配置安全策略为WPA2的集中认证+本地转发业务示例
适用的AC：AC6605、AC6005
适用的AP：所有形态的AP
组网需求
如图1所示，现有网络中汇聚交换机连接上层网络，AC采用旁挂方式通过汇聚交换机和接入交换机连接管理AP1。AC和AP之间网络属于三层组网。
企业希望利用AC的集中认证+本地转发功能，通过AC对用户的网络权限进行认证，同时采用直接转发方式传输用户的数据，既保证了无线网络的安全性，又提高了数据的转发效率，有效降低AC的数据转发负荷。
图1 组网配置图
| 规划内容 | 规划数据 |
| WLAN安全 | WPA2(802.1X认证+CCMP加密) |
| Radius 服务器地址 | 192.168.1.2 |
| WLAN服务集 | Name:huawei-1 SSID:huawei WLAN 虚接口：WLAN-ESS0 数据转发模式：直接转发 |
| AP管理VLAN | VLAN 200 |
| AP业务VLAN | AP1：VLAN 101 |
| AP域 | 101 |
| AC Carrier ID/AC ID | CTC/1 |
| WLAN AC SOURCE地址 | 172.16.10.1/24 |
| AP管理IP地址池 | 192.168.10.2～192.168.10.254/24 |
| AP管理网关 | 192.168.10.1/24(汇聚交换机上) |
| AP用户上网公网地址池 | 192.168.11.2～192.168.11.254/24 |
| AP用户上网公网网关 | 192.168.11.1/24(汇聚交换机上) |
| DHCP Server | AC作为AP的DHCP服务器，汇聚交换机作为用户的DHCP服务器 |
配置流程
按照图1进行物理连接，保证AC与IP骨干网之间网络连接正常。
配置接入交换机和汇聚交换机，保证AC与AP路由可达。
在AC上配置WLAN相关业务。
业务下发至AP，用户完成业务验证。
接入交换机或AC上直接接AP的端口，需要添加管理VLAN tag。AP上为零配置。
业务IP地址池给STA分配IP地址，管理IP地址池给AP分配IP地址，两种地址池需要分开配置。
需要将所有二层交换机在AP管理VLAN和业务VLAN内的下行口上配置端口隔离，如果不配置端口隔离，可能会在VLAN内存在不必要的广播报文，或者导致不同AP间的WLAN用户二层互通的问题。端口隔离功能未开启时，建议从接入交换机到AC之间的所有网络设备的接口都配置undo port trunk allow-pass vlan 1，防止引起报文冲突，占用端口资源。
配置802.1X认证时，必须在系统视图下执行dot1x enable命令，在WLAN-ESS接口视图下执行命令dot1x enable和dot1x authentication-method { chap | pap | eap }配置WLAN-ESS接口下的认证方式为802.1X并配置WLAN用户的802.1x认证方法。
操作步骤
1、配置接入交换机
# 由接入交换机给AP管理报文添加VLAN 100的tag。AC和AP之间网络属于三层组网，需要配置接入交换机到汇聚交换机之间VLAN 100互通。直接转发模式下需要配置AP到AC之间业务VLAN 101内互通。
<Quidway> system-view [Quidway] vlan batch 100 to 101 [Quidway] interface ethernet 0/0/1 [Quidway-Ethernet0/0/1] port link-type trunk [Quidway-Ethernet0/0/1] port trunk pvid vlan 100 [Quidway-Ethernet0/0/1] port trunk allow-pass vlan 101 100 [Quidway-Ethernet0/0/1] port-isolate enable [Quidway-Ethernet0/0/1] quit [Quidway] interface gigabitEthernet 0/0/1 [Quidway-GigabitEthernet0/0/1] port link-type trunk [Quidway-GigabitEthernet0/0/1] port trunk allow-pass vlan 100 to 101 [Quidway-GigabitEthernet0/0/1] quit
2、配置汇聚交换机
# 使能汇聚交换机的DHCP Relay功能，实现VLAN 200和VLAN 100的互通。配置汇聚交换机到AC之间VLAN 200互通。在汇聚交换机上配置业务VLAN 101的IP地址池。
说明：此处以S5700为例，不同的设备配置命令可能稍有区别。
根据实际组网情况在汇聚交换机上行口配置业务VLAN透传，和上行网络设备互通。
