portal radius簡(jiǎn)單講解-文檔資料

1、傲天技術(shù)，動(dòng)聯(lián)世界 技術(shù)應(yīng)用部 邱自學(xué) 導(dǎo) 師：邱飛，吳近平Portal學(xué)習(xí)簡(jiǎn)介傲天技術(shù)，動(dòng)聯(lián)世界培訓(xùn)內(nèi)容 PortalPortal概述概述 協(xié)議流程協(xié)議流程 配置配置 IptablesIptables 常見問題常見問題 傲天技術(shù)，動(dòng)聯(lián)世界Portal在英語中“入口”的意思。Portal認(rèn)證也稱為Web認(rèn)證，Portal認(rèn)證網(wǎng)站稱為門戶網(wǎng)站。PORTAL頁(yè)面在顯著的位置設(shè)置認(rèn)證窗口，用戶開機(jī)后獲取IP地址，通過登陸PORTAL認(rèn)證窗口進(jìn)行認(rèn)證，認(rèn)證通過后即可訪問Internet。PORTALPORTAL簡(jiǎn)介簡(jiǎn)介PORTALPORTAL概述概述傲天技術(shù)，動(dòng)聯(lián)世界免客戶端軟件對(duì)于像賓館、酒店等公共

2、網(wǎng)絡(luò)節(jié)點(diǎn)，免客戶端軟件是一個(gè)基本要求。新業(yè)務(wù)載體利用PORTAL認(rèn)證的門戶功能，運(yùn)營(yíng)商可以將小區(qū)廣播、廣告、信息查詢、網(wǎng)上購(gòu)物等業(yè)務(wù)放到PORTAL上。用戶上網(wǎng)時(shí)就會(huì)強(qiáng)制地看到上述信息。PORTALPORTAL背景背景PORTALPORTAL認(rèn)證優(yōu)點(diǎn)認(rèn)證優(yōu)點(diǎn)傲天技術(shù)，動(dòng)聯(lián)世界 Authentication 認(rèn)證，用于判定用戶是否可以獲得訪問權(quán)，限制非法用戶； Authorization 授權(quán)，授權(quán)用戶可以使用哪些服務(wù)，控制合法用戶的權(quán)限； Accounting 計(jì)賬，記錄用戶使用網(wǎng)絡(luò)資源的情況,為收費(fèi)提供依據(jù)；傲天技術(shù)，動(dòng)聯(lián)世界 PortalPortal簡(jiǎn)介簡(jiǎn)介 協(xié)議流程協(xié)議流程 配置配置 I

3、ptablesIptables 常見問題常見問題 傲天技術(shù)，動(dòng)聯(lián)世界流程說明 首先wlan用戶上網(wǎng)，AC偵測(cè)到http連接后，強(qiáng)制發(fā)送http重定向報(bào)文給wlan用戶 Wlan用戶接收到重定向報(bào)文后，按照重定向報(bào)文提供的目的IP地址訪問portal 服務(wù)器，推送出認(rèn)證頁(yè)面 用戶輸入用戶名密碼給portal server Portal server向AC發(fā)送需要認(rèn)證用戶的用戶名 AC向portal server發(fā)送認(rèn)證挑戰(zhàn) Portal server回應(yīng)認(rèn)證挑戰(zhàn) AC向radius發(fā)起認(rèn)證 如果認(rèn)證成功，則AC把認(rèn)證成功信息發(fā)送給portal服務(wù)器，推送出認(rèn)證成功界面，認(rèn)證成功。傲天技術(shù)，動(dòng)聯(lián)世

4、界pc發(fā)起http訪問，該訪問被AC連接，并直接返回重定向報(bào)文：http 302報(bào)文給PC，把pc直接重定向到portal server上過程然后PC根據(jù)http的重定向信息向portal server發(fā)起請(qǐng)求并獲得認(rèn)證頁(yè)面，在認(rèn)證頁(yè)面中輸入用戶名密碼后進(jìn)行認(rèn)證。整個(gè)過程對(duì)于AC來說和普通IP包的處理是相同的，由于實(shí)現(xiàn)配置了portal server的IP地址在白名單中，所以AC對(duì)這次訪問不進(jìn)行阻止，按照普通的IP包進(jìn)行處理傲天技術(shù)，動(dòng)聯(lián)世界portal server得到用戶名和密碼后開始和AC聯(lián)系，觸發(fā)AC進(jìn)行portal認(rèn)證* Portal協(xié)議根據(jù)移動(dòng)規(guī)定采用的是udp的2000端口進(jìn)行認(rèn)

