02-H3C WX系列AC Fit AP 802.1x无线认证和CAMS配合典型配置举例.doc

H3C WX系列AC+Fit AP 802.1x无线认证和CAMS配合典型配置举例关键词：802.1x、RADIUS、EAPoL缩略语：缩略语英文全名中文解释AAAAuthentication Authorization Accounting认证、授权和计费CAMSComprehensive Access Management System综合访问管理服务器EAPExtensible Authentication Protocol可扩展认证协议EAPoLExtensible Authentication Protocol over LAN局域网上的可扩展认证协议RADIUSRemote Authentication Dial-In User Service远程认证拨号用户服务II目 录1 特性简介12 应用场合13 注意事项14 IEEE 802.1x远程认证配置举例14.1 组网需求14.2 配置思路24.3 使用版本24.4 配置步骤34.4.1 配置AC34.4.2 配置CAMS54.5 验证结果75 相关资料95.1 相关协议和标准95.2 其它相关资料101 特性简介IEEE 802.1x定义了基于端口的网络接入控制协议（port based network access control），该协议适用于接入设备与接入端口间点到点的连接方式，通过开关端口的状态来实现对报文转发的控制。2 应用场合802.1x协议仅仅提供了一种用户接入认证的手段，并简单地通过控制接入端口的开/关状态来实现，这种简化适用于无线局域网的接入认证、点对点物理或逻辑端口的接入认证，但在可运营、可管理的宽带IP城域网中作为一种认证方式具有极大的局限性。3 注意事项在配置过程中，请注意以下几点：l 本配置举例设置的是无线接口上的802.1x认证。l 在配置RADIUS时，primary authentication、primary accounting、server-type、key一定要配置正确，并且和RADIUS服务器一致。值得注意的是如果使用的是CAMS服务器一定要把server-type设置成extended，这样CAMS上一些私有设置才会被WX5002识别。l 在配置域时要把RADIUS方案和域关联起来。l 在全局下使用dot1x authentication-method来指定Dot1x的认证方法，在使用Windows和网卡所带的客户端登陆无线网络时，dot1x认证的方式仅为EAP方式。4 IEEE 802.1x远程认证配置举例4.1 组网需求本配置举例中的AC使用的是WX5002无线控制器，AP使用的是WA2100无线局域网接入点。随着网络应用的广泛普及，公司越来越多核心业务会依托网络平台，但由于传统共享网络的特点，局域网网络的安全问题日趋明显，本配置案例可以实现在网络的接入层对非法用户进行控制，既可缓解安全问题，又能节省宝贵的带宽。本配置举例通过在WX5002的WLAN-ESS 10端口上启用802.1x认证来达到对接入点Client进行控制的目的。图4-1 802.1x远程认证组网图 4.2 配置思路配置远程802.1x认证，需要配置以下内容：l 创建dot1x认证时使用的RADIUS方案。l 创建dot1x认证时使用的域，并在域中引用RADIUS方案作为AAA的认证方案。l 在系统视图下开启全局dot1x认证。l 在需要认证的端口下使能端口dot1x。4.3 使用版本display versionH3C Comware Platform SoftwareComware Software, Version 5.00, 0001Copyright (c) 2004-2007 Hangzhou H3C Tech. Co., Ltd. All rights reserved.H3C WX5002-128 uptime is 0 week, 2 days, 17 hours, 3 minutes CPU type: BCM MIPS 1250 700MHz 512M bytes DDR SDRAM Memory 32M bytes Flash Memory Pcb Version: A Logic Version: 1.0 Basic BootROM Version: 1.13 Extend BootROM Version: 1.14 SLOT 1CON (Hardware)A, (Driver)1.0, (Cpld)1.0 SLOT 1GE1/0/1 (Hardware)A, (Driver)1.0, (Cpld)1.0 SLOT 1GE1/0/2 (Hardware)A, (Driver)1.0, (Cpld)1.0 SLOT 1M-E1/0/1 (Hardware)A, (Driver)1.0, (Cpld)1.0.4.4 配置步骤4.4.1 配置AC1. 主要配置步骤(1) 创建RADIUS方案ACradius scheme h3c AC-radius-h3cprimary authentication 8.1.1.4AC-radius-h3cprimary accounting 8.1.1.4AC-radius-h3ckey authentication h3cAC-radius-h3ckey accounting h3cAC-radius-h3cserver-type extendedAC-radius-h3cuser-name-format without-domain(2) 创建domain域ACdomain camsAC-isp-camsauthentication lan-access radius-scheme h3cAC-isp-camsauthorization lan-access radius-scheme h3cAC-isp-camsaccounting lan-access radius-scheme