所选语种没有对应资源,请选择:

本站点使用Cookies,继续浏览表示您同意我们使用Cookies。Cookies和隐私政策>

提示

尊敬的用户,您的IE浏览器版本过低,为获取更好的浏览体验,请升级您的IE浏览器。

升级

S1720, S2700, S5700, S6720 V200R012(C00&C20) 配置指南-安全

本文档介绍了安全的配置,具体包括ACL配置、本机防攻击配置、MFF配置、攻击防范配置、流量抑制及风暴控制配置、ARP安全配置、端口安全配置、DHCP Snooping配置、ND Snooping配置、PPPoE+配置、IPSG配置、SAVI配置、URPF配置、Keychain配置、MPAC配置、PKI配置、业务与管理隔离配置、安全风险查询配置
评分并提供意见反馈 :
华为采用机器翻译与人工审校相结合的方式将此文档翻译成不同语言,希望能帮助您更容易理解此文档的内容。 请注意:即使是最好的机器翻译,其准确度也不及专业翻译人员的水平。 华为对于翻译的准确性不承担任何责任,并建议您参考英文文档(已提供链接)。
使用用户ACL对企业内用户的访问权限进行分组控制示例

使用用户ACL对企业内用户的访问权限进行分组控制示例

组网需求

图1-21所示,某公司办公区内大量用户终端通过Switch接入公司内部网络。由于部分部门有多个分部,各分部人员办公位置分布较散,所以同一部门的用户终端未共用同一网段的IP地址。

管理员希望Switch能对各部门接入的用户终端(包括主机和打印机)进行认证,防止非法用户接入破坏公司内网环境。同时,由于各部门人员的工作性质不同,管理员还希望Switch能为不同部门的人员授予不同的网络访问权限,避免各部门之间相互访问造成公司机密的泄露。

具体要求如下:
  • 禁止市场部人员访问IT部。
  • 禁止研发部人员访问IT部。
图1-21  使用用户ACL对企业内用户的访问权限进行分组控制示例组网图

配置思路

采用如下思路在Switch上进行配置:

  1. 创建并配置RADIUS服务器模板、AAA方案以及认证域,并在认证域下绑定RADIUS服务器模板与AAA方案,保证Switch与RADIUS Server之间能够信息交互,使用户终端可以通过RADIUS服务器进行认证。

  2. 由于各部门的用户终端类型包括用户主机和无法安装802.1X客户端的打印机,因此可以同时配置MAC认证和802.1X认证功能并使MAC认证优先,保证所有类型的用户终端均能够通过认证访问网络资源。

  3. 由于各部门用户终端数量较多且部分部门内的终端分布在不同网段,为每台终端单独部署网络访问权限的控制策略工作量巨大,因此可以配置UCL组对用户终端进行分类,并配置用户ACL关联UCL组使每个组内的终端可以复用一组ACL规则,以减小管理员的工作量,也可以节约设备的ACL资源。

  4. 创建业务方案,并在业务方案中应用UCL组,以实现对各部门的网络访问权限进行分组控制。

说明:

本举例只包括Switch上的配置,LAN Switch和RADIUS服务器的配置这里不做相关说明。

操作步骤

  1. 配置接口所属的VLAN以及接口的IP地址,保证网络通畅。

    # 创建VLAN10、VLAN20、VLAN30和VLAN40。

    <HUAWEI> system-view
    [HUAWEI] sysname Switch
    [Switch] vlan batch 10 20 30 40
    

    # 配置Switch的接口GE0/0/1GE0/0/2GE0/0/3GE0/0/4为trunk类型接口,并分别加入VLAN10、VLAN20、VLAN30和VLAN40。以接口GE0/0/1为例,接口GE0/0/2GE0/0/3GE0/0/4的配置与GE0/0/1类似,不再赘述。

    [Switch] interface gigabitethernet 0/0/1
    [Switch-GigabitEthernet0/0/1] port link-type trunk
    [Switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 10
    [Switch-GigabitEthernet0/0/1] quit

    # 创建VLANIF10、VLANIF20、VLANIF30和VLANIF40,并配置各VLANIF接口的IP地址,使用户终端、Switch、企业内网资源之间能够建立起路由。

    [Switch] interface vlanif 10
    [Switch-Vlanif10] ip address 192.168.1.1 24
    [Switch-Vlanif10] quit
    [Switch] interface vlanif 20
    [Switch-Vlanif20] ip address 192.168.2.1 24
    [Switch-Vlanif20] quit
    [Switch] interface vlanif 30
    [Switch-Vlanif30] ip address 192.168.3.1 24
    [Switch-Vlanif30] quit
    [Switch] interface vlanif 40
    [Switch-Vlanif40] ip address 192.168.4.29 24
    [Switch-Vlanif40] quit
    

