评分并提供意见反馈 :
华为采用机器翻译与人工审校相结合的方式将此文档翻译成不同语言，希望能帮助您更容易理解此文档的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 华为对于翻译的准确性不承担任何责任，并建议您参考英文文档（已提供链接）。
配置通过外置Portal认证控制企业内网用户访问网络示例
组网需求
如图3-19所示，某公司内部大量用户终端通过Switch（作为接入设备）的接口GE0/0/1接入网络。在该网络运行一段时间后，发现存在用户对网络进行攻击。为确保网络的安全性，管理员需对用户终端的网络访问权限进行控制。只有用户终端通过认证后，Switch才允许其访问Internet中的资源。
配置思路
为实现对用户网络访问权限进行限制的需求，在将IP地址为192.168.2.30的服务器用作RADIUS服务器后，管理员可在Switch上配置Portal认证功能，并且选取的Portal服务器的IP地址为192.168.2.20。
具体配置思路如下（均在Switch上进行配置）：
- 创建并配置RADIUS服务器模板、AAA方案以及ISP域，并在ISP域下绑定RADIUS服务器模板与AAA方案。保证了Switch与RADIUS服务器之间的信息交互。
- 配置Portal认证。
- 创建并配置Portal服务器模板，保证设备与Portal服务器的正常信息交互。
- 使能Portal认证功能，对接入用户进行Portal认证。
- 配置设备与Portal服务器信息交互的共享密钥，增强设备与Portal服务器信息交互安全性。
配置本举例之前，需确保网络中各设备之间已能互通。
操作步骤
- 创建并配置RADIUS服务器模板、AAA认证方案以及认证域。
# 创建并配置RADIUS服务器模板“rd1”。
<HUAWEI> system-view [HUAWEI] sysname Switch [Switch] radius-server template rd1 [Switch-radius-rd1] radius-server authentication 192.168.2.30 1812 [Switch-radius-rd1] radius-server shared-key cipher Example@2012 [Switch-radius-rd1] quit
# 创建AAA方案“abc”并配置认证方式为RADIUS。
[Switch] aaa [Switch-aaa] authentication-scheme abc [Switch-aaa-authen-abc] authentication-mode radius [Switch-aaa-authen-abc] quit
# 创建认证域“isp1”，并在其上绑定AAA认证方案“abc”与RADIUS服务器模板“rd1”。
[Switch-aaa] domain isp1 [Switch-aaa-domain-isp1] authentication-scheme abc [Switch-aaa-domain-isp1] radius-server rd1 [Switch-aaa-domain-isp1] quit [Switch-aaa] quit
# 配置全局默认域为“isp1”。用户进行接入认证时，以格式“user@isp1”输入用户名即可在isp1域下进行aaa认证。如果用户名中不携带域名或携带的域名不存在，用户将会在默认域中进行认证。
[Switch] domain isp1# 测试用户是否能够通过RADIUS模板的认证。（已在RADIUS服务器上配置了测试用户test@example.com，用户密码Example2012）
[Switch] test-aaa test@example.com Example2012 radius-template rd1 Info: Account test succeeded. - 创建VLAN并配置接口允许通过的VLAN，保证网络通畅。
[Switch] vlan batch 10 20 [Switch] interface gigabitethernet 0/0/1 [Switch-GigabitEthernet0/0/1] port link-type access [Switch-GigabitEthernet0/0/1] port default vlan 10 [Switch-GigabitEthernet0/0/1] quit [Switch] interface vlanif 10 [Switch-Vlanif10] ip address 192.168.1.1 24 [Switch-Vlanif10] quit [Switch] interface gigabitethernet 0/0/2 [Switch-GigabitEthernet0/0/2] port link-type access [Switch-GigabitEthernet0/0/2] port default vlan 20 [Switch-GigabitEthernet0/0/2] quit [Switch] interface vlanif 20 [Switch-Vlanif10] ip address 192.168.2.1 24 [Switch-Vlanif10] quit
- 配置Portal认证。
# 将NAC配置模式切换成传统模式。
[Switch] undo authentication unified-mode Warning: Switching the authentication mode will take effect after system restart . Some configurations are invalid after the mode is switched. For the invalid co mmands, see the user manual. Save the configuration file and reboot now? [Y/N] y- 缺省情况下，NAC配置模式为统一模式。
- 统一模式切换到传统模式后，管理员必须保存配置并重启设备，新配置模式的各项功能才能生效。
# 创建并配置名称为“abc”的Portal服务器模板。
<Switch> system-view [Switch] web-auth-server abc [Switch-web-auth-server-abc] server-ip 192.168.2.20 [Switch-web-auth-server-abc] port 50200 [Switch-web-auth-server-abc] url http://192.168.2.20:8080/webagent [Switch-web-auth-server-abc] quit
请确保设备配置的端口号与Portal服务器使用的端口号保持一致。
# 使能Portal认证功能。
[Switch] interface vlanif 10 [Switch-Vlanif10] web-auth-server abc direct [Switch-Vlanif10] quit
# 配置设备与Portal服务器信息交互的共享密钥为Example@123，并以密文形式显示。
[Switch] web-auth-server abc [Switch-web-auth-server-abc] shared-key cipher Example@123 [Switch-web-auth-server-abc] quit
本举例中以用户采用静态分配IP地址方式为例。如果用户采用DHCP方式获取IP地址，并且DHCP服务器处于Switch的上行网络，则需使用命令portal free-rule创建免认证规则并且保证DHCP服务器处于免认证规则内。
- 验证配置结果。
- 执行命令display portal和display web-auth-server configuration查看外置Portal认证的配置信息。从显示信息中能够看到接口vlanif10下已绑定Portal服务器模板。（web-auth-server layer2(direct)）。
- 用户打开浏览器输入任意的网络地址后，将会被重定向到Portal认证页面。之后，用户可输入用户名和密码进行认证。
- 如果用户输入的用户名和密码验证正确，Portal认证页面会显示认证成功信息。用户即可访问网络。
- 用户上线后，管理员可在设备上执行命令display access-user查看在线Portal认证用户信息。
配置文件
Switch的配置文件
# sysname Switch # vlan batch 10 20 undo authentication unified-mode # domain isp1 # radius-server template rd1 radius-server shared-key cipher %^%#t67cDelRvAQg;*"4@P/3~q_31Sn{ST\V8'Ci633)%^%# radius-server authentication 192.168.2.30 1812 weight 80 # web-auth-server abc server-ip 192.168.2.20 port 50200 shared-key cipher %^%#t:hJ@gD7<+G&,"Y}Y[VP4\foQ&og/Gg(,J4#\!gD%^%# url http://192.168.2.20:8080/webagent # aaa authentication-scheme abc authentication-mode radius domain isp1 authentication-scheme abc radius-server rd1 # interface Vlanif10 ip address 192.168.1.1 255.255.255.0 web-auth-server abc direct # interface Vlanif20 ip address 192.168.2.1 255.255.255.0 # interface GigabitEthernet0/0/1 port link-type access port default vlan 10 # interface GigabitEthernet0/0/2 port link-type access port default vlan 20 # return
