举例：使用Android/iOS/Windows终端无线接入网络（双SSID场景）
当用户使用Android、iOS或Windows终端无线接入网络时，首先通过初始化SSID下载网络配置工具或配置文件，自动完成网络配置后即可通过802.1X方式接入网络。
举例产品和版本
项目 |
产品 |
版本 |
|---|---|---|
AP |
AP6010DN-AGN |
V200R006C20 |
AC |
AC6605 |
V200R006C20 |
Portal服务器 RADIUS服务器 |
Agile Controller-Campus |
V100R003C20 |
| Windows CA服务器 | Windows Server 2008 R2 Enterprise | Windows Server 2008 R2 Enterprise |
组网需求
某企业为了网络接入安全，要求用户必须使用证书方式的802.1X接入网络认证，但该方式需要用户在终端完成复杂配置才能接入网络。
使用Boarding方案可以简化操作，用户在接入终端自动完成配置。如图1-5所示，Boarding方案提供两个SSID，一个用于初始化网络，采用Portal认证；另一个用于业务访问，采用802.1X认证。
用户接入网络时首先通过初始化网络下载网络配置工具或配置文件，然后自动完成终端配置并切换到802.1X的SSID实现业务访问。
数据规划
项目 |
数据 |
|---|---|
AC |
接口编号：GE 0/0/1 所属VLAN：100 VLANIF 100接口IP地址：192.168.3.2/24 |
接口编号：GE 0/0/2 所属VLAN：100、101、102 VLANIF 101接口IP地址：10.20.210.254/24 VLANIF 102接口IP地址：10.20.211.254/24 |
|
路由器 |
与AC相连接口IP地址：192.168.3.254/24 |
Agile Controller-Campus（Portal服务器&RADIUS服务器） |
192.168.1.210 |
Windows CA服务器 |
192.168.1.211 |
项目 |
数据 |
|---|---|
VLAN |
VLAN100：管理VLAN |
VLAN101：Portal业务VLAN |
|
VLAN102：802.1X业务VLAN |
|
DHCP |
AC作为DHCP服务器，为AP、终端分配如下地址池：
|
认证前域 |
补丁服务器：192.168.1.200 |
认证后域 |
192.168.2.0/24 |
| 认证计费密钥、授权密钥、Portal密钥 | Admin@123 |
| 计费周期（分钟） | 15 |
配置思路
- 在AC完成网络互通和AP上线配置。
- 在AC完成RADIUS模板和802.1X认证配置。
- 在AC完成Portal认证配置。
- 在AC完成认证后域资源配置，允许用户认证通过后访问该资源。
- 在Agile Controller-Campus完成Boarding配置。
- 在Agile Controller-Campus完成认证授权配置。
操作步骤
- 可选：部署Windows CA服务器。
如未部署Windows CA服务器，参见部署CA证书服务器。
- 【设备】配置网络互通和AP上线。
- 配置AP上线。
如果AC与AP间是三层网络，需要在DHCP服务器上配置option 43字段，在字段内填入AC的IP地址用于通告AP，使AP能够发现AC。
- 在系统视图执行命令ip pool ip-pool-name进入IP地址池视图。
- 执行命令option 43 sub-option 2 ip-address AC-ip-address &<1-8>，指定AC的IP地址。
# 创建AP组，用于将相同配置的AP都加入同一AP组中。
[AC] wlan [AC-wlan-view] ap-group name ap-group1 [AC-wlan-ap-group-ap-group1] quit
# 创建域管理模板，在域管理模板下配置AC的国家码并在AP组下引用域管理模板。
[AC-wlan-view] regulatory-domain-profile name domain1 [AC-wlan-regulatory-domain-prof-domain1] country-code cn [AC-wlan-regulatory-domain-prof-domain1] quit [AC-wlan-view] ap-group name ap-group1 [AC-wlan-ap-group-ap-group1] regulatory-domain-profile domain1 Warning: Modifying the country code will clear channel, power and antenna gain configurations of the radio and reset the AP. Continue?[Y/N]:y [AC-wlan-ap-group-ap-group1] quit [AC-wlan-view] quit
# 配置AC的源接口。
[AC] capwap source interface vlanif 100
# 在AC上离线导入AP，并将AP加入AP组“ap-group1”中。假设AP的MAC地址为60de-4476-e360，并且根据AP的部署位置为AP配置名称，便于从名称上就能够了解AP的部署位置。例如MAC地址为60de-4476-e360的AP部署在1号区域，命名此AP为area_1。
AP缺省情况下为MAC认证，如果之前没有修改其缺省配置，可以不用执行ap auth-mode mac-auth。
举例中使用的AP为AP6010DN-AGN，具有射频0和射频1两个射频。AP6010DN-AGN的射频0为2.4GHz射频，射频1为5GHz射频。
[AC] wlan [AC-wlan-view] ap auth-mode mac-auth [AC-wlan-view] ap-id 0 ap-mac 60de-4476-e360 [AC-wlan-ap-0] ap-name area_1 [AC-wlan-ap-0] ap-group ap-group1 Warning: This operation maybe cause AP reset, Whether to continue? [Y/N]y [AC-wlan-ap-0] quit
