配置RADIUS服务器和AC配合向用户下发用户组权限业务示例

配置RADIUS服务器和AC配合向用户下发用户组权限业务示例

适用的AC：AC6605、AC6005

适用的AP：所有形态的AP

组网需求

如图1所示，AC通过汇聚交换机和接入交换机连接管理AP，AP为部门A提供无线网络覆盖。

企业内员工若可以任意访问网络，没有权限限制，可能会泄露公司机密，给公司造成损失。为了业务和安全上的考虑，企业希望部门A的员工STA1不能访问Radius服务器，同时部门A的员工不能相互访问。

图1 RADIUS服务器与AC配合向用户下发用户组权限组网图

配置流程

按照图1进行物理连接，保证AC与IP骨干网之间网络连接正常。

配置接入交换机和汇聚交换机，保证AC与AP二层互通。

在AC上配置WLAN相关业务。

业务下发至AP，用户完成业务验证。

配置注意事项

接入交换机或AC上直接接AP的端口，需要添加管理VLAN tag。AP上为零配置。

业务IP地址池给STA分配IP地址，管理IP地址池给AP分配IP地址，两种地址池需要分开配置。

请配置RADIUS服务器、FTP服务器与AC间路由互通。

RADIUS服务器上的配置这里不做介绍。

RADIUS服务器上需要建立用户，将用户加入到RADIUS服务器上的组，配置组里面的filter id属性与user-group相同，这样当用户上线时就会加入到相应的user-group里。

操作步骤

1、配置接入交换机

# 使接入交换机透传管理VLAN，由接入交换机给AP管理报文添加VLAN 100 tag，需要配置AP到AC之间VLAN 100互通

<Quidway> system-view
[Quidway] vlan 100
[Quidway] interface ethernet 0/0/1
[Quidway-Ethernet0/0/1] port link-type trunk
[Quidway-Ethernet0/0/1] port trunk pvid vlan 100
[Quidway-Ethernet0/0/1] port trunk allow-pass vlan 100
[Quidway-Ethernet0/0/1] port-isolate enable
[Quidway-Ethernet0/0/1] quit
[Quidway] interface gigabitEthernet 0/0/1
[Quidway-GigabitEthernet0/0/1] port link-type trunk
[Quidway-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[Quidway-GigabitEthernet0/0/1] quit

 2、配置汇聚交换机

# 使汇聚交换机透传管理VLAN

说明：根据实际组网情况在汇聚交换机上行口配置业务VLAN透传，和上行网络设备互通。

<Quidway> system-view
[Quidway] vlan batch 101 100
[Quidway] interface gigabitEthernet 0/0/1
[Quidway-GigabitEthernet0/0/1] port link-type trunk
[Quidway-GigabitEthernet0/0/1] port trunk allow-pass vlan 100
[Quidway-GigabitEthernet0/0/1] port-isolate enable
[Quidway-GigabitEthernet0/0/1] quit
[Quidway] interface gigabitEthernet 0/0/2
[Quidway-GigabitEthernet0/0/2] port link-type trunk
[Quidway-GigabitEthernet0/0/2] port trunk allow-pass vlan 100 101
[Quidway-GigabitEthernet0/0/2] quit
[Quidway] interface gigabitEthernet 0/0/3
[Quidway-GigabitEthernet0/0/3] port link-type trunk
[Quidway-GigabitEthernet0/0/3] port trunk allow-pass vlan 101
[Quidway-GigabitEthernet0/0/3] quit

3、配置AC

a、配置AC，使AP与AC之间能够传输管理报文

# 配置AC，将接口GE0/0/1加入VLAN100、VLAN101

<AC6605> system-view
[AC6605] sysname AC
[AC] vlan batch 100 101
[AC] interface gigabitethernet 0/0/1
[AC-GigabitEthernet0/0/1] port link-type trunk
[AC-GigabitEthernet0/0/1] port trunk allow-pass vlan 100 to 101
[AC-GigabitEthernet0/0/1] quit

 b、配置AC作为AP和STA的DHCP服务器

[AC] interface Vlanif 100
[AC-Vlanif100] ip address 192.168.10.1 24
[AC-Vlanif100] dhcp select interface
[AC-Vlanif100] quit
[AC] interface Vlanif 101
[AC-Vlanif101] ip address 192.168.11.1 24
[AC-Vlanif101] dhcp select interface
[AC-Vlanif101] quit

 c、配置RADIUS服务器模板与AAA方案，并配置域信息

说明：请确保AC与RADIUS服务器的Shared-key相同。

[AC] radius-server template radius_huawei
[AC-radius-radius_huawei] radius-server authentication 192.168.0.2 1812
[AC-radius-radius_huawei] radius-server shared-key cipher huawei
[AC-radius-radius_huawei] quit
[AC] aaa
[AC-aaa] authentication-scheme radius_huawei
[AC-aaa-authen-radius_huawei] authentication-mode radius
[AC-aaa-authen-radius_huawei] quit
[AC-aaa] domain peap.radius.com
[AC-aaa-domain-peap.radius.com] authentication-scheme radius_huawei
[AC-aaa-domain-peap.radius.com] radius-server radius_huawei
[AC-aaa-domain-peap.radius.com] quit
[AC-aaa] quit

