目  录

1 WAPI配置

1.1 WAPI简介

1.1.1 WAPI系统概述

1.1.2 WAPI的工作过程

1.1.3 WAPI的鉴别方式

1.1.4 WAPI的密钥管理

1.1.5 协议规范

1.2 WAPI配置任务简介

1.3 配置WAPI鉴别方式

1.4 配置证书鉴别

1.4.1 配置准备

1.4.2 配置证书所属的PKI域和AS的实体名

1.4.3 配置AS的IP地址

1.4.4 配置BK更新

1.4.5 配置证书格式

1.4.6 配置证书鉴别模式

1.4.7 配置AAA证书鉴别所属的ISP域

1.5 配置预共享密钥鉴别

1.5.1 配置准备

1.5.2 配置预共享密钥

1.6 配置单播密钥更新

1.6.1 配置准备

1.6.2 配置单播密钥更新

1.7 配置组播密钥更新

1.7.1 配置准备

1.7.2 配置组播密钥更新

1.8 WAPI显示和维护

1.9 WAPI典型配置举例

1.9.1 预共享密钥鉴别配置举例

1.9.2 标准证书鉴别配置举例

1.9.3 AAA证书鉴别配置举例

1.10 常见配置错误举例

1.10.1 Client上线失败

1.10.2 导入证书失败

1.10.3 计费异常

1.10.4 用户上线后无法ping通

1 WAPI配置

1.1  WAPI简介

WAPI是WLAN Authentication and Privacy Infrastructure（无线局域网鉴别与保密基础结构）的简称，是中国提出的、以802.11无线协议为基础的无线安全标准。WAPI协议由以下两部分构成：

l              WAI：是WLAN Authentication Infrastructure（无线局域网鉴别基础结构）的简称，是用于无线局域网中身份鉴别和密钥管理的安全方案；

l              WPI：是WLAN Privacy Infrastructure（无线局域网保密基础结构）的简称，是用于无线局域网中数据传输保护的安全方案，包括数据加密、数据鉴别和重放保护等功能。

1.1.1  WAPI系统概述

1. 基本概念

WAPI系统中所涉及到的基本概念如表1-1所示。

表1-1 WAPI系统中的基本概念

2. 系统组成

在一个典型的WAPI系统中，如图1-1所示，WAPI用户通过AP接入有线IP网络。首先，WAPI用户与AP进行802.11链路协商，之后AP为该用户触发WAI鉴别过程（请参见“1.1.3  WAPI的鉴别方式”一节），配合AS完成与用户的双向认证。当认证通过后，AP会发起对该用户的密钥协商（请参见“1.1.4  WAPI的密钥管理”一节），并使用协商出的密钥通过WPI向该WAPI用户提供加、解密服务。

图1-1 WAPI系统典型组网图

1.1.2  WAPI的工作过程

在一个采用了WAPI安全关联机制的WLAN中，当Client需要访问该WLAN时，通过被动侦听AP的信标（Beacon）帧或主动发送探询帧（主动探询过程如图1-2所示）以识别AP所采用的安全策略：

l              若AP采用证书鉴别方式，AP将发送鉴别激活分组启动证书鉴别过程，当证书鉴别过程成功结束后，AP和Client再进行单播密钥协商和组播密钥通告；

l              若AP采用预共享密钥鉴别方式，AP将与Client直接进行单播密钥协商和组播密钥通告。

图1-2 主动探询过程

1.1.3  WAPI的鉴别方式

WAPI支持如下两种鉴别方式：证书鉴别方式和预共享密钥鉴别方式。

1. 证书鉴别方式

数字证书是一种经PKI（Public Key Infrastructure，公钥基础设施）证书授权中心签名的、包含公开密钥及用户相关信息的文件，是网络用户的数字身份凭证。WAPI系统中所使用的用户证书为数字证书，通过AS对用户证书进行验证，可以唯一确定WAPI用户的身份及其合法性。

证书鉴别是基于Client和AP双方的证书所进行的鉴别。鉴别前Client和AP必须预先拥有各自的证书，然后通过AS对双方的身份进行鉴别，根据双方产生的临时公钥和临时私钥生成BK，并为随后的单播密钥协商和组播密钥通告做好准备。证书鉴别的过程如图1-3所示。

