• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C无线控制器典型配置案例集(V5)-6W114

目录

50-基于用户的WIAA安全控制典型配置举例(V5)

本章节下载 50-基于用户的WIAA安全控制典型配置举例(V5)  (438.10 KB)

50-基于用户的WIAA安全控制典型配置举例(V5)

基于用户的WIAA安全控制典型配置举例(V5)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本:6W114-20210416

 

Copyright © 2008-2021 新华三技术有限公司 版权所有,保留一切权利。

非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,并不得以任何形式传播。

除新华三技术有限公司的商标外,本手册中出现的其它公司的商标、产品标识及商品名称,由各自权利人拥有。

本文档中的信息可能变动,恕不另行通知。



1  简介

本文档介绍了基于用户的WIAA安全控制网络的典型配置举例。

WIAA(Wireless Inteligent Application Aware,无线智能业务感知),可提供基于无线端口的访问控制,通过在无线接口上的出方向上应用防火墙的Packet-Filter,入方向上应用ASPF策略,能够拒绝有线网络直接访问无线用户,但不影响无线用户的访问权限,确保了无线网络内的安全。

2  配置前提

本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解无线WIAA特性。

3  使用限制

本文涉及的包过滤防火墙和ASPF功能需要用户购买License,并完成注册之后才能使用。License可以通过购买特性软件授权书获得,授权书上提供了注册WIAA特性需要使用的License授权码及特性功能说明。详细的操作流程,请参见《H3C WX系列无线控制产品License激活申请和注册操作指导》,添加License的相关配置请参见“基础配置指导”中的“License管理配置”。

4  配置举例

4.1  组网需求

图1所示,某公司部署WLAN网络,使公司内部员工和外部来访人员均可以通过WLAN接入访问公司内网,要求对接入WLAN的无线用户采用802.1X认证,在限制外部来访者对FTP服务器的访问的同时要限制FTP服务器对无线用户的访问。具体应用需求如下:

·     无线用户Client 1是公司员工,接入WLAN后可访问FTP服务器。

·     无线用户Client 2是外部来访人员,接入WLAN后不能访问FTP服务器。

·     AC上配置防火墙,限制有线网络中的FTP server访问WLAN,从而保证WLAN的安全。

图1 基于用户的WIAA安全控制网络配置组网图

 

4.2  配置思路

·     为了让WLAN接入用户有不同的访问权限,需要定义不同的User-Profile,从而可以根据用户接入认证时使用的用户名为Client分配不同的访问权限。

·     为了限制有线网络中的FTP server主动访问WLAN,需要创建ACL规则,并应用于防火墙Packet-Filter。

·     为了保证无线客户端Client向FTP server发送的请求报文,以及FTP server对Client的应答报文可以正常通过AC,需要在AC上创建防火墙ASPF策略。

·     为了限制有线网络中的FTP server对WLAN访问,在User-Profile中outbound方向需要应用Packet-Fitler进行流量的过滤。

4.3  配置注意事项

·     配置AP的序列号时请确保该序列号与AP唯一对应,AP的序列号可以通过AP设备背面的标签获取。

·     确保User-Profile中的出方向应用防火墙Packet-Filter、入方向应用ASPF策略。

·     关闭ALG会使ASPF对应用层协议的功能失效(ALG功能默认开启)。

4.4  配置步骤

4.4.1  AC的配置

(1)     配置AC的接口

# 创建VLAN 100及其对应的VLAN接口,并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 10.100.1.100 255.255.255.0

[AC-Vlan-interface100] quit

# 创建VLAN 300及其对应的VLAN接口,并为该接口配置IP地址。VLAN 300将作为WLAN-ESS接口的缺省VLAN,同时作为Client接入的业务VLAN。

[AC] vlan 300

[AC-vlan300] quit

[AC] interface vlan-interface 300

[AC-Vlan-interface300] ip address 192.168.3.100 255.255.255.0

[AC-Vlan-interface300] quit

# 创建VLAN 1000及其对应的VLAN接口,并为该接口配置IP地址。VLAN 1000将作为AC和FTP服务器通信的VLAN。

[AC] vlan 1000

[AC-vlan1000] quit

[AC] interface vlan-interface 1000

[AC-Vlan-interface1000] ip address 10.101.1.100 255.255.255.0

[AC-Vlan-interface1000] quit

# 配置AC与Switch相连的GigabitEthernet1/0/2接口的链路类型为Trunk,当前Trunk口的PVID为100,允许VLAN 100和VLAN 300通过。

[AC] interface gigabitethernet 1/0/2

[AC-GigabitEthernet1/0/2] port link-type trunk

[AC-GigabitEthernet1/0/2] port trunk permit vlan 100 300

[AC-GigabitEthernet1/0/2] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/2] quit

