配置有线无线用户混合认证示例

操作步骤

1. 配置网络互连互通

   # 在SwitchA上创建VLAN并配置接口允许通过的VLAN。

   <HUAWEI> system-view
   [HUAWEI] sysname SwitchA
   [SwitchA] vlan batch 100 200 300
   [SwitchA] interface eth-trunk 10
   [SwitchA-Eth-Trunk10] port link-type trunk
   [SwitchA-Eth-Trunk10] port trunk allow-pass vlan 100 200
   [SwitchA-Eth-Trunk10] quit
   [SwitchA] interface gigabitethernet 0/0/1
   [SwitchA-GigabitEthernet0/0/1] eth-trunk 10
   [SwitchA-GigabitEthernet0/0/1] quit
   [SwitchA] interface gigabitethernet 0/0/2
   [SwitchA-GigabitEthernet0/0/2] eth-trunk 10
   [SwitchA-GigabitEthernet0/0/2] quit
   [SwitchA] interface gigabitethernet 0/0/3
   [SwitchA-GigabitEthernet0/0/3] port link-type trunk
   [SwitchA-GigabitEthernet0/0/3] port trunk allow-pass vlan 300
   [SwitchA-GigabitEthernet0/0/3] quit
   [SwitchA] interface vlanif 100
   [SwitchA-Vlanif100] ip address 10.1.1.1 24  
   [SwitchA-Vlanif100] quit
   [SwitchA] interface vlanif 200
   [SwitchA-Vlanif200] ip address 10.2.1.1 24
   [SwitchA-Vlanif200] quit
   [SwitchA] interface vlanif 300
   [SwitchA-Vlanif300] ip address 10.3.1.1 24
   [SwitchA-Vlanif300] quit
   [SwitchA] ip route-static 0.0.0.0 0.0.0.0 10.3.1.2 

   # 在SwitchB上配置802.1X报文透传功能、创建VLAN并配置接口允许通过的VLAN。

   SwitchB作为二层交换机，为保证用户能够通过802.1X认证，需在SwitchB上配置802.1X报文透传功能。本例的二层交换机以S5720-LI为例。

   <HUAWEI> system-view
   [HUAWEI] sysname SwitchB
   [SwitchB] vlan batch 100 200
   [SwitchB] l2protocol-tunnel user-defined-protocol 802.1X protocol-mac 0180-c200-0003 group-mac 0100-0000-0002
   [SwitchB] interface eth-trunk 10
   [SwitchB-Eth-Trunk10] l2protocol-tunnel user-defined-protocol 802.1X enable
   [SwitchB-Eth-Trunk10] bpdu enable
   [SwitchB-Eth-Trunk10] port link-type trunk
   [SwitchB-Eth-Trunk10] port trunk allow-pass vlan 100 200
   [SwitchB-Eth-Trunk10] quit
   [SwitchB] interface gigabitethernet 0/0/1
   [SwitchB-GigabitEthernet0/0/1] eth-trunk 10
   [SwitchB-GigabitEthernet0/0/1] quit
   [SwitchB] interface gigabitethernet 0/0/2
   [SwitchB-GigabitEthernet0/0/2] eth-trunk 10
   [SwitchB-GigabitEthernet0/0/2] quit
   [SwitchB] interface gigabitethernet 0/0/3
   [SwitchB-GigabitEthernet0/0/3] l2protocol-tunnel user-defined-protocol 802.1X enable
   [SwitchB-GigabitEthernet0/0/3] bpdu enable
   [SwitchB-GigabitEthernet0/0/3] port link-type trunk
   [SwitchB-GigabitEthernet0/0/3] port trunk allow-pass vlan 100 200
   [SwitchB-GigabitEthernet0/0/3] quit

