• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C无线控制器典型配置案例集(V5)-6W114

目录

78-WIDS典型配置举例(V5)

本章节下载 78-WIDS典型配置举例(V5)  (280.87 KB)

78-WIDS典型配置举例(V5)

WIDS典型配置举例(V5)

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本:6W114-20210416

 

Copyright © 2008-2021 新华三技术有限公司 版权所有,保留一切权利。

非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,并不得以任何形式传播。

除新华三技术有限公司的商标外,本手册中出现的其它公司的商标、产品标识及商品名称,由各自权利人拥有。

本文档中的信息可能变动,恕不另行通知。



1  简介

本文介绍了AC WIDS(Wireless Intrusion Detection System,无线入侵检测系统)特性的典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解WIDS特性。

3  非法设备检测并反制配置举例

3.1  组网需求

图1所示,AP 1和AP 2通过交换机连接AC,AP及Client通过DHCP服务器获取IP地址;现要求:

·     AP 1工作在Normal模式,为Client 1、Client 2和Client 3提供WLAN服务;

·     AP 2工作在Monitor模式,对非法设备进行检测;

·     禁止非法用户接入。

图1 WIDS典型配置组网图

 

 

3.2  配置思路

为实现禁止非法用户接入,AC上需要配置Monitor模式的AP,并开启非法用户检测功能和反制功能。

3.3  配置注意事项

配置AP的序列号时请确保该序列号与AP唯一对应,AP的序列号可以通过AP设备背面的标签获取。

3.4  配置步骤

3.4.1  AC的配置

(1)     配置AC的接口

# 创建VLAN100及其对应的VLAN接口,并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。同时VLAN100也作为无线用户接入的VLAN。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 10.18.1.1 24

[AC-Vlan-interface100] quit

# 将与Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk,配置PVID为100,禁止VLAN1通过,允许VLAN 100通过。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100

[AC-GigabitEthernet1/0/1] quit

# 创建编号为1的WLAN-ESS接口。

[AC] interface wlan-ess 1

# 配置端口的链路类型为Hybrid。

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID为100,禁止VLAN 1通过并允许VLAN 100不带tag通过。

[AC-WLAN-ESS1] port hybrid pvid vlan 100

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 100 untagged

# 使能MAC VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

(2)     配置无线服务

# 创建clear类型的服务模板1。

[AC] wlan service-template 1 clear

# 设置当前服务模板的SSID(服务模板的标识)为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 设置无线客户端接入该无线服务(SSID)的认证方式为开放式系统认证。

[AC-wlan-st-1] authentication-method open-system

# 使能服务模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(3)     配置AP 1为Normal模式,只提供WLAN服务

# 创建AP管理模板,其名称为officeap1,型号名称选择WA2620E-AGN。

[AC] wlan ap officeap1 model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC-wlan-ap-officeap1] serial-id 21023529G007C000020

