WLAN認(rèn)證實(shí)驗(yàn)

1、1 認(rèn)證實(shí)驗(yàn)1.1 802.1x認(rèn)證測(cè)試-PEAP組網(wǎng)圖應(yīng)用場(chǎng)景客戶端通過無線802.1x認(rèn)證接入網(wǎng)絡(luò)技術(shù)實(shí)現(xiàn)無線上的802.1x實(shí)現(xiàn)類似有線的802.1x，區(qū)別在于無線在設(shè)置802.1x時(shí)通常稱為WPA2-enterprise，且將有線實(shí)現(xiàn)中客戶端與交換機(jī)之間的802.3報(bào)文變?yōu)榱藷o線的客戶端與AP之間的802.11報(bào)文。使用版本產(chǎn)品名稱版本號(hào)備注WNC6000-200SoftWare Version 6注意要點(diǎn)WPA2-enterprise在進(jìn)行使用時(shí)需要對(duì)PC進(jìn)行設(shè)置，并且需要網(wǎng)絡(luò)中有一臺(tái)可以支持PEAP協(xié)議的AAA服務(wù)器。配置步驟1、配置AC的radius服務(wù)：WNC

2、6000(config)#radius-server authentication host key 0 maipu/設(shè)置認(rèn)證服務(wù)IP、keyWNC6000(config)#radius-server accounting host key 0 maipu/設(shè)置記賬服務(wù)IP、keyWNC6000(config)#aaa-accounting enable /開啟記賬服務(wù)WNC6000(config)#aaa enable /開啟認(rèn)證服務(wù)WNC6000(config)#radius nas-ipv4 54 /指定nas設(shè)備地址WNC6000(c

3、onfig)#aaa group server radius maipu /配置aaa服務(wù)組WNC6000(config-sg-radius)#server /指定服務(wù)器地址2、指定認(rèn)證方式：WNC6000(config)#network 1 /關(guān)聯(lián)network模板WNC6000(config-network)#radius server-name auth maipu/指定認(rèn)證服務(wù)組WNC6000(config-network)#radius server-name acct maipu/指定記賬服務(wù)組WNC6000(config-network)#security mo

4、de wpa-enterprise/設(shè)置SSID加密方式WNC6000(config-network)#ssid mp-le2/設(shè)置廣播SSID名 +注意：network下的服務(wù)組名要和全局組名設(shè)置對(duì)應(yīng)3、AAS配置1）http:/x.x.x.x:8000進(jìn)入AAS配置頁面，默認(rèn)用戶密碼 admin2）添加用戶組：選擇用戶管理->用戶組配置，點(diǎn)擊增加3）添加用戶：選擇用戶管理->用戶配置，點(diǎn)擊增加4）添加設(shè)備組：選擇設(shè)備管理->設(shè)備組配置，點(diǎn)擊增加5）添加設(shè)備：選擇設(shè)備管理->設(shè)備配置，點(diǎn)擊增加6）設(shè)備組和用戶組綁定：選擇“綁定關(guān)系”->選擇對(duì)應(yīng)的用戶組和設(shè)備組，

5、點(diǎn)擊“綁定”客戶端設(shè)置1、點(diǎn)擊無線網(wǎng)絡(luò)，選擇屬性2、按圖中選擇安全、加密方式、身份驗(yàn)證方法1、 可在AAS的訪問日志中查看認(rèn)證狀態(tài)。1.2 802.1x認(rèn)證測(cè)試-EAP-TLS組網(wǎng)圖應(yīng)用場(chǎng)景客戶端通過無線802.1x認(rèn)證接入網(wǎng)絡(luò)技術(shù)實(shí)現(xiàn)無線上的802.1x實(shí)現(xiàn)類似有線的802.1x，區(qū)別在于無線在設(shè)置802.1x時(shí)通常稱為WPA2-enterprise，且將有線實(shí)現(xiàn)中客戶端與交換機(jī)之間的802.3報(bào)文變?yōu)榱藷o線的客戶端與AP之間的802.11報(bào)文。使用版本產(chǎn)品名稱版本號(hào)備注WNC6000-200SoftWare Version 6注意要點(diǎn)WPA2-enterprise在進(jìn)行使

