H3C EIA 微软Azure AD联动认证

典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W100-20260424

产品版本：EIA (E7301)

 

本文档中的信息可能变动，恕不另行通知。

目  录

1 简介

2 使用指南

2.1 使用场合

2.2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 配置步骤

3.3.1 配置Azure

3.3.2 增加接入设备

3.3.3 增加接入策略

3.3.4 增加接入服务

3.3.5 增加接入用户

3.3.6 配置Azure&SAML2.0

3.3.7 认证页面配置

3.3.8 证书服务器配置

3.3.9 接入设备配置

4 结果验证

4.1 申请证书

4.1.1 申请服务器证书

4.1.2 申请客户端证书

4.2 安装证书

4.2.1 安装服务器证书

4.2.2 安装客户端证书

4.3 使用iNode认证

4.4 在EIA中查看认证成功信息

 

1 简介

本手册主要介绍通过在EIA中将微软Azure AD服务作为第三方认证服务器，采用SAML 2.0协议对接Office 365的方式，实现用户证书的自动部署。目前，证书自动部署仅支持本地用户认证，Office 365用户无法完成认证并上线。通过利用EIA的Azure AD&SAML 2.0认证特性，可以实现Office 365用户的证书快速自动部署，解决其上网认证问题。

·     Azure AD（Azure Active Directory）：是微软提供的基于云的身份和访问管理服务，帮助企业管理员工对各种应用和资源的访问权限。它支持单点登录（SSO）、多因素认证（MFA）、条件访问策略等功能，广泛用于管理云端和本地的身份验证，保障企业安全。

·     SAML 2.0（Security Assertion Markup Language 2.0）：是一种基于XML的开放标准，用于实现单点登录（SSO）和身份认证。Azure AD支持SAML 2.0协议，通过它可以与各种支持SAML的第三方应用集成，实现统一身份认证和访问控制，提升用户体验和安全性。

·     Office 365：是微软推出的一套基于云计算的办公服务和应用套件，旨在提升个人和企业的工作效率。它包含了多种常用的办公软件和服务，如Word、Excel、PowerPoint、Outlook、OneDrive、Teams等，用户可以通过互联网随时随地访问和协作。

2 使用指南

2.1  使用场合

Azure AD适用于跨域或跨系统单点登录（SSO）场景，比如企业有多个IT系统（办公系统、门户、业务系统等），希望通过一次证书登录，自动访问Office 365，实现单点登录和身份认证。

2.2  配置前提

·     在配置前，网络必须路由可达。

·     EIA服务器的时间需要和微软Azure AD服务器的时间保持一致。

·     本案例中采用的是EAP-TLS证书认证方式，即客户端与服务器通信前需要相互验证对方证书的合法性，在对EIA服务器和iNode客户端进行配置之前，必须先到证书颁发机构申请证书。其中EIA服务器需要申请根证书和服务器证书，iNode客户端需要申请根证书和客户端证书。

·     证书认证需要启动HTTPS开关，登录EIA系统，选择[系统>系统配置>安全配置>HTTPS证书配置]菜单项，进入HTTPS证书配置页面，开启“启用HTTPS”开关，单击<确定>按钮，如下图所示。

图1 启用HTTPS

 

3 配置举例

3.1  组网需求

某公司计划使用微软Azure AD服务作为第三方认证服务器，实现Office 365用户的证书快速自动部署，用户接入网络时需要进行身份验证，配置案例的组网环境如下图所示。

图2 组网图

·     EIA版本：EIA (E7301)

·     Azure AD版本：Microsoft Entra ID 免费版

·     iNode版本：iNode PC 7.3 (E0577)

3.2  配置思路

·     配置Azure

·     增加接入设备

·     增加接入策略

·     增加接入服务

·     增加接入用户

·     配置Azure&SAML 2.0

·     认证页面配置

·     证书服务器配置

·     接入设备配置

3.3  配置步骤

3.3.1  配置Azure

1. 创建用户

(1)     在浏览器中输入https://portal.azure.com/，进入登录界面，输入管理员信息登录，如果没有账号可以在登录界面创建。登录后进入欢迎使用Azure页面，如下图所示。

图3 欢迎使用Azure

 

(2)     单击管理Microsoft Entra ID模块的<查看>按钮进入管理界面，选择[管理>用户]菜单项，进入用户页面。

图4 用户

 