# 设置radio2的射频类型为802.11g。

[AC-wlan-ap-officeap1] radio 2 type dot11g

# 将在AC上配置的clear类型的服务模板1与射频2进行关联。

[AC-wlan-ap-officeap1-radio-2] service-template 1

[AC-wlan-ap-officeap1-radio-2] radio enable

[AC-wlan-ap-officeap1-radio-2] quit

[AC-wlan-ap-officeap1] quit

(4)     配置AP 2的工作模式为Monitor模式

# 创建AP管理模板,其名称为officeap2,型号名称选择WA2620E-AGN。

[AC] wlan ap officeap2 model WA2620E-AGN

[AC-wlan-ap-officeap2] serial-id 21023529G007C000021

# 配置AP 2的工作模式为Monitor模式。

[AC-wlan-ap-officeap2] work-mode monitor

[AC-wlan-ap-officeap2] quit

(5)     配置WIDS规则

# 进入WLAN IDS视图。

[AC] wlan ids

# 将Client1、Client2、Client3的MAC地址添加到允许接入的MAC地址列表中。

[AC-wlan-ids] device permit mac-address 000f-e215-1515

[AC-wlan-ids] device permit mac-address 000f-e215-1530

[AC-wlan-ids] device permit mac-address 0015-e213-1235

# 将Client4的MAC地址添加到禁止接入的MAC地址列表中。

[AC-wlan-ids] device attack mac-address 0015-e220-405e

# 配置AC的反制模式,根据静态配置的禁止MAC地址列表进行反制。

[AC-wlan-ids] countermeasures mode config

# 使能反制功能。

[AC-wlan-ids] countermeasures enable

[AC-wlan-ids] quit

3.4.2  Switch的配置

# 创建VLAN 100,用于转发AC和AP间LWAPP隧道内的流量和无线用户的接入。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk,配置PVID为100,禁止VLAN1通过,允许VLAN 100通过。

[Switch] interface gigabitethernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP 1相连的GigabitEthernet1/0/2接口属性为Access,并允许VLAN100通过。

[Switch] interface gigabitethernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 配置Switch与AP 1相连的GigabitEthernet1/0/2接口使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

# 配置Switch与AP 2相连的GigabitEthernet1/0/3接口属性为Access,并允许VLAN100通过。

[Switch] interface gigabitethernet1/0/3

[Switch-GigabitEthernet1/0/3] port link-type access

[Switch-GigabitEthernet1/0/3] port access vlan 100

# 配置Switch与AP 2相连的GigabitEthernet1/0/3接口使能PoE功能。

[Switch-GigabitEthernet1/0/3] poe enable

[Switch-GigabitEthernet1/0/3] quit

# 配置Switch与DHCP服务器相连的GigabitEthernet1/0/4接口属性为Access,并允许VLAN100通过。

[Switch] interface gigabitethernet1/0/4

[Switch-GigabitEthernet1/0/4] port link-type access

[Switch-GigabitEthernet1/0/4] port access vlan 100

[Switch-GigabitEthernet1/0/4] quit

3.5  验证配置

(1)     通过命令display wlan client查看上线的Client。

<Sysname> display wlan client

Total Number of Clients           : 3

                               Client Information

 SSID: office

--------------------------------------------------------------------------------

 MAC Address   User Name            APID/RID IP Address                     VLAN

--------------------------------------------------------------------------------

000f-e215-1515 Client 1             1/2       10.18.1.11                     100

000f-e215-1530 Client 2             1/2       10.18.1.12                     100

0015-e213-1235 Client 3             1/2       10.18.1.13                     100

(2)     Client 4接入网络后马上断线,再次接入网络后又断线,如此反复,ping其他设备有大量丢包

C:\Documents and Settings\Client 4> ping 10.18.1.1 -t

 

Pinging 10.18.1.1 with 32 bytes of data:

 

Request timed out.

Request timed out.

Request timed out.

Request timed out.

Request timed out.

Reply from 10.18.1.10: bytes=32 time=1433ms TTL=255

Reply from 10.18.1.10: bytes=32 time=40ms TTL=255

Reply from 10.18.1.10: bytes=32 time=11ms TTL=255

Reply from 10.18.1.10: bytes=32 time=46ms TTL=255

Reply from 10.18.1.10: bytes=32 time=17ms TTL=255

Requsert timed out.

Requsert timed out.

3.6  配置文件

#

 vlan 100

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1

 service-template enable

#

interface Vlan-interface100

 ip address 10.18.1.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 100

 port trunk pvid vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 100 untagged

 port hybrid pvid vlan 100

 mac-vlan enable

#

wlan ap officeap1 model WA2620E-AGN

serial-id 21023529G007C000020

 radio 2

  service-template 1

  radio enable

#

wlan ap officeap2 model WA2620E-AGN

 serial-id 21023529G007C000021

 work-mode monitor

 radio 2

  radio enable

#

wlan ids

 countermeasures enable

 device attack mac-address 0015-e220-405e

 device permit mac-address 000f-e215-1515

 device permit mac-address 000f-e215-1530

 device permit mac-address 0015-e213-1235

#

·     Switch

#

vlan 100

#

interface GigabitEthernet1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 100

