49基于用户的WIAA安全控制典型配置举例.docx
- 文档编号:23321181
- 上传时间:2023-05-16
- 格式:DOCX
- 页数:26
- 大小:316.50KB
49基于用户的WIAA安全控制典型配置举例.docx
《49基于用户的WIAA安全控制典型配置举例.docx》由会员分享,可在线阅读,更多相关《49基于用户的WIAA安全控制典型配置举例.docx(26页珍藏版)》请在冰豆网上搜索。
49基于用户的WIAA安全控制典型配置举例
基于用户的WIAA安全控制典型配置举例
Copyright©2014杭州华三通信技术有限公司版权所有,保留一切权利。
非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,
并不得以任何形式传播。
本文档中的信息可能变动,恕不另行通知。
目录
1简介1
2配置前提1
3使用限制1
4配置举例1
4.1组网需求1
4.2配置思路2
4.3配置注意事项2
4.4配置步骤2
4.4.1AC的配置2
4.4.2Switch的配置6
4.4.3RADIUSServer的配置7
4.5验证配置14
4.6配置文件15
5相关资料18
1简介
本文档介绍了基于用户的WIAA安全控制网络的典型配置举例。
WIAA(WirelessInteligentApplicationAware,无线智能业务感知),可提供基于无线端口的访问控制,通过在无线接口上的出方向上应用防火墙的Packet-Filter,入方向上应用ASPF策略,能够拒绝有线网络直接访问无线用户,但不影响无线用户的访问权限,确保了无线网络内的安全。
2配置前提
本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。
如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解无线WIAA特性。
3使用限制
本文涉及的包过滤防火墙和ASPF功能需要用户购买License,并完成注册之后才能使用。
License可以通过购买特性软件授权书获得,授权书上提供了注册WIAA特性需要使用的License授权码及特性功能说明。
详细的操作流程,请参见《H3CWX系列无线控制产品License激活申请和注册操作指导》,添加License的相关配置请参见“基础配置指导”中的“License管理配置”。
4配置举例
4.1组网需求
如图1所示,某公司部署WLAN网络,使公司内部员工和外部来访人员均可以通过WLAN接入访问公司内网,要求对接入WLAN的无线用户采用802.1X认证,在限制外部来访者对FTP服务器的访问的同时要限制FTP服务器对无线用户的访问。
具体应用需求如下:
∙无线用户Client1是公司员工,接入WLAN后可访问FTP服务器。
∙无线用户Client2是外部来访人员,接入WLAN后不能访问FTP服务器。
∙AC上配置防火墙,限制有线网络中的FTPserver访问WLAN,从而保证WLAN的安全。
图1基于用户的WIAA安全控制网络配置组网图
4.2配置思路
∙为了让WLAN接入用户有不同的访问权限,需要定义不同的User-Profile,从而可以根据用户接入认证时使用的用户名为Client分配不同的访问权限。
∙为了限制有线网络中的FTPserver主动访问WLAN,需要创建ACL规则,并应用于防火墙Packet-Filter。
∙为了保证无线客户端Client向FTPserver发送的请求报文,以及FTPserver对Client的应答报文可以正常通过AC,需要在AC上创建防火墙ASPF策略。
∙为了限制有线网络中的FTPserver对WLAN访问,在User-Profile中outbound方向需要应用Packet-Fitler进行流量的过滤。
4.3配置注意事项
∙配置AP的序列号时请确保该序列号与AP唯一对应,AP的序列号可以通过AP设备背面的标签获取。
∙确保User-Profile中的出方向应用防火墙Packet-Filter、入方向应用ASPF策略。
∙关闭ALG会使ASPF对应用层协议的功能失效(ALG功能默认开启)。
4.4配置步骤
4.4.1AC的配置
(1)配置AC的接口
#创建VLAN100及其对应的VLAN接口,并为该接口配置IP地址。
AC将使用该接口的IP地址与AP建立LWAPP隧道。
[AC]vlan100
[AC-vlan100]quit
[AC]interfacevlan-interface100
[AC-Vlan-interface100]ipaddress10.100.1.100255.255.255.0
[AC-Vlan-interface100]quit
#创建VLAN300及其对应的VLAN接口,并为该接口配置IP地址。
VLAN300将作为WLAN-ESS接口的缺省VLAN,同时作为Client接入的业务VLAN。
[AC]vlan300
[AC-vlan300]quit
[AC]interfacevlan-interface300
[AC-Vlan-interface300]ipaddress192.168.3.100255.255.255.0
[AC-Vlan-interface300]quit
#创建VLAN1000及其对应的VLAN接口,并为该接口配置IP地址。
VLAN1000将作为AC和FTP服务器通信的VLAN。
[AC]vlan1000
[AC-vlan1000]quit
[AC]interfacevlan-interface1000