6、用時(shí)需要對(duì)PC進(jìn)行設(shè)置，并且需要網(wǎng)絡(luò)中有一臺(tái)可以支持EAP-TLS協(xié)議的AAA服務(wù)器。配置步驟1、配置AC的radius服務(wù)：WNC6000(config)#radius-server authentication host key 0 maipu/設(shè)置認(rèn)證服務(wù)IP、keyWNC6000(config)#radius-server accounting host key 0 maipu/設(shè)置記賬服務(wù)IP、keyWNC6000(config)#aaa-accounting enable /開啟記賬服務(wù)WNC6000(config)#aaa enable /開啟

7、認(rèn)證服務(wù)WNC6000(config)#radius nas-ipv4 54 /指定nas設(shè)備地址WNC6000(config)#aaa group server radius aaa /配置aaa服務(wù)組WNC6000(config-sg-radius)#server /指定服務(wù)器地址2、指定認(rèn)證方式：WNC6000(config)#network 1 /關(guān)聯(lián)network模板WNC6000(config-network)#radius server-name auth maipu/指定認(rèn)證服務(wù)組WNC6000(config-network)#radius s

8、erver-name acct maipu/指定記賬服務(wù)組WNC6000(config-network)#security mode wpa-enterprise/設(shè)置SSID加密方式WNC6000(config-network)#ssid mp-le2/設(shè)置廣播SSID名 +注意：network下的服務(wù)組名要和全局組名設(shè)置對(duì)應(yīng)2、 下載證書首先下載客戶端證書，詳細(xì)請(qǐng)見附件：+注意：申請(qǐng)用戶證書時(shí)所使用的用戶名，需要和AAS上創(chuàng)建的用戶名一致，如：在申請(qǐng)證書時(shí)使用的用戶名為“maipu”，則需要在AAS上增加一個(gè)“maipu”的用戶,密碼為任意即可。其次下載服務(wù)器證書，詳細(xì)請(qǐng)見附件：4、AAS

9、配置1）http:/x.x.x.x:8000進(jìn)入AAS配置頁面，默認(rèn)用戶密碼 admin2）添加用戶組：選擇用戶管理->用戶組配置，點(diǎn)擊增加3）添加用戶：選擇用戶管理->用戶配置，點(diǎn)擊增加4）添加設(shè)備組：選擇設(shè)備管理->設(shè)備組配置，點(diǎn)擊增加5）添加設(shè)備：選擇設(shè)備管理->設(shè)備配置，點(diǎn)擊增加6）設(shè)備組和用戶組綁定：選擇“綁定關(guān)系”->選擇對(duì)應(yīng)的用戶組和設(shè)備組，點(diǎn)擊“綁定”7）AAS導(dǎo)入根證書：選擇“系統(tǒng)配置”->“證書信任配置”點(diǎn)瀏覽，選擇CA證書后，點(diǎn)擊“導(dǎo)入CA證書”8）AAS導(dǎo)入服務(wù)器證書：選擇“系統(tǒng)配置”->“服務(wù)器證書配置”點(diǎn)瀏覽，選擇服務(wù)器證書

10、，再輸入證書密鑰，最后點(diǎn)擊“導(dǎo)入服務(wù)器證書（含私鑰）”客戶端設(shè)置1）、點(diǎn)擊無線網(wǎng)絡(luò)，選擇屬性2）、按圖中選擇安全、加密方式、身份驗(yàn)證方法5、 可在AAS的訪問日志中查看認(rèn)證狀態(tài)。1.3 Web Portal認(rèn)證組網(wǎng)圖應(yīng)用場(chǎng)景當(dāng)客戶需要使用簡(jiǎn)便的認(rèn)證操作，不需要對(duì)傳輸數(shù)據(jù)進(jìn)行加密時(shí)，需要使用Web Portal認(rèn)證。技術(shù)實(shí)現(xiàn)認(rèn)證功能是為管理和控制使用網(wǎng)絡(luò)資源的用戶的一種方法。認(rèn)證功能將客戶端的認(rèn)證信息按照一定的原則存儲(chǔ)在認(rèn)證服務(wù)器中，當(dāng)用戶需要使用網(wǎng)絡(luò)資源時(shí)，captive portal功能將用戶的網(wǎng)絡(luò)請(qǐng)求重定向到認(rèn)證服務(wù)器上，這時(shí)需要用戶提供被允許的用戶名和密碼等信息，由認(rèn)證服務(wù)器對(duì)用戶提供的

