目  录

1 802.1X

1.1 概述

1.2 802.1X配置任务简介

1.3 配置全局的802.1X特性

1.4 配置端口的802.1X特性

2 Portal认证

2.1 概述

2.2 Portal认证配置任务简介

2.3 配置Portal服务

2.4 配置Portal认证的高级参数

2.5 配置免认证策略

2.6 定制认证页面文件

2.6.1 文件名规范

2.6.2 页面请求规范

2.6.3 Post请求中的属性规范

2.6.4 页面文件压缩及保存规范

2.6.5 页面文件大小和内容规范

2.6.6 关闭登录成功/在线页面后强制用户下线

2.6.7 认证成功后认证页面自动跳转

2.7 Portal认证典型配置举例

3 AAA

3.1 概述

3.2 AAA配置任务简介

3.3 配置ISP域

3.4 配置ISP域的AAA认证方法

3.5 配置ISP域的AAA授权方法

3.6 配置ISP域的AAA计费方法

3.7 AAA典型配置举例

4 RADIUS

4.1 概述

4.2 配置RADIUS方案

4.3 RADIUS典型配置举例

4.4 注意事项

5 本地EAP服务

5.1 概述

5.2 配置本地EAP服务

5.3 本地EAP服务典型配置举例

6 用户

6.1 概述

6.2 配置本地用户

6.3 配置用户组

6.4 配置来宾用户

6.4.1 Management级别的普通用户配置来宾用户

6.4.2 来宾管理员配置来宾用户

6.5 配置用户方案

7 证书管理

7.1 概述

7.2 PKI配置任务简介

7.3 新建PKI实体

7.4 新建PKI域

7.5 生成RSA密钥对

7.6 销毁RSA密钥对

7.7 获取和查看证书

7.8 申请本地证书

7.9 获取和查看CRL

7.10 PKI典型配置举例

7.11 注意事项

1 802.1X

1.1  概述

最初，IEEE 802 LAN/WAN委员会为解决无线局域网网络安全问题，提出了802.1X协议。后来，802.1X协议作为局域网的一个普通接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

802.1X协议是一种基于端口的网络接入控制协议，即在局域网接入设备的端口上对所接入的用户设备进行认证，以便用户设备控制对网络资源的访问。

图1-1 802.1X体系结构

如上图所示，802.1X系统中包括以下三个实体：

·     客户端（Client）：是请求接入局域网的用户终端设备，由局域网中的设备端对其进行认证。客户端上必须安装支持802.1X认证的客户端软件。

·     设备端（Device）：是局域网中控制客户端接入的网络设备，位于客户端和认证服务器之间，为客户端提供接入局域网的端口（物理端口或逻辑端口），并通过与服务器的交互来对所连接的客户端进行认证。

·     认证服务器（Authenticaton server）：用于对客户端进行认证、授权和计费，通常为RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器。认证服务器根据设备端发送来的客户端认证信息来验证客户端的合法性，并将验证结果通知给设备端，由设备端决定是否允许客户端接入。在一些规模较小的网络环境中，认证服务器的角色也可以由设备端来代替，即由设备端对客户端进行本地认证、授权和计费。

1.2  802.1X配置任务简介

802.1X需要AAA的配合才能实现对用户的身份认证。因此，需要首先完成以下配置任务：

·     配置802.1X用户所属的ISP认证域及其使用的AAA方案，即本地认证方案或RADIUS方案。详细配置请参见“AAA”和“RADIUS”。

·     如果需要本地认证，则应该在设备上手动添加认证的用户名和密码，且用户使用的服务类型必须为LAN-Access。详细配置请参见“用户”。

·     如果需要通过RADIUS服务器进行认证，则应该在RADIUS服务器上配置相应的用户名和密码。

表1-1 802.1X配置步骤

1.3  配置全局的802.1X特性

(1)     在导航栏中选择“认证 > 802.1X”，进入如下图所示的页面。在“802.1X认证设置”中可以显示和配置全局的802.1X特性。

图1-2 802.1X

(2)     选中“启用802.1X认证”前的复选框。

(3)     设置802.1X系统的认证方法，包括：CHAP、PAP、EAP。

(4)     单击“高级设置”前的扩展按钮，展开高级参数的配置内容，如下图所示。

图1-3 高级设置

(5)     根据需要修改高级参数的配置，详细配置如下表所示。

(6)     单击<确定>按钮完成操作。

表1-2 全局802.1X高级参数的详细配置

1.4  配置端口的802.1X特性

(1)     在导航栏中选择“认证 > 802.1X”，进入如图1-2所示的页面。

(2)     在“802.1X认证启用端口”中单击<新建>按钮，进入新启用端口802.1X认证的配置页面，如下图所示。

图1-4 新启用802.1X认证

(3)     配置端口的802.1X特性，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表1-3 端口802.1X特性的详细配置

2 Portal认证

2.1  概述

Portal在英语中是入口的意思。Portal认证通常也称为Web认证，一般将Portal认证网站称为门户网站。

未认证用户上网时，设备强制用户登录到特定站点，用户可以免费访问其中的服务。当用户需要使用互联网中的其它信息时，必须在门户网站进行认证，只有认证通过后才可以使用互联网资源。

用户可以主动访问已知的Portal认证网站，输入用户名和密码进行认证，这种开始Portal认证的方式称作主动认证。反之，如果用户试图通过HTTP访问其他外网，将被强制访问Portal认证网站，从而开始Portal认证过程，这种方式称作强制认证。

Portal业务可以为运营商提供方便的管理功能，门户网站可以开展广告、社区服务、个性化的业务等，使宽带运营商、设备提供商和内容服务提供商形成一个产业生态系统。

图2-1 Portal系统组成示意图

Portal的典型组网方式如上图所示，它由五个基本要素组成：认证客户端、接入设备、Portal服务器、认证/计费服务器和安全策略服务器。五个基本要素的交互过程为：

(1)     未认证用户访问网络时，在Web浏览器地址栏中输入一个互联网的地址，那么此HTTP请求在经过接入设备时会被重定向到Portal服务器的Web认证主页上；若需要使用Portal的扩展认证功能，则用户必须使用Portal客户端。

