華為交換機(jī)日志服務(wù)器

竭誠(chéng)為您提供優(yōu)質(zhì)的服務(wù)，優(yōu)質(zhì)的文檔，謝謝閱讀/雙擊去除華為交換機(jī)日志服務(wù)器一華為交換機(jī)與Cisco,ISE服務(wù)器對(duì)接教程你還在為不知道華為交換機(jī)與ciscoIse服務(wù)器對(duì)接方法而煩惱么?接下來(lái)是小編為大家收集的華為交換機(jī)與ciscoIse服務(wù)器對(duì)接教程，希望能幫到大家。華為交換機(jī)與ciscoIse服務(wù)器對(duì)接教程方法本案例以授權(quán)AcL和動(dòng)態(tài)VLAN為例，簡(jiǎn)單介紹如何通過(guò)ciscoIdentityservicesengine(Ise)服務(wù)器實(shí)現(xiàn)為終端用戶授權(quán)。l授權(quán)AcL分為兩類:JcL描述信息:服務(wù)器上配置7AcL描述信息授權(quán)功能，則授權(quán)信息中含有AcL的描述信息。設(shè)備端根據(jù)服務(wù)器授權(quán)的AcL描述信息匹配上相應(yīng)的AcL規(guī)則，對(duì)用戶權(quán)限進(jìn)行控制。其中設(shè)備上需要配置AcL編號(hào)、對(duì)應(yīng)的描述信息和AcL規(guī)則。使用rADIus標(biāo)準(zhǔn)屬性：（011）Filter-Id。尋態(tài)AcL：服務(wù)器向設(shè)備授權(quán)該AcL中的規(guī)則，用戶能夠訪問(wèn)AcL所包括的網(wǎng)絡(luò)資源，AcL及AcL規(guī)則需要在服務(wù)器上配置。設(shè)備上不需要配置對(duì)應(yīng)的AcL。使用華為rADIus私有屬性：（26-82）hw-Data-Filter。l動(dòng)態(tài)VLAN:服務(wù)器上配置了動(dòng)態(tài)VLAN下發(fā)功能，則授權(quán)信息中含有下發(fā)的VLAN屬性，設(shè)備端在接收到下發(fā)的VLAN屬性后，會(huì)將用戶所屬的VLAN修改為下發(fā)VLAN。動(dòng)態(tài)VLAN可以通過(guò)VLANID和VLAN的描述信息下發(fā)。授權(quán)下發(fā)的VLAN并不改變接口的配置，也不影響接口的配置。但是，授權(quán)下發(fā)的VLAN的優(yōu)先級(jí)高于用戶配置的VLAN，即通過(guò)認(rèn)證后起作用的VLAN是授權(quán)下發(fā)的VLAN，用戶配置的VLAN在用戶下線后生效。動(dòng)態(tài)VLAN下發(fā)，使用了以下rADIus標(biāo)準(zhǔn)屬性:-(064)Tunnel-Type(必須指定為VLAN，或數(shù)值13)-(065)Tunnel-medium-Type(必須指定為802，或數(shù)值6)-(081)Tunnel-private-group-ID(可以是VLANID或VLAN名稱）要通過(guò)rADIus服務(wù)器正確下發(fā)VLAN屬性，以上三個(gè)屬性必須同時(shí)使用，而且Tunnel-Type及Tunnel-medium-Type兩個(gè)屬性的值必須是指定的值。配置注意事項(xiàng)本例中ciscoIse服務(wù)器的版本為53。ciscoIse服務(wù)器作為rADIus服務(wù)器與設(shè)備對(duì)接實(shí)現(xiàn)授權(quán)時(shí)，需要注意以下事項(xiàng)：l支持通過(guò)rADIus標(biāo)準(zhǔn)屬性和華為rADIus私有屬性實(shí)現(xiàn)授權(quán)，不支持通過(guò)cisco私有屬性授權(quán)。使用華為私有屬性授權(quán)時(shí)，需要在ciscoIse服務(wù)器上手動(dòng)添加私有屬性值。l通過(guò)AcL描述信息授權(quán)AcL時(shí)，在ciscoIse服務(wù)器勾選Filter-ID、添加描述信息abc后，屬性下發(fā)時(shí)會(huì)自動(dòng)攜帶.in后綴;若想授權(quán)成功，設(shè)備需要將該AcL的描述信息配置為abc.in。l動(dòng)態(tài)AcL授權(quán)使用的是華為私有屬性hw-Data-Filter授權(quán)，不支持通過(guò)cisc。私有屬性授權(quán)。l在ciscoIse服務(wù)器上添加華為私有屬性hw-Data-Filter后，在授權(quán)模板中既存在Filter-ID又存在hw-Data-Filter時(shí)，只能下發(fā)Filter-ID，不能下發(fā)hw-Data-Filter。