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-type access

 port access vlan 100

 poe enable

#

interface GigabitEthernet1/0/3

 port link-type access

 port access vlan 100

 poe enable

#

interface GigabitEthernet1/0/4

 port link-type access

 port access vlan 100

#

4  黑白名单配置举例

4.1  组网需求

图2所示,AP通过交换机连接AC,AC作为DHCP服务器为AP和Client动态分配IP地址。具体应用需求如下:

·     任何来源于Client 1的帧将被过滤并丢弃;

·     所有来源于Client 2的帧将被保留做进一步处理;

·     AC启动攻击检测功能,任何攻击AP的设备将被加入到动态黑名单。

图2 黑白名单配置组网图

 

4.2  配置思路

为了防止外部非法用户访问内部网络,同时允许指定的人员访问内部网络,在AC上将无线客户端用户的MAC地址配置为静态黑名单(非法用户)、静态白名单(合法用户)。

4.3  配置注意事项

·     配置AP的序列号时请确保该序列号与AP唯一对应,AP的序列号可以通过AP设备背面的标签获取。

·     白名单的优先级高于黑名单,如果设置了白名单列表,则只有AP收到的802.11帧的源MAC在白名单内,该帧将被作为合法帧进一步处理,否则该帧被丢弃;如果没有设置白名单列表,则继续搜索静态和动态的黑名单列表进行处理。

4.4  配置步骤

4.4.1  AC的配置

(1)     配置AC的接口

#创建VLAN100及其对应的VLAN接口,并为该接口配置IP地址。AC将使用该接口的IP地址与AP建立LWAPP隧道。同时VLAN100为无线用户接入的VLAN。

<AC> system-view

[AC] vlan 100

[AC-vlan100] quit

[AC] interface vlan-interface 100

[AC-Vlan-interface100] ip address 10.18.1.1 24

[AC-Vlan-interface100] quit

# 将与Switch相连的接口GigabitEthernet1/0/1的链路类型配置为Trunk,当前Trunk口的PVID为100,禁止VLAN1通过,允许VLAN 100通过。

[AC] interface gigabitethernet 1/0/1

[AC-GigabitEthernet1/0/1] port link-type trunk

[AC-GigabitEthernet1/0/1] port trunk pvid vlan 100

[AC-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[AC-GigabitEthernet1/0/1] port trunk permit vlan 100