  2. 创建并配置RADIUS服务器模板、AAA方案以及认证域。

    # 创建并配置RADIUS服务器模板“rd1”。

    [Switch] radius-server template rd1
    [Switch-radius-rd1] radius-server authentication 192.168.4.30 1812
    [Switch-radius-rd1] radius-server shared-key cipher huawei@2017
    [Switch-radius-rd1] radius-server retransmit 2
    [Switch-radius-rd1] quit

    # 创建AAA方案“abc”并配置认证方式为RADIUS。

    [Switch] aaa
    [Switch-aaa] authentication-scheme abc
    [Switch-aaa-authen-abc] authentication-mode radius
    [Switch-aaa-authen-abc] quit

    # 创建认证域“abc11”,并在认证域其上绑定AAA方案“abc”与RADIUS服务器模板“rd1”。

    [Switch-aaa] domain abc11
    [Switch-aaa-domain-abc11] authentication-scheme abc
    [Switch-aaa-domain-abc11] radius-server rd1
    [Switch-aaa-domain-abc11] quit
    [Switch-aaa] quit
    

  3. 配置MAC认证和802.1X认证。

    # 将NAC模式切换为统一模式。

    说明:

    缺省情况下,NAC配置模式为统一模式,无需执行此步骤。

    传统模式与统一模式相互切换后,必须重启设备,新配置模式的各项功能才能生效。

    [Switch] authentication unified-mode
    # 配置MAC接入模板。
    [Switch] mac-access-profile name m1
    [Switch-mac-access-profile-m1] mac-authen username fixed A-123 password cipher Huawei123    
    [Switch-mac-access-profile-m1] quit
    # 配置802.1X接入模板。
    说明:

    802.1X接入模板默认采用EAP认证方式。请确保RADIUS服务器支持EAP协议,否则无法处理802.1X认证请求。

    [Switch] dot1x-access-profile name d1
    [Switch-dot1x-access-profile-d1] quit
    # 配置认证模板。
    [Switch] authentication-profile name p1
    [Switch-authen-profile-p1] mac-access-profile m1    
    [Switch-authen-profile-p1] dot1x-access-profile d1    
    [Switch-authen-profile-p1] authentication dot1x-mac-bypass
    [Switch-authen-profile-p1] quit

    # 在接口GE0/0/1GE0/0/2GE0/0/3下使能MAC认证和802.1X认证。

    [Switch] interface gigabitethernet 0/0/1
    [Switch-GigabitEthernet0/0/1] authentication-profile p1
    [Switch-GigabitEthernet0/0/1] quit
    [Switch] interface gigabitethernet 0/0/2
    [Switch-GigabitEthernet0/0/2] authentication-profile p1
    [Switch-GigabitEthernet0/0/2] quit
    [Switch] interface gigabitethernet 0/0/3
    [Switch-GigabitEthernet0/0/3] authentication-profile p1
    [Switch-GigabitEthernet0/0/3] quit

  4. 创建UCL组,并配置关联UCL组的用户ACL,最后应用用户ACL对报文进行过滤。

    # 创建UCL组group_m和group_r。将市场部规划到group_m中,研发部规划到group_r中。

    [Switch] ucl-group 1 name group_m
    [Switch] ucl-group 2 name group_r
    
    说明:

    RADIUS服务器上必须同时存在市场、研发部门用户对应的用户组信息。

    # 创建用户ACL 6001并配置ACL规则。配置rule 5,禁止市场部人员访问IT部;配置rule 10,禁止研发部人员访问IT部。

    [Switch] acl 6001
    [Switch-acl-ucl-6001] rule 5 deny ip source ucl-group name group_m destination 192.168.3.0 0.0.0.255
    [Switch-acl-ucl-6001] rule 10 deny ip source ucl-group name group_r destination 192.168.3.0 0.0.0.255
    [Switch-acl-ucl-6001] quit
    

    # 配置基于用户ACL对报文进行过滤,使用户ACL生效。

    [Switch] traffic-filter inbound acl 6001
    

  5. 创建业务方案“service-scheme1”、“service-scheme2”,并在业务方案中分别应用UCL组group_m、group_r,实现各部门网络权限的分组控制。