(3)     单击<新建用户>按钮，可选择新建用户或邀请外部用户，本例选择邀请外部用户，进入邀请外部用户页面。

图5 邀请外部用户

 

(4)     配置完基本信息后，单击<审阅+邀请>按钮，完成邀请，待用户接受邀请后即可添加成功。

2. 注册应用

(1)     返回Default Directory页面，选择[管理>企业应用程序]菜单项，进入企业应用程序页面，如下图所示。

图6 应用注册

 

(2)     单击<新建应用程序>按钮，进入新建应用程序页面。

图7 新建应用程序

 

(3)     单击<创建你自己的应用程序>按钮，输入应用程序名称，选择“集成未在库中找到任何其他应用程序”，单击<创建>按钮。

图8 创建你自己的应用程序

 

3. 设置单一登录

(1)     进入概述页面，选择设置单一登录。

图9 设置单一登录

 

(2)     进入单一登录页面，选择SAML

图10 SAML

 

(3)     进入设置SAML单一登录页面，填写SAML配置信息，单击基本SAML配置的<编辑>按钮，弹出基本SAML配置页面，配置标识符（实体ID）和回复URL （断言使用者服务URL）。

¡     标识符（实体ID）：按需配置即可。

¡     回复URL （断言使用者服务URL）：https://北向ip地址:https端口/byod/byodrs/scep/sso/azure/consumer，本例为https://10.144.195.104:30000/byod/byodrs/scep/sso/azure/consumer。

图11 基本SAML配置

 

4. 下载证书

在单一登录页面的SAML证书区域，单击证书（base64）后面的下载链接可下载证书。

图12 下载证书

 

5. 查看应用程序ID和IDP服务地址

在单一登录页面的安装of365-Enterprice区域可查看应用程序ID，也就是Microsft Entra标识符，和IDP服务地址，也就是登录URL。

图13 应用程序ID和IDP服务地址

 

6. 分配用户

(1)     选择[用户和组]页签，单击<添加用户/组>按钮，进入添加分配页面，单击“未选择任何项”链接，选择可以使用该应用登录的用户。

图14 分配用户

 

3.3.2  增加接入设备

(1)     登录EIA系统，单击[自动化>网络准入>准入管理>接入设备]菜单项，进入设备配置页面，如下图所示。

图15 接入设备页面

 

(2)     单击<增加>按钮，进入增加接入设备页面，如下图所示。

图16 增加接入设备

 

(3)     配置公共参数。

公共参数的配置要求如下：

¡     认证端口：EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812。

¡     计费端口：EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813。

 

¡     业务类型：在下拉框中选择该设备承载的业务，包括不限和设备管理业务。前者用于用户接入和使用网络，后者用于设备管理员登录和管理设备。

¡     强制下线方式：在下拉框中选择强制用户下线的方式，包括断开用户连接和Down-Up端口。前者表示EIA服务器向NAS设备下发Disconnect Message(DM)强制用户下线；后者表示EIA服务器向NAS设备下发Change-of-Authorization(CoA)消息强制用户下线，NAS设备收到CoA消息后先Down掉连接用户的端口，然后再重新UP该端口。

¡     接入设备类型：在下拉框中选择接入设备的厂商和类型。下拉框中包含了Standard、EIA系统预定义和管理员自定义的厂商和类型。支持标准RADIUS协议的设备都可以选择Standard。系统预定义的厂商和类型包括：H3C(General)、3COM(General)、HUAWEI(General)、CISCO(General)、RG(General)、HP(MSM)、HP(Comware)、MICROSOFT(General)、JUNIPER(General)和HP(ProCurve)。

¡     共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果[自动化>网络准入>准入管理>参数管理>接入认证>系统参数]中的密钥显示方式设置为明文时，只需输入一次共享密钥即可。

¡     接入位置分组：在下拉框中选择接入设备需要加入的接入位置分组。可选项包括EIA中已经存在的接入位置分组和“无”。接入位置分组是区分终端用户的接入条件之一。

本例中公共参数只需要输入共享密钥\确认共享密钥“movie”，其他保持默认即可。

(4)     单击<增加IPv4设备>按钮，增加地址“1.2.4.199”的设备，如下图所示。

图17 接入设备

 

(5)     单击<确认>按钮，增加接入设备完成，如下图所示。

图18 增加接入设备完成

 

3.3.3  增加接入策略

增加两个接入策略分别为证书认证和BYOD认证使用，增加接入策略的方法如下。

(1)     单击[自动化>网络准入>准入管理>接入服务>接入策略]菜单项，进入接入策略页面，如下图所示。

图19 接入策略

 