(2)     用户在认证主页/认证对话框中输入认证信息后提交，Portal服务器会将用户的认证信息传递给接入设备。

(3)     然后接入设备再与认证/计费服务器通信进行认证和计费。

(4)     认证通过后，如果未对用户采用安全策略，则接入设备会打开用户与互联网的通路，允许用户访问互联网；如果对用户采用了安全策略，则客户端、接入设备与安全策略服务器交互，对用户的安全检测通过之后，安全策略服务器根据用户的安全性授权用户访问非受限资源。

2.2  Portal认证配置任务简介

Portal提供了一个用户身份认证和安全认证的实现方案，但是仅仅依靠Portal不足以实现该方案。接入设备的管理者需选择使用RADIUS认证方法，以配合Portal完成用户的身份认证。Portal认证的配置前提：

·     应用Portal的接口已配置或者获取了合法的IP地址。

·     Portal服务器、RADIUS服务器已安装并配置成功。本地Portal认证无需单独安装Portal服务器。

·     若采用二次地址分配认证方式，接入设备需启动DHCP中继的安全地址匹配检查功能，另外需要安装并配置好DHCP服务器。

·     如果通过远端RADIUS服务器进行认证，则需要在RADIUS服务器上配置相应的用户名和密码，然后在接入设备端进行RADIUS客户端的相关设置。RADIUS客户端的具体配置请参见“RADIUS”。

·     如果需要支持Portal的扩展功能，需要安装并配置iMC EAD。同时保证在接入设备上的ACL配置和安全策略服务器上配置的受限资源ACL号、非受限资源ACL号对应。接入设备上的安全策略服务器配置请参见“RADIUS”。

表2-1 Portal认证配置步骤

2.3  配置Portal服务

(1)     在导航栏中选择“认证 > Portal认证”，默认进入“配置Portal服务器”页签的页面，如下图所示。

图2-2 配置Portal服务器

(2)     单击<新建>按钮，进入应用Portal服务的配置页面，如下图所示。

图2-3 应用Portal服务

(3)     配置应用Portal服务的信息，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表2-2 Portal服务的详细配置

图2-4 新建Portal服务器

表2-3 新建Portal服务器的详细配置

图2-5 本地Portal服务配置

表2-4 本地Portal服务的详细配置

2.4  配置Portal认证的高级参数

(1)     在导航栏中选择“认证 > Portal认证”，进入“配置Portal服务器”页签的页面，如图2-2所示。

(2)     单击页面下方的“高级设置”前的扩展按钮，展开Portal认证高级参数的配置内容，如下图所示。

图2-6 高级设置

(3)     配置Portal认证的高级参数，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表2-5 Portal认证高级参数的详细配置

2.5  配置免认证策略

(1)     在导航栏中选择“认证 > Portal认证”。

(2)     单击“免认证策略配置”页签，进入如下图所示的页面。

图2-7 免认证策略配置

(3)     单击<新建>按钮，进入新建免认证策略的配置页面，如下图所示。

图2-8 新建免认证策略

(4)     配置免认证策略的信息，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表2-6 免认证策略的详细配置

2.6  定制认证页面文件

使用本地Portal服务器进行认证时，本地Portal服务器负责向用户推出认证页面。认证页面的内容和样式可由用户定制，若用户未定制认证页面，则向用户推出系统提供的缺省认证页面。

用户定制的认证页面为HTML文件的形式，压缩后发送至本地设备的存储设备中。每套定制页面可包括六个主索引页面（登录页面、登录成功页面、登录失败页面、在线页面、系统忙页面、下线成功页面）及其页面元素（认证页面需要应用的各种文件，如Logon.htm页面中的back.jpg），每个主索引页面可以引用若干页面元素。若用户只定制了部分主索引页面，则其余未定制的页面使用系统提供的缺省认证页面。

用户在定制这些页面时需要遵循一定的规范，否则会影响本地Portal服务器功能的正常使用和系统运行的稳定性。

2.6.1  文件名规范

主索引页面文件名不能自定义，必须使用下表中所列的固定文件名。

表2-7 认证页面文件名

2.6.2  页面请求规范

本地Portal服务器只能接受Get请求和Post请求。

·     Get请求用于获取认证页面中的静态文件，其内容不能为递归内容。例如，Logon.htm文件中包含了Get ca.htm文件的内容，但ca.htm文件中又包含了对Logon.htm的引用，这种递归引用是不允许的。

·     Post请求用于用户提交用户名和密码以及用户执行登录、下线操作。

2.6.3  Post请求中的属性规范

(1)     认证页面中表单（Form）的编辑必须符合以下原则：

·     认证页面可以含有多个Form，但是必须有且只有一个Form的action=logon.cgi，否则无法将用户信息送到本地Portal服务器。

·     用户名属性固定为”PtUser”，密码属性固定为”PtPwd”。

·     需要有用于标记用户登录还是下线的属性”PtButton”，取值为"Logon"表示登录，取值为"Logoff"表示下线。

·     登录Post请求必须包含”PtUser”，”PtPwd”和"PtButton"三个属性。

·     下线Post请求必须包含”PtButton”这个属性。

(2)     需要包含登录Post请求的页面有logon.htm和logonFail.htm。

logon.htm页面脚本内容的部分示例：

<form action=logon.cgi method = post >

<p>User name:<input type="text" name = "PtUser" style="width:160px;height:22px" maxlength=64>

<p>Password :<input type="password" name = "PtPwd" style="width:160px;height:22px" maxlength=32>

<p><input type=SUBMIT value="Logon" name = "PtButton" style="width:60px;" onclick="form.action=form.action+location.search;>

</form>

(3)     需要包含下线Post请求的页面有logonSuccess.htm和online.htm。

online.htm页面脚本内容的部分示例：

<form action=logon.cgi method = post >

<p><input type=SUBMIT value="Logoff" name="PtButton" style="width:60px;">

</form>

2.6.4  页面文件压缩及保存规范

·     完成所有认证页面的编辑之后，必须按照标准Zip格式将其压缩到一个Zip文件中，该Zip文件的文件名只能包含字母、数字和下划线。缺省认证页面文件必须以defaultfile.zip为文件名保存。

·     压缩后的Zip文件中必须直接包含认证页面，不允许存在间接目录。

·     压缩生成的Zip文件可以通过FTP或TFTP的方式上传至设备，并保存在设备的指定目录下。缺省认证页面文件必须保存在设备的根目录下，非缺省认证页面文件可以保存在设备根目录下或者根目录的portal目录下。