<Quidway> system-view [Quidway] vlan batch 101 100 200 [Quidway] dhcp enable [Quidway] interface vlanif 100 [Quidway-Vlanif100] ip address 192.168.10.1 24 [Quidway-Vlanif100] dhcp select relay [Quidway-Vlanif100] dhcp relay server-ip 172.16.10.1 [Quidway-Vlanif100] quit [Quidway] interface vlanif 200 [Quidway-Vlanif200] ip address 172.16.10.254 24 [Quidway-Vlanif200] quit [Quidway] interface vlanif 101 [Quidway-Vlanif101] ip address 192.168.11.1 24 [Quidway-Vlanif101] dhcp select interface [Quidway-Vlanif101] quit [Quidway] interface gigabitEthernet 0/0/1 [Quidway-GigabitEthernet0/0/1] port link-type trunk [Quidway-GigabitEthernet0/0/1] port trunk allow-pass vlan 101 100 [Quidway-GigabitEthernet0/0/1] quit [Quidway] interface gigabitEthernet 0/0/2 [Quidway-GigabitEthernet0/0/2] port link-type trunk [Quidway-GigabitEthernet0/0/2] port trunk allow-pass vlan 101 200 [Quidway-GigabitEthernet0/0/2] quit
3、配置AC
a、配置AC，使AP与AC之间能够传输管理报文和业务报文
# 配置AC，将接口GE0/0/1加入VLAN101、VLAN200
<AC6605> system-view [AC6605] sysname AC [AC] vlan batch 101 200 [AC] interface gigabitethernet 0/0/1 [AC-GigabitEthernet0/0/1] port link-type trunk [AC-GigabitEthernet0/0/1] port trunk allow-pass vlan 101 200 [AC-GigabitEthernet0/0/1] quit
b、配置AC的接口，使能DHCP服务器，AC作为AP的DHCP服务器
[AC] dhcp enable [AC] interface Vlanif 200 [AC-Vlanif200] ip address 172.16.10.1 24 [AC-Vlanif200] dhcp select global [AC-Vlanif200] quit
c、配置RADIUS服务器模板与AAA方案，并配置域信息
说明：请确保AC与RADIUS服务器的Shared-key相同。
[AC] radius-server template radius_huawei [AC-radius-radius_huawei] radius-server authentication 192.168.0.2 1812 [AC-radius-radius_huawei] radius-server shared-key cipher huawei [AC-radius-radius_huawei] quit [AC] aaa [AC-aaa] authentication-scheme radius_huawei [AC-aaa-authen-radius_huawei] authentication-mode radius [AC-aaa-authen-radius_huawei] quit[AC-aaa] domain peap.radius.com [AC-aaa-domain-peap.radius.com] authentication-scheme radius_huawei [AC-aaa-domain-peap.radius.com] radius-server radius_huawei [AC-aaa-domain-peap.radius.com] quit [AC-aaa] quit
说明：配置了domain peap.radius.com后，认证用户名后面需要加上域名。
测试用户是否能够通过RADIUS模板的认证。（已在RADIUS服务器上配置了测试用户test@peap.radius.com，用户密码123456）
[AC] test-aaa test@peap.radius.com 123456 radius-template radius_huaweiInfo: Account test succeed.