说明：配置了domain peap.radius.com后，认证用户名后面需要加上域名。

测试用户是否能够通过RADIUS模板的认证。（已在RADIUS服务器上配置了测试用户test@peap.radius.com，用户密码123456）

[AC] test-aaa test@peap.radius.com 123456 radius-template radius_huawei
  Info: Account test succeed.

 d、配置user-group。

# 配置ACL3002，禁止任何地址访问FTP服务器58.1.5.100/24。

[AC] acl 3002
[AC-acl-adv-3002] rule 0 deny ip destination 58.1.5.100 0.0.0.255
[AC-acl-adv-3002] quit

# 配置QoS模板huawei，限制用户的上行流量为2M,下行流量为5M。

[AC] qos-profile name huawei
[AC-qosprofile-huawei] car inbound cir 2048
[AC-qosprofile-huawei] car outbound cir 5120
[AC-qosprofile-huawei] quit

# 配置用户组huawei，绑定ACL3002和QoS模板huawei，同时开启组内组间隔离开关。

[AC] user-group huawei
[AC-user-group-huawei] acl-id 3002
[AC-user-group-huawei] qos-profile huawei
[AC-user-group-huawei] user-isolated inter-group inner-group
[AC-user-group-huawei] quit

 e、配置AC的全局参数

# 配置AC的国家码、AC ID、运营商标识和AC的源接口

[AC] wlan ac-global country-code cn
  Warning: Modify the country code may delete configuration on those AP which use the global country code and reset them, are you sure to continue?[Y/N]:y
[AC] wlan ac-global ac id 1 carrier id other
[AC] wlan[AC-wlan-view] wlan ac source interface vlanif 100

 f、配置AP并上线

# 配置AP的认证方式为MAC认证

[AC-wlan-view] ap-auth-mode mac-auth

# 根据查询到的AP设备类型ID（AP6010DN-AGN type-id为19），离线添加AP

[AC-wlan-view] ap id 1 type-id 19 mac 60de-4476-e360
# 将AP加入指定域

[AC-wlan-view] ap-region id 101
[AC-wlan-ap-region-101] quit
[AC-wlan-view] ap id 1
[AC-wlan-ap-1] region-id 101
[AC-wlan-ap-1] quit

 g、配置WLAN-ESS虚接口

[AC] dot1x enable
[AC] interface wlan-ess 0
[AC-Wlan-Ess0] port hybrid pvid vlan 101
[AC-Wlan-Ess0] port hybrid untagged vlan 101
[AC-Wlan-Ess0] dot1x enable
[AC-Wlan-Ess0] dot1x authentication-method eap
[AC-Wlan-Ess0] force-domain name peap.radius.com
[AC-Wlan-Ess0] permit-domain name peap.radius.com
[AC-Wlan-Ess0] quit

 h、配置AP的各项参数

# 配置WMM模板和射频模板，参数采用默认配置，将WMM模板绑定到射频模板

[AC] wlan
[AC-wlan-view] wmm-profile name huawei-ap1
[AC-wlan-wmm-prof-huawei-ap1] quit[AC-wlan-view] radio-profile name huawei-ap1 [AC-wlan-radio-prof-huawei-ap1] wmm-profile name huawei-ap1 [AC-wlan-radio-prof-huawei-ap1] quit

# 配置安全模板，设置安全策略为WPA2认证，认证方式为802.1X方式，加密方式为CCMP

[AC-wlan-view] security-profile name huawei-ap
[AC-wlan-sec-prof-huawei-ap] security-policy wpa
2[AC-wlan-sec-prof-huawei-ap] wpa2 authentication-method dot1x encryption-method ccmp
[AC-wlan-sec-prof-huawei-ap] quit

# 配置流量模板，参数采用默认配置

[AC-wlan-view] traffic-profile name huawei-ap
[AC-wlan-traffic-prof-huawei-ap] quit

# 配置AP1的服务集，设置数据转发模式为隧道转发。默认转发模式为直接转发

[AC-wlan-view] service-set name huawei-1
[AC-wlan-service-set-huawei-1] ssid huawei
[AC-wlan-service-set-huawei-1] wlan-ess 0
[AC-wlan-service-set-huawei-1] service-vlan 101
[AC-wlan-service-set-huawei-1] security-profile name huawei-ap
[AC-wlan-service-set-huawei-1] traffic-profile name huawei-ap
[AC-wlan-service-set-huawei-1] forward-mode tunnel
[AC-wlan-service-set-huawei-1] quit

 j、配置AP对应的VAP并下发配置

[AC-wlan-view] ap 1 radio 0
[AC-wlan-radio-1/0] radio-profile name huawei-ap1
[AC-wlan-radio-1/0] service-set name huawei-1
[AC-wlan-radio-1/0] quit[AC-wlan-view] commit ap 1
  Warning: Committing configuration may cause service interruption,continue?[Y/N] y

 4、验证配置结果

完成配置后，用户可通过无线PC搜索到huawei的无线网络。

用户输入正确的认证用户名和密码后，能关联上无线网络，并能够被分配相应的IP地址。

当有两个用户上线时，互相ping对面用户不能ping通。