(2)     单击<增加>按钮，进入增加接入策略页面，如下图所示。配置接入策略名为Azure接入策略，选择认证类型为“EAP-TLS”，用于证书认证，其他参数保持默认即可。

参数说明：

¡     接入时段：选择了某一接入时段策略后，使用此规则的用户只能在接入时段策略中定制的时间段内允许接入。

¡     分配IP地址：是否下发用户IP地址。

¡     上行、下行速率：根据设定的上下行速率来限制用户使用该规则上网时的上传、下载速率。

¡     优先级：它的高低确定了在网络拥塞时转发报文的优先顺序，此参数应从设备支持的优先级中选取，数值越小优先级越高。配置错误可能导致用户无法上线。

¡     认证类型：进行EAP认证时，RADIUS服务器优先下发给客户端的EAP类型。包括：EAP-MD5、EAP-TLS、EAP-TTLS和EAP-PEAP。当首选EAP类型为EAP-TTLS和EAP-PEAP时，还需要首选EAP-MSCHAPv2、EAP-MD5和EAP-GTC其中的一种子类型。

-     EAP-MD5：一种EAP认证方式，使用CHAP方式进行认证。

-     EAP-TLS：是一种基于证书的身份认证，它需要PKI的部署来管理证书。它推荐进行服务器和客户端之间双向认证，认证双方是用证书来标识自己的身份。在认证通过之后，TLS的认证双方会协商出一个共享密钥、SessionId以及整套的加密套件（加密，压缩和数据完整性校验），这样认证双方就建立了一个安全可靠的数据传输通道。EAP-TLS是客户端和AAA服务器借助接入设备的透传，通过TLS协议进行的身份认证。EAP-TLS可以利用SessionId进行快速重认证，简化认证流程，加快认证速度，还对较大的TLS报文进行了分片处理。

-     EAP-TTLS：是一种基于证书的身份认证，利用TLS认证在客户端和AAA服务器之间建立起一个安全通道，在安全通道内部再承载子类型。它具有保护用户标识和EAP认证的协商过程的作用。隧道内的子类型可以是EAP类型，也可以是非EAP类型。目前EIA支持TTLS下三个EAP的子类型（EAP-MSCHAPv2、EAP-MD5、EAP-GTC）。EIA在配置接入策略指定首选EAP类型为EAP-TTLS时，也必须首选一种EAP的子类型。在实际认证过程中，如果终端采用非EAP的子类型，如PAP，则终端可以忽略EIA的配置，使用终端配置的子类型进行认证。

-     EAP-PEAP：是一种基于证书的身份认证，利用TLS认证在客户端和AAA服务器之间建立起一个安全通道，在安全通道上再发起EAP认证。它具有保护用户标识，保护EAP认证的协商过程的作用。目前EIA仅支持EAP-MSCHAPv2、EAP-MD5和EAP-GTC认证类型。

¡     EAP自协商：当客户端配置的EAP类型与EIA中配置的首选EAP类型不同时的处理方式。配置为“启用”时，EIA完全适应由客户端中配置的EAP认证方式，即无论客户端中配置什么类型的EAP认证，EIA都允许客户端继续认证。配置为“禁用”时，如果客户端配置的EAP类型与EIA中配置的首选EAP类型不同，则EIA拒绝其认证。

¡     单次最大在线时长（分钟）：使用该策略的接入账号认证成功后可在线的最长时间，单位为分钟。该参数默认值为空，表示不限制；最小值为1，最大值为1440。如果账号在线时间超过该参数值，EIA则强制该用户下线。

¡     下发地址池：输入地址池名称。EIA将地址池名称下发给接入设备，接入设备根据下发的地址池名称寻找设备上对应的地址池，然后给用户分配该地址池中的IP地址。只有下发设备上配置了对应的地址池，该功能才生效。

¡     下发VLAN：设置向用户下发的VLAN，当接入设备类型为H3C(General)、Huawei(General)、HP(Comware)、3Com(General)时，如果配置的VLAN为1～4094，接入业务以整型的VLAN ID下发给设备，设备上的VLAN分配模式应为整型；所有其他值都以字符型VLAN NAME下发给设备，设备上VLAN分配模式应为字符型。其他设备类型都以字符型VLAN NAME下发给设备，设备上VLAN分配模式应为字符型，用户认证通过后将只能访问该VLAN的内部资源。