   # 在SwitchC上配置802.1X报文透传功能、创建VLAN并配置接口允许通过的VLAN。

   SwitchC作为二层交换机，为保证用户能够通过802.1X认证，需在SwitchC上配置802.1X报文透传功能。本例的二层交换机以S5720-LI为例。

   <HUAWEI> system-view
   [HUAWEI] sysname SwitchC
   [SwitchC] vlan batch 100 200
   [SwitchC] l2protocol-tunnel user-defined-protocol 802.1X protocol-mac 0180-c200-0003 group-mac 0100-0000-0002
   [SwitchC] interface gigabitethernet 0/0/1
   [SwitchC-GigabitEthernet0/0/1] l2protocol-tunnel user-defined-protocol 802.1X enable
   [SwitchC-GigabitEthernet0/0/1] bpdu enable
   [SwitchC-GigabitEthernet0/0/1] port link-type access
   [SwitchC-GigabitEthernet0/0/1] port default vlan 100
   [SwitchC-GigabitEthernet0/0/1] quit
   [SwitchC] interface gigabitethernet 0/0/2
   [SwitchC-GigabitEthernet0/0/2] l2protocol-tunnel user-defined-protocol 802.1X enable
   [SwitchC-GigabitEthernet0/0/2] bpdu enable
   [SwitchC-GigabitEthernet0/0/2] port link-type access
   [SwitchC-GigabitEthernet0/0/2] port default vlan 200
   [SwitchC-GigabitEthernet0/0/2] quit
   [SwitchC] interface gigabitethernet 0/0/3
   [SwitchC-GigabitEthernet0/0/3] l2protocol-tunnel user-defined-protocol 802.1X enable
   [SwitchC-GigabitEthernet0/0/3] bpdu enable
   [SwitchC-GigabitEthernet0/0/3] port link-type trunk
   [SwitchC-GigabitEthernet0/0/3] port trunk allow-pass vlan 100 200
   [SwitchC-GigabitEthernet0/0/3] quit

2. 在SwitchA上配置DHCP功能。

   配置VLANIF100为AP分配地址、VLANIF200为有线用户分配地址、VLANIF300为无线用户分配IP地址。

   [SwitchA] dhcp enable
   [SwitchA] interface vlanif 100
   [SwitchA-Vlanif100] dhcp select interface
   [SwitchA-Vlanif100] quit
   [SwitchA] interface vlanif 200
   [SwitchA-Vlanif200] dhcp select interface 
   [SwitchA-Vlanif200] quit
   [SwitchA] interface vlanif 300
   [SwitchA-Vlanif300] dhcp select interface 
   [SwitchA-Vlanif300] quit

3. 在SwitchA上配置AAA。
   1. 创建并配置RADIUS服务器模板、AAA认证方案以及认证域。
      # 创建并配置RADIUS服务器模板“rd1”。

      [SwitchA] radius-server template rd1
      [SwitchA-radius-rd1] radius-server authentication 10.5.1.3 1812
      [SwitchA-radius-rd1] radius-server accounting 10.5.1.3 1813
      [SwitchA-radius-rd1] radius-server shared-key cipher Example@2014
      [SwitchA-radius-rd1] quit

      # 创建AAA认证方案“abc”并配置认证方式为RADIUS。

      [SwitchA] aaa
      [SwitchA-aaa] authentication-scheme abc
      [SwitchA-aaa-authen-abc] authentication-mode radius
      [SwitchA-aaa-authen-abc] quit

      # 配置计费方案“acco1”。

      [SwitchA-aaa] accounting-scheme acco1
      [SwitchA-aaa-accounting-acco1] accounting-mode radius
      [SwitchA-aaa-accounting-acco1] accounting realtime 15  
      [SwitchA-aaa-accounting-acco1] quit

      # 创建认证域“isp”，并在其上绑定AAA认证方案“abc”、计费方案acco1与RADIUS服务器模板“rd1”。

      [SwitchA-aaa] domain isp
      [SwitchA-aaa-domain-isp] authentication-scheme abc
      [SwitchA-aaa-domain-isp] accounting-scheme acco1
      [SwitchA-aaa-domain-isp] radius-server rd1
      [SwitchA-aaa-domain-isp] quit
      [SwitchA-aaa] quit

