锐捷WLAN对接认证服务器实现准入控制实验（CLI）

本文仅用于WLAN认证学习！！！

一、拓扑图

二、设备清单

三、数据规划

四、无线网络配置

1. 在全网Trunk链路上做VLAN修剪。

#SW1
SW1(config)#vlan range 10,20,30
SW1(config)#interface range GigabitEthernet 0/1-2
SW1(config-if-range)# switchport mode trunk
SW1(config-if-range)# switchport trunk allowed vlan only 10,20,30
SW1(config)#interface range GigabitEthernet 0/11-12
SW1(config-if-range)# switchport mode trunk
SW1(config-if-range)# switchport trunk allowed vlan only 10,20,30
SW1(config-if-range)# switchport trunk native vlan 20

#AC1
AC1(config)#vlan 10
AC1(config)#interface GigabitEthernet 0/1
AC1(config-if-GigabitEthernet 0/1)#switchport mode trunk
AC1(config-if-GigabitEthernet 0/1)#switchport trunk allowed vlan only 10

#AC2
AC2(config)#vlan 10
AC2(config)#interface GigabitEthernet 0/1
AC2(config-if-GigabitEthernet 0/1)#switchport mode trunk
AC2(config-if-GigabitEthernet 0/1)#switchport trunk allowed vlan only 10

2. 根据数据规划表配置设备IP地址信息。

#SW1
interface Loopback 0
ip address 1.0.0.1 255.255.255.255
!
interface VLAN 10
ip address 10.1.10.1 255.255.255.0
!
interface VLAN 20
ip address 10.1.20.1 255.255.255.0
!
interface VLAN 30
ip address 10.1.30.1 255.255.255.0
!
interface VLAN 40
ip address 192.168.1.254 255.255.255.0

#AC1
!
interface Loopback 0
ip address 11.0.0.11 255.255.255.255
!
interface VLAN 10
ip address 10.1.10.11 255.255.255.0

#AC2
!
interface Loopback 0
ip address 22.0.0.22 255.255.255.255
!
interface VLAN 10
ip address 10.1.10.22 255.255.255.0

3. 使用SW作为无线用户和无线AP的DHCP服务器。

#SW1
SW1(config)#service dhcp
SW1(config)#ip dhcp pool ap
SW1(dhcp-config)#network 10.1.20.0 255.255.255.0
SW1(dhcp-config)#default-router 10.1.20.1
SW1(dhcp-config)#option 138 ip 11.0.0.11 22.0.0.22
SW1(config)#ip dhcp pool wlan
SW1(dhcp-config)#network 10.1.30.0 255.255.255.0
SW1(dhcp-config)#default-router 10.1.30.1

验证：

4. AC1/AC2/SW之间配置静态路由，保证SMP+与设备管理地址之间可以正常通信。

#SW1
SW1(config)#ip route 11.0.0.11 255.255.255.255 10.1.10.11
SW1(config)#ip route 22.0.0.22 255.255.255.255 10.1.10.22

#AC1
AC1(config)#ip route 0.0.0.0 0.0.0.0 10.1.10.1

#AC2
AC2(config)#ip route 0.0.0.0 0.0.0.0 10.1.10.1

5. 创建内网SSID为Ruijie-8021X，WLAN ID为1，AP-Group为Ruijie，STA1关联SSID后可获取VLAN30地址，开启802.1X认证。

6. 创建内网SSID为Ruijie-WEB，WLAN ID为2，AP-Group为Ruijie，STA2关联SSID后可获取VLAN30地址，开启WEB认证。

#AC1
AC1(config)#ac-controller
AC1(config-ac)#capwap ctrl-ip 11.0.0.11
AC1(config)#wlan-config 1 Ruijie-802.1x
AC1(config)#wlan-config 2 Ruijie-WEB
AC1(config)#ap-group Ruijie
AC1(config-group)#interface-mapping 1 30
AC1(config-group)#interface-mapping 2 30

AC1(config)#ap-config 0074.9ce8.fe08
AC1(config-ap)#ap-name AP1
AC1(config-ap)#ap-group Ruijie

AC1(config)#wlansec 1
AC1(config-wlansec)#security rsn enable
AC1(config-wlansec)#security rsn ciphers aes enable
AC1(config-wlansec)#security rsn akm 802.1x enable
AC1(config)#wlansec 2
AC1(config-wlansec)#security wpa enable
AC1(config-wlansec)#security wpa ciphers aes enable
AC1(config-wlansec)#security wpa akm psk enable
AC1(config-wlansec)#security wpa akm psk set-key ascii Ruijie12@#$

#AC2
AC2(config)#ac-controller
AC2(config-ac)#capwap ctrl-ip 22.0.0.22
AC2(config)#wlan-config 1 Ruijie-802.1x
AC2(config)#wlan-config 2 Ruijie-WEB
AC2(config)#ap-group Ruijie
AC2(config-group)#interface-mapping 1 30
AC2(config-group)#interface-mapping 2 30

AC2(config)#ap-config 0074.9ce8.f690
AC2(config-ap)#ap-name AP2
AC2(config-ap)#ap-group Ruijie