2.6.5  页面文件大小和内容规范

为了方便系统推出定制的认证页面，认证页面在文件大小和内容上需要有如下限制：

·     每套页面（包括主索引页面文件和其页面元素）压缩后的Zip文件大小不能超过500K字节。

·     每个单独页面（包括单个主索引页面文件及其页面元素）压缩前的文件大小不能超过50K字节。

·     页面元素只能包含HTML、JS、CSS和图片之类的静态内容。

2.6.6  关闭登录成功/在线页面后强制用户下线

用户认证成功后，系统会推出登录成功页面（文件名为logonSuccess.htm），认证通过后再次通过登录页面进行认证操作，系统会推出在线页面（文件名为online.htm）。若希望用户关闭这两个页面的同时，触发设备执行强制当前在线用户下线的操作，就需要按照如下要求在这两个页面文件的脚本文件中增加如下内容。

(1)     添加对JS文件“pt_private.js”的引用。

(2)     添加触发页面卸载的函数“pt_unload()”。

(3)     添加Form的提交事件处理函数“pt_submit()”。

(4)     添加页面加载的初始化函数“pt_init()”。

需要在logonSuccess.htm和online.htm页面脚本中增加的内容如示例中突出显示部分：

    <html>

    <head>

    <script type="text/javascript" language="javascript" src="pt_private.js"></script>

    </head>

    <body onload="pt_init();" onbeforeunload="return pt_unload();">

    ... ...

<form action=logon.cgi method = post onsubmit="pt_submit()">

    ... ...

    </body>

    </html>

2.6.7  认证成功后认证页面自动跳转

若要支持认证成功后自定义认证页面的自动跳转功能，即认证页面会在用户认证成功后自动跳转到设备指定的网站页面，则需要按照如下要求在认证页面logon.htm和logonSuccess.htm的脚本文件中做如下改动。

(1)     将logon.htm文件中的Form的target值设置为“blank”。

修改的脚本内容如下突出显示部分所示：

    <form method=post action=logon.cgi target="blank">

(2)     logonSucceess.htm文件添加页面加载的初始化函数“pt_init()”。

增加的脚本内容如下突出显示部分所示：

    <html>

    <head>

    <title>LogonSuccessed</title>

    <script type="text/javascript" language="javascript" src="pt_private.js"></script>

    </head>

    <body onload="pt_init();" onbeforeunload="return pt_unload();">

    ... ...

    </body>

    </html>

2.7  Portal认证典型配置举例

1. 组网需求

·     无线客户端（属于VLAN 2）通过AP（型号为WA3628i-AGN、序列号为210235A29G007C00002、属于VLAN 3）接入网络，AP通过二层交换机与AC的以太网接口GigabitEthernet1/0/1相连。

·     AC支持运行HTTPS协议的本地Portal服务器。本地Portal服务器可以根据用户登录接口的SSID推出其对应的定制页面。

·     采用RADIUS服务器作为认证/计费服务器，RADIUS服务器使用iMC服务器。

·     客户端采用直接方式进行Portal认证，在通过Portal认证前，只能访问本地Portal服务器；在通过Portal认证后，可以访问非受限的互联网资源。

图2-9 使用本地Portal服务器的直接认证方式组网图

2. 配置步骤

(1)     配置RADIUS方案system。

步骤1：在导航栏中选择“认证 > RADIUS”。

步骤2：单击<新建>按钮。

步骤3：进行如下配置。

·     输入方案名称为“system”。

·     选择服务类型为“Extended”。

·     选择用户名格式为“不带域名”。

步骤4：单击RADIUS服务器列表下的<添加>按钮。

步骤5：在弹出的页面上进行如下配置。

·     选择服务器类型为“主认证服务器”。

·     输入IP地址为“1.1.1.2”。

·     输入端口为“1812”。

·     输入密钥为“expert”。

·     输入确认密钥为“expert”。

步骤6：单击<确定>按钮向RADIUS方案中添加一个主认证服务器。

步骤7：再次单击RADIUS服务器列表下的<添加>按钮。

步骤8：在弹出的页面上进行如下配置。

·     选择服务器类型为“主计费服务器”。

·     输入IP地址为“1.1.1.2”。

·     输入端口为“1813”。

·     输入密钥为“expert”。

·     输入确认密钥为“expert”。

步骤9：单击<确定>按钮向RADIUS方案中添加一个主计费服务器。

步骤10：完成上述配置后的新建RADIUS方案页面如下图所示，单击<确定>按钮完成操作。

图2-10 配置RADIUS方案system

(2)     创建ISP域test，并配置其为缺省域。

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     输入域名为“test”。

·     选择缺省域为“Enable”。

步骤3：单击<应用>按钮完成操作。

图2-11 创建ISP域

(3)     配置ISP域的AAA认证方案。

步骤1：单击“认证”页签。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default认证”前的复选框，选择认证方式为“RADIUS”。

·     选择认证方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-12 配置ISP域的AAA认证方案

(4)     配置ISP域的AAA授权方案。

步骤1：单击“授权”页签。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default授权”前的复选框，选择授权方式为“RADIUS”。

·     选择授权方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-13 配置ISP域的AAA授权方案

(5)     配置ISP域的AAA计费方案，并配置用户计费可选。

步骤1：单击“计费”页签。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“计费可选开关”前的复选框，选择“Enable”。

·     选中“Default计费”前的复选框，选择计费方式为“RADIUS”。

·     选择计费方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-14 配置ISP域的AAA计费方案

(6)     创建AP。

步骤1：在导航栏中选择“AP > AP设置”。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·     输入AP名称为“ap1”。

·     选择型号为“WA3628i-AGN”。

·     选择序列号方式为“手动”，并输入AP的序列号“210235A29G007C00002”。

步骤4：单击<确定>按钮完成操作。

图2-15 创建AP

(7)     创建无线服务。

步骤1：在导航栏中选择“无线服务 > 接入服务”。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·     输入无线服务名称为“abc”。

·     选择无线服务类型为“clear”。

步骤4：单击<确定>按钮完成操作，页面跳转到新创建无线服务的具体参数配置页面。

图2-16 创建无线服务

步骤5：进行如下配置，如下图所示。

·     输入VLAN（Untagged）为“2”。

·     输入缺省VLAN为“2”。

步骤6：单击<确定>按钮，弹出配置进度对话框。

步骤7：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-17 配置无线服务的安全参数

(8)     开启无线服务。

步骤1：如下图所示，选中无线服务“abc”前的复选框。

步骤2：单击<开启>按钮完成操作，弹出配置进度对话框。

步骤3：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-18 开启无线服务

(9)     绑定AP的射频。

步骤1：在接入服务列表中单击无线服务“abc”的图标。

步骤2：如下图所示，选中AP名称为“ap1”、射频模式为“802.11n(2.4GHz)”的表项前的复选框。

步骤3：单击<绑定>按钮完成操作，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-19 绑定AP的射频