# AP上电后，当执行命令display ap all查看到AP的“State”字段为“nor”时，表示AP正常上线。
[AC-wlan-view] display ap all Total AP information: nor : normal [1] --------------------------------------------------------------------------------------- ID MAC Name Group IP Type State STA Uptime --------------------------------------------------------------------------------------- 0 60de-4476-e360 area_1 ap-group1 192.168.3.200 AP6010DN-AGN nor 0 5M:2S --------------------------------------------------------------------------------------- Total: 1
- 配置AP上线。
- 【设备】配置RADIUS服务器模板并配置802.1X认证。
- 创建802.1X接入模板“dot1x_access”。
802.1X接入模板默认采用EAP认证方式，需要与Agile Controller-Campus认证规则中的认证协议一致。
[AC] dot1x-access-profile name dot1x_access [AC-dot1x-access-profile-dot1x_access] quit
- 创建802.1X接入模板“dot1x_access”。
- 【设备】配置Portal认证。
- 配置URL模板，指定推送页面的URL和携带用户终端MAC地址。
如果需要对iOS系统的终端设备注册和设备挂失，必须配置url-parameter user-mac usermac，其他情况可无需配置。因为iOS系统在下载配置文件时未发起Portal认证，只是重定向到Portal推送页面，无法通过Portal上线报文携带MAC地址。
[AC] url-template name url_temp [AC-url-template-url_temp] url http://192.168.1.210:8080/portal [AC-url-template-url_temp] url-parameter user-mac usermac [AC-url-template-url_temp] quit
- 配置URL模板，指定推送页面的URL和携带用户终端MAC地址。
- 【Agile Controller-Campus】配置Boarding，实现用户终端802.1X网络自动配置。
选择，按导航完成配置。
- 配置网络接入策略，指定802.1X接入的参数。
802.1X网络接入参数与AC配置一致，关键参数与AC命令对应关系如下：
- 安全类型：security wpa2 dot1x aes
- 加密类型：security wpa2 dot1x aes
- SSID：ssid 802.1X
- 上传CA证书，用于Agile Controller-Campus与用户证书、Windows CA服务器校验。
- 配置SCEP证书服务器，用于向Windows CA服务器申请用户证书。
- 可选：配置OCSP，在线查询用户证书的吊销状态，已吊销的用户证书不可用。建议使用OCSP，如果不配置，可以在配置CRL同步或手工上传CRL验证吊销状态。
- 配置Portal推送策略，分别对不同操作系统终端推送不同的Portal页面，提供适配该终端操作系统类型的网络配置工具/配置文件。
按如下参数分别配置针对Android、iOS和Windows操作系统终端的推送策略，其他参数使用默配置。
- Android
- 名称：Android
- 区分操作系统推送页面：Android
- 推送页面：android boarding portal中文页面
- iOS
- 名称：iOS
- 区分操作系统推送页面：iOS
- 推送页面：双SSID ios boarding portal中文页面
- Windows
- 名称：Windows
- 区分操作系统推送页面：Windows PC
- 推送页面：windows boarding portal中文页面
- Android
- 配置网络接入策略，指定802.1X接入的参数。
- 【Agile Controller-Campus】添加认证控制设备，与认证控制设备实现RADIUS对接。
选择，添加AC。
参数与AC配置命令对应关系如下：
- 认证计费密钥：radius-server shared-key cipher Admin@123
- 授权密钥：radius-server authorization 192.168.1.210 shared-key cipher Admin@123
- 计费周期：accounting realtime 15
- Portal密钥：shared-key cipher Admin@123
- 【Agile Controller-Campus】配置认证授权，用户完成802.1X网络配置后根据配置的认证授权规则获取相应权限。
- 选择，配置通过ACL授权。
“ACL号/AAA用户组”指定的ACL编号3001与AC上配置的一致。
- 选择，配置通过ACL授权。
验证
- Android终端
- 关联Portal无线网络后可以直接访问free-rule指定的补丁服务器；访问其他网站，重定向到针对Android终端的Portal认证页面。
- 在Portal认证页面下载网络配置工具（*.apk）并安装。
- 在网络配置工具输入帐号密码后单击“配置”，自动完成802.1X认证的配置。此时关联的无线网络已切换到802.1X，可以访问后域资源。
- iOS终端
- 关联Portal无线网络后可以直接访问free-rule指定的补丁服务器；访问其他网站，重定向到针对iOS终端的Portal认证页面。
- 在Portal认证页面输入帐号密码请求身份校验。
- 身份校验成功后跳转到Portal认证成功页面，下载配置文件（*.mobileconfig）。
- 安装配置文件后自动完成802.1X认证的配置，手工切换到802.1X无线网络后可以访问后域资源。
- Windows终端
- 关联Portal无线网络后可以直接访问free-rule指定的补丁服务器；访问其他网站，重定向到针对Windows终端的Portal认证页面。
- 在Portal认证页面下载网络配置工具（*.exe）并安装。
- 在网络配置工具输入帐号密码后单击“配置”，自动完成802.1X认证的配置，此时关联的无线网络已切换到802.1X，可以访问后域资源。
