43基于IPv6的Portal接入认证控制功能典型配置举例.docx
《43基于IPv6的Portal接入认证控制功能典型配置举例.docx》由会员分享，可在线阅读，更多相关《43基于IPv6的Portal接入认证控制功能典型配置举例.docx（22页珍藏版）》请在冰豆网上搜索。
43基于IPv6的Portal接入认证控制功能典型配置举例
基于IPv6的Portal接入认证控制功能典型配置举例
Copyright©2014杭州华三通信技术有限公司版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，
并不得以任何形式传播。
本文档中的信息可能变动，恕不另行通知。
1简介
本文介绍了无线控制器基于IPv6的Portal接入认证控制功能的典型配置举例。
2配置前提
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。
如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解IPv6Portal的特性。
3配置举例
3.1组网需求
如图1所示，AC通过Switch与AP相连，DHCP服务器为AP分配IPv4地址，为Client分配IPv6地址。
Client接入到无线网络中，使用Portal服务器对Client进行基于IPv6的Portal认证。
现要求：
∙Client通过Portal认证前，只能访问Portal服务器；在通过Portal认证后，可以使用此IPv6地址访问非受限的互联网资源。
∙采用RADIUS服务器作为认证/计费服务器。
图1基于IPv6的Portal接入认证控制功能组网图
3.2配置注意事项
∙在AC接口上配置的IPv6地址需要与Portal认证服务器和RADIUS服务器上的接入设备的IPv6地址保持一致。
∙保证Client在Portal认证使用的IPv6地址符合Portal服务器配置的IPv6地址组接入范围。
∙配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。
3.3配置步骤
3.3.1AC的配置
（1）配置AC接口
#全局使能IPv6功能。
system-view
[AC]ipv6
#创建VLAN100及其对应的VLAN接口，并为该接口配置IP地址。
AC将使用该接口的IP地址与AP建立LWAPP隧道。
[AC]vlan100
[AC-vlan100]quit
[AC]interfacevlan-interface100
[AC-Vlan-interface100]ipaddress126.100.1.116
[AC-Vlan-interface100]quit
#创建VLAN200作为WLAN-ESS接口的缺省VLAN。
[AC]vlan200
[AC-vlan200]quit
#创建VLAN300作为Client接入的业务VLAN，配置VLAN300的接口IPv6地址。
[AC]vlan300
[AC-vlan300]quit
[AC]interfacevlan-interface300
[AC-Vlan-interface300]ipv6address2001:
8279:
300:
:
25364
[AC-Vlan-interface300]quit
#配置AC与Switch相连的的GigabitEthernet1/0/1为Trunk类型，禁止VLAN1报文通过，允许VLAN100和VLAN300通过，当前Trunk口的PVID为100。
[AC]interfacegigabitethernet1/0/1
[AC-GigabitEthernet1/0/1]portlink-typetrunk
[AC-GigabitEthernet1/0/1]undoporttrunkpermitvlan1
[AC-GigabitEthernet1/0/1]porttrunkpermitvlan100300
[AC-GigabitEthernet1/0/1]porttrunkpvidvlan100
[AC-GigabitEthernet1/0/1]quit
#创建WLAN-ESS1接口，并进入该视图。
[AC]interfacewlan-ess1
#设置端口的链路类型为Hybrid。
[AC-WLAN-ESS1]portlink-typehybrid
#设置端口允许VLAN200的报文不带VLANtag通过。
[AC-WLAN-ESS1]porthybridvlan200untagged
#设置端口禁止VLAN1的报文通过。
[AC-WLAN-ESS1]undoporthybridvlan1
#指定端口缺省VLAN为VLAN200。
[AC-WLAN-ESS1]porthybridpvidvlan200
#使能端口的MACVLAN功能。
[AC-WLAN-ESS1]mac-vlanenable
[AC-WLAN-ESS1]quit
（2）配置RADIUS方案
#创建名字为office的RADIUS方案并进入该方案视图。
[AC]radiusschemeoffice
#配置RADIUS方案的主认证服务器IPv6地址。
[AC-radius-office]primaryauthentication2001:
8279:
300:
:
20
#配置RADIUS方案的主计费服务器IPv6地址。
[AC-radius-office]primaryaccounting2001:
8279:
300:
:
20
#将RADIUS方案office的认证报文的共享密钥设置为明文1234。