[AC-Vlan-interface1000]ipaddress10.101.1.100255.255.255.0
[AC-Vlan-interface1000]quit
#配置AC与Switch相连的GigabitEthernet1/0/2接口的链路类型为Trunk,当前Trunk口的PVID为100,允许VLAN100和VLAN300通过。
[AC]interfacegigabitethernet1/0/2
[AC-GigabitEthernet1/0/2]portlink-typetrunk
[AC-GigabitEthernet1/0/2]porttrunkpermitvlan100300
[AC-GigabitEthernet1/0/2]porttrunkpvidvlan100
[AC-GigabitEthernet1/0/2]quit
#创建WLAN-ESS1接口,并设置端口的链路类型为Hybrid。
[AC]interfacewlan-ess1
[AC-WLAN-ESS1]portlink-typehybrid
#配置当前Hybrid端口的PVID为300,禁止VLAN1通过并允许VLAN300不带tag通过。
[AC-WLAN-ESS1]undoporthybridvlan1
[AC-WLAN-ESS1]porthybridvlan300untagged
[AC-WLAN-ESS1]porthybridpvidvlan300
#在Hybrid端口上使能MACVLAN功能。
[AC-WLAN-ESS1]mac-vlanenable
[AC-WLAN-ESS1]quit
(2)配置ACL
#为ACL3000创建规则,拒绝所有IP报文通过,用于限制有线网络主动访问WLAN。
[AC]aclnumber3000
[AC-acl-adv-3000]ruledenyip
[AC-acl-adv-3000]quit
#为ACL3001创建规则,允许所有IP报文通过,并配置描述信息为“group_staff”,用于使公司员工可以访问内网。
[AC]aclnumber3001
[AC-acl-adv-3001]descriptiongroup_staff
[AC-acl-adv-3001]rulepermitip
[AC-acl-adv-3001]quit
#为ACL3002创建规则,允许所有IP报文通过,但拒绝目的端口为FTP的报文,并配置描述信息为“group_visitor”,用于限制外部来访人员访问内网。
[AC]aclnumber3002
[AC-acl-adv-3002]descriptiongroup_visitor
[AC-acl-adv-3002]ruledenytcpdestination-porteqftp
[AC-acl-adv-3002]rulepermitip
[AC-acl-adv-3002]quit
(3)创建ASPF策略1,缺省情况下,ASPF检测处于开启状态,故采用缺省配置。
[AC]aspf-policy1
[AC-aspf-policy-1]quit
(4)配置基于用户的无线防火墙策略
#创建名为group_visitor的User-Profile,用于定义外部来访者的防火墙策略。
[AC]user-profilegroup_visitor
#使用ACL3002对入方向的报文进行过滤。
[AC-user-profile-group_visitor]firewallpacket-filter3002inbound
#使用ACL3000对出方向的报文进行过滤。
[AC-user-profile-group_visitor]firewallpacket-filter3000outbound
#对入方向的报文应用ASPF策略1。
[AC-user-profile-group_visitor]firewallaspf1inbound
[AC-user-profile-group_visitor]quit
#使能名为group_visitor的User-Profile。
[AC]user-profilegroup_visitorenable
#创建名为group_staff的User-Profile,用于定义公司员工的防火墙策略。
[AC]user-profilegroup_staff
#使用ACL3001对入方向的报文进行过滤。
[AC-user-profile-group_staff]firewallpacket-filter3001inbound
#使用ACL3000对出方向的报文进行过滤。
[AC-user-profile-group_staff]firewallpacket-filter3000outbound
#对入方向的报文应用ASPF策略1。
[AC-user-profile-group_staff]firewallaspf1inbound
[AC-user-profile-group_staff]quit
#使能名为group_staff的User-Profile。
[AC]user-profilegroup_staffenable
#全局下使能防火墙。
[AC]firewallenable
(5)配置802.1X认证
#开启端口安全。
[AC]port-securityenable
#配置802.1X用户的认证方式为EAP。
[AC]dot1xauthentication-methodeap
#创建名为office的RADIUS方案,并指定RADIUS服务器的类型为extended。
[AC]radiusschemeoffice