d、配置AC的全局参数
# 配置AC的国家码、AC ID、运营商标识和AC的源接口
[AC] wlan ac-global country-code cn Warning: Modify the country code may delete configuration on those AP which use the global country code and reset them, are you sure to continue?[Y/N]:y [AC] wlan ac-global ac id 1 carrier id other [AC] wlan [AC-wlan-view] wlan ac source interface vlanif 200
# 配置AP地址池
[AC] ip pool huawei-ap [AC-ip-pool-huawei-ap] gateway-list 192.168.10.1 [AC-ip-pool-huawei-ap] network 192.168.10.0 mask 24 [AC-ip-pool-huawei-ap] option 43 sub-option 3 ascii 172.16.10.1 [AC-ip-pool-huawei-ap] quit [AC] ip route-static 192.168.10.0 24 172.16.10.254
e、配置AP并上线
# 配置AP的认证方式为MAC认证
[AC-wlan-view] ap-auth-mode mac-auth
# 查询AP的设备类型
# 根据查询到的AP设备类型ID（AP6010DN-AGN type-id为19），离线添加AP
[AC-wlan-view] ap id 1 type-id 19 mac 60de-4476-e360 [AC-wlan-ap-1] quit
# 将AP加入指定域
[AC-wlan-view] ap-region id 101 [AC-wlan-ap-region-101] quit [AC-wlan-view] ap id 1 [AC-wlan-ap-1] region-id 101 [AC-wlan-ap-1] quit
f、配置WLAN-ESS虚接口
[AC] dot1x enable [AC] interface wlan-ess 0 [AC-Wlan-Ess0] port hybrid pvid vlan 101 [AC-Wlan-Ess0] port hybrid untagged vlan 101 [AC-Wlan-Ess0] dot1x enable [AC-Wlan-Ess0] dot1x authentication-method eap [AC-Wlan-Ess0] force-domain name peap.radius.com [AC-Wlan-Ess0] permit-domain name peap.radius.com [AC-Wlan-Ess0] quit
g、配置WLAN业务参数
# 配置WMM模板和射频模板，参数采用默认配置，将WMM模板绑定到射频模板
[AC] wlan[AC-wlan-view] wmm-profile name huawei-ap1 [AC-wlan-wmm-prof-huawei-ap1] quit [AC-wlan-view] radio-profile name huawei-ap1 [AC-wlan-radio-prof-huawei-ap1] wmm-profile name huawei-ap1 [AC-wlan-radio-prof-huawei-ap1] quit
# 配置安全模板，设置安全策略为WPA2认证，认证方式为802.1X方式，加密方式为CCMP
[AC-wlan-view] security-profile name huawei-ap [AC-wlan-sec-prof-huawei-ap] security-policy wpa2 [AC-wlan-sec-prof-huawei-ap] wpa2 authentication-method dot1x encryption-method ccmp [AC-wlan-sec-prof-huawei-ap] quit
# 配置流量模板，参数采用默认配置
[AC-wlan-view] traffic-profile name huawei-ap [AC-wlan-traffic-prof-huawei-ap] quit
# 配置AP1的服务集，设置数据转发模式为直接转发，认证报文则通过隧道转发。
[AC-wlan-view] service-set name huawei-1 [AC-wlan-service-set-huawei-1] ssid huawei [AC-wlan-service-set-huawei-1] wlan-ess 0 [AC-wlan-service-set-huawei-1] service-vlan 101 [AC-wlan-service-set-huawei-1] security-profile name huawei-ap [AC-wlan-service-set-huawei-1] traffic-profile name huawei-ap [AC-wlan-service-set-huawei-1] forward-mode direct-forward [AC-wlan-service-set-huawei-1] tunnel-forward protocol all [AC-wlan-service-set-huawei-1] quit
h、配置AP对应的VAP并下发配置
[AC-wlan-view] ap 1 radio 0 [AC-wlan-radio-1/0] radio-profile name huawei-ap1 [AC-wlan-radio-1/0] service-set name huawei-1 [AC-wlan-radio-1/0] quit [AC-wlan-view] commit ap 1 Warning: Committing configuration may cause service interruption,continue?[Y/N] y
4、验证配置结果
完成配置后，用户可通过无线PC搜索到SSID为huawei的无线网络，用户需要通过802.1X认证才可以使用WLAN。
用户在AC无线侧使用命令display security-profile { all | { id profile-id | name profile-name } [ detail ] }命令，可以查询到接入安全的配置策略。
在AC无线侧WLAN视图下使用命令display statistics sta mac-address，可以查看到关联PC的认证统计信息。