[AC-radius-office]keyauthenticationsimple1234
#将RADIUS方案office的计费报文的共享密钥设置为明文1234。
[AC-radius-office]keyaccountingsimple1234
#配置发送给RADIUS服务器的用户名不携带ISP域名。
[AC-radius-office]user-name-formatwithout-domain
[AC-radius-office]quit
（3）配置认证域
#创建office域并进入其视图。
[AC]domainoffice
#为Portal用户配置认证方案为RADIUS方案，方案名为office。
[AC-isp-office]authenticationportalradius-schemeoffice
#为Portal用户配置授权方案为RADIUS方案，方案名为office。
[AC-isp-office]authorizationportalradius-schemeoffice
#为Portal用户配置计费方案为RADIUS方案，方案名为office。
[AC-isp-office]accountingportalradius-schemeoffice
[AC-isp-office]quit
#把配置的认证域office设置为系统缺省的ISP域。
[AC]domaindefaultenableoffice
（4）配置无线服务
#创建clear类型的服务模板1。
[AC]wlanservice-template1clear
#设置服务模板1的SSID为service。
[AC-wlan-st-1]ssidservice
#将WLAN-ESS1接口绑定到服务模板1。
[AC-wlan-st-1]bindwlan-ess1
#启用无线服务。
[AC-wlan-st-1]service-templateenable
[AC-wlan-st-1]quit
（5）在AC下绑定无线服务模板
#创建型号为WA2620E-AGN的AP模板名为officeap，指定其序列号。
[AC]wlanapofficeapmodelWA2620E-AGN
[AC-wlan-ap-officeap]serial-id21023529G007C000020
#进入radio2射频视图。
[AC-wlan-ap-officeap]radio2
#配置的服务模板1与射频2关联，设置绑定到射频接口的VLAN编号为VLAN300。
[AC-wlan-ap-officeap-radio-2]service-template1vlan-id300
#使能AP的radio2。
[AC-wlan-ap-officeap-radio-2]radioenable
[AC-wlan-ap-officeap-radio-2]quit
[AC-wlan-ap-officeap]quit
（6）配置Portal认证
#配置Portal服务器office的IPv6地址为2001:
8279:
300:
:
20，密钥为1234，URL为http:
//[2001:
8279:
300:
:
20]:
8080/portal。
[AC]portalserverofficeipv62001:
8279:
300:
:
20key1234urlhttp:
//[2001:
8279:
300:
:
20]:
8080/portal
#配置Portal免认证规则0，符合源接口为GigabitEthernet1/0/1的任意报文不会触发Portal认证。
[AC]portalfree-rule0sourceinterfacegigabitethernet1/0/1destinationany
#配置接口VLAN300使能Portal，指定Portal服务器为office，并配置为直接认证方式。
[AC]interfacevlan-interface300
[AC–Vlan-interface300]portalserverofficemethoddirect
#配置接口VLAN300发送Portal报文使用的IPv6源地址为2001:
8279:
300:
:
253。
[AC–Vlan-interface300]portalnas-ipipv62001:
8279:
300:
:
253
#配置接口VLAN300启用Portal认证域office。
[AC–Vlan-interface300]portaldomainipv6office
[AC–Vlan-interface300]quit
3.3.2Switch的配置
#创建VLAN100和VLAN300，其中VLAN100用于转发AC和AP间LWAPP隧道内的流量，VLAN300为无线客户端接入的VLAN。
[Switch]vlan100
[Switch-vlan100]quit
[Switch]vlan300
[Switch-vlan300]quit
#配置Switch与AC相连的的GigabitEthernet1/0/1接口属性Trunk，禁止VLAN1报文通过，当前Trunk口的PVID为100，允许VLAN100和VLAN300通过。
[Switch]interfacegigabitethernet1/0/1
[Switch-GigabitEthernet1/0/1]portlink-typetrunk
[Switch-GigabitEthernet1/0/1]undoporttrunkpermitvlan1
[Switch-GigabitEthernet1/0/1]porttrunkpermitvlan100300