¡     下发User Profile：将用户配置文件名称下发给设备，实现基于用户的QoS功能。只有下发设备上已经配置完成了User Profile，User Profile才生效。

¡     下发用户组：用户认证通过后向设备下发该用户所属的用户组，可以输入多个组，每个组以分号分隔。与ACG1000联动或与SSL VPN设备配合时，该属性才有效 。

¡     下发ACL：设置向用户下发的访问控制列表。ACL列表可以从以下两种方式选择：

-     手工输入。

-     接入ACL列表：其值可以在接入ACL策略管理配置。

¡     离线检查时长（小时）：哑终端认证通过后向设备下发该参数，设备以该参数作为时间间隔，周期性检测哑终端是否已离线。该参数为空时，表示不检测；时长必须为整数，范围为[0,596523]。该参数只适用于哑终端。

¡     认证绑定信息：目前接入策略管理与接入设备配合可对接入设备IP地址、端口、VLAN、QinQ双VLAN、接入设备序列号、用户IP地址、MAC地址、IMSI、IMEI、无线用户SSID和硬盘序列号进行绑定检查。iNode客户端与策略服务器配合可对用户IP地址、MAC地址、计算机名称、计算机域、用户登录域和硬盘序列号进行绑定检查。其中MAC地址绑定和IMSI绑定只能同时选择一个。当账号用户申请具有绑定策略的服务时，可以设置相关的绑定信息，如果不设置，绑定时将采用自学习策略。所谓自学习就是绑定用户首次上网时所使用的相关参数，比如用户使用的服务采用自学习绑定用户IP地址，用户首次使用该业务上网时的IP地址为10.100.10.10，则今后用户只能通过使用这个IP地址才能通过认证。

-     启用终端MAC地址控制：该设置启用后，使用该服务的接入用户上线时，用户使用的MAC地址属于允许接入的接入MAC地址范围则可以成功上线，否则不能成功上线。接入MAC地址的详细配置请参见终端MAC地址池。

-     启用终端硬盘序列号控制：该设置启用后，使用该服务的接入用户上线时，如果该用户的硬盘序列号在允许接入硬盘序列号列表中，则用户成功上线，否则用户不能上线。特殊的，如果无法获取硬盘序列号则认证通过。只有在使用iNode PC客户端认证时该功能才生效。

-     启用无线SSID控制：启用该功能后，使用该服务的接入用户采用无线方式上线时，如果无线SSID列表中的接入控制类型为“禁止接入”，则禁止终端通过无线SSID列表中的SSID接入网络；如果接入控制类型为“允许接入”，则只允许终端通过无线SSID列表中的SSID接入网络。该功能必须和iNode PC客户端配合使用，EIA一旦将无线SSID池下发给iNode客户端，iNode就会在终端上保存该配置。后续无论使用iNode客户端还是使用Windows自带客户端，不管是否到EIA中认证，该配置都一直生效。

-     启用终端主板序列号控制：启用该参数后，使用该服务的接入用户上线时，如果该用户的主板序列号在允许接入主板序列号列表中，则用户认证成功，否则认证失败。特殊情况下，如果无法获取到主板序列号则允许用户认证通过。只有在使用iNode PC客户端认证时该功能才生效。

 

图20 增加接入策略

 

(3)     配置完成后，单击<确定>按钮，接入策略增加完成，如下图所示。

图21 增加接入策略完成

 

(4)     重复上述操作，新增一个接入策略名为“BYOD接入策略”，其他参数保持缺省值，用于BYOD认证，如下图所示。

图22 增加接入策略

 

3.3.4  增加接入服务

增加两个接入服务分别为证书认证和BYOD认证使用，增加接入服务的方法如下。

(1)     单击[自动化>网络准入>准入管理>接入服务>接入服务]菜单项，进入接入服务页面，如下图所示。

图23 接入服务

 

(2)     单击<增加>按钮，进入增加接入服务页面。增加用于证书认证的接入服务。

配置服务的各个参数：

¡     服务名：本案例中配置为“Azure接入服务”。

¡     缺省接入策略：选择增加接入策略配置的“Azure接入策略”。

¡     服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见下表。

¡     安全组：资源访问控制的规则集合，本例保持缺省值。

¡     安全子组：是安全组的细分，本例保持缺省值。

¡     缺省私有属性下发策略：不受接入位置分组限制的用户上网时，服务器会根据本参数指定的策略将私有属性下发到此用户连接的接入设备上。

¡     缺省单账号最大绑定终端数：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单账号最大绑定终端数的控制。