# 创建WLAN-ESS 1接口,并设置端口的链路类型为Hybrid。

[AC] interface wlan-ess 1

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为300,禁止VLAN 1通过并允许VLAN 300不带tag通过。

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 300 untagged

[AC-WLAN-ESS1] port hybrid pvid vlan 300

# 在Hybrid端口上使能MAC VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

(2)     配置ACL

# 为ACL 3000创建规则,拒绝所有IP报文通过,用于限制有线网络主动访问WLAN。

[AC] acl number 3000

[AC-acl-adv-3000] rule deny ip

[AC-acl-adv-3000] quit

# 为ACL 3001创建规则,允许所有IP报文通过,并配置描述信息为“group_staff”,用于使公司员工可以访问内网。

[AC] acl number 3001

[AC-acl-adv-3001] description group_staff

[AC-acl-adv-3001] rule permit ip

[AC-acl-adv-3001] quit

# 为ACL 3002创建规则,允许所有IP报文通过,但拒绝目的端口为FTP的报文,并配置描述信息为“group_visitor”,用于限制外部来访人员访问内网。

[AC] acl number 3002

[AC-acl-adv-3002] description group_visitor

[AC-acl-adv-3002] rule deny tcp destination-port eq ftp

[AC-acl-adv-3002] rule permit ip

[AC-acl-adv-3002] quit

(3)     创建ASPF策略1,缺省情况下,ASPF检测处于开启状态,故采用缺省配置。

[AC] aspf-policy 1

[AC-aspf-policy-1] quit

(4)     配置基于用户的无线防火墙策略

# 创建名为group_visitor的User-Profile,用于定义外部来访者的防火墙策略。

[AC] user-profile group_visitor

# 使用ACL 3002对入方向的报文进行过滤。

[AC-user-profile-group_visitor] firewall packet-filter 3002 inbound

# 使用ACL 3000对出方向的报文进行过滤。

[AC-user-profile-group_visitor] firewall packet-filter 3000 outbound

# 对入方向的报文应用ASPF策略1。

[AC-user-profile-group_visitor] firewall aspf 1 inbound

[AC-user-profile-group_visitor] quit

# 使能名为group_visitor的User-Profile。

[AC] user-profile group_visitor enable

# 创建名为group_staff的User-Profile,用于定义公司员工的防火墙策略。

[AC] user-profile group_staff

# 使用ACL 3001对入方向的报文进行过滤。

[AC-user-profile-group_staff] firewall packet-filter 3001 inbound

# 使用ACL 3000对出方向的报文进行过滤。

[AC-user-profile-group_staff] firewall packet-filter 3000 outbound

# 对入方向的报文应用ASPF策略1。

[AC-user-profile-group_staff] firewall aspf 1 inbound

[AC-user-profile-group_staff] quit

# 使能名为group_staff的User-Profile。

[AC] user-profile group_staff enable

# 全局下使能防火墙。

[AC] firewall enable

(5)     配置802.1X认证

# 开启端口安全。

[AC] port-security enable

# 配置802.1X用户的认证方式为EAP。

[AC] dot1x authentication-method eap

# 创建名为office的RADIUS方案,并指定RADIUS服务器的类型为extended。

[AC] radius scheme office

[AC-radius-office] server-type extended

# 配置主认证RADIUS服务器的IP地址为10.100.1.200。

[AC-radius-office] primary authentication 10.100.1.200

# 认证报文的共享密钥设置为明文1234。

[AC-radius-office] key authentication 1234

# 指定发送给RADIUS服务器的用户名不得携带域名。

[AC-radius-office] user-name-format without-domain

[AC-radius-office] quit

# 创建名为office的ISP域,并进入其视图。

[AC] domain office

# 配置lan-access用户使用RADIUS方案office进行认证和授权,不对用户使用的网络服务进行计费。

[AC-isp-office] authentication lan-access radius-scheme office

[AC-isp-office] accounting lan-access none