(10)     开启802.11n(2.4GHz)射频。

步骤1：在导航栏中选择“射频 > 射频设置”。

步骤2：如下图所示，选中AP名称为“ap1”、射频模式为“802.11n(2.4GHz)”的表项前的复选框。

步骤3：单击<开启>按钮完成操作。

图2-20 开启802.11n(2.4GHz)射频

(11)     在Vlan-interface2上应用Portal服务，使用本地Portal服务器。

步骤1：在导航栏中选择“认证 > Portal认证”，默认进入“配置Portal服务器”页签的页面。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·     选择接口名称为“Vlan-interface2”。

·     选择Portal服务器为“使能本地服务器”。

·     选择认证方式为“Direct”。

·     选择认证域为“test”。

·     输入服务器IP地址“192.168.1.1”。

·     选中认证页面传输协议“HTTPS”前的单选按钮。

·     选择PKI域为“test”。

·     选中“配置页面定制”前的复选框。

·     选择SSID abc对应的页面文件为“ssid1.zip”。

步骤4：单击<确定>按钮完成操作。

图2-21 应用Portal服务

(12)     对以太网接口GigabitEthernet1/0/1配置免认证策略。

步骤1：单击“免认证策略配置”页签。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·     输入序号为“0”。

·     选择源接口为“GigabitEthernet1/0/1”。

步骤4：单击<确定>按钮完成操作。

图2-22 对以太网接口GigabitEthernet1/0/1配置免认证策略

3. 配置结果验证

用户通过Web浏览器访问1.1.1.0/24网段，能够被重定向到https://192.168.1.1/portal/logon.htm。用户根据网页提示输入正确的用户名密码后，能够成功通过认证。

3 AAA

3.1  概述

AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

·     认证：确认远端访问用户的身份，判断访问者是否为合法的网络用户。

·     授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后，管理员可以授权用户对服务器中的文件进行访问和打印操作。

·     计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。

AAA可以通过多种协议来实现，在实际应用中，最常使用RADIUS协议。

AAA一般采用客户端/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器）上，服务器上则集中管理用户信息。NAS对于用户来讲是服务器端，对于服务器来说是客户端。AAA的基本组网结构如下图所示。

图3-1 AAA基本组网结构示意图

NAS对用户的管理是基于ISP域的（Internet Service Provider，因特网服务提供商）。一个ISP域是由属于同一个ISP的用户构成的群体，每个接入用户都属于一个ISP域。用户所属的ISP域是由用户登录时提供的用户名决定的，如下图所示。

图3-2 用户名决定域名

用户的认证、授权、计费都是在相应的ISP域视图下应用预先配置的认证、授权、计费方案来实现的。AAA有缺省的认证、授权、计费方案，分别为本地认证、本地授权、本地计费。如果用户所属的ISP域下未应用任何认证、授权、计费方案，系统将使用缺省的认证、授权、计费方案。

为便于对不同接入方式的用户进行区分管理，AAA将用户划分为以下几个类型：

·     Lan-access用户：LAN接入用户，如802.1X认证、MAC地址认证用户。

·     Login用户：登录设备用户，如SSH、Telnet、Web、FTP、终端接入用户。

·     Portal接入用户。

·     PPP接入用户。

用户登录设备后，AAA还可以对其提供命令行授权服务。用户执行的每一条命令都需要接受授权服务器的检查，只有授权成功的命令才被允许执行，以提高用户登录后对设备操作的安全性。

3.2  AAA配置任务简介

进行AAA配置前要做如下准备：

·     要进行本地认证，需要配置本地用户，具体配置请参见“用户”。

·     要进行RADIUS认证，需要先配置RADIUS方案，具体配置请参见“RADIUS”。

表3-1 AAA配置步骤

3.3  配置ISP域

(1)     在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面，如下图所示。

图3-3 域设置

(2)     配置ISP域的信息，详细配置如下表所示。

(3)     单击<应用>按钮完成操作。

表3-2 ISP域的详细配置

3.4  配置ISP域的AAA认证方法

(1)     在导航栏中选择“认证 > AAA”。

(2)     单击“认证”页签，进入如下图所示的页面。

图3-4 认证

(3)     配置ISP域中不同类型用户所使用的认证方法，详细配置如下表所示。

(4)     单击<应用>按钮，弹出配置进度对话框。

(5)     看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

表3-3 ISP域AAA认证方法的详细配置

3.5  配置ISP域的AAA授权方法

(1)     在导航栏中选择“认证 > AAA”。

(2)     单击“授权”页签，进入如下图所示的页面。

图3-5 授权

(3)     配置ISP域中不同类型用户所使用的授权方法，详细配置如下表所示。

(4)     单击<应用>按钮，弹出配置进度对话框。

(5)     看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

表3-4 ISP域AAA授权方法的详细配置

3.6  配置ISP域的AAA计费方法

(1)     在导航栏中选择“认证 > AAA”。

(2)     单击“计费”页签，进入如下图所示的页面。

图3-6 计费

(3)     配置ISP域中不同类型用户所使用的计费方法，详细配置如下表所示。

(4)     单击<应用>按钮，弹出配置进度对话框。

(5)     看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

表3-5 ISP域AAA计费方法的详细配置

3.7  AAA典型配置举例

1. 组网需求

如下图所示，配置AC，实现对登录AC的Telnet用户进行本地认证和授权。

图3-7 AAA配置组网图

2. 配置步骤

(1)     配置本地用户。

步骤1：在导航栏中选择“认证 > 用户”，默认进入“本地用户”页签的页面。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·     输入用户名为“telnet”。