-     匹配的接入场景：服务器检查该场景中用户已经绑定的终端数量是否已达到数量限制，如果已达到数量限制，则拒绝用户认证；

-     所有服务中包含的场景：检查用户申请的所有服务中（包括服务中的所有场景）已绑定的终端数量，如果用户绑定的所有终端数量已达到终端管理参数中定义的“单账号最大绑定终端数”数量限制，则服务器拒绝用户认证，否则允许用户继续认证。

¡     缺省单账号在线数量限制：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单账号在线数量限制的控制。

¡     单日累计在线最长时间（分钟）：每天允许账号使用该服务接入网络的总时长，达到该时长后，账号将被强制下线，且当日不能再次接入。该参数单位是分钟，只支持输入整数，最小值是0，表示不限制每天在线时长，最大值是1440。

¡     服务描述：针对该服务的简单描述，以方便操作员的日常维护。

表1 EIA中服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	EIA服务的后缀
X@Y	Y	user-name-format with-domain	Y
		user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
		user-name-format without-domain	无后缀

 

图24 增加接入服务

 

(3)     配置完成，单击<确定>按钮，增加接入服务完成，如下图所示。

图25 增加接入服务完成

 

(4)     重复上述操作，新增一个接入服务名为“BYOD接入服务”，缺省接入策略选择增加接入策略配置的“BOYD接入策略”，其他参数保持缺省值，用于BYOD认证，如下图所示。

图26 增加接入服务

 

3.3.5  增加接入用户

增加两个接入用户分别为BYOD匿名用户和接入账号。增加接入用户的方法如下：

(1)     单击[自动化>网络准入>准入管理>接入用户>接入用户]菜单项，进入接入用户页面，配置BYOD匿名用户。

图27 接入用户

 

(2)     单击<增加>按钮，进入增加接入用户页面。

图28 增加缺省BYOD用户

 

图29 选择接入服务

 

参数说明：

¡     用户姓名、证件号码：用户的姓名及证件号码。

¡     用户类型：缺省BYOD用户，缺省BYOD用户的账号名固定为“byodanonymous”，且账号密码不用再设置。

¡     勾选增加接入服务为BYOD认证增加的BYOD接入服务。

¡     其他参数：保持缺省值。

(3)     单击<确定>按钮，BYOD匿名用户配置完成，返回接入用户页面。可在接入用户列表中查看新增的BYOD匿名用户byodanonymous。

图30 查看新增的缺省匿名用户

 

(4)     然后增加证书认证使用的接入用户，单击<增加>按钮，进入增加接入用户页面。

图31 增加访客管理员

 

图32 选择接入服务

 

参数说明：

¡     用户姓名、证件号码：用户的姓名及证件号码。

¡     用户类型：选择普通用户。

¡     账号名：唯一标识账号用户的名称，用户使用该名称申请和使用服务，该名称不能与已有名称相同，不能包含如下特殊字符：#+/?%&=*'@\"[]()<>`和TAB键，且最大长度为200字符。

¡     密码/确认密码：输入两次相同的密码。

¡     勾选增加接入服务为证书认证增加的Azure接入服务。

¡     其他参数：保持缺省值。

(5)     单击<确定>按钮，完成增加接入用户，返回接入用户页面。可在接入用户列表中查看新增的接入用户。

图33 查看新增的接入用户

 

3.3.6  配置Azure&SAML2.0

(1)     单击[自动化>网络准入>准入管理>接入服务>APP认证配置>Azure&SAML2.0]菜单项，进入Azure&SAML2.0配置页面，如下图所示。

图34 第三方认证配置

 

(2)     配置如下参数：

¡     SAML证书：Azure企业应用程序单点登录证书，在SAML证书处下载base64格式证书。单击<上传文件>按钮，选择下载证书下载的文件上传。

¡     标识符（实体ID）：服务提供方的唯一标识符，在设置单一登录SAML单点登录中获取。

¡     应用标识符：Azure企业应用程序的唯一标识，Azure企业应用SAML单一登录方式中的Microsoft Enrtra 标识符，为查看应用程序ID和IDP服务地址中的应用程序ID。

