H3C无线控制器典型配置案例集(V5)-6W114

59-网站地址过滤典型配置举例(V5)

网站地址过滤典型配置举例(V5)

资料版本：6W114-20210416

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 简介

本文档介绍无线控制器网站地址过滤的典型配置举例。

2 配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解网站地址过滤功能。

3 配置举例

3.1 组网需求

如图1所示，Client位于内网，WEB服务器位于公网，Client访问WEB server的请求数据在AC出口上进行地址转换，公网地址范围为202.38.0.1~202.38.0.5五个地址，DHCP和DNS部署在同一台服务器上，为AP和Client分配IP地址并提供地址解析服务，具体的应用需求如下：

· Client可以访问WEB server，并在AC的出接口上做NAT地址转换。

· 启用网站地址过滤功能，只允许Client访问地址为www.webflt.com的网站，同时允许Client可以使用IP地址的方式访问该网站。

图1 网站地址过滤配置组网图

3.2 配置注意事项

配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

3.3 配置步骤

3.3.1 AC的配置

(1) 配置AC的接口

# 创建VLAN 100及其对应的VLAN接口，并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 10.100.1.100 255.255.0.0

[AC-Vlan-interface100] quit

# 创建VLAN 200作为ESS接口的缺省VLAN。

[AC] vlan 200

[AC-vlan200] quit

# 创建VLAN 300作为Client接入的业务VLAN，并配置其IP地址。

[AC] vlan 300

[AC-vlan300] quit

[AC] interface vlan-interface 300

[AC-Vlan-interface300] ip address 202.38.0.6 255.255.0.0

[AC-Vlan-interface300] quit

# 配置连接内网接口GigabitEthernet1/0/1的链路类型为Trunk类型，并配置允许VLAN 100、VLAN 200和VLAN 300通过。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100 200 300

[AC-GigabitEthernet1/0/1] quit

# 配置连接公网接口GigabitEthernet1/0/2的链路类型为Trunk类型，并配置仅允许VLAN 300 通过。

[AC] interface gigabitethernet 1/0/2

[AC-GigabitEthernet1/0/2] port link-type trunk

[AC-GigabitEthernet1/0/2] port trunk permit vlan 300

[AC-GigabitEthernet1/0/2] quit

(2) 配置无线接口

# 创建WLAN-ESS1接口。

[AC] interface wlan-ess 1

# 配置WLAN-ESS1接口类型为Hybrid类型。

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为VLAN 200，禁止VLAN 1通过并允许VLAN 200不带tag通过。

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 200 untagged

[AC-WLAN-ESS1] port hybrid pvid vlan 200

# 使能MAC-VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

(3) 配置无线服务

# 创建clear类型的服务模板1。

[AC] wlan service-template 1 clear

# 设置当前服务模板的SSID为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 启用无线服务。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(4) 配置射频接口并绑定服务模板