[AC-GigabitEthernet1/0/1] quit

(2)     配置DHCP服务

# 全局下使能DHCP

[AC] dhcp enable

# 配置DHCP地址池0动态分配的网段为10.18.1.0/24。

[AC] dhcp server ip-pool 0

[AC-dhcp-pool-0] network 10.18.1.0 mask 255.255.255.0

[AC-dhcp-pool-0] quit

(3)     配置无线服务

# 创建编号为1的WLAN-ESS接口。

[AC] interface wlan-ess 1

# 配置端口的链路类型为Hybrid

[AC-WLAN-ESS1] port link-type hybrid

# 配置当前Hybrid端口的PVID100,禁止VLAN 1通过并允许VLAN 100不带tag通过。

[AC-WLAN-ESS1] port hybrid pvid vlan 100

[AC-WLAN-ESS1] undo port hybrid vlan 1

[AC-WLAN-ESS1] port hybrid vlan 100 untagged

# 使能MAC VLAN功能。

[AC-WLAN-ESS1] mac-vlan enable

[AC-WLAN-ESS1] quit

# 创建clear类型的服务模板1。

[AC] wlan service-template 1 clear

# 设置当前服务模板的SSID为service。

[AC-wlan-st-1] ssid service

# 将WLAN-ESS1接口绑定到服务模板1。

[AC-wlan-st-1] bind wlan-ess 1

# 设置无线客户端接入该无线服务(SSID)的认证方式为开放式系统认证。

[AC-wlan-st-1] authentication-method open-system

# 使能服务模板。

[AC-wlan-st-1] service-template enable

[AC-wlan-st-1] quit

(4)     配置AP

# 创建AP管理模板,其名称为officeap,型号名称这里选择WA2620E-AGN。

[AC] wlan ap officeap model WA2620E-AGN

# 设置AP的序列号为21023529G007C000020。

[AC-wlan-ap-officeap] serial-id 21023529G007C000020

# 设置radio2的射频类型为802.11g。

[AC-wlan-ap-officeap] radio 2 type dot11g

# 将在AC上配置的clear类型的服务模板1与射频2进行关联。

[AC-wlan-ap-officeap-radio-2] service-template 1

[AC-wlan-ap-officeap-radio-2] radio enable

[AC-wlan-ap-officeap-radio-2] return

(5)     配置黑白名单

# 进入WLAN IDS视图。

[AC] wlan ids

# 添加MAC地址为0000-000f-34a3的客户端到白名单列表。

[AC-wlan-ids] whitelist mac-address 0000-000f-34a3

# 添加MAC地址为0000-000f-1211的客户端到黑名单列表。

[AC-wlan-ids] static-blacklist mac-address 0000-000f-1211

# 配置入侵检测功能,检测floodspoofweak-iv攻击。

[AC-wlan-ids] attack-detection enable all

[AC-wlan-ids] quit

4.4.2  Switch的配置

# 创建VLAN 100,用于转发AC和AP间LWAPP隧道内的流量和无线用户的接入。

<Switch> system-view

[Switch] vlan 100

[Switch-vlan100] quit

# 配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk,当前Trunk口的PVID为100,允许VLAN 100通过。

[Switch] interface gigabitethernet1/0/1

[Switch-GigabitEthernet1/0/1] port link-type trunk

[Switch-GigabitEthernet1/0/1] undo port trunk permit vlan 1

[Switch-GigabitEthernet1/0/1] port trunk permit vlan 100

[Switch-GigabitEthernet1/0/1] port trunk pvid vlan 100

[Switch-GigabitEthernet1/0/1] quit

# 配置Switch与AP相连的GigabitEthernet1/0/2接口属性为Access,当前Access口允许VLAN100通过。

[Switch] interface gigabitethernet1/0/2

[Switch-GigabitEthernet1/0/2] port link-type access

[Switch-GigabitEthernet1/0/2] port access vlan 100

# 配置Switch与AP相连的GigabitEthernet1/0/2接口使能PoE功能。

[Switch-GigabitEthernet1/0/2] poe enable

[Switch-GigabitEthernet1/0/2] quit

4.5  验证配置

# 使用命令display wlan whitelist显示配置的白名单列表。

[AC] display wlan whitelist

Total Number of Entries: 1

                                     Whitelist                                     

----------------------------------------------------------------------

MAC-Address

----------------------------------------------------------------------

0000-000f-34a3

----------------------------------------------------------------------

# 使用命令display wlan blacklist static显示配置的静态黑名单列表。

[AC] display wlan blacklist static

Total Number of Entries: 1

                                   Static Blacklist                             

----------------------------------------------------------------------

MAC-Address

----------------------------------------------------------------------

0000-000f-1211

----------------------------------------------------------------------

4.6  配置文件

#

 vlan 100

#

dhcp server ip-pool 0

 network 10.18.1.0 mask 255.255.255.0

#

wlan service-template 1 clear

 ssid service

 bind WLAN-ESS 1

 service-template enable

#

interface Vlan-interface100

 ip address 10.18.1.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 port link-type trunk

 port trunk pvid vlan 100

 port trunk permit vlan 100

#

interface WLAN-ESS1

 port link-type hybrid

 undo port hybrid vlan 1

 port hybrid vlan 100 untagged

 port hybrid pvid vlan 100

 mac-vlan enable

#

wlan ap officeap model WA2620E-AGN

 serial-id 21023529G007C000020

 radio 2

  service-template 1

  radio enable

#

wlan ids

 static-blacklist mac-address 0000-000f-1211

 whitelist mac-address 0000-000f-34a3

 attack-detection enable all

#

 dhcp enable

#

·     Switch

#

vlan 100

#

interface GigabitEthernet1/0/1

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 100

 port trunk pvid vlan 100

#

interface GigabitEthernet1/0/2

 port link-type access

 port access vlan 100

 poe enable

#

5  相关资料

·     《H3C无线控制器产品 配置指导》中的“WLAN配置指导”。

·     《H3C无线控制器产品 命令参考》中的“WLAN命令参考”。

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们