[AC-isp-office] authorization lan-access radius-scheme office

[AC-isp-office] quit

# 在接口WLAN-ESS 1上配置802.1X用户的强制认证域office。

[AC] interface wlan-ess 1

[AC-WLAN-ESS1] dot1x mandatory-domain office

# 配置端口安全模式为userlogin-secure-ext,并使能端口11key类型的密钥协商功能。

[AC-WLAN-ESS1] port-security port-mode userlogin-secure-ext

[AC-WLAN-ESS1] port-security tx-key-type 11key

# 关闭802.1X多播触发功能和在线用户握手功能。

[AC-WLAN-ESS1] undo dot1x multicast-trigger

[AC-WLAN-ESS1] undo dot1x handshake

[AC-WLAN-ESS1] quit

(6)     配置无线服务

# 创建crypto类型的服务模板1。

[AC] wlan service-template 1 crypto

# 设置当前服务模板的SSID为service,加密方式为TKIP和AES-CCMP。

[AC-wlan-st-1] ssid service

[AC-wlan-st-1] authentication-method open-system

[AC-wlan-st-1] cipher-suite tkip

[AC-wlan-st-1] cipher-suite ccmp

[AC-wlan-st-1] security-ie rsn

# 将WLAN-ESS 1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 启用无线服务。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(7)     配置射频接口并绑定服务模板

# 创建AP的管理模板,名称为officeap,型号名称选择WA2620E-AGN。

[AC] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC-wlan-ap-officeap] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC-wlan-ap-officeap] radio 2

# 将在AC上配置的clear类型的服务模板1与射频2进行关联。

[AC-wlan-ap-officeap-radio-2] service-template 1 vlan-id 300 

# 使能AP的radio 2。

[AC-wlan-ap-officeap-radio-2] radio enable

[AC-wlan-ap-officeap-radio-2] quit

4.4.2  Switch的配置

# 创建VLAN 100VLAN 300,其中VLAN 100用于转发ACAPLWAPP隧道内的流量,VLAN 300为无线用户接入的VLAN

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 300

[Switch-vlan300] quit

# 配置SwitchAC相连的GigabitEthernet1/0/1接口的链路类型为Trunk,当前Trunk口的PVID100,并允许VLAN 100VLAN 300通过。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置SwitchAP相连的GigabitEthernet1/0/2接口的链路类型为Access,并允许VLAN 100通过,并使能PoE功能。

[Switch] interface gigabitethernet 1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置SwitchDHCP server相连的GigabitEthernet1/0/3接口的链路类型为Access,并允许VLAN 100通过。

[Switch] interface gigabitethernet 1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 100

[Switch-GigabitEthernet1/0/3] quit

# 配置SwitchRADIUS server相连的GigabitEthernet1/0/4接口的链路类型为Access,并允许VLAN 100通过。

[Switch] interface gigabitethernet 1/0/4

[Switch-GigabitEthernet1/0/4] port link-type access

[Switch-GigabitEthernet1/0/4] port access vlan 100

[Switch-GigabitEthernet1/0/4] quit

4.4.3  RADIUS Server的配置

说明

下面以IMC为例(使用IMC版本为:iMC PLAT 7.0 (E0202)、iMC WSM 7.0 (E0202)),说明Radius Server的基本配置。

 

# 增加接入设备

登录进入IMC管理平台,选择“用户”页签,单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项,进入“接入设备配置”页面,在该页面中单击<增加>按钮,进入“增加接入设备”页面。

·     设置与AC交互报文时使用的认证、计费共享密钥为“1234”;

·     设置认证及计费的端口号分别为“1812”和“1813”;

·     选择接入设备类型为“H3C(General)”;

·     在设备列表中,单击<手工增加>按钮,添加IP地址为10.100.1.100的接入设备;

·     其它参数采用缺省值,并单击<确定>按钮完成操作。

图2 增加接入设备

 