h3c(3) 全局使能802.1xACport-security enable(4) 配置dot1x ACdot1x authentication-method eap(5) 在WLAN-ESS 10 上使能dot1xACinterface WLAN-ESS 10 AC-WLAN-ESS10port-security port-mode userlogin-secure-extAC-WLAN-ESS10port-security tx-key-type 11key(6) 无线服务集设置ACwlan service-template 10AC-wlan-st-10ssid joe_dot1xAC-wlan-st-10bind WLAN-ESS 10AC-wlan-st-10authentication-method open-systemAC-wlan-st-10cipher-suite tkipAC-wlan-st-10security-ie wpaAC-wlan-st-10service-template enable2. 配置信息display current-configuration# version 5.00, 0001# sysname AC# domain default enable cams# port-security enable# dot1x authentication-method eap# vlan 1#vlan 2#radius scheme h3c server-type extended primary authentication 8.1.1.4 primary accounting 8.1.1.4 key authentication h3c key accounting h3c user-name-format without-domain accounting-on enabledomain cams authentication default radius-scheme h3c authorization default radius-scheme h3c accounting default radius-scheme h3c access-limit disable state active#wlan service-template 10 crypto ssid joe_dot1x bind WLAN-ESS 10 authentication-method open-system cipher-suite tkip security-ie wpa service-template enable#wlan rrm 11a mandatory-rate 6 12 24 11a supported-rate 9 18 36 48 54 11b mandatory-rate 1 2 11b supported-rate 5.5 11 11g mandatory-rate 1 2 5.5 11 11g supported-rate 6 9 12 18 24 36 48 54#interface NULL0#interface LoopBack0#interface Vlan-interface1 ip address 20.1.1.200 255.255.255.0#interface Vlan-interface2 ip address 8.1.1.1 255.255.255.0#interface GigabitEthernet1/0/1#interface GigabitEthernet1/0/2 port access vlan 2#interface M-Ethernet1/0/1#interface WLAN-ESS10 port-security port-mode userlogin-secure-ext port-security tx-key-type 11key undo dot1x multicast-trigger#wlan ap ap1 model WA2100 serial-id h3c000fe258e820 radio 1 type 11g channel 1 max-power 3 service-template 10 radio enable# dhcp enable# load xml-configuration#user-interface aux 0user-interface vty 0 4#return4.4.2 配置CAMSCAMS版本：2.10试用版（CAMS 详细版本号：2.10-R0209）1. 接入设备配置在CAMS控制界面，点击左侧菜单树中系统管理-系统配置的“接入设备配置”。进入接入设备配置，选择“修改”-“增加”后，进入接入设备配置页面。根据设备上的RADIUS属性配置，对参数进行设置，然后“返回”“立即生效”。 2. 服务配置在CAMS控制界面，左侧菜单下，首先进入“系统配置”、“证书认证策略配置”安装证书。然后进入“服务管理”、“服务配置”，在服务配置列表中，选择“增加”，添加服务名，在计费策略中选中配置好的计费策略（计费策略配置方法，此处略），这里选择不计费。无线EAP认证方式，CAMS中支持两种：peap、tls。此处选择peap，之后确定即可。3. 用户配置在CAMS控制界面，左侧菜单下，进入用户管理，帐号用户，选择“增加”输入用户名和密码。此处需要注意将刚才配置的服务选上。 4.5 验证结果l 在未通过802.1x认证的情况下使用PC1访问internet，PC不能访问Internet上的资源。l 在PC1上使用802.1x客户端进行认证，PC1可以通过802.1x认证成功，并且可以正常访问internet上的资源。需根据不同设置认证方式的不同（peap、tls）对无线客户端进行相应的配置。(1) 添加SSID。(2) 首先在无线网络属性中，添加SSID，并选择相应的加密方式、认证方式。(3) 在