5、證傲天技術(shù)，動(dòng)聯(lián)世界數(shù)據(jù)包的具體分析1.portal server向AC發(fā)送認(rèn)證請(qǐng)求，數(shù)據(jù)包的類型為01，表示為認(rèn)證請(qǐng)求報(bào)文。2.AC回應(yīng)portal server的認(rèn)證請(qǐng)求，并發(fā)送挑戰(zhàn)給portal server3.portal server 通過挑戰(zhàn)回應(yīng)發(fā)送用戶名和密碼給AC*至此，AC已經(jīng)得到了用戶的用戶名和密碼，可以發(fā)起radius認(rèn)證了傲天技術(shù)，動(dòng)聯(lián)世界4.radius認(rèn)證數(shù)據(jù)包傲天技術(shù)，動(dòng)聯(lián)世界5.radius認(rèn)證成功后返回給AC的access報(bào)文* *到這里，radius認(rèn)證完成，AC已經(jīng)確定用戶認(rèn)證通過傲天技術(shù)，動(dòng)聯(lián)世界7.AC通知portal server 認(rèn)證通過，類型04

6、8.portal server回應(yīng)AC，確認(rèn)認(rèn)證通過信息，類型07通過第7和第8個(gè)報(bào)文返回用戶認(rèn)證成功信息給portal 傲天技術(shù)，動(dòng)聯(lián)世界傲天技術(shù)，動(dòng)聯(lián)世界主動(dòng)下線流程傲天技術(shù)，動(dòng)聯(lián)世界用戶主動(dòng)下線流程傲天技術(shù)，動(dòng)聯(lián)世界強(qiáng)制下線流程傲天技術(shù)，動(dòng)聯(lián)世界用戶強(qiáng)制下線流程傲天技術(shù)，動(dòng)聯(lián)世界 portalportal簡(jiǎn)介簡(jiǎn)介 協(xié)議流程協(xié)議流程 配置配置 IptablesIptables 常見問題常見問題 傲天技術(shù)，動(dòng)聯(lián)世界Portal實(shí)例配置 配置eag： 配置portal server ，負(fù)責(zé)推出門戶頁(yè)面，也負(fù)責(zé)用戶名和密碼的預(yù)認(rèn)證； 配置radius server，負(fù)責(zé)用戶接入的認(rèn)證、計(jì)費(fèi)、授權(quán)

7、 配置監(jiān)聽端口，對(duì)進(jìn)行監(jiān)聽的用戶的上線的接口進(jìn)行portal URL的映射，以便用戶進(jìn)行用戶名和密碼的輸入； 配置白名單 配置NASIP 開啟分布式和配置rdcpdc配置的實(shí)例； 開戶EAG實(shí)例服務(wù)傲天技術(shù)，動(dòng)聯(lián)世界 PortalPortal簡(jiǎn)介簡(jiǎn)介 協(xié)議流程協(xié)議流程 配置配置 IptablesIptables 常見問題常見問題 傲天技術(shù)，動(dòng)聯(lián)世界sh-3.1# iptables -nvxL Chain CP_R1_F_AUTHORIZED_DEFAULT (4 references) pkts bytes target prot opt in out source destination 0

8、 0 FW_FILTER all - * * /0 /0 Chain CP_R1_F_DEFAULT (1 references) pkts bytes target prot opt in out source destination 0 0 FW_FILTER all - * * /0 /0 source IP range 98-98 20 1200 FW_FILTER all - * * /0 /0 destination IP range 98-19

9、98 0 0 ACCEPT all - * * /0 0 0 ACCEPT udp - * * /0 /0 udp spt:67 dpt:68 0 0 ACCEPT udp - * * /0 /0 udp spt:68 dpt:67 0 0 DROP all - * * /0 /0 Chain CP_R1_GP_F_AUTH_ebr1-1-1 (1 references) pkts bytes target prot opt in out source des

10、tination 0 0 CP_R1_F_AUTHORIZED_DEFAULT all - * * 1 /0 0 0 CP_R1_F_AUTHORIZED_DEFAULT all - * * /0 /0 match-set CP_R1_AUTHORIZED_SET src 20 1200 RETURN all - * * /0 /0 Chain CP_R1_GP_F_AUTH_ebr1-1-1_IN (1 references) pkts bytes target prot opt in out source