图1-3 证书鉴别过程

在进行证书鉴别时，有如下两种证书鉴别模式可供选择：

l              标准鉴别模式：即基于WAPI标准协议的UDP模式。在该模式下，AP与AS之间的WAI协议报文将通过普通的UDP方式进行传输，最终完成证书鉴别。该模式不支持对用户的计费功能。

l              AAA鉴别模式：是H3C私有的一种鉴别模式。在该模式下，AP与AS之间通过RADIUS报文完成证书鉴别，WAI协议报文将承载于RADIUS协议报文之上（要求RADIUS服务器支持WAPI功能），作为RADIUS报文的一个私有属性。此外，该模式还能够提供对用户的授权和计费功能（需要RADIUS服务器配合）。

2. 预共享密钥鉴别方式

预共享密钥鉴别是基于Client和AP双方的密钥所进行的鉴别。鉴别前Client和AP必须预先配置有相同的密钥，即预共享密钥。鉴别时直接将预共享密钥转换为BK，然后进行单播密钥协商和组播密钥通告。

1.1.4  WAPI的密钥管理

Client与AP之间交互的单播数据利用单播密钥协商过程所协商出的单播加密密钥和单播完整性校验密钥进行保护；AP利用自己通告的、由组播主密钥导出的组播加密密钥和组播完整性校验密钥对其发送的广播/组播数据进行保护，而Client则采用AP通告的、由组播主密钥导出的组播加密密钥和组播完整性校验密钥对收到的广播/组播数据进行解密。

首先要进行单播密钥的协商，其过程如图1-4所示。

图1-4 单播密钥协商过程

当单播密钥协商完成后，再使用单播密钥协商过程所协商出的密钥进行组播密钥的通告，其过程如图1-5所示。

图1-5 组播密钥通告过程

1.1.5  协议规范

与WAPI相关的协议规范有：

l              GB 15629.11-2003/XG1-2006：信息技术 系统间远程通信和信息交换局域网和城域网 特定要求 第11部分：无线局域网媒体访问控制和物理层规范 第1号修改单

l              RFC 3280：Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile

l              RFC 4492：Elliptic Curve Cryptography (ECC) Cipher Suites for Transport Layer Security (TLS)