[AC-radius-office]server-typeextended
#配置主认证RADIUS服务器的IP地址为10.100.1.200。
[AC-radius-office]primaryauthentication10.100.1.200
#认证报文的共享密钥设置为明文1234。
[AC-radius-office]keyauthentication1234
#指定发送给RADIUS服务器的用户名不得携带域名。
[AC-radius-office]user-name-formatwithout-domain
[AC-radius-office]quit
#创建名为office的ISP域,并进入其视图。
[AC]domainoffice
#配置lan-access用户使用RADIUS方案office进行认证和授权,不对用户使用的网络服务进行计费。
[AC-isp-office]authenticationlan-accessradius-schemeoffice
[AC-isp-office]accountinglan-accessnone
[AC-isp-office]authorizationlan-accessradius-schemeoffice
[AC-isp-office]quit
#在接口WLAN-ESS1上配置802.1X用户的强制认证域office。
[AC]interfacewlan-ess1
[AC-WLAN-ESS1]dot1xmandatory-domainoffice
#配置端口安全模式为userlogin-secure-ext,并使能端口11key类型的密钥协商功能。
[AC-WLAN-ESS1]port-securityport-modeuserlogin-secure-ext
[AC-WLAN-ESS1]port-securitytx-key-type11key
#关闭802.1X多播触发功能和在线用户握手功能。
[AC-WLAN-ESS1]undodot1xmulticast-trigger
[AC-WLAN-ESS1]undodot1xhandshake
[AC-WLAN-ESS1]quit
(6)配置无线服务
#创建crypto类型的服务模板1。
[AC]wlanservice-template1crypto
#设置当前服务模板的SSID为service,加密方式为TKIP和AES-CCMP。
[AC-wlan-st-1]ssidservice
[AC-wlan-st-1]authentication-methodopen-system
[AC-wlan-st-1]cipher-suitetkip
[AC-wlan-st-1]cipher-suiteccmp
[AC-wlan-st-1]security-iersn
#将WLAN-ESS1接口绑定到服务模板1。
[AC-wlan-st-1]bindwlan-ess1
#启用无线服务。
[AC-wlan-st-1]service-templateenable
[AC-wlan-st-1]quit
(7)配置射频接口并绑定服务模板
#创建AP的管理模板,名称为officeap,型号名称选择WA2620E-AGN。
[AC]wlanapofficeapmodelWA2620E-AGN
#设置AP的序列号为21023529G007C000020。
[AC-wlan-ap-officeap]serial-id21023529G007C000020
#进入radio2射频视图。
[AC-wlan-ap-officeap]radio2
#将在AC上配置的clear类型的服务模板1与射频2进行关联。
[AC-wlan-ap-officeap-radio-2]service-template1vlan-id300
#使能AP的radio2。
[AC-wlan-ap-officeap-radio-2]radioenable
[AC-wlan-ap-officeap-radio-2]quit
4.4.2Switch的配置
#创建VLAN100和VLAN300,其中VLAN100用于转发AC和AP间LWAPP隧道内的流量,VLAN300为无线用户接入的VLAN。
[Switch]vlan100
[Switch-vlan100]quit
[Switch]vlan300
[Switch-vlan300]quit
#配置Switch与AC相连的GigabitEthernet1/0/1接口的链路类型为Trunk,当前Trunk口的PVID为100,并允许VLAN100和VLAN300通过。
[Switch]interfacegigabitethernet1/0/1
[Switch-GigabitEthernet1/0/1]portlink-typetrunk
[Switch-GigabitEthernet1/0/1]porttrunkpermitvlan100300
[Switch-GigabitEthernet1/0/1]porttrunkpvidvlan100
[Switch-GigabitEthernet1/0/1]quit
#配置Switch与AP相连的GigabitEthernet1/0/2接口的链路类型为Access,并允许VLAN100通过,并使能PoE功能。
[Switch]interfacegigabitethernet1/0/2
[Switch-GigabitEthernet1/0/2]portlink-typeaccess