11、信息進(jìn)行判斷，以決定是否允許該用戶使用網(wǎng)絡(luò)資源。AC和AP在認(rèn)證功能中主要起著傳遞用戶和認(rèn)證服務(wù)器之間通信的作用。通過在AC上進(jìn)行配置使得客戶端可以與認(rèn)證服務(wù)器進(jìn)行連接和溝通，并且在認(rèn)證服務(wù)器對(duì)客戶端信息判斷完成后將認(rèn)證結(jié)果和相應(yīng)處理推向用戶。認(rèn)證功能是建立在重定向功能基礎(chǔ)之上的。重定向功能是一種將原請(qǐng)求重新連接到設(shè)定好的地點(diǎn)后再進(jìn)行后續(xù)操作的功能。該功能是在AP接收到客戶端的請(qǐng)求后，將客戶端的請(qǐng)求轉(zhuǎn)到一個(gè)已經(jīng)設(shè)定好的地址上，之后的操作由客戶端和重定向之后的地址進(jìn)行操作，以此完成某些特定的功能和操作。該操作可以實(shí)現(xiàn)達(dá)到管理和監(jiān)控用戶的目的?？蛻舳吮恢囟ㄏ騪ortal認(rèn)證界面，需要用戶填寫用戶名

12、和密碼，只有當(dāng)該用戶名和密碼通過認(rèn)證后才允許用戶使用網(wǎng)絡(luò)資源。Portal認(rèn)證方式可以實(shí)現(xiàn)對(duì)不同類型用戶的不同控制策略。使用版本產(chǎn)品名稱版本號(hào)備注WNC6000-200SoftWare Version 6注意要點(diǎn)認(rèn)證和Portal功能是分開的，即使使用內(nèi)置Portal也需要使用AAA認(rèn)證服務(wù)器。Portal屬于三層認(rèn)證，與二層認(rèn)證方式無關(guān)，例如可以二層認(rèn)證方式使用WPA2-enterprise，而三層認(rèn)證使用Portal。配置步驟說明：2是portal服務(wù)器地址，1、AC 配置：radius source-ipv4 radius-serve

13、r authentication host 2 key 0 maipuradius-server accounting host 2 key 0 maipuaaa-accounting enableaaa enableradius nas-ipv4 aaa group server radius maipuserver 2ip dhcp pool mamnetwork-address default-router ip dhcp pool usernetwor

14、k-address default-router interface Vlan1description manageip address interface Vlan2description userip address wirelessenablel2tunnel vlan-list add 1,2static-ip network 3ssid mp-3vlan 2ap profile 1name Default hwt

15、ype 22radio 1dot11n channel-bandwidth 20vap 0vap 1enablevap 2enablecaptive-portalenableexternal portal-server server-name maipu ipv4 2 port 2000free-resource 1 destination ipv4 2/32 source anyconfiguration 1enableradius accountingradius-acct-server maipuradius-auth-server maipuredi

16、rect attribute ssid enableredirect attribute nas-ip enableac-name ACredirect url-head 2/portal/Login.doportal-server ipv4 maipufree-resource 1interface ws-network 3使用wireless ap profile apply 1下發(fā)配置。2、portal的配置1）登陸http:/x.x.x.x/portal/NMLogin.jsp2）添加接入設(shè)備：選擇接入設(shè)備配置->增加+注意：這里接入設(shè)備的名稱“AC

17、”要和AC上配置的”ac-name AC”一致。3、AAS的配置AAS的配置請(qǐng)參見3.1 部分AAS的配置即可。4、在PC設(shè)置在PC上選擇SSID進(jìn)行連接此時(shí)PC機(jī)可以獲到IP，但是網(wǎng)絡(luò)是不通，但是到認(rèn)證服務(wù)器是通的。之后訪問下網(wǎng)頁，隨便輸入一個(gè)IP，之后就會(huì)去服務(wù)器0進(jìn)行認(rèn)證：輸入用戶名和密碼進(jìn)行認(rèn)證，認(rèn)證成功后，客戶端可以訪問網(wǎng)絡(luò)：1.4 AD域用戶綁定組網(wǎng)圖78192.168.6.xAD域說明：拓?fù)溥B接以及各設(shè)備管理地址如圖所示，所有設(shè)備都在同一VLAN中，包括PC認(rèn)證通過后獲取的地