   2. 配置AP不认证。
      # 创建AAA认证方案“noauthen”并配置认证方式为none。

      [SwitchA] aaa
      [SwitchA-aaa] authentication-scheme noauthen
      [SwitchA-aaa-authen-noauthen] authentication-mode none
      [SwitchA-aaa-authen-noauthen] quit

      # 创建AP的认证域。

      [SwitchA-aaa] domain ap_noauthen
      [SwitchA-aaa-domain-ap_noauthen] authentication-scheme noauthen
      [SwitchA-aaa-domain-ap_noauthen] quit
      [SwitchA-aaa] quit

      # 配置AP不认证方式有2种，用户可以选择配置。推荐使用方式一。

      • 方式一：根据MAC前缀，指定AP认证域。

        [SwitchA] domain ap_noauthen mac-authen force mac-address 00e0-fc8d-4020 mask ffff-ffff-ff00

      • 方式二：配置用户上下文识别功能。

        [SwitchA] access-context profile enable    //开启用户上下文识别功能
        [SwitchA] access-context profile name ap_access    //创建用户上下文模板
        [SwitchA-access-context-ap_access] if-match vlan-id 100    //配置基于VLAN的识别策略，其中VLAN为AP的管理VLAN
        [SwitchA-access-context-ap_access] quit
        [SwitchA] access-author policy name ap_noauthen    //创建用户认证事件授权策略
        [SwitchA-access-author-ap_noauthen] match access-context-profile ap_access action access-domain ap_noauthen force    //配置匹配用户上下文模板的接入用户的强制认证域
        [SwitchA-access-author-ap_noauthen] quit
        [SwitchA] access-author policy ap_noauthen global    //应用用户认证事件授权策略

        强制域、用户自带域和默认域在不同视图下的优先级从高到低依次是：认证模板下指定认证方式的强制域>认证模板下的强制域>基于用户上下文模板指定认证方式的强制域>基于用户上下文模板的强制域>用户自带认证域>认证模板下指定认证方式的默认域>认证模板下的默认域>基于用户上下文模板指定认证方式的默认域>基于用户上下文模板的默认域>全局默认域。

4. 在SwitchA上配置802.1X和MAC认证。
   # 将NAC配置模式切换成统一模式。

   [SwitchA] authentication unified-mode

   设备默认为统一模式。传统模式与统一模式相互切换后，设备会自动重启。

   # 配置MAC接入模板。

   [SwitchA] mac-access-profile name m1
   [SwitchA-mac-access-profile-m1] quit

   # 配置802.1X接入模板。

   [SwitchA] dot1x-access-profile name d1
   [SwitchA-dot1x-access-profile-d1] dot1x authentication-method eap
   [SwitchA-dot1x-access-profile-d1] quit

   # 在认证模板“p1”下绑定MAC接入模板和802.1X接入模板。

   [SwitchA] authentication-profile name p1
   [SwitchA-authen-profile-p1] mac-access-profile m1    
   [SwitchA-authen-profile-p1] dot1x-access-profile d1

   # 使能MAC旁路认证功能和认证域。

   [SwitchA-authen-profile-p1] authentication dot1x-mac-bypass   
   [SwitchA-authen-profile-p1] access-domain isp  
   [SwitchA-authen-profile-p1] quit

   # 在接口下绑定认证模板。

   [SwitchA] interface eth-trunk 10
   [SwitchA-Eth-Trunk10] authentication-profile p1
   [SwitchA-Eth-Trunk10] quit

5. 配置Agile Controller-Campus。
   1. 登录Agile Controller-Campus。
   2. 选择“资源 > 用户管理”，点击“增加”按钮，创建普通账号。
   3. 选择“资源 > 设备 > 设备管理”，单击“增加”，设置SwitchA的参数，包括SwitchA的IP地址、RADIUS认证和计费相关参数。

6. 验证配置结果。

   1. 用户认证成功后即可访问网络。

   2. 用户上线后，管理员可在设备上执行命令display access-user查看在线用户信息。