¡     服务方提供地址：服务方提供地址或者域名，必须以https开头。

¡     IDP服务地址：身份提供方的标识符，Azure企业应用程序SAML单一登录方式中的登录URL，为设置单一登录中的回复URL。

¡     开户类型：用户在系统中不存在时，将自动开户为指定的用户类型，本例选择“接入用户”。

¡     用户分组：用户开户时使用的用户分组。开户类型为“接入用户”时有效。

¡     接入服务：用户开户时使用的接入服务。开户类型为“接入用户”时有效。启用按用户分组申请服务后，该配置项不会生效。

图35 配置参数

 

3.3.7  认证页面配置

(1)     单击[自动化>网络准入>准入管理>Web页面定制>认证页面定制>PC页面]菜单项，进入PC配置页面。

图36 PC页面

 

(2)     证书快速部署对接office365需要使用的自定义PC页面，单击<自定义页面>按钮，进入增加自定义页面模板，配置如下参数：

¡     名称：本例为“Azure认证页面”。

¡     业务分组：本例选择“未分组”。

¡     认证方式：选择“MAC Portal”。

¡     终端类型：选择“PC”。

¡     自定义页面模板：可单击“自定义页面模板”链接，下载并修改页面模板。若修改自定义页面模板，修改完成后，单击<上传文件>上传文件。

图37 增加自定义页面模板

 

(3)     配置完成后，单击<确定>按钮，返回PC页面，可查看新增的自定义页面模板。

图38 查看新增的自定义页面模板

 

(4)     选择[认证页面推送]页签，进入认证推送页面。

图39 认证推送页面

 

(5)     单击<增加>按钮，进入增加页面推送策略页面。

¡     认证方式：选择“MAC Portal认证”。

¡     缺省认证页面：选择刚才新增的“PC-Azure认证页面”。

图40 增加页面推送策略

 

3.3.8  证书服务器配置

1. 启动certificate服务

证书自动部署依赖了统一数字底盘的证书服务能力，需要部署统一数字底盘的Extension组件并启用certificate服务pod。

(1)     在浏览器中输入“https://ip_address:8443/matrix/ui”，登录Matrix。其中“ip_address”为北向业务虚IP地址。单击[观测>监控>应用监控]菜单项，进入应用监控页面。

图41 应用监控

 

(2)     在Unified Platform区域，展开BMP_Extension组件，单击certificate应用操作列的按钮，启动应用。

图42 启动应用

 

2. 证书管理

在浏览器中输入统一数字底盘的登录地址“https://ip_address:30000”，其中“ip_address”为统一数字底盘所在的集群北向业务虚IP，登录统一数字底盘页面后，单击[系统>系统配置>证书管理>本地证书]页面，可以申请或者吊销证书，Office365上线后申请的证书在此处管理。

图43 证书管理

 

3.3.9  接入设备配置

接入设备用于控制用户的接入。通过认证的用户可以接入网络，未通过认证的用户无法接入网络。

以下使用Windows的CLI窗口Telnet到接入设备并进行配置，具体的命令及其说明如下：

1. 创建RADIUS scheme

<Device>system-view

System View: return to User View with Ctrl+Z.

[Device]radius session-control enable

//启用radius session-control参数避免强制下线不生效。

[Device]radius scheme wh

New RADIUS scheme

[Device-radius-wh]primary authentication 192.168.7.220 1812

[Device-radius-wh]primary accounting 192.168.7.220 1813

//认证、计费服务器都指向EIA，认证、计费端口与EIA中增加接入设备时的配置保持一致。

[Device-radius-wh]key authentication simple movie

[Device-radius-wh]key accounting simple movie

//认证、计费共享密钥与EIA中增加接入设备时的配置保持一致。

[Device-radius-test]user-name-format without-domain

//本案例采用携带Domain的认证方式。EIA、设备中配置的搭配关系请参见上表。

[Device-radius-test]quit

2. 创建Domain

[Device]domain wh

[Device-isp-wh]authentication lan-access radius-scheme wh

[Device-isp-wh]authorization lan-access radius-scheme wh

[Device-isp-wh]accounting lan-access radius-scheme wh

//认证、授权、计费都采用之前配置的Radius scheme wh。

[Device-isp-cert]quit

3. 配置Portal服务器

[Device]portal server wh

New portal server added.