1.2  WAPI配置任务简介

表1-2 WAPI配置任务简介

1.3  配置WAPI鉴别方式

WAPI有两种鉴别方式：证书鉴别和预共享密钥鉴别，请根据实际需要选择适当的鉴别方式。

表1-3 配置WAPI鉴别方式

1.4  配置证书鉴别

1.4.1  配置准备

在配置证书鉴别之前，需完成以下任务：

l              配置WAPI采用证书鉴别方式

l              配置证书所属的PKI域

l              配置AAA证书鉴别所属的ISP域（仅当证书鉴别模式为AAA鉴别模式时需要）

在配置证书鉴别之前，需准备以下数据：

l              AS的IP地址

l              BK的更新时间

1.4.2  配置证书所属的PKI域和AS的实体名

指定证书所属的PKI域，用于获取对应PKI域的相关策略；指定AS的实体名，用于查找和获取AS上的证书。

表1-4 配置证书所属的PKI域和AS的实体名

1.4.3  配置AS的IP地址

AS用来对Client和AP的证书进行鉴别。当采用标准鉴别模式时，必须通过以下步骤指定AS的IP地址。

表1-5 配置AS的IP地址

1.4.4  配置BK更新

BK具有生命周期，当其生命周期结束时需要进行更新，即重新进行证书鉴别过程，生成新的BK。要进行BK更新，必须保证BK更新功能处于开启状态。

表1-6 配置BK更新

1.4.5  配置证书格式

WAPI协议中定义了两种证书格式：X.509v3和GBW格式，但目前只支持采用X.509v3格式的证书进行证书鉴别。

表1-7 配置证书格式

1.4.6  配置证书鉴别模式

WAPI支持两种证书鉴别模式：标准鉴别模式和AAA鉴别模式，请根据实际需要选择适当的证书鉴别模式。

表1-8 配置证书鉴别模式

1.4.7  配置AAA证书鉴别所属的ISP域

当采用AAA鉴别模式时，必须指定AAA证书鉴别所属的ISP域，用于获取对应ISP域的相关策略（包括AAA策略）。

表1-9 配置AAA证书鉴别所属的ISP域

1.5  配置预共享密钥鉴别

1.5.1  配置准备

在配置预共享密钥鉴别之前，需完成以下任务：

l              配置WAPI采用预共享密钥鉴别方式

在配置预共享密钥鉴别之前，需准备以下数据：

l              预共享密钥

1.5.2  配置预共享密钥

当WAPI采用预共享密钥鉴别方式时，需要配置预共享密钥。AP和Client拥有相同的预共享密钥，鉴别时直接通过预共享密钥生成BK，进行密钥协商。

表1-10 配置预共享密钥

1.6  配置单播密钥更新

1.6.1  配置准备

在配置单播密钥更新之前，需完成以下任务：

l              配置证书鉴别或者预共享密钥鉴别

在配置单播密钥更新之前，需准备以下数据：

l              单播密钥的更新时间

1.6.2  配置单播密钥更新

单播密钥具有生命周期，当其生命周期结束时需要进行更新，即重新进行单播密钥协商。要进行单播密钥更新，必须保证单播密钥更新功能处于开启状态。

表1-11 配置单播密钥更新

1.7  配置组播密钥更新

1.7.1  配置准备

在配置组播密钥更新之前，需完成以下任务：

l              配置证书鉴别或者预共享密钥鉴别

在配置组播密钥更新之前，需准备以下数据：

l              触发组播密钥更新的报文数量或时间间隔

1.7.2  配置组播密钥更新

组播密钥具有生命周期，当其生命周期结束时需要更新组播密钥。要进行组播密钥更新，必须保证组播密钥更新功能处于开启状态。

当使能了用户下线时触发组播密钥更新的功能之后，只要有一个用户下线，就将触发组播密钥更新，这样可以防止密钥的泄漏。除此之外，还有其它两种触发组播密钥更新的方式：

l              由时间间隔触发的组播密钥更新：在指定时间间隔后进行组播密钥更新；

l              由流量触发的组播密钥更新：当使用某组播密钥加密的报文数量达到指定数目后进行组播密钥更新。

表1-12 配置组播密钥更新

1.8  WAPI显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后WAPI的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除WAPI的统计信息。

表1-13 WAPI显示和维护

1.9  WAPI典型配置举例

1.9.1  预共享密钥鉴别配置举例

1. 组网需求

l              Client、AP都从DHCP服务器获取IP地址。

l              AP采用预共享密钥鉴别方式，Client端与AP端使用相同的预共享密钥12345678；单播密钥和组播密钥的更新时间均为20000秒。

2. 组网图

图1-6 预共享密钥鉴别配置组网图

3. 配置步骤

(1)        配置IP地址

请按照图1-6配置各设备的IP地址和子网掩码，具体配置过程略。

(2)        配置FAT AP

# 使能端口安全功能，并配置接口WLAN-BSS1的端口安全模式为WAPI模式。

<AP> system-view

[AP] port-security enable

[AP] interface wlan-bss 1

[AP-WLAN-BSS1] port-security port-mode wapi

# 在接口WLAN-BSS1上配置WAPI采用预共享密钥鉴别方式，预共享密钥为12345678，并配置单播密钥和组播密钥的更新时间均为20000秒。

[AP-WLAN-BSS1] wapi authentication method psk

[AP-WLAN-BSS1] wapi psk pass-phrase simple 12345678

[AP-WLAN-BSS1] wapi usk lifetime 20000

[AP-WLAN-BSS1] wapi msk-rekey method time-based 20000

[AP-WLAN-BSS1] quit

# 创建类型为WAPI的服务模板1，配置其SSID为wapi1，并使能该服务模板。

[AP] wlan service-template 1 wapi

[AP-wlan-st-1] ssid wapi1

[AP-wlan-st-1] service-template enable

[AP-wlan-st-1] quit

# 将WLAN-BSS接口与服务模板绑定。

[AP] interface wlan-radio1/0/2

[AP-WLAN-Radio1/0/2] service-template 1 interface wlan-bss 1

(3)        检验配置结果

通过使用display wapi user命令可以查看接口上WAPI用户的信息。

1.9.2  标准证书鉴别配置举例

1. 组网需求

l              Client和AP都从DHCP服务器获取IP地址。

l              WAPI系统采用证书鉴别方式中的标准鉴别模式，CA服务器、AP和AS各自所使用的证书ca.cer、ap.cer和as.cer均已保存至FAT AP；单播密钥和组播密钥的更新时间均为20000秒，关闭BK更新功能。