·     输入用户密码为“abcd”。

·     输入确认密码为“abcd”。

·     加密方式为“可逆”。

·     选中用户类型为“普通用户”。

·     选中授权等级为“Configure”。

·     选择服务类型为“Telnet”。

步骤4：单击<确定>按钮完成操作。

图3-8 创建本地用户

(2)     配置ISP域test。

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：如下图所示，输入域名为“test”。

步骤3：单击<应用>按钮完成操作。

图3-9 配置ISP域test

(3)     配置ISP域test中Login用户的AAA认证方法为本地认证。

步骤1：在导航栏中选择“认证 > AAA”。

步骤2：单击“认证”页签。

步骤3：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Login认证”前的复选框，选择认证方法为“Local”。

步骤4：单击<应用>按钮，弹出配置进度对话框。

步骤5：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图3-10 配置ISP域test中Login用户的AAA认证方法为本地认证

(4)     配置ISP域test中Login用户的AAA授权方法为本地授权。

步骤1：在导航栏中选择“认证 > AAA”。

步骤2：单击“授权”页签。

步骤3：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Login授权”前的复选框，选择授权方法为“Local”。

步骤4：单击<应用>按钮，弹出配置进度对话框。

步骤5：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图3-11 配置ISP域test中Login用户的AAA授权方法为本地授权

(5)     通过命令行开启Telnet服务器功能，并配置Telnet用户登录采用AAA认证方式。

<AC> system-view

[AC] telnet server enable

[AC] user-interface vty 0 4

[AC-ui-vty0-4] authentication-mode scheme

[AC-ui-vty0-4] quit

使用Telnet登录时输入用户名为telnet@test（密码为abcd），以使用test域进行认证。

4 RADIUS

4.1  概述

RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是实现AAA（Authentication, Authorization and Accounting，认证、授权和计费）的一种最常用的协议，是分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了RADIUS的报文格式及其消息传输机制，并规定使用UDP作为封装RADIUS报文的传输层协议（UDP端口1812、1813分别作为认证、计费端口）。

RADIUS最初仅是针对拨号用户的AAA协议，后来随着用户接入方式的多样化发展，RADIUS也适应多种用户接入方式，如以太网接入、ADSL接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。

4.2  配置RADIUS方案

RADIUS方案中定义了设备和RADIUS服务器之间进行信息交互所必须的一些参数。当创建一个新的RADIUS方案之后，需要对属于此方案的RADIUS服务器的IP地址、UDP端口号和报文共享密钥进行设置，这些服务器包括认证和计费服务器，而每种服务器又有主服务器和备份服务器的区别。每个RADIUS方案的属性包括：主服务器的IP地址、备份服务器的IP地址、共享密钥以及RADIUS服务器类型等。