[Device-portal-server-wh]ip 192.168.7.220 key simple movie

[Device-portal-server-wh]quit

//Portal认证服务器指向EIA服务器，配置重定向URL为https://192.168.7.220:9444/byod，指向BYOD认证页面。

[Device]portal web-server wh

[Device-portal-websvr-wh]url https://192.168.7.220:9444/byod/index.htm

[Device-portal-websvr-wh]url-parameter userip source-address

[Device-portal-websvr-wh]url-parameter usermac source-mac

[Device-portal-websvr-wh]quit

//证书快速部署依赖于Portal web页面推送，需要配置Portal web-server首页。

URL地址中需要携带终端mac地址信息：url-parameter usermac source-mac

4. 创建Portal无线服务模版

[Device]wlan service-template wh

[Device-wlan-st-wh]ssid 000_byod

[Device-wlan-st-wh]vlan 45

[Device-wlan-st-wh]undo bss transition-management enable

[Device-wlan-st-wh]portal enable method direct

[Device-wlan-st-wh]portal domain wh

[Device-wlan-st-wh]portal bas-ip 1.2.4.199

[Device-wlan-st-wh]portal apply web-server wh

[Device-wlan-st-wh]portal apply mac-trigger-server wh

[Device-wlan-st-wh]service-template enable

[Device-wlan-st-wh]quit

5. 创建802.1X无线服务模版

[Device]wlan service-template wh_1x

[Device-wlan-st-wh_1x]ssid wh_1x

[Device-wlan-st-wh_1x]vlan 45

[Device-wlan-st-wh_1x]user-isolation enable

[Device-wlan-st-wh_1x]akm mode dot1x

[Device-wlan-st-wh_1x]cipher-suite ccmp

[Device-wlan-st-wh_1x]security-ie wpa

[Device-wlan-st-wh_1x]client-security authentication-mode dot1x

[Device-wlan-st-wh_1x]dot1x domain wh

[Device-wlan-st-wh_1x]service-template enable

[Device-wlan-st-wh_1x]quit

4 结果验证

4.1  申请证书

4.1.1  申请服务器证书

(1)     登录EIA系统，单击[系统>系统配置>证书管理>本地证书]菜单项，进入本地证书页面，单击<下载根证书>按钮，可下载服务器根证书，如下图所示。

图44 下载根证书

 

(2)     单击<申请>按钮，弹出申请证书页面可申请服务器证书，如下图所示。

参数说明：

¡     证书名称：若名称相同，将覆盖已存在的证书，本例为“test”。

¡     拥有者：证书的拥有者，本例为“zh”。

¡     有效期：证书的有效期，最短时间为1天，本例为“10”天。

¡     加密标准：可选值有RSA和SM2两种，本例为“RSA”。

¡     加密长度：加密标准为RSA时，该参数可选值有1024和2048两种。加密标准为SM2时，该参数可选值为256，本例为“1024”。

¡     生成证书申请文件：根据需要选择是否生成证书申请文件。若选择“是”，则需使用申请文件自行去第三方CA服务器签发；若选择“否”，将采取内置CA服务器进行签发，本例选择“否”。

¡     选择证书类型：X.509是证书的标准格式，主要存储公钥和身份信息。PKCS#12是一种容器格式，可以把X.509证书和私钥一起打包，并支持加密保护，本例选择“PKCS#12”。

图45 申请证书

 

(3)     配置完成后，单击<确定>按钮，可查看新申请的证书，如下图所示。

图46 查看证书

 

(4)     单击操作列按钮，可下载证书。

4.1.2  申请客户端证书

(1)     客户端连接SSID为000_byod网络后，在浏览器上输入任意地址，重定向到定制认证页面。

图47 认证页面

 

(2)     选择Windows认证方式进行office365认证，终端自动重定向到微软单点登录页面。

图48 单点登录页面

 

终端如果保存了微软身份认证信息可以选择账户直接认证，也可以选择其它账户进行认证。如果用户曾经选择过保持微软账号登录状态则不会显示此页面。此处的用户必须在应用能访问的用户列表中，否则会登录失败。

(3)     输入微软用户邮箱号后选择单击<发送验证码>按钮。

图49 发送验证码

 

(4)     跳转到输入验证码页面，验证码将发送到手机邮箱中。

图50 输入代码

 

(5)     输入验证码认证成功后会提示是否保持登录状态，如果单击<是>按钮则用户没有手动注销之前，下次再进行office365认证则不会弹出微软单点登录相关页面，直接跳转到证书下载页面中。

图51 保持登录状态

 