[Switch-GigabitEthernet1/0/2]portaccessvlan100
[Switch-GigabitEthernet1/0/2]poeenable
[Switch-GigabitEthernet1/0/2]quit
#配置Switch与DHCPserver相连的GigabitEthernet1/0/3接口的链路类型为Access,并允许VLAN100通过。
[Switch]interfacegigabitethernet1/0/3
[Switch-GigabitEthernet1/0/3]portlink-typeaccess
[Switch-GigabitEthernet1/0/3]portaccessvlan100
[Switch-GigabitEthernet1/0/3]quit
#配置Switch与RADIUSserver相连的GigabitEthernet1/0/4接口的链路类型为Access,并允许VLAN100通过。
[Switch]interfacegigabitethernet1/0/4
[Switch-GigabitEthernet1/0/4]portlink-typeaccess
[Switch-GigabitEthernet1/0/4]portaccessvlan100
[Switch-GigabitEthernet1/0/4]quit
4.4.3RADIUSServer的配置
下面以IMC为例(使用IMC版本为:
iMCPLAT7.0(E0202)、iMCWSM7.0(E0202)),说明RadiusServer的基本配置。
#增加接入设备
登录进入IMC管理平台,选择“用户”页签,单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项,进入“接入设备配置”页面,在该页面中单击<增加>按钮,进入“增加接入设备”页面。
∙设置与AC交互报文时使用的认证、计费共享密钥为“1234”;
∙设置认证及计费的端口号分别为“1812”和“1813”;
∙选择接入设备类型为“H3C(General)”;
∙在设备列表中,单击<手工增加>按钮,添加IP地址为10.100.1.100的接入设备;
∙其它参数采用缺省值,并单击<确定>按钮完成操作。
图1增加接入设备
#增加公司员工的接入策略
选择“用户”页签,单击导航树中的[接入策略管理/接入策略管理]菜单项,进入“接入策略管理”页面,单击“增加”按钮,进入“增加接入策略”页面。
∙接入策略名为“dot1x_staff”,该名称可以自行定义;
∙选择认证证书类型为EAP-PEAP认证,认证证书子类型为MS-CHAPV2认证;
∙选择下发UserProfile,并输入AC对应的User-Profile名“group_staff”。
∙其他配置采用缺省配置;
∙单击<确定>按钮完成操作。
图2增加公司员工的接入策略
#增加来访人员的接入策略
选择“用户”页签,单击导航树中的[接入策略管理/接入策略管理]菜单项,进入“接入策略管理”页面,单击“增加”按钮,进入“增加接入策略”页面。
∙接入策略名为“dot1x_visitor”,该名称可以自行定义;
∙选择认证证书类型为EAP-PEAP认证,认证证书子类型为MS-CHAPV2认证;
∙选择下发UserProfile,并输入AC对应的User-Profile名“group_visitor”。
∙其他配置采用缺省配置;
∙单击<确定>按钮完成操作。
图3增加来访人员的接入策略
#增加公司员工的接入服务
选择“用户”页签,单击导航树中的[接入策略管理/接入服务管理]菜单项,进入“接入服务管理”页面,点击<增加>按钮,进入“增加接入服务”页面。
∙输入服务名“staff”,该名称可以自行定义;
∙业务分组“未分组”;
∙缺省接入策略选择“dot1x_staff”,即上一步配置的公司员工接入策略名;
∙其它参数采用缺省值,并单击<确定>按钮完成操作。
图4增加公司员工的接入服务
#增加来访人员的接入服务
选择“用户”页签,单击导航树中的[接入策略管理/接入服务管理]菜单项,进入“接入服务管理”页面,点击<增加>按钮,进入“增加接入服务”页面。
∙输入服务名“visitor”,该名称可以自行定义;
∙业务分组“未分组”;
∙缺省接入策略选择“dot1x_visitor”,即上一步配置的来访人员接入策略名;
∙其它参数采用缺省值,并单击<确定>按钮完成操作。
图5增加来访人员的接入服务
#配置公司员工接入用户
选择“用户”页签,单击导航树中的[接入用户管理/接入用户]菜单项,进入“接入用户”页面,在该页面中单击<增加>按钮,进入“增加接入用户”页面。
∙在增加接入用户页面,单击<增加用户>按钮弹出增加用户窗口;
∙输入用户名“staff”;
∙输入证件号码“staff”;
∙单击<检查是否可用>按钮;
∙如用户姓名和证件号码可用,单击<确定>按钮完成操作。
图6增加用户
在“增加接入用户”页面,按如下方式配置。
∙输入账号名“staff”;
∙输入密码“staff”;
∙接入服务选择“staff”;
∙其他配置保持默认;
∙单击<确定>按钮完成操作。
图7增加公司员工接入用户
#配置来访人员接入用户
选择“用户”页签,单击导航树中的[接入用户管理/接入用户]菜单项,
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 49 基于 用户 WIAA 安全 控制 典型 配置 举例
![提示](https://static.bdocx.com/images/bang_tan.gif)