H3C?WX2220?AP??WPA＋802.1X无线认证和IAS配合应用_clocker...

H3C WX2220 AP  WPA＋802.1X无线认证和IAS配合应用

1. 组网需求

通过配置AP实现RADIUS服务器对登录AP的用户进行认证和计费：

l              一台RADIUS服务器（担当认证、计费服务器的职责）通过Swtich与AP相连，服务器IP地址为8.20.1.2/8。

l              AP与认证、计费RADIUS服务器交互报文时的共享密钥均为h3c，发送给RADIUS服务器的用户名中不带域名。

l              在RADIUS服务器上设置与AP交互报文时的共享密钥为h3c。

l              AP每隔3分钟就向RADIUS服务器发送一次实时计费报文。

l              AP取消缓存没有得到响应的停止计费请求报文。

l              使能accounting-on功能，即要求AP重启后，发送accounting-on报文通知RADIUS server AP已经重启，要求RADIUS server强制该AP的用户下线。

2. 组网图

WPA＋802.1X无线认证和IAS配合应用组网图

 

 

3. 配置步骤

(1)        配置AP

# 启用端口安全，并配置802.1X的认证方式为EAP。

[AP] port-security enable

[AP] dot1x authentication-method eap

# 配置RADIUS方案。

[AP] radius scheme ias

[AP-radius-ias] server-type extended

[AP-radius-ias] primary authentication 8.20.1.2

[AP-radius-ias] primary accounting 8.20.1.2

[AP-radius-ias] key authentication h3c

[AP-radius-ias] key accounting h3c

[AP-radius-ias] user-name-format without-domain

[AP-radius-ias] timer realtime-accounting 3

[AP-radius-ias] undo stop-accounting-buffer enable

[AP-radius-ias] accounting-on enable

# 配置认证域的AAA方案。在该应用配置中，因为接入用户对认证和计费两个过程都需要，所以需要在域中对认证和计费方案全部配置。

[AP-radius-ias] domain ias

[AP-isp-ias] authentication lan-access radius-scheme ias

[AP-isp-ias] authorization lan-access radius-scheme ias

[AP-isp- ias] accounting lan-access radius-scheme ias

# 把配置的认证域ias设置为系统缺省域。

[AP-isp-ias] domain default enable ias

# 配置无线接口，802.1X的认证方式为EAP(对应的端口安全认证方式为userlogin-secure-ext)。

[AP] interface WLAN-BSS 2

[AP-WLAN-BSS2] port-security port-mode userlogin-secure-ext

[AP-WLAN-BSS2] port-security tx-key-type 11key

# 配置无线服务模板。

[AP-wlan-rp-rp] wlan service-template 2 crypto

[AP-wlan-st-2] ssid h3c-dot1x

[AP-wlan-st-2] authentication-method open-system

[AP-wlan-st-2] cipher-suite tkip

[AP-wlan-st-2] security-ie wpa

[AP-wlan-st-2] service-template enable

# 在射频口绑定无线服务模板和无线口。

[AP] interface WLAN-Radio 1/0/1

[AP-WLAN-Radio1/0/1] service-template 2 interface WLAN-BSS 2

[AP-WLAN-Radio1/0/1] quit

# 配置VLAN虚接口。

[AP] interface Vlan-interface1

[AP-Vlan-interface1] ip address 192.168.1.50 255.255.255.0

# 配置缺省路由。

[AP-Vlan-interface1]ip route-static 0.0.0.0 0.0.0.0 192.168.1.1

(2)        配置RADIUS服务器

# 配置RADIUS客户端。

 配置RADIUS客户端

 

 

# 配置远程访问策略。

配置访问策略

 

 

# 编辑拨入配置文件：

编辑拨入配置文件

 

 

RADIUS服务器的相关配置（如采用证书认证时需要的证书、AD中的用户等）这里不再赘述，具体请参考Windows的相关帮助文档。