11、destination 0 0 CP_R1_F_AUTHORIZED_DEFAULT all - * * /0 1 0 0 CP_R1_F_AUTHORIZED_DEFAULT all - * * /0 /0 match-set CP_R1_AUTHORIZED_SET dst 20 1200 RETURN all - * * /0 /0 Chain EAP_PRE_AUTH_R1_F (1 references) pkts bytes target prot opt in out source destina

12、tion 38891 3726629 RETURN all - * * /0 /0 傲天技術(shù)，動(dòng)聯(lián)世界sh-3.1# iptables -nvxL -t nat Chain CP_DNAT (1 references) pkts bytes target prot opt in out source destination 291 23185 CP_R1_GP_N_AUTH_ebr1-1-1 all - ebr1-1-1 * /0 /0 252 20194 CP_R1_N_DEFAULT all - ebr1-1-1 * /

13、0 /0 927207 45338691 RETURN all - * * /0 /0 Chain CP_R1_GP_N_AUTH_ebr1-1-1 (1 references) pkts bytes target prot opt in out source destination 35 2755 CP_R1_N_AUTHORIZED_DEFAULT all - * * 1 /0 0 0 CP_R1_N_AUTHORIZED_DEFAULT all - * * /0 /0 match-set C

14、P_R1_AUTHORIZED_SET src 252 20194 RETURN all - * * /0 /0 Chain CP_R1_N_AUTHORIZED_DEFAULT (2 references) pkts bytes target prot opt in out source destination 39 2991 FW_DNAT all - * * /0 /0 Chain CP_R1_N_DEFAULT (1 references) pkts bytes target prot opt in out source dest

15、ination 0 0 FW_DNAT all - * * /0 /0 source IP range 98-98 1 60 FW_DNAT all - * * /0 /0 destination IP range 98-98 0 0 ACCEPT all - * * /0 0 0 DNAT tcp - * * /0 /0 tcp dpt:443 to::4267 0 0 DNAT

16、 tcp - * * /0 /0 tcp dpt:8080 to::4267 1 64 DNAT tcp - * * /0 /0 tcp dpt:80 to::4267 250 20070 RETURN all - * * /0 /0 Chain EAP_PRE_AUTH_R1_N (1 references) pkts bytes target prot opt in out source destination 927500 45356025 RETURN all

17、 - * * /0 /0 傲天技術(shù)，動(dòng)聯(lián)世界 PortalPortal簡(jiǎn)介簡(jiǎn)介 協(xié)議流程協(xié)議流程 配置配置 IptablesIptables 常見問題常見問題 傲天技術(shù)，動(dòng)聯(lián)世界 Q:portal認(rèn)證頁(yè)面無法推出A：1):請(qǐng)確認(rèn)網(wǎng)關(guān)是否能夠ping通，并且ping是否丟包.2):請(qǐng)確認(rèn)是否能和portal服務(wù)器正確連接，白名單是否添加，可使用ping命令檢查。并確認(rèn)外置portal server已經(jīng)正確的配置了AC的相關(guān)數(shù)據(jù)。3):可以在sta瀏覽器中直接輸入portal地址,檢查是否可以打開頁(yè)面,如無法打開,請(qǐng)確認(rèn)portal頁(yè)面地址是否正確.常見問題傲天技術(shù)，動(dòng)聯(lián)世界Q: portal認(rèn)證頁(yè)面無法推出,但瀏覽器中直接輸入地址可以打開A:1):直接在sta瀏覽器中輸入eag重定向監(jiān)聽ip+冒號(hào)+端口(非portal的頁(yè)面地址)組成的網(wǎng)址(形如:3990),檢查是否可以跳轉(zhuǎn)到portal頁(yè)面.如不能,請(qǐng)確認(rèn)eag服務(wù)是否開啟,配置的portal地址是否正確,修改配置后是否重啟eag服務(wù).2):請(qǐng)確認(rèn)captive portal 中是否監(jiān)聽sta所在下行接口,確認(rèn)captive portal配置中的重定向ip/端口 和 eag的重定向監(jiān)聽ip/端口是否一致.常見問題常見問題Q：用戶