l通過(guò)AcL描述信息授權(quán)AcL時(shí)，由于ciscoIse服務(wù)器支持配置的描述信息長(zhǎng)度最大為252個(gè)字節(jié)、設(shè)備支持配置的描述信息長(zhǎng)度最大為127個(gè)字節(jié)，所以兩端配置的描述信息不能超過(guò)127個(gè)字節(jié)。l通過(guò)VLAN描述信息授權(quán)動(dòng)態(tài)VLAN時(shí)，由于ciscoIse服務(wù)器支持配置的描述信息長(zhǎng)度最大為32個(gè)字節(jié)、設(shè)備支持配置的描述信息長(zhǎng)度最大為80個(gè)字節(jié)，所以兩端配置的描述信息不能超過(guò)32個(gè)字節(jié)。組網(wǎng)需求如圖3-10所示，某公司內(nèi)部大量員工終端通過(guò)switchA上的接口ge1/0/1接入網(wǎng)絡(luò)。為確保網(wǎng)絡(luò)的安全性，管理員需對(duì)終端的網(wǎng)絡(luò)訪問(wèn)權(quán)限進(jìn)行控制，要求如下：l終端認(rèn)證成功前能夠訪問(wèn)公共服務(wù)器（Ip地址為），執(zhí)行下載802.1x客戶端或更新病毒庫(kù)的操作。l終端認(rèn)證成功后能夠訪問(wèn)業(yè)務(wù)服務(wù)器（Ip地址為）和實(shí)驗(yàn)室內(nèi)的設(shè)備（所屬VLAN號(hào)為20，Ip地址段為000）。有線接入組網(wǎng)圖數(shù)據(jù)準(zhǔn)備接入交換機(jī)業(yè)務(wù)數(shù)據(jù)規(guī)劃項(xiàng)目數(shù)據(jù)rADIus方案l認(rèn)證服務(wù)器Ip地址：l認(rèn)證服務(wù)器端口號(hào)：1812l計(jì)費(fèi)服務(wù)器Ip地址：l計(jì)費(fèi)服務(wù)器端口號(hào)：1813IrADIus服務(wù)器共享密鑰：huawei@123l認(rèn)證域：huawei認(rèn)證成功前可訪問(wèn)的資源公共服務(wù)器的訪問(wèn)權(quán)限通過(guò)免認(rèn)證規(guī)則設(shè)置認(rèn)證成功后可訪問(wèn)的資源實(shí)驗(yàn)室的訪問(wèn)權(quán)限通過(guò)動(dòng)態(tài)VLAN授權(quán)，VLAN號(hào)為：20業(yè)務(wù)服務(wù)器的訪問(wèn)權(quán)限通過(guò)AcL號(hào)授權(quán)，AcL號(hào)為：3002,描述信息為3002.inciscoIse服務(wù)器業(yè)務(wù)數(shù)據(jù)規(guī)劃項(xiàng)目數(shù)據(jù)部門(mén)研發(fā)部接入用戶用戶名：A-123密碼：huawei123交換機(jī)Ip地址switchA：rADIus認(rèn)證密鑰huawei@123rADIus計(jì)費(fèi)密鑰huawei@123配置思路1.配置接入交換機(jī)。包括配置接口所屬VLAN、與rADIus服務(wù)器的對(duì)接參數(shù)、使能NAc認(rèn)證、認(rèn)證成功后的網(wǎng)絡(luò)訪問(wèn)權(quán)限等。本示例需保證switchA、switchb、各個(gè)服務(wù)器、實(shí)驗(yàn)室以及員工區(qū)域之間路由互通。2.配置ciscoIse服務(wù)器:登錄ciscoIse服務(wù)器。在ciscoIse服務(wù)器上添加用戶。在ciscoIse服務(wù)器上添加交換機(jī)。在ciscoIse服務(wù)器上配置使用的密碼認(rèn)證協(xié)議。在ciscoIse服務(wù)器上配置認(rèn)證策略。在ciscoIse服務(wù)器上配置授權(quán)策略。操作步驟步驟一配置接入交換機(jī)switchA。創(chuàng)建VLAN并配置接口允許通過(guò)的VLAN，保證網(wǎng)絡(luò)通暢。system-view[huAweI]sysnameswitchA[switchA]vlanbatch1020[switchA]interfacegigabitethernet0/0/1//配置與員工終端連接的接口[switchA-gigabitethernet0/0/1]portlink-typehybrid[switchA-gigabitethernet0/0/1]porthybridpvidvlan10[switchA-gigabitethernet0/0/1]porthybriduntaggedvlan10[switchA-gigabitethernet0/0/1]quit[switchA]interfacegigabitethernet0/0/2//配置與實(shí)驗(yàn)室連接的接口[switchA-gigabitethernet0/0/2]portlink-typehybrid[switchA-gigabitethernet0/0/2]porthybriduntaggedvlan20[switchA-gigabitethernet0/0/2]quit[switchA]interfacegigabitethernet0/0/3//配置與switchb連接的接口[switchA-gigabitethernet0/0/3]portlink-typetrunk[switchA-gigabitethernet0/0/3]porttrunkallow-passvlan1020[switchA-gigabitethernet0/0/3]quit[switchA]interfaceloopback1[switchA-Loopback1]ipaddress24//配置與ciscoIse服務(wù)器通信的Ip地址[switchA-Loopback1]quit創(chuàng)建并配置rADIus服務(wù)器模板、AAA認(rèn)證方案以及認(rèn)證域。甘創(chuàng)建并配置rADIus服務(wù)器模板“rdl”。[switchA]radius-servertemplaterd1[switchA-radius-rd1]radius-serverauthentication1812[switchA-radius-rd1]radius-serveraccounting1813[switchA-radius-rd1]radius-servershared-keycipherhuawei@123[switchA-radius-rd1]quit甘創(chuàng)建AAA認(rèn)證方案“abc”并配置認(rèn)證方式為rADIus。[switchA]aaa[switchA-aaa]authentication-schemeabc[switchA-aaa-authen-abc]authentication-moderadius[switchA-aaa-authen-abc]quit甘配置計(jì)費(fèi)方案“acco1”并配置計(jì)費(fèi)方式為rADIus。[switchA-aaa]accounting-schemeacco1[switchA-aaa-accounting-acco1]accounting-moderadius[switchA-aaa-accounting-acco1]quit甘創(chuàng)建認(rèn)證域“huawei”，并在其上綁定AAA認(rèn)證方案“abc”、計(jì)費(fèi)方案“accol”與rADIus服務(wù)器模板“rdl”[switchA-aaa]domainhuawei[switchA-aaa-domain-huawei]authentication-schemeabc[switchA-aaa-domain-huawei]accounting-schemeacco1[switchA-aaa-domain-huawei]radius-serverrd1[switchA-aaa-domain-huawei]quit[switchA-aaa]quit使能802.1x認(rèn)證。甘將NAc配置模式切換成統(tǒng)一模式。[switchA]authenticationunified-mode設(shè)備默認(rèn)為統(tǒng)一模式。模式切換前，管理員必須保存配置;模式切換后，設(shè)備重啟，新配置模式的各項(xiàng)功能才能生效。#配置802.1x接入模板“d1”，并指定認(rèn)證協(xié)議為eAp。[switchA]dot1x-access-profilenamed1[switchA-dot1x-access-profile-d1]dot1xauthentication-methodeap[switchA-dot1x-access-profile-d1]quit甘配置免認(rèn)證規(guī)則模板“default_free_rule[switchA]free-rule-templatenamedefault_free_rule[switchA-free-rule-defaultfreerule]free-rule10destinationipmask32[switchA-free-rule-default_free_rule]quit甘配置認(rèn)證模板“p1”，并在其上綁定802.1x接入模板“d1”、綁定免認(rèn)證規(guī)則模板“default_free_rule”、指定認(rèn)證模板下用戶的強(qiáng)制認(rèn)證域?yàn)椤癶uawei”[switchA]authentication-profilenamep1[switchA-authen-profile-p1]dot1x-access-profiled1[switchA-authen-profile-p1]free-rule-templatedefault_free_rule[switchA-authen-profile-p1]access-domainhuaweiforce[switchA-authen-profile-p1]quit#在接口ge0/0/1上綁定認(rèn)證模板“p1”，使能802.1x認(rèn)證。