(6)     登录成功后，自动跳转到证书下载页面。在此页面可以下载根证书和为当前用户申请的客户端证书，客户端证书的密码和开户的用户账号为邮箱号后缀前面部分。例如：登录邮箱号为17XXXXXX97@qq.com，则用户账号和密码均为17XXXXXX97。

图52 下载证书

 

4.2  安装证书

4.2.1  安装服务器证书

1. 安装根证书

(1)     登录EIA系统，单击[自动化>网络准入>准入管理>参数管理>证书管理>认证证书]菜单项，进入认证证书页面，如下图所示。

图53 认证证书

 

(2)     单击根证书配置区域的<导入>按钮，选择“EAP根证书”，进入根证书配置页面，如下图所示。

图54 根证书配置

 

(3)     单击<上传文件>按钮，上传申请服务器证书下载的根证书，单击<下一步>按钮，进入CRL配置页面，如下图所示。

图55 CRL配置

 

(4)     单击<确定>按钮，根证书导入完成，可在列表中查看根证书导入信息，如下图所示。

图56 查看根证书导入信息

 

2. 安装服务器证书

(1)     单击[自动化>网络准入>准入管理>参数管理>证书管理>认证证书]菜单项，进入认证证书页面，如下图所示。

图57 认证证书

 

(2)     单击非根证书配置区域的<导入>按钮，选择“EAP服务器证书”，进入配置服务器证书页面，勾选“服务器证书和私钥在同一文件”，如下图所示。

图58 服务器证书配置

 

(3)     单击<上传文件>按钮，上传申请服务器证书下载的服务器证书，单击<下一步>按钮，进入服务器私钥密码页面，如下图所示。

图59 服务器私钥密码

 

(4)     输入服务器私钥密码（私钥密码是导出服务器证书时设置的私钥密码），单击<确定>按钮，进入查看配置信息页面，如下图所示。

图60 查看配置信息

 

(5)     EIA导入服务器证书操作完成，单击<确定>按钮，可在列表中查看证书信息如下图所示。

图61 查看服务器证书导入信息

 

4.2.2  安装客户端证书

1. 安装根证书

客户端安装根证书到受信任的根证书颁发机构下，安装步骤如下：

(1)     单击浏览器右上角工具图标，弹出工具菜单栏，选择“Internet选项”菜单项，进入Internet选项页面，切换至“内容”页签，单击<证书>按钮。

图62 内容

 

(2)     进入证书页面，单击<导入>按钮。

图63 证书

 

(3)     进入证书导入向导页面，单击<下一步>按钮。

图64 证书导入向导

 

(4)     进入要导入的文件页面，单击<浏览>按钮，选择下载的证书，然后单击<下一步>按钮。

图65 要导入的文件

 

(5)     进入证书存储页面，选择“将所有证书都放入下列存储”，单击<浏览>按钮。

图66 证书存储

 

(6)     弹出选择证书存储页面，选择“受信任的根证书颁发机构”，单击<确定>按钮。

图67 选择证书存储

 

(7)     然后单击<下一步>按钮，进入正在完成证书导入向导页面，单击<完成>按钮，可完成安装根证书操作。

图68 正在完成证书导入向导

 

2. 安装客户端证书

根据上述步骤安装客户端证书到个人证书存储目录下，证书的保护密码为邮箱号后缀前面的部分内容。

图69 安装客户端证书

 

4.3  使用iNode认证

(1)     终端连接SSID为wh_1x网络后，打开iNode客户端。

图70 iNode客户端界面

 

(2)     单击<更多>按钮，然后单击<属性>按钮，弹出802.1X属性设置窗口。

图71 802.1X属性设置

 

(3)     选择“高级”页签，进入高级认证配置页面，如下图所示。

图72 高级认证设置

 

(4)     勾选“启用高级认证”前的复选框，并在下拉框中选择“证书认证”，认证类型选择“EAP-TLS”。

图73 选择连接类型

 

(5)     单击<选择客户端证书>按钮，弹出选择证书页面，选择之前导入的客户端证书。

图74 选择证书

 

(6)     单击<确定>按钮，802.1X属性设置完成。

(7)     在登录页面输入账号名和密码完成认证并上线。

图75 认证成功

 

4.4  在EIA中查看认证成功信息

认证成功后，可以登录EIA系统，单击[自动化>网络准入>准入管理>在线用户>本地在线用户]菜单项，进入本地在线用户页面，可查看认证成功的在线用户。