    [Switch] aaa
    [Switch-aaa] service-scheme service-scheme1 
    [Switch-aaa-service-service-scheme1] ucl-group name group_m
    [Switch-aaa-service-service-scheme1] quit
    [Switch-aaa] service-scheme service-scheme2 
    [Switch-aaa-service-service-scheme2] ucl-group name group_r
    [Switch-aaa-service-service-scheme2] quit
    [Switch-aaa] quit
    [Switch] quit
    说明:

    执行以上步骤后,还需对RADIUS服务器进行配置,将service-scheme与用户关联。

  6. 验证配置结果。

    # 执行命令display acl all,查看用户ACL规则的配置信息。

    <Switch> display acl all
     Total nonempty ACL number is 1                                                                                                     
                                                                                                                                        
    Ucl-group ACL 6001, 2 rules                                                                                                         
    Acl's step is 5                                                                                                                     
     rule 5 deny ip source ucl-group name group_m destination 192.168.3.0 0.0.0.255
     rule 10 deny ip source ucl-group name group_r destination 192.168.3.0 0.0.0.255
    

    # 执行命令display ucl-group all,检查创建的所有ucl-group信息。

    <Switch> display ucl-group all
    ID       UCL group name                                                         
    --------------------------------------------------------------------------------
    1        group_m                                                                
    2        group_r                                                                
    --------------------------------------------------------------------------------
    Total : 2  

    # 执行命令display dot1x,查看802.1X认证的配置信息。从显示信息中能够看到接口GE0/0/1GE0/0/2GE0/0/3下已使能了802.1X认证(802.1x protocol is Enabled)。

    # 执行命令display mac-authen,查看MAC认证的配置信息。从显示信息中能够看到接口GE0/0/1GE0/0/2GE0/0/3下已使能了MAC认证(MAC address authentication is enabled)。

    # 市场部人员不能访问IT部,研发部人员不能访问IT部。

配置文件

Switch的配置文件

#
sysname Switch
#                                                                               
vlan batch 10 20 30 40
#
authentication-profile name p1
 dot1x-access-profile d1
 mac-access-profile m1
 authentication dot1x-mac-bypass
ucl-group 1 name group_m                                                                 
ucl-group 2 name group_r                                                                  
#
radius-server template rd1
 radius-server shared-key cipher %^%#zH_B2{mN=177WZ2z+G|5)c'OKD[VaPNYP4>&6uC~%^%#
 radius-server authentication 192.168.4.30 1812 weight 80
 radius-server retransmit 2
#
acl number 6001
 rule 5 deny ip source ucl-group name group_m destination 192.168.3.0 0.0.0.255                               
 rule 10 deny ip source ucl-group name group_r destination 192.168.3.0 0.0.0.255 
#
aaa
 authentication-scheme abc
  authentication-mode radius
 service-scheme service-scheme1                                               
  ucl-group name group_m                                                            
 service-scheme service-scheme2                                          
  ucl-group name group_r                                                        
 domain abc11
  authentication-scheme abc
  radius-server rd1
#                                                                               
interface Vlanif10                                                              
 ip address 192.168.1.1 255.255.255.0       
# 
interface Vlanif20                                                              
 ip address 192.168.2.1 255.255.255.0        
#
interface Vlanif30                                                              
 ip address 192.168.3.1 255.255.255.0        
#
interface Vlanif40                                                              
 ip address 192.168.4.29 255.255.255.0        
#                                                                               
interface GigabitEthernet0/0/1                                                  
 port link-type trunk                                                           
 port trunk allow-pass vlan 10                                           
 authentication-profile p1                               
#                                                                               
interface GigabitEthernet0/0/2                                                  
 port link-type trunk                                                           
 port trunk allow-pass vlan 20                                           
 authentication-profile p1
# 
interface GigabitEthernet0/0/3                                                  
 port link-type trunk                                                           
 port trunk allow-pass vlan 30                                           
 authentication-profile p1
# 
interface GigabitEthernet0/0/4                                                  
 port link-type trunk                                                           
 port trunk allow-pass vlan 40
# 
traffic-filter inbound acl 6001
# 
dot1x-access-profile name d1
#
mac-access-profile name m1
 mac-authen username fixed A-123 password cipher %^%#(!XnF'#X^Sc=[&,fH38!OKNNEjez>NO`Z*NJK*s4%^%#
#
return
翻译
下载文档
更新时间:2018-12-24

文档编号:EDOC1100038434

浏览量:34887

下载量:979

平均得分:
本文档适用于这些产品
相关版本
相关文档
Share
上一页 下一页