# 增加公司员工的接入策略

选择“用户”页签,单击导航树中的[接入策略管理/接入策略管理]菜单项,进入“接入策略管理”页面,单击“增加”按钮,进入“增加接入策略”页面。

·     接入策略名为“dot1x_staff”,该名称可以自行定义;

·     选择认证证书类型为EAP-PEAP认证,认证证书子类型为MS-CHAPV2认证;

·     选择下发User Profile,并输入AC对应的User-Profile名“group_staff”。

·     其他配置采用缺省配置;

·     单击<确定>按钮完成操作。

图3 增加公司员工的接入策略

 

# 增加来访人员的接入策略

选择“用户”页签,单击导航树中的[接入策略管理/接入策略管理]菜单项,进入“接入策略管理”页面,单击“增加”按钮,进入“增加接入策略”页面。

·     接入策略名为“dot1x_visitor”,该名称可以自行定义;

·     选择认证证书类型为EAP-PEAP认证,认证证书子类型为MS-CHAPV2认证;

·     选择下发User Profile,并输入AC对应的User-Profile名“group_visitor”。

·     其他配置采用缺省配置;

·     单击<确定>按钮完成操作。

图4 增加来访人员的接入策略

 

# 增加公司员工的接入服务

选择“用户”页签,单击导航树中的[接入策略管理/接入服务管理]菜单项,进入“接入服务管理”页面,点击<增加>按钮,进入“增加接入服务”页面。

·     输入服务名“staff”,该名称可以自行定义;

·     业务分组“未分组”;

·     缺省接入策略选择“dot1x_staff”,即上一步配置的公司员工接入策略名;

·     其它参数采用缺省值,并单击<确定>按钮完成操作。

图5 增加公司员工的接入服务

 

# 增加来访人员的接入服务

选择“用户”页签,单击导航树中的[接入策略管理/接入服务管理]菜单项,进入“接入服务管理”页面,点击<增加>按钮,进入“增加接入服务”页面。

·     输入服务名“visitor”,该名称可以自行定义;

·     业务分组“未分组”;

·     缺省接入策略选择“dot1x_visitor”,即上一步配置的来访人员接入策略名;

·     其它参数采用缺省值,并单击<确定>按钮完成操作。

图6 增加来访人员的接入服务

 

# 配置公司员工接入用户

选择“用户”页签,单击导航树中的[接入用户管理/接入用户]菜单项,进入“接入用户”页面,在该页面中单击<增加>按钮,进入“增加接入用户”页面。

·     在增加接入用户页面,单击<增加用户>按钮弹出增加用户窗口;

·     输入用户名“staff”;

·     输入证件号码“staff”;

·     单击<检查是否可用>按钮;

·     如用户姓名和证件号码可用,单击<确定>按钮完成操作。

图7 增加用户

 

在“增加接入用户”页面,按如下方式配置。

·     输入账号名“staff”;

·     输入密码“staff”;

·     接入服务选择“staff”;

·     其他配置保持默认;

·     单击<确定>按钮完成操作。

图8 增加公司员工接入用户

 

# 配置来访人员接入用户

选择“用户”页签,单击导航树中的[接入用户管理/接入用户]菜单项,进入“接入用户”页面,在该页面中单击<增加>按钮,进入“增加接入用户”页面。

·     在增加接入用户页面,单击<增加用户>按钮弹出增加用户窗口;

·     输入用户名“visitor”;

·     输入证件号码“visitor”;

·     单击<检查是否可用>按钮;

·     如用户姓名和证件号码可用,单击<确定>按钮完成操作。

图9 增加用户

 

在“增加接入用户”页面,按如下方式配置。

·     输入账号名“visitor”;

·     输入密码“visitor”;

·     接入服务选择“visitor”;

·     其他配置保持默认;

·     单击<确定>按钮完成操作。

图10 增加来访人员接入用户

 

4.5  验证配置

(1)     公司来访者接入WLAN后,验证能否访问FTP服务器。从访问结果可以看出,外部访问者接入无线局域网后不能访问FTP服务器,WIAA起到了保护公司网络的作用,公司员工接入无线局域网后可以访问FTP服务器,不会影响到正常的工作。