[Switch-GigabitEthernet1/0/1]porttrunkpvidvlan100
[Switch-GigabitEthernet1/0/1]quit
#配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN100通过。
[Switch]interfacegigabitethernet1/0/2
[Switch-GigabitEthernet1/0/2]portlink-typeaccess
[Switch-GigabitEthernet1/0/2]portaccessvlan100
#配置Switch与AP相连的GigabitEthernet1/0/2接口使能PoE功能。
[Switch-GigabitEthernet1/0/2]poeenable
[Switch-GigabitEthernet1/0/2]quit
#配置Switch与DHCP服务器相连的GigabitEthernet1/0/3接口属性为Access，并允许VLAN100通过。
[Switch]interfacegigabitethernet1/0/3
[Switch-GigabitEthernet1/0/3]portlink-typeaccess
[Switch-GigabitEthernet1/0/3]portaccessvlan100
[Switch-GigabitEthernet1/0/3]quit
#配置Switch与RADIUS/Portal服务器相连的GigabitEthernet1/0/4接口属性为Access，并允许VLAN100通过。
[Switch]interfacegigabitethernet1/0/4
[Switch-GigabitEthernet1/0/4]portlink-typeaccess
[Switch-GigabitEthernet1/0/4]portaccessvlan100
[Switch-GigabitEthernet1/0/4]quit
3.3.3RADIUS服务器的配置
下面以iMC为例（使用iMC版本为：
iMCPLAT5.2（E0401）、iMCUAM5.2（E0402）），说明RADIUS服务器的基本配置。
#启用IPv6功能。
登录进入iMC管理平台，选择“业务”页签，单击导航树中的[用户接入管理/业务参数配置]菜单项，选择<系统配置>，进入“系统配置”页面，再选择<系统参数配置>，单击
，进入“系统参数配置”页面。
∙选择“启用IPv6”为“是”；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图1启用IPv6功能
#增加接入设备。
登录进入iMC管理平台，选择“业务”页签，单击导航树中的[用户接入管理/接入设备管理/接入设备配置]菜单项，单击<增加>按钮，进入“增加接入设备”页面。
∙设置认证及计费的端口号分别为“1812”和“1813”；
∙设置与AC交互报文时使用的认证、计费共享密钥为“1234”；
∙选择业务类型为“LAN接入业务”；
∙选择接入设备类型为“H3C”；
∙选择“增加IPv6设备”，添加IPv6地址为“2001:
8279:
300:
:
253”；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图2增加接入设备
#配置接入规则。
选择“业务”页签，单击导航树中的[用户接入管理/接入规则管理]菜单项，单击<增加>按钮，创建一条接入规则。
∙接入规则名输入“office”。
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图3配置接入规则
#增加服务配置。
选择“业务”页签，单击导航树中的[用户接入管理/服务配置管理]菜单项，进入服务器配置管理页面，在该页面中单击<增加>按钮，进入增加服务配置页面。
∙输入服务名为“office”、服务后缀为“office”；
∙缺省接入规则输入“office”；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图4增加服务配置
#增加用户配置。
选择“用户”页签，单击导航树中的[接入用户视图/所有接入用户]菜单项，单击<增加>按钮，增加一个接入用户，再选择<增加用户>。
∙用户姓名输入“portaluser”；
∙证件号码输入“1234”；
∙用户分组选择“未分组”；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图5增加用户配置
#增加接入用户配置。
返回主页面，输入：
∙账号名输入“office”；
∙密码与密码确认输入“1234”；
∙选择服务名“office”；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图6增加接入用户配置
3.3.4Portal服务器的配置
下面以iMC为例（使用iMC版本为：
iMCPLAT5.2（E0401）、iMCUAM5.2（E0402）），说明Portal服务器的基本配置。
#配置Portal服务器。
登录进入iMC管理平台，选择“业务”页签，单击导航树中的[用户接入管理/Portal服务器管理/服务器配置]菜单项，进入服务器配置页面。
∙Portal主页选择http:
//2001:
8279:
300:
:
20:
8080/portal/；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图1Portal认证服务器配置页面