(1)     在导航栏中选择“认证 > RADIUS”，进入如下图所示的页面。

图4-1 RADIUS

(2)     单击<新建>按钮，进入新建RADIUS方案的配置页面，如下图所示。

图4-2 新建RADIUS方案

(3)     配置RADIUS方案的名称。

(4)     配置RADIUS方案的通用参数，详细配置如下表所示。

表4-1 通用参数的详细配置

(5)     单击“高级”前的扩展按钮，展开通用参数中的高级配置，如下图所示。

图4-3 通用配置

(6)     配置高级通用参数，详细配置如下表所示。

表4-2 高级通用参数的详细配置

(7)     在“RADIUS服务器配置”中单击<添加>按钮，弹出如下图所示的页面。

图4-4 添加RADIUS服务器

(8)     配置RADIUS服务器的信息，详细配置如下表所示。

(9)     单击<确定>按钮向RADIUS方案中添加一个RADIUS服务器。

(10)     重复步骤(7)～(9)向RADIUS方案中添加多个RADIUS服务器。

(11)     在新建RADIUS方案页面单击<确定>按钮完成操作。

表4-3 RADIUS服务器的详细配置

4.3  RADIUS典型配置举例

1. 组网需求

如下图所示，Telnet用户主机与AC直接相连，AC与一台RADIUS服务器相连，需要实现RADIUS服务器对登录AC的Telnet用户进行认证、授权和计费。

·     由一台iMC服务器（IP地址为10.1.1.1/24）担当认证/授权、计费RADIUS服务器的职责。

·     AC与认证/授权、计费RADIUS服务器交互报文时的共享密钥均为expert，认证/授权、计费的端口号分别为1812和1813。

·     AC向RADIUS服务器发送的用户名携带域名。

·     Telnet用户登录AC时使用RADIUS服务器上配置的用户名hello@bbb以及密码abc进行认证，认证通过后的用户级别为3。

图4-5 RADIUS配置组网图

2. 配置RADIUS服务器（iMC）

(1)     增加接入设备。

步骤1：在iMC管理平台选择“业务”页签。

步骤2：单击导航树中的“接入业务 > 接入设备配置”菜单项。

步骤3：在接入设备配置页面中单击<增加>按钮。

步骤4：进行如下配置，如下图所示。

·     输入与AC交互报文时的认证、计费共享密钥为“expert”。

·     输入认证及计费的端口号分别为“1812”和“1813”。

·     选择业务类型为“设备管理业务”。

·     选择接入设备类型为“H3C”。

·     单击<选择>或<手工增加>按钮，添加IP地址为“10.1.1.2”的接入设备。

步骤5：单击<确定>按钮完成操作。

图4-6 增加接入设备

(2)     增加设备管理用户。

步骤1：选择“用户”页签。

步骤2：单击导航树中的“接入用户视图 > 设备管理用户”菜单项。

步骤3：在设备管理用户列表页面中单击<增加>按钮。

步骤4：进行如下配置，如下图所示。

·     输入帐号名为“hello@bbb”。

·     输入用户密码和密码确认为“abc”。

·     选择服务类型为“Telnet”。

·     输入EXEC权限级别为“3”（该值为Telnet用户登录系统后的用户级别，缺省为0）。

·     在所管理设备IP地址列表中单击<增加>按钮，设置IP地址范围为“10.1.1.0～10.1.1.255”。

步骤5：单击<确定>按钮完成操作。

图4-7 增加设备管理用户

3. 配置AC

(1)     配置RADIUS方案system。

步骤1：在导航栏中选择“认证 > RADIUS”。

步骤2：单击<新建>按钮。

步骤3：进行如下配置。

·     输入方案名称为“system”。

·     选择服务类型为“Extended”。

·     选择用户名格式为“带域名”。

步骤4：在RADIUS服务器配置中单击<添加>按钮。

步骤5：在弹出的页面上进行如下配置，如下图所示。

·     选择服务器类型为“主认证服务器”。

·     输入IP地址为“10.1.1.1”。

·     输入端口为“1812”。

·     输入密钥为“expert”。

·     输入确认密钥为“expert”。

步骤6：单击<确定>按钮向system方案中添加一个主认证服务器。

图4-8 配置RADIUS认证服务器

步骤7：再次在RADIUS服务器配置中单击<添加>按钮。

步骤8：在弹出的页面上进行如下配置，如下图所示。

·     选择服务器类型为“主计费服务器”。

·     输入IP地址为“10.1.1.1”。

·     输入端口为“1813”。

·     输入密钥为“expert”。

·     输入确认密钥为“expert”。

步骤9：单击<确定>按钮向system方案中添加一个主计费服务器。

图4-9 配置RADIUS计费服务器

步骤10：完成上述配置后的新建RADIUS方案的页面如下图所示，单击<确定>按钮完成操作。

图4-10 新建RADIUS方案system

(2)     创建ISP域bbb。

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：如下图所示，输入域名为“bbb”。

步骤3：单击<应用>按钮完成操作。

图4-11 创建ISP域

(3)     配置ISP域的AAA认证方案。

步骤1：单击“认证”页签。

步骤2：进行如下配置，如下图所示。

·     选择域名为“bbb”。

·     选中“Default认证”前的复选框，选择认证方式为“RADIUS”。

·     选择认证方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图4-12 配置ISP域的AAA认证方案

(4)     配置ISP域的AAA授权方案。

步骤1：单击“授权”页签。

步骤2：进行如下配置，如下图所示。

·     选择域名为“bbb”。

·     选中“Default授权”前的复选框，选择授权方式为“RADIUS”。

·     选择授权方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图4-13 配置ISP域的AAA授权方案

(5)     配置ISP域的AAA计费方案，并配置用户计费可选。

步骤1：单击“计费”页签。

步骤2：进行如下配置，如下图所示。

·     选择域名为“bbb”。

·     选中“计费可选开关”前的复选框，选择“Enable”。

·     选中“Default计费”前的复选框，选择计费方式为“RADIUS”。

·     选择计费方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图4-14 配置ISP域的AAA计费方案

(6)     开启AC的Telnet服务器功能。

步骤1：在导航栏中选择“网络 > 服务管理”。

步骤2：如下图所示，选中“启用Telnet服务”前的复选框。

步骤3：单击<确定>按钮完成操作。

图4-15 启用Telnet服务

(7)     通过命令行配置Telnet用户登录采用AAA认证方式。

<AC> system-view

[AC] user-interface vty 0 4

[AC-ui-vty0-4] authentication-mode scheme

[AC-ui-vty0-4] quit

4. 配置结果验证

在Telnet客户端按照提示输入用户名hello@bbb及密码abc，即可进入AC的用户界面，并可以使用级别为0、1、2、3的命令。

4.4  注意事项

配置RADIUS客户端时，需要注意如下事项：

(1)     目前RADIUS不支持对FTP用户进行计费。

(2)     如果在线用户正在使用的计费服务器被删除，则设备将无法发送用户的实时计费请求和停止计费请求，且停止计费报文不会被缓存到本地。

(3)     RADIUS方案中各服务器的状态（active、block）决定了设备向哪个服务器发送请求报文，以及设备在与当前服务器通信中断的情况下，如何转而与另外一个服务器进行交互。在实际组网环境中，可指定一个主RADIUS服务器和多个备份RADIUS服务器，由备份服务器作为主服务器的备份。通常情况下，设备上主/备份服务器的切换遵从以下原则：

·     当主服务器状态为active时，设备首先尝试与主服务器通信，若主服务器不可达，设备更改主服务器的状态为block，并启动该服务器的静默定时器，然后按照备份服务器的配置先后顺序依次查找状态为active的备份服务器进行认证或者计费。如果状态为active的备份服务器也不可达，则将该备份服务器的状态置为block，同时启动该服务器的静默定时器，并继续查找状态为active的备份服务器。当服务器的静默定时器超时，或者设备收到该服务器的认证/计费应答报文时，该服务器将恢复为active状态。在一次认证或计费过程中，如果设备在尝试与备份服务器通信时，主服务器状态由block恢复为active，则设备并不会立即恢复与主服务器的通信，而是继续查找备份服务器。如果所有已配置的服务器都不可达，则认为本次认证或计费失败。

·     一个用户的计费流程开始之后，设备就不会再与其它的计费服务器通信，即该用户的实时计费报文和停止计费报文只会发往当前使用的计费服务器。如果当前使用的计费服务器被删除，则实时计费和停止计费报文都将无法发送。

·     如果在认证或计费过程中删除了服务器，则设备在与当前服务器通信超时后，将会重新从主服务器开始依次查找状态为active的服务器进行通信。

·     当主/备份服务器的状态均为block时，设备仅与主服务器通信，若主服务器可达，则主服务器状态变为active，否则保持不变。

·     只要存在状态为active的服务器，设备就仅与状态为active的服务器通信，即使该服务器不可达，设备也不会尝试与状态为block的服务器通信。

·     设备收到服务器的认证或计费应答报文后会将与报文源IP地址相同且状态为block的认证或计费服务器的状态更改为active。

(4)     实时计费间隔与用户量之间的推荐比例关系如下表所示。

表4-4 实时计费间隔与用户量之间的推荐比例关系

5 本地EAP服务

5.1  概述

在一些简单的应用环境下，用户不希望部署AAA服务器实现认证功能，而是采用接入设备来进行本地认证。在这种情况下，若用户的接入认证方法为EAP（Extensible Authentication Protocol，可扩展认证协议）方式，则需要在接入设备上配置本地EAP认证服务器来配合AAA的Local认证方案为接入用户提供本地EAP认证服务。AAA的详细介绍请参见“AAA”。

5.2  配置本地EAP服务

(1)     在导航栏中选择“认证 > 本地EAP服务”，进入如下图所示的页面。

图5-1 本地EAP服务

(2)     配置本地EAP服务的信息，详细配置如下表所示。

(3)     单击<确定>按钮完成操作。

表5-1 本地EAP服务的详细配置

5.3  本地EAP服务典型配置举例

1. 组网需求

配置本地EAP服务，实现对登录AC的802.1X用户进行本地EAP认证和授权，认证方式为EAP-TLS。

图5-2 本地EAP服务配置组网图

2. 配置步骤

(1)     创建本地用户usera。

步骤1：在导航栏中选择“认证 > 用户”，默认进入“本地用户”页签的页面。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·     输入用户名为“usera”。