# 在来访用户Client 2上访问FTP服务器,访问失败。

D:\> ftp 10.101.1.200

ftp>

# 在公司员工用户Client 1上访问FTP服务器,可以成功访问。

D:\> ftp 10.101.1.200

连接到 10.101.1.200。

220 FTP service ready.

用户(10.101.1.200:(none)): admin

331 Password required for admin.

密码:

230 User logged in.

 

(2)     FTP服务器处于AC的上行网络,验证FTP服务器能否访问无线用户Client 1Client 2,即验证AC的上行网络能否直接访问无线局域网。

# FTP服务器上ping无线用户Client 1

D:\> ping 192.168.3.2

 

Pinging 192.168.3.2 with 32 bytes of data:

 

Request timed out.

Request timed out.

Request timed out.

Request timed out.

 

Ping statistics for 192.168.3.2:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

# FTP服务器上ping无线用户Client 2

D:\> ping 192.168.3.3

 

Pinging 192.168.3.3 with 32 bytes of data:

 

Request timed out.

Request timed out.

Request timed out.

Request timed out.

 

Ping statistics for 192.168.3.2:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

# ping的结果看出,AC的上行网络不能直接访问WLAN,从而保证了WLAN的安全。

4.6  配置文件

·     AC的配置文件:

#

 firewall enable

#

 port-security enable

#

 dot1x authentication-method eap

#

acl number 3000

 rule 0 deny ip

acl number 3001

 description group_staff

 rule 0 permit ip

acl number 3002

 description group_visitor

 rule 0 deny tcp destination-port eq ftp

 rule 5 permit ip

#

vlan100

#

vlan300

#

vlan1000

#

radius scheme office

 server-type extended

 primary authentication 10.100.1.200

 key authentication cipher $c$3$valbiQIfMbLyB65r00evDgE3Tus0/Rc=

 user-name-format without-domain

#

Domain office

 authentication lan-access radius-scheme office

accounting lan-access none

 authorization lan-access radius-scheme office

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

aspf-policy 1

#

wlan service-template 1 crypto

 ssid service

 bind WLAN-ESS 1

 cipher-suite tkip

 cipher-suite ccmp

 security-ie rsn

 service-template enable

#

user-profile group_staff

 firewall packet-filter 3001 inbound

 firewall packet-filter 3000 outbound

 firewall aspf 1 inbound

user-profile group_visitor

 firewall packet-filter 3002 inbound

 firewall packet-filter 3000 outbound

 firewall aspf 1 inbound

#

interface Vlan-interface100

 ip address 10.100.1.100 255.255.255.0

#

interface Vlan-interface300

 ip address 192.168.3.100 255.255.255.0

#

interface Vlan-interface1000

 ip address 10.101.1.100 255.255.255.0

#

interface GigabitEthernet1/0/2

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

undo port hybrid vlan 1

 port hybrid vlan 300 untagged

 port hybrid pvid vlan 300

mac-vlan enable

 port-security port-mode userlogin-secure-ext

 port-security tx-key-type 11key

 undo dot1x handshake

 dot1x mandatory-domain 1x

 undo dot1x multicast-trigger

#

wlan ap officeap model WA2620E-AGN id 1

 serial-id 21023529G007C000020

 radio 1

 radio 2

  service-template 1

  radio enable

#

user-profile group_staff enable

 user-profile group_visitor enable

#

·     Switch的配置文件:

#

vlan 100

#

vlan 300

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk permit vlan 100 300

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-type access

 port access vlan 100

 poe enable

#

interface GigabitEthernet1/0/3

 port link-type access

 port access vlan 100

#

interface GigabitEthernet1/0/4

 port link-type access

 port access vlan 100

#

5  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。

·     《H3C无线控制器产品 配置指导》中的“安全配置指导”。

·     《H3C无线控制器产品 命令参考》中的“安全命令参考”。

·     《H3C无线控制器产品 配置指导》中的“二层技术配置指导”。

·     《H3C无线控制器产品 命令参考》中的“二层技术命令参考”。

·     《H3C无线控制器产品 配置指导》中的“ACL和QoS配置指导”。

·     《H3C无线控制器产品 命令参考》中的“ACL和QoS命令参考”。

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们