AC2(config)#wlansec 1
AC2(config-wlansec)#security rsn enable
AC2(config-wlansec)#security rsn ciphers aes enable
AC2(config-wlansec)#security rsn akm 802.1x enable
AC2(config)#wlansec 2
AC2(config-wlansec)#security wpa enable
AC2(config-wlansec)#security wpa ciphers aes enable
AC2(config-wlansec)#security wpa akm psk enable
AC2(config-wlansec)#security wpa akm psk set-key ascii Ruijie12@#$

验证：

7. AC1为主用，AC2为备用。AP与AC1、AC2均建立隧道，当AP与AC1失去连接时能无缝切换至AC2并提供服务。无线网络使用本地转发模式。

#AC1
AC1(config)#wlan hot-backup 22.0.0.22
AC1(config-hotbackup)#work-mode quick-switch
AC1(config-hotbackup)#local-ip 11.0.0.11
AC1(config-hotbackup)#context 1
AC1(config-hotbackup-ctx)#ap-group Ruijie
AC1(config-hotbackup-ctx)#priority level 7
AC1(config-hotbackup)#wlan hot-backup enable

#AC2
AC2(config)#wlan hot-backup 11.0.0.11
AC2(config-hotbackup)#work-mode quick-switch
AC2(config-hotbackup)#local-ip 22.0.0.22
AC2(config-hotbackup)#context 1
AC2(config-hotbackup-ctx)#ap-group Ruijie
AC2(config-hotbackup-ctx)#priority level 1
AC2(config-hotbackup)#wlan hot-backup enable

验证：

8. AC1、AC2、SW上配置与认证服务器对接的配置

802.1X
#SW1
SW1(config)#aaa new-model
SW1(config)#aaa accounting update
SW1(config)#aaa authentication dot1x default group radius
SW1(config)#aaa accounting network default start-stop group radius
SW1(config)#radius-server host 192.168.1.100 key ruijie
SW1(config)#ip radius source-interface loopback 0
SW1(config)#dot1x authentication default
SW1(config)#dot1x accounting default
SW1(config)#enable service snmp-agent
SW1(config)#snmp-server enable traps
SW1(config)#snmp-server enable version v2c
SW1(config)#snmp-server community ruijie@123 rw

#AC1
AC1(config)#aaa new-model
AC1(config)#aaa accounting update
AC1(config)#aaa authentication dot1x default group radius
AC1(config)#aaa accounting network default start-stop group radius
AC1(config)#radius-server host 192.168.1.100 key ruijie
AC1(config)#ip radius source-interface loopback 0
AC1(config)#dot1x authentication default
AC1(config)#dot1x accounting default
AC1(config)#snmp-server community ruijie@123 rw

#AC2
AC2(config)#aaa new-model
AC2(config)#aaa accounting update
AC2(config)#aaa authentication dot1x default group radius
AC2(config)#aaa accounting network default start-stop group radius
AC2(config)#radius-server host 192.168.1.100 key ruijie
AC2(config)#ip radius source-interface loopback 0
AC2(config)#dot1x authentication default
AC2(config)#dot1x accounting default
AC2(config)#snmp-server community ruijie@123 rw

Protal
#AC1
AC1(config)#aaa authentication web-auth default group radius
AC1(config)#ip portal source-interface loopback 0
AC1(config)#web-auth template eportalv2
AC1(config.tmplt.eportalv2)#ip 192.168.1.100
AC1(config.tmplt.eportalv2)#url http://192.168.1.100/portal/entry
AC1(config.tmplt.eportalv2)#exit
AC1(config)#web-auth portal key ruijie
AC1(config)#http redirect direct-arp 10.1.30.1
AC1(config)#wlansec 1
AC1(config-wlansec)#web-auth portal eportalv2
AC1(config-wlansec)#webauth

#AC2
AC2(config)#aaa authentication web-auth default group radius
AC2(config)#ip portal source-interface loopback 0
AC2(config)#web-auth template eportalv2
AC2(config.tmplt.eportalv2)#ip 192.168.1.100
AC2(config.tmplt.eportalv2)#url http://192.168.1.100/portal/entry
AC2(config.tmplt.eportalv2)#exit
AC2(config)#web-auth portal key ruijie
AC2(config)#http redirect direct-arp 10.1.30.1
AC2(config)#wlansec 1
AC2(config-wlansec)#web-auth portal eportalv2
AC2(config-wlansec)#webauth

9. SMP+创建8021X、WEB用户用于802.1X、WEB认证。

802.1x配置

（1）输入SMP+管理地址，输入用户名和密码进行登录

（2）点击设备管理—专家功能—设备模版管理—添加–输入模版名称以及用途–配置基本信息

（3）配置模版功能

（4）配置协议参数

（5）点击设备管理添加设备，选择设备模版

（6）创建认证用户

（7）创建认证策略

验证：

STA1连接SSID Ruijie-8021X

平台查看在线用户

AC查看在线用户

Portal认证配置

（1）SMP eportal添加AC

（2）配置认证策略

（3）配置准入策略，添加认证条件，并开启准入策略

（4）STA2连接SSID Ruijie-WEB

（5）连接SSID成功后，浏览器输入1.2.3.4，自动跳转至认证界面

（6）输入用户名和密码完成认证

验证：

AC上查看web认证在线用户