·     输入用户密码为“1234”。

·     输入确认密码为“1234”。

·     选择服务类型为“LAN-Access”。

步骤4：单击<确定>按钮完成操作。

图5-3 创建本地用户

(2)     配置缺省ISP域system的AAA方案为本地认证、授权。（缺省情况下即存在名为system的缺省ISP域，且AAA方案为本地认证、授权，因此本步骤可省略，具体配置请参见“AAA，此处不再赘述）

(3)     开启EAP服务器，配置认证方法为TLS，PKI域为test。

步骤1：在导航栏中选择“认证 > 本地EAP服务”。

步骤2：进行如下配置，如下图所示。

·     选择EAP服务状态为“开启”。

·     在“可用认证方法”列表框中选中“TLS”，单击“<<”按钮，将其添加到“认证方法”列表框中。

·     选择PKI域为“test”。

步骤3：单击<确定>按钮完成操作。

图5-4 配置本地EAP服务

# 创建AP。

步骤1：在导航栏中选择“AP > AP设置”。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·     输入AP名称为“ap1”。

·     选择型号为“WA3628i-AGN”。

·     选择序列号方式为“手动”，并输入AP的序列号。

步骤4：单击<确定>按钮完成操作。

图5-5 创建AP

(4)     配置无线服务。

步骤1：在导航栏中选择“无线服务 > 接入服务”。

步骤2：单击<新建>按钮。

步骤3：进行如下配置，如下图所示。

·     输入无线服务名称为“802.1x-auth”。

·     选择无线服务类型为“crypto”。

步骤4：单击<确定>按钮完成操作，页面跳转到新创建无线服务的具体参数配置页面。

图5-6 创建无线服务

步骤5：进行如下配置，如下图所示。

·     单击“安全设置”前的扩展按钮。

·     选择认证方式为“Open-System”。

·     选中“加密类型”前的复选框，选择加密类型为“AES and TKIP”（请根据实际情况，选择需要的加密类型），选择安全IE为“WPA and WPA2”。

·     单击“端口安全”前的扩展按钮。

·     选中“端口设置”前的复选框。

·     选择端口模式为“userlogin-secure-ext”。

·     选中“域名”前的复选框，选择域名为“system”。

·     选择认证方法为“EAP”。

·     选择用户握手为“Disable”。

·     选择多播触发为“Disable”。

步骤6：单击<确定>按钮，弹出配置进度对话框。

步骤7：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。（中途会弹出确认配置EAP认证的对话框，单击<确定>按钮即可）

图5-7 配置无线服务的安全参数

(5)     开启无线服务。

步骤1：如下图所示，选中无线服务“802.1x-auth”前的复选框。

步骤2：单击<开启>按钮完成操作，弹出配置进度对话框。

步骤3：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图5-8 开启无线服务

(6)     绑定AP的射频。

步骤1：在接入服务列表中单击无线服务“802.1x-auth”的图标。

步骤2：如下图所示，选中AP名称为“ap1”、射频模式为“802.11n(2.4GHz)”的表项前的复选框。

步骤3：单击<绑定>按钮完成操作，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图5-9 绑定AP的射频

(7)     开启802.11n(2.4GHz)射频

步骤1：在导航栏中选择“射频 > 射频设置”。

步骤2：如下图所示，选中AP名称为“ap1”、射频模式为“802.11n(2.4GHz)”的表项前的复选框。

步骤3：单击<开启>按钮完成操作。

图5-10 开启802.11n(2.4GHz)射频

3. 配置结果验证

完成上述配置后，客户端可以成功通过EAP认证，并访问无线网络；在AC上可以ping通客户端。

6 用户

6.1  概述

用户模块提供了本地用户、用户组、来宾用户和用户方案的配置功能。

1. 本地用户

本地用户是本地设备上设置的一组用户属性的集合。该集合以用户名为用户的唯一标识，可配置多种属性，比如用户密码、用户类型、服务类型、授权属性等。为使某个请求网络服务的用户可以通过本地认证，需要在设备上的本地用户数据库中添加相应的表项。本地认证的详细介绍请参见“AAA”。

2. 用户组

用户组是一个本地用户属性的集合，某些需要集中管理的授权属性可在用户组中统一配置和管理，用户组内的所有本地用户都可以继承这些属性。

每个新增的本地用户都默认属于一个系统自动创建的用户组system，且继承该组的所有属性，但本地用户的属性比用户组的属性优先级高。

3. 来宾用户

来宾用户是一种有特殊应用环境的本地用户。在有Portal或LAN-Access用户临时需要接入网络的情况下，设备管理员或来宾管理员可以为用户建立临时使用的来宾用户帐户，并置对来宾用户帐户进行生效时间的控制。

4. 用户方案

用户方案提供一个配置模板，能够保存预设配置（一系列配置的集合）。用户可以根据不同的应用场景为用户方案配置不同的内容，比如QoS（Quality of Service，服务质量）策略、限速速率、无线服务、AP组等。

用户访问设备时，需要先进行身份认证。在认证过程中，认证服务器会将用户方案名称下发给设备，设备会立即启用用户方案里配置的具体内容。当用户通过认证访问设备时，设备将通过这些具体内容限制用户的访问行为。当用户下线时，系统会自动禁用用户方案下的配置项，从而取消用户方案对用户的限定。因此，用户方案适用于限制上线用户的访问行为，没有用户上线（可能是没有用户接入、或者用户没有通过认证、或者用户下线）时，用户方案是预设配置，并不生效。

使用用户方案之后，可以：

·     更精确地利用系统资源。比如，使用用户方案之后，可以基于用户应用QoS策略，这个QoS策略针对的是单个用户。

·     更灵活地限制用户的访问浏览。比如，使用用户方案之后，可以基于用户进行流量监管，只要用户上线，认证服务器会自动下发相应的用户方案（配置了限速速率），当用户下线，系统会自动取消相应的配置，不需要再进行手工调整。

·     更具体的限制用户接入控制。比如，使用用户方案之后，可以基于无线接入服务来进行用户接入控制，即限制用户只能在指定的SSID登录；使用用户方案之后，还可以基于AP来进行用户接入控制，即限制用户只能通过指定AP组中的AP访问网络资源。