# 创建AP的管理模板，名称为officeap，型号名称选择WA2620E-AGN，并配置其序列号。

[AC] wlan ap officeap model WA2620E-AGN

[AC-wlan-ap-testap] serial-id 21023529G007C000020

# 进入radio 2射频视图。

[AC-wlan-ap-testap] radio 2

# 将在AC上配置的服务模板1与射频2进行关联。

[AC-wlan-ap-testap-radio-2] service-template 1

# 使能AP的radio 2。

[AC-wlan-ap-testap-radio-2] radio enable

[AC-wlan-ap-testap-radio-2] quit

[AC-wlan-ap-testap] quit

(5) 配置NAT

# 在AC上配置一个从202.38.0.1~202.38.0.5的地址池，地址池索引号为1。

[AC] nat address-group 1 202.38.0.1 202.38.0.5

# 在AC上配置ACL规则2001，允许源地址为10.110.0.0/16的报文通过。

[AC] acl number 2001

[AC-acl-basic-2001] rule permit source 10.100.0.0 0.0.255.255

[AC-acl-basic-2001] quit

# 将地址池与ACL规则绑定到出接口上。

[AC] interface vlan-interface 300

[AC-Vlan-interface300] nat outbound 2001 address-group 1

[AC-Vlan-interface300] quit

(6) 配置网站地址过滤

# 使能网站地址过滤功能。

[AC] firewall http url-filter host enable

# 配置仅允许用户访问www.webflt.com，并设置默认过滤行为为禁止。

[AC] firewall http url-filter host url-address permit www.webflt.com

[AC] firewall http url-filter host default deny

# 配置网站地址过滤的ACL规则。

[AC] acl number 2002

[AC-acl-basic-2002] rule 0 permit source 202.38.1.2 0

[AC-acl-basic-2002] rule 5 deny source any

[AC-acl-basic-2002] quit

# 配置允许用户以IP地址的方式访问该网站，不能访问其它网站。

[AC] firewall http url-filter host ip-address deny

[AC] firewall http url-filter host acl 2002

3.3.2 Switch 的配置

# 创建VLAN 100和VLAN 300，其中VLAN 100用于转发AC和AP间LWAPP隧道内的流量，VLAN 300为无线用户接入的VLAN。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

[Switch] vlan 300

[Switch-vlan300] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk，当前Trunk口的PVID为100，允许VLAN 100和VLAN 300通过。

[Switch] interface GigabitEthernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100 300

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access，并允许VLAN 100通过。

[Switch] interface GigabitEthernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit。

3.4 验证配置

# Client打开浏览器，输入网址http://www.webflt.com或http://202.38.1.2，可以访问该网站，输入其他网址，无法访问对应的网站。

# 通过display firewall http url-filter host verbose命令查看网站地址过滤的详细信息。

[AC] display firewall http url-filter host verbose

URL-filter host is enabled.

Default method: deny.

The support for IP address: deny.

The configured ACL group is 2002.

There are 1 packet(s) being filtered.

There are 64 packet(s) being passed.

# 通过display firewall http url-filter host all命令查看网站地址过滤的所有条目信息。

[AC] display firewall http url-filter host all

SN Match-Times Keywords

------------------------------------

1 1 www.webflt.com

3.5 配置文件

· AC：

nat address-group 1 202.38.0.1 202.38.0.5 level 1

firewall http url-filter host enable

firewall http url-filter host acl 2002

firewall http url-filter host url-address permit www.webflt.com

acl number 2001

rule 0 permit source 10.100.0.0 0.0.255.255

acl number 2002

rule 0 permit source 202.38.1.2 0

rule 5 deny

vlan 100

vlan 200

vlan 300

wlan service-template 1 clear

ssid service

bind WLAN-ESS 1

service-template enable

interface Vlan-interface100

ip address 10.100.1.100 255.255.255.0

interface Vlan-interface300

ip address 202.38.0.6 255.255.0.0

nat outbound 2001 address-group 1

interface GigabitEthernet1/0/1

port link-type trunk

port trunk permit vlan 1 100 200

interface GigabitEthernet1/0/2

port link-type trunk

port trunk permit vlan 1 300

interface WLAN-ESS1

port link-type hybrid

undo port hybrid vlan 1

port hybrid vlan 200 untagged

port hybrid pvid vlan 200

mac-vlan enable

wlan ap officeap model WA2620E-AGN id 1

serial-id 21023529G007C000020

radio 1

radio 2

service-template 1

radio enable

· Switch：

vlan 100

vlan 300

interface GigabitEthernet1/0/1

port link-mode bridge

port link-type trunk

port trunk permit vlan 1 100 300

port trunk pvid vlan 100

interface GigabitEthernet1/0/2

port link-mode bridge

port access vlan 100

poe enable

4 相关资料

· 《H3C无线控制器产品配置指导》中的“二层技术配置指导”。

· 《H3C无线控制器产品命令参考》中的“二层技术命令参考”。

· 《H3C无线控制器产品配置指导》中的“WLAN配置指导”。

· 《H3C无线控制器产品命令参考》中的“WLAN命令参考”。

· 《H3C无线控制器产品配置指导》中的“三层技术配置指导”。

· 《H3C无线控制器产品命令参考》中的“三层技术命令参考”。

· 《H3C无线控制器产品配置指导》中的“ACL和QoS配置指导”。

· 《H3C无线控制器产品命令参考》中的“ACL和QoS命令参考”。

· 《H3C无线控制器产品配置指导》中的“安全配置指导”。

· 《H3C无线控制器产品命令参考》中的“安全命令参考”。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

百业灵犀

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

H3C无线控制器典型配置案例集(V5)-6W114

目录

59-网站地址过滤典型配置举例(V5)

3.2 配置注意事项

3.3 配置步骤

3.3.1 AC的配置

3.3.2 Switch 的配置

3.4 验证配置

联系我们