18、址也是在相同的VLAN中。應(yīng)用場(chǎng)景在一些使用AD域功能的客戶使用無線網(wǎng)絡(luò)時(shí)，希望可以直接使用AD域的數(shù)據(jù)庫(kù)進(jìn)行認(rèn)證。此時(shí)認(rèn)證服務(wù)器包括兩部分，一是AAS服務(wù)器，另一個(gè)是安裝了AD域的WINDOWS 2003 SERVER.技術(shù)實(shí)現(xiàn)在AC上使用WPA2-enterprise認(rèn)證，當(dāng)信息傳到AAS服務(wù)器時(shí)，它會(huì)把用戶信息轉(zhuǎn)發(fā)給AD來進(jìn)行用戶信息的確認(rèn)。使用版本產(chǎn)品名稱版本號(hào)備注WNC6000-200SoftWare Version 6配置步驟一、AC/AP配置1、 AP到AC注冊(cè)關(guān)鍵配置：AC：wireless no auto-ip-assign enable ap authen

19、tication none static-ip ap profile 1 name Defaulthwtype 7AP：Set management static-ip Set management dhcp-status down2、 AC上廣播SSID，本實(shí)驗(yàn)為rbjktest3,并開啟802.1x認(rèn)證關(guān)鍵配置：radius source-ipv4 !radius-server authentication host 7 key 0 maipuradius-server accounting host

20、7aaa-accounting enableaaa enableradius nas-ipv4 !aaa group server radius wlan server 7network 1 radius server-name auth wlan security mode wpa-enterprisessid rbjktest3二、AAS和AD域同步a) 安裝AAS服務(wù)器并修改IP地址，啟動(dòng)AAS服務(wù)（相關(guān)細(xì)節(jié)查看AAS安裝手冊(cè)）b) 在AAS上設(shè)備DNS域服務(wù)器地址（目的是能解析出AD域的IP地址）/重要# vi /etc

21、/resolv.confsearch nameserver 8c) AAS添加接入設(shè)備信息d) AAS添加綁定關(guān)系e) AAS設(shè)置到AD域同步操作（1）按照上圖示例填寫，用戶名/密碼需要提前在AD域上添加相關(guān)賬戶（這里用的賬戶名是aas），此賬戶用于和AD同步時(shí)使用；（2）域控制器域名得填寫AD域服務(wù)器的計(jì)算機(jī)名稱（3）匹配用戶名如果為“*”，則表示匹配所有的賬戶（4）關(guān)聯(lián)用戶組，這里為關(guān)聯(lián)default組（5）最后點(diǎn)擊開啟AD認(rèn)證1.5 無線設(shè)備WAPI/WEP/WPA/WPA2認(rèn)證 WAPI組網(wǎng)圖應(yīng)用場(chǎng)景無線終端通過WAPI認(rèn)證方式與AP建立連接。技術(shù)實(shí)現(xiàn)無線客戶端可

22、以通過WAPI認(rèn)證方式進(jìn)行認(rèn)證，并接入網(wǎng)絡(luò)。使用版本產(chǎn)品名稱版本號(hào)備注WNC6000-200SoftWare Version 6注意要點(diǎn)測(cè)試時(shí)PC需要使用支持WAPI的網(wǎng)卡進(jìn)行認(rèn)證，如無此類網(wǎng)卡可使用安卓系統(tǒng)手機(jī)充當(dāng)無線客戶端。測(cè)試時(shí)如果使用WAPI證書方式進(jìn)行認(rèn)證的話，需要使用專用的證書服務(wù)器。配置步驟AC上的配置如下：network 3 security mode wapi-psk ssid zhangsong03 vlan 200 wapi psk type ascii wapi psk cipher 12345678檢驗(yàn)配置效果無線客戶端可以認(rèn)證成功：WEP認(rèn)證組網(wǎng)圖應(yīng)用場(chǎng)景無線終端通過WEP認(rèn)證方式與AP建立連接。技術(shù)實(shí)現(xiàn)無線客戶端可以通過WEP認(rèn)證方式進(jìn)行認(rèn)證，并接入網(wǎng)絡(luò)。使用版本產(chǎn)品名稱版本號(hào)備注WNC6000-200SoftWare Version 6注意要點(diǎn)無配置步驟AC上的配置：network 6security mode static-wepssid zhangsong06vlan 200wep key type asciiwep key