6.2  配置本地用户

(1)     在导航栏中选择“认证 > 用户”，默认进入“本地用户”页签的页面，如下图所示，页面显示的是所有本地用户的信息，包括：普通用户、来宾管理员和来宾用户。

图6-1 本地用户

(2)     单击<新建>按钮，进入新建本地用户的配置页面，如下图所示，可以新建除来宾用户外其他类型的本地用户。

图6-2 创建本地用户

(3)     配置本地用户的信息，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表6-1 本地用户的详细配置

6.3  配置用户组

(1)     在导航栏中选择“认证 > 用户”。

(2)     单击“用户组”页签，进入用户组的显示页面，如下图所示。

图6-3 用户组

(3)     单击<新建>按钮，进入新建用户组的配置页面，如下图所示。

图6-4 新建用户组

(4)     配置用户组的信息，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表6-2 用户组的详细配置

6.4  配置来宾用户

有两种用户可以配置来宾用户：Management级别的普通用户和来宾管理员。

6.4.1  Management级别的普通用户配置来宾用户

(1)     在导航栏中选择“认证 > 用户”。

(2)     单击“来宾用户”页签，进入来宾用户的显示页面，如下图所示。

图6-5 来宾用户

(3)     单击<新建>按钮，进入新建来宾用户的配置页面，如下图所示。

图6-6 新建来宾用户

(4)     配置来宾用户的信息，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表6-3 来宾用户的详细配置

6.4.2  来宾管理员配置来宾用户

来宾管理员仅能通过Web对来宾用户的账户进行管理。

(1)     来宾管理员登录设备后，在导航栏中选择“认证 > 用户”，进入如下图所示的页面。

图6-7 来宾用户

(2)     单击<新建>按钮，进入新建来宾用户的配置页面，如下图所示。

图6-8 新建来宾用户

(3)     配置来宾用户的信息，详细配置如表6-3所示。

(4)     单击<确定>按钮完成操作。

6.5  配置用户方案

(1)     在导航栏中选择“认证 > 用户”。

(2)     单击“用户方案”页签，进入用户方案的显示页面，如下图所示。

图6-9 用户方案

(3)     单击<新建>按钮，进入新建用户方案名称的配置页面，如下图所示。

图6-10 设置用户方案名称

(4)     输入用户方案的名称。

(5)     单击<确定>按钮，页面会提交新建用户方案的配置，同时跳转到该用户方案具体信息的配置页面，如下图所示。

图6-11 设置用户方案信息

(6)     配置用户方案的具体信息，详细配置如下表所示。

(7)     单击<确定>按钮完成操作。

表6-4 新建用户方案的详细配置

(8)     在用户方案的显示页面中选中用户方案前的复选框。

(9)     单击<使能>按钮将选中的用户方案使能。

7 证书管理

7.1  概述

PKI（Public Key Infrastructure，公钥基础设施）是一个利用公共密钥理论和技术来实现并提供信息安全服务的具有通用性的安全基础设置。我司的PKI可为安全协议IPsec（IP Security，IP安全）、SSL（Secure Sockets Layer，安全套接字层）、WAPI（WLAN Authentication and Privacy Infrastructure，无线局域网鉴别与保密基础结构）提供证书管理机制。

公共密钥体制也称为非对称密钥体制，是目前应用最广泛的一种加密体制。这一体制使用一个非对称的密钥对，分别是一个公开的加密密钥（公钥）和一个保密的解密密钥（私钥），用公钥加密的信息只能用私钥解密，反之亦然。由于公钥是公开的，需要在网上传送，故公钥的管理问题就是公共密钥体制所需要解决的关键问题。

目前，PKI系统中引出的数字证书机制就是一个很好的解决方案。基于公共密钥技术的数字证书是一个用户的身份和他所持有的公钥的结合，是使用PKI系统的用户建立安全通信的信任基础。

基于数字证书的PKI系统，能够为网络通信和网络交易，特别是电子政务和电子商务业务，透明地提供一整套安全服务，主要包括身份认证、保密、数据完整性和不可否认性。

PKI技术的广泛应用能满足人们对网络交易安全保障的需求。作为一种基础设施，PKI的应用范围非常广泛，并且在不断发展之中，下面给出几个应用实例。

·     VPN：VPN（Virtual Private Network，虚拟专用网络）是一种构建在公用通信基础设施上的专用数据通信网络，利用网络层安全协议（如IPsec）和建立在PKI上的加密与数字签名技术来获得机密性保护。

·     安全电子邮件：电子邮件的安全也要求机密、完整、认证和不可否认，而这些都可以利用PKI技术来实现。目前发展很快的安全电子邮件协议S/MIME(Secure/Multipurpose Internet Mail Extensions，安全/多用途Internet邮件扩充协议)，是一个允许发送加密和有签名邮件的协议。该协议的实现需要依赖于PKI技术。

·     Web安全：为了透明地解决Web的安全问题，在两个实体进行通信之前，先要建立SSL连接，以此实现对应用层透明的安全通信。利用PKI技术，SSL协议允许在浏览器和服务器之间进行加密通信。此外，服务器端和浏览器端通信时双方可以通过数字证书确认对方的身份。

7.2  PKI配置任务简介

PKI证书的申请方式有两种：

·     手动申请证书方式：需要手工完成获取CA（Certificate Authority，证书颁发机构）证书、生成密钥对、申请本地证书的工作。

·     自动申请证书方式：在没有本地证书时实体自动通过SCEP（Simple Certification Enrollment Protocol，简单证书注册协议，专门用于与认证机构进行通信）协议进行申请，而且在证书即将过期时自动申请新的证书并获取至本地。

证书申请的方式可在PKI域中进行配置。根据证书申请方式的不同，PKI的配置步骤也不同。

2. 手动申请证书方式

手动申请证书方式下PKI配置的推荐步骤如下表所示。

表7-1 PKI配置步骤（手动申请证书方式）

3. 自动申请证书方式

自动申请证书方式下PKI配置的推荐步骤如下表所示。

表7-2 PKI配置步骤（自动申请证书方式）

7.3  新建PKI实体

(1)     在导航栏中选择“认证 > 证书管理”，默认进入“PKI实体”页签的页面，如下图所示。

图7-1 PKI实体

(2)     单击<新建>按钮，进入新建PKI实体的配置页面，如下图所示。

图7-2 新建PKI实体

(3)     配置新建PKI实体的信息，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表7-3 新建PKI实体的详细配置

7.4  新建PKI域