[switchA]interfacegigabitethernet0/0/1[switchA-gigabitethernet0/0/1]authentication-profilepl[switchA-gigabitethernet0/0/1]quit配置認(rèn)證成功后的授權(quán)參數(shù)AcL3002。[switchA]acl3002[switchA-acl-adv-3002]description3002.in//配置AcL描述信息為3002.in;此時(shí)，ciscoIse服務(wù)器設(shè)置的Filter-ID為3002[switchA-acl-adv-3002]rule1permitipdestination0[switchA-acl-adv-3002]rule2permitipdestination0[switchA-acl-adv-3002]rule3denyipdestinationany[switchA-acl-adv-3002]quit步驟二ciscoIse服務(wù)器側(cè)配置。1.登錄ciscoIse服務(wù)器。a.打開(kāi)Internetexplorer瀏覽器，在地址欄輸入ciscoIse服務(wù)器的訪問(wèn)地址，單擊“enter訪問(wèn)方式說(shuō)明https://ciscoIse-Ip其中，“ciscoIse-Ip”為ciscoIse服務(wù)器的Ip地址。b.輸入管理員帳號(hào)和密碼登錄ciscoIse服務(wù)器。2.創(chuàng)建用戶組和用戶。a.選擇“Administration>Identitymanagement>groups”。在右側(cè)操作區(qū)域內(nèi)選擇“Add”，創(chuàng)建用戶組“rpadding:0px;margin:0px0px0px90.7pt;border-spacing:0px;width:530px;border-collapse:collapse;font-stretch:normal;font-size:16px;font-family:"microsoftyahei〃,Arial,宋體,Tahoma,Verdana,simsun;empty-cells:show;table-layout:auto;color:rgb(51,51,51);〃width=〃529〃>參數(shù)取值說(shuō)明NameswitchAIpAddress/32交換機(jī)上該接口必須與ciscoIse服務(wù)器互通。sharedsecrethuawei@123與交換機(jī)上配置的對(duì)研發(fā)部員工的訪問(wèn)控制規(guī)則一致。配置使用的密碼認(rèn)證協(xié)議。選擇“policy>policyelements>result”。在左側(cè)操作區(qū)域內(nèi)選擇“Authentication>Allowedprotocols”，進(jìn)入“Allowedprotocolsservices”界面。在右側(cè)操作區(qū)域內(nèi)點(diǎn)擊“Add”,創(chuàng)建新的網(wǎng)絡(luò)接入方式，選擇允許使用的密碼認(rèn)證協(xié)議。交換機(jī)與ciscoIse服務(wù)器對(duì)接時(shí)，支持eAp、pAp和chAp三種認(rèn)證方式。交換機(jī)配置為eAp認(rèn)證方式與ciscoIse服務(wù)器對(duì)接時(shí)，不支持eAp-LeAp和eAp-FAsT兩種模式。配置認(rèn)證策略。選擇“policy>Authentication”。認(rèn)證策略分為“simple”和“rule-based”兩種，與“simple”方式相比，“rule-based”方式可以匹配多個(gè)網(wǎng)絡(luò)接入方式(即“Allowedprotocol”)。這里以“simple”為例。在“NetworkAccessservice”下拉框中選擇上步新建的網(wǎng)絡(luò)接入方式“802.1x”，其他選擇默認(rèn)配置。配置授權(quán)策略。a.新增授權(quán)規(guī)則。選擇“policy>Authorization”。點(diǎn)擊右方"edit”后的三角形，選擇“InsertNewruleAbove”，新增名稱為“Authorizationruleforauthenticatedusers”的授權(quán)規(guī)則、授權(quán)的用戶組為“rpadding:0px;margin:0px0px0px90.7pt;border-spacing:0px;width:522px;border-collapse:collapse;font-stretch:normal;font-size:16px;font-family:"microsoftyahe