#配置IPv6地址组。
单击导航树中的[用户接入管理/Portal服务管理/IP地址组配置]菜单项，进入IP地址组配置页面，在该页面中单击<增加>按钮，进入增加IP地址组配置页面。
∙填写IP地址组名“portaluser”；
∙输入起始地址“2001:
8279:
300:
:
0”；
∙输入终止地址“2001:
8279:
300:
:
FFFF:
FFFF:
FFFF:
FFFF”；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图2增加IP地址组配置页面
#配置Portal设备。
单击导航树中的[用户接入管理/Portal服务管理/设备配置]菜单项，进入Portal设备配置页面，在该页面中单击<增加>按钮，进入增加设备信息配置页面。
∙填写设备名“NAS”；
∙指定IP地址为与接入用户相连的设备接口IPv6地址“2001:
8279:
300:
:
253”；
∙选择版本，Portal3.0；
∙密钥与密钥确认输入“1234”与AC上的配置保持一致；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图3增加设备信息配置页面
#Portal设备关联IPv6地址组
在Portal设备配置页面中的设备信息列表中，点击NAS设备的<操作|端口组信息管理>链接，进入端口组信息配置页面。
图4设备信息列表
#配置端口组信息。
在端口组信息配置页面中点击<增加>按钮，进入增加端口组信息配置页面。
∙填写端口组名“group”；
∙选择IP地址组“portaluser”，用户接入网络时使用的IP地址必须属于所选的IP地址组；
∙其它参数采用缺省值，并单击<确定>按钮完成操作。
图5增加端口组信息配置页面
3.4验证配置
#使用命令displaywlanapall可以看到AP与AC已经成功建立连接。
displaywlanapall
TotalNumberofAPsconfigured:
1
TotalNumberofconfiguredAPsconnected:
1
TotalNumberofautoAPsconnected:
0
APProfiles
State:
I=Idle,J=Join,JA=JoinAck,IL=ImageLoad
C=Config,R=Run,KU=KeyUpdate,KC=KeyCfm
M=Master,B=Backup
--------------------------------------------------------------------------------
APNameStateModelSerial-ID
--------------------------------------------------------------------------------
officeapR/MWA2620E-AGN21023529G007C000020
-------------------------------------------------------------------------------
#通过displaywlanclient命令可以看到Client通过SSIDservice使用VLAN300成功接入，此时Client只能够ping通Portalserver的地址。
displaywlanclient
TotalNumberofClients:
1
ClientInformation
SSID:
service
--------------------------------------------------------------------------------
MACAddressUserNameAPID/RIDIPAddressVLAN
--------------------------------------------------------------------------------
0024-d77d-52bc-NA-1/20.0.0.0300
--------------------------------------------------------------------------------
#Client通过访问HTTP的IPv6地址触发Portal认证，输入正确的用户名office和密码1234后，能够认证成功。
通过Portal认证后，可以访问网络资源。
displayportaluserall
Index:
0
State:
ONLINE
SubState:
NONE
ACL:
NONE
Work-mode:
stand-alone
MACIPVlanInterface
-------------------------------------------------------------------------------
0024-d77d-52bc2001:
8279:
300:
0:
1300Vlan-interface300
Total1user（s）matched,1listed.
3.5配置文件
∙AC：
#
domaindefaultenableoffice
#
ipv6
#
portalserverofficeipv62001:
8279:
300:
:
20keycipher$c$3$RlNc0UcQcm1IEkYVmswceR2faejx77o=urlhtt
升级会员 