H3C無線配置5-本地轉發模式下本地Portal認證典型配置舉例

1.組網需求

  AP和Client通過DHCP服務器獲取IP地址，AC同時作為Portal認證服務器、Portal Web服務器，要求：

·     AC采用直接方式的Portal認證。

·     Client在通過Portal認證前，只能訪問Portal Web服務器；Client通過Portal認證后，可以訪問外部網絡。

·     Client的數據流量直接由AP進行轉發。

·     用戶可以在VLAN內的任何二層端口上訪問網絡資源，且移動接入端口時無須重復認證。

　　  

 2.配置思路  

·     為了使用戶可以在VLAN內的任何二層端口上訪問網絡資源，且移動接入端口時無須重復認證，必須開啟Portal用戶漫游功能。

·     在采用本地轉發模式的無線組網環境中，AC上沒有Portal客戶端的ARP表項，為了保證合法用戶可以進行Portal認證，需要開啟無線Portal客戶端合法性檢查功能。

·     短時間內Portal客戶端的頻繁上下線可能會造成Portal認證失敗，需要關閉Portal客戶端ARP表項固化功能。

·     為了將AP的GigabitEthernet1/0/1接口加入本地轉發的VLAN 200，需要使用文本文檔編輯AP的配置文件，並將配置文件上傳到AC存儲介質上。

3.配置注意事項  

·     配置AP的序列號時請確保該序列號與AP唯一對應，AP的序列號可以通過AP設備背面的標簽獲取。

·     設備重定向給用戶的Portal Web服務器的URL默認是不攜帶參數，需要根據實際應用手動添加需要攜帶的參數信息。

4.編輯AP配置文件  

  # 使用文本文檔編輯AP的配置文件，將配置文件命名為map.txt，並將配置文件上傳到AC存儲介質上。配置文件內容和格式如下：  

System-view
vlan 200
interface gigabitethernet1/0/1
port link-type trunk
port trunk permit vlan 200

5.配置AC

  1）接口配置

  # 創建VLAN 100及其對應的VLAN接口，並為該接口配置IP地址。AP將獲取該IP地址與AC建立CAPWAP隧道。

  # 創建VLAN 200及其對應的VLAN接口，並為該接口配置IP地址。Client將使用該VLAN接入無線網絡。

  2）配置無線服務  

[AC] wlan service-template st1  # 創建無線服務模板st1，並進入無線服務模板視圖。
[AC-wlan-st-st1] ssid service  # 配置SSID為service。
[AC-wlan-st-st1] vlan 200  # 配置無線服務模板VLAN為VLAN200。
[AC–wlan-st-st1] client forwarding-location ap # 配置客戶端數據報文轉發位置為AP。  

[AC] wlan ap office model WA4320i-ACN  # 創建AP，配置AP名稱為office，型號名稱選擇WA4320i-ACN。
[AC-wlan-ap-office] serial-id 219801A0CNC138011454  配置序列號219801A0CNC138011454。
[AC-wlan-ap-office] map-configuration map.txt  # 指定AP的配置文件為map.txt。
[AC-wlan-ap-office] radio 2  # 進入Radio 2視圖。
[AC-wlan-ap-office-radio-2] service-template st  # 將無線服務模板st1綁定到radio 2
[AC-wlan-ap-office-radio-2] radio enable  # 開啟射頻。

  3）配置認證域  

[AC] domain dm1  # 創建名稱為dm1的ISP域並進入其視圖。
[AC-isp-dm1] authentication portal local  # 為Portal用戶配置AAA認證方法為Local。
[AC-isp-dm1] authorization portal none  # 為Portal用戶配置AAA授權方法為none。
[AC-isp-dm1] accounting portal none  # 為Portal用戶配置AAA計費方法為none。
[AC-isp-dm1] authorization-attribute idle-cut 15 1024  # 指定ISP域dm1下的用戶閑置切斷時間為15分鍾，閑置切斷時間內產生的流量為1024字節。

  4）配置Portal認證  

[AC] portal web-server newpt
[AC-portal-websvr-newpt] url http://2.2.2.1:8080/portal  # 配置Portal Web服務器的URL為http://2.2.2.1:8080/portal。
[AC-portal-websvr-newpt] url-parameter wlanuserip source-address  # 配置設備重定向給用戶的Portal Web服務器的URL中攜帶參數。
[AC] portal local-web-server http  # 創建本地Portal Web服務器，進入本地Portal Web服務器視圖，並指定使用HTTP協議和客戶端交互認證信息。
[AC–portal-local-websvr-http] default-logon-page abc.zip  # 配置本地Portal Web服務器提供的缺省認證頁面文件為abc.zip（設備的存儲介質的根目錄下必須已存在該認證頁面文件，否則功能不生效）。  

[AC] portal free-rule 1 destination ip any udp 53
[AC] portal free-rule 2 destination ip any tcp 53 # 配置兩條基於目的的Portal免認證規則，放行訪問DNS服務器的流量。  

[AC] local-user 123 class network
[AC-luser-network-123] password simple 123
[AC-luser-network-123] service-type portal  # 配置本地Portal認證的用戶名和密碼。  

[AC] portal roaming enable  # 開啟無線Portal漫游功能。
[AC] undo portal refresh arp enable  # 關閉無線Portal客戶端ARP表項固化功能。
[AC] portal host-check enable  # 開啟無線Portal客戶端合法性檢查功能。
[AC] wlan service-template st1
[AC-wlan-st-st1] portal enable method direct  # 在無線服務模板st1上使能直接方式的Portal認證。
[AC-wlan-st-st1] portal domain dm1  # 配置接入的Portal用戶使用認證域為dm1。
[AC-wlan-st-st1] portal apply web-server newpt  # 在無線服務模板st1上引用Portal Web服務器newpt。
[AC–wlan-st-st1] service-template enable  # 使能無線服務模板st1。

6.配置switch

  # 創建VLAN 100，用於轉發AC和AP間CAPWAP隧道內的流量。

  # 創建VLAN 200，用於轉發Client無線報文。

  # 配置Switch與AC相連的GigabitEthernet1/0/1接口的屬性為Trunk，允許VLAN 100和VLAN 200通過。

  # 配置Switch與AP相連的GigabitEthernet1/0/2接口屬性為Access，並允許VLAN 100通過。

  # 使能PoE功能。

7.配置驗證

  # 用戶通過網頁方式進行Portal認證。用戶在通過認證前，發起的所有Web訪問均被重定向到Portal認證頁面（http://2.2.2.1:8080/portal），在通過認證后，可訪問非受限的互聯網資源。

  display portal user all  # 通過執行以下顯示命令查看AC上生成的Portal在線用戶信息。

  # 開啟本地轉發后，AC上無法查看Portal下發的ACL表項，AP上可以查看Portal下發的ACL表項。

  display portal rule all ap office  # 看Portal下發的ACL表項。