowtotheserverWWW
#这个地方要进行修改为实际的IP地址和端口
permittcpanyhost192.168.56.14eqwww
#另外如果有其它的修复机器要求可以访问,要求增加在这个地方
remarkallowtoserver
permitipanyhost192.168.56.245
remarkdenyother
denyipanyany
exit
ipaccess-listextendedAsmEouUrlAcl
#这个地方要进行修改,将不需要重定向的机器增加到这个地方
denytcpanyhost192.168.56.14eqwww
denytcpanyhost192.168.56.246eqwww
permittcpanyanyeqwww
exit
identitypolicyAaaDown
access-groupAsmEouAllAcl
exit
identityprofileeapoudp
#这个地方根据实际要求放开的来处理
deviceauthorizeip-address192.168.56.128policyAaaDown
exit
aaaauthenticationeoudefaultgroupASMEOU
ipadmissionnameAsmEouNaceapoudpbypasseventtimeoutaaapolicyidentityAaaDown
eouallowclientless
eoulogging
ipdevicetracking
#这个地方根据实际要处理的端口进行修改
interfacerangefa0/13-24
switchportmodeaccess
ipaccess-groupAsmEouDefaultAclin
ipadmissionAsmEouNac
exit
第四章PORTAL认证技术快速配置
4.1ASM系统界面配置
4.1.1网卡配置
启用ETH2网卡并配置IP地址:
ETH2配置的IP地址需要全网或者控制的网段能够访问。
4.1.2PORTAL参数设置
a)基本参数设置
1、配置重定向URL地址:
http:
//eth2口ip地址。
2、配置认证服务器地址:
ASM设备eth2口ip地址。
3、配置免认证服务器:
若你希望将指定的设备不进行portal认证,则可以在“IP地址:
”、“掩码”处填写该设备的IP地址和掩码(IP地址段可通过掩码来控制),然后选择“添加”按钮。
4、同样,您也可以选择“删除”或“清空”按钮,从列表中删除或清空免认证的设备。
5、点击“完成配置”。
b)PORTAL路由器管理
当您配置好PORTAL基本参数后,才能开始配置EOU交换机管理。
进入“PORTAL认证技术设置”栏,选择“PORTAL路由器管理”,如下界面所示:
1、添加路由器:
选择“添加路由器”按钮进入如下界面:
当路由器型号选项中没有与网络联动设备型号向对应时,请参照4.2网络联动设备配置
2、填写完各参数配置选择“完成配置”后出现如下界面:
3、配置路由器:
选中添加的路由器后选择“配置路由器”按钮进入如下界面:
4、选择要在路由器上开启PORTAL认证技术的端口,然后选择“生效PORTAL配置”。
(至此,PORTAL认证技术已配置完成。
)
4.2网络联动设备配置
此处配置与ASM系统界面配置中PORTAL参数配置的B步骤具有相同作用,二者选其一。
radiusschemeAsmScheme
nserver-typeextended
primaryauthentication192.168.54.191
keyauthenticationmsackey
user-name-formatwithout-domain
quit
domainAsmDomain
authenticationportalradius-schemeAsmScheme
authorizationportalradius-schemeAsmScheme
accountingportalnone
quit
(portalserverAsmPortalip192.168.54.191keymsackeyport50100url
http:
//192.168.54.191/portal.html#enforcement=portal&bas=192.168.54.219)
interfaceVlan-interface54
portalserverAsmPortalmethodlayer3
quit
第五章透明网桥快速配置
5.1ASM系统界面配置
5.1.1网卡配置
启用ETH0、ETH2和ETH3三块网卡:
ETH0连接内部网络;ETH3连接外部网络;ETH2配置的IP地址需要全网或者控制的网段能够访问。
5.1.2透明网桥参数配置
a)认证参数设置
1、配置重定向URL地址:
http:
//eth2口ip地址。
2、当您在开启透明网桥认