2. 组网图

图1-7 标准证书鉴别配置组网图

3. 配置步骤

(1)        配置IP地址

请按照图1-7配置各设备的IP地址和子网掩码，具体配置过程略。

(2)        配置FAT AP

# 创建PKI域pki1，在该域中禁止CRL检查（对导入的证书不进行是否吊销检查，即默认此方式下用户证书有效），指定证书采用ECDSA签名算法，并配置外部实体as1采用手工导入证书方式。

<AP> system-view

[AP] pki domain pki1

[AP-pki-domain-pki1] crl check disable

[AP-pki-domain-pki1] signature-algorithm ecdsa

[AP-pki-domain-pki1] peer-entity as1 import

[AP-pki-domain-pki1] quit

# 分别导入证书文件ca.cer、ap.cer和as.cer。

[AP] pki import-certificate ca domain pki1 pem filename ca.cer

[AP] pki import-certificate local domain pki1 pem filename ap.cer

[AP] pki import-certificate peer-entity as1 domain pki1 pem filename as.cer

# 使能端口安全功能，并配置接口WLAN-BSS1的端口安全模式为WAPI模式。

[AP] port-security enable

[AP] interface wlan-bss 1

[AP-WLAN-BSS1] port-security port-mode wapi

# 在接口WLAN-BSS1上配置WAPI采用证书鉴别方式中的标准鉴别模式；指定AS的IP地址为10.10.1.3，并指定证书所属的PKI域为pki1、AS为as1。

[AP-WLAN-BSS1] wapi authentication method certificate

[AP-WLAN-BSS1] wapi authentication mode standard

[AP-WLAN-BSS1] wapi authentication-server ip 10.10.1.3

[AP-WLAN-BSS1] wapi certificate domain pki1 authentication-server as1

# 在接口WLAN-BSS1上关闭BK更新功能，并配置单播密钥和组播密钥的更新时间均为20000秒。

[AP-WLAN-BSS1] undo wapi bk rekey enable

[AP-WLAN-BSS1] wapi usk lifetime 20000

[AP-WLAN-BSS1] wapi msk-rekey method time-based 20000

[AP-WLAN-BSS1] quit

# 创建类型为WAPI的服务模板1，配置其SSID为wapi1，并使能该服务模板。

[AP] wlan service-template 1 wapi

[AP-wlan-st-1] ssid wapi1

[AP-wlan-st-1] service-template enable

[AP-wlan-st-1] quit

# 将WLAN-BSS接口与服务模板绑定。

[AP] interface wlan-radio1/0/2

[AP-WLAN-Radio1/0/2] service-template 1 interface wlan-bss 1

(3)        检验配置结果

通过使用display wapi user命令可以查看接口上WAPI用户的信息。

1.9.3  AAA证书鉴别配置举例

1. 组网需求

l              Client和AP都从DHCP服务器获取IP地址。

l              WAPI系统采用证书鉴别方式中的AAA鉴别模式，CA服务器、AP和AS各自所使用的证书ca.cer、ap.cer和as.cer均已保存至FAT AP；单播密钥和组播密钥的更新时间均为20000秒，关闭BK更新功能。

2. 组网图

图1-8 AAA证书鉴别配置组网图

3. 配置步骤

(1)        配置IP地址

请按照图1-8配置各设备的IP地址和子网掩码，具体配置过程略。

(2)        配置FAT AP相关功能

# 创建PKI域pki1，在该域中禁止CRL检查（对导入的证书不进行是否吊销检查，即默认此方式下用户证书有效），指定证书采用ECDSA签名算法，并配置外部实体as1采用手工导入证书的方式。

<AP> system-view

[AP] pki domain pki1

[AP-pki-domain-pki1] crl check disable

[AP-pki-domain-pki1] signature-algorithm ecdsa

[AP-pki-domain-pki1] peer-entity as1 import

[AP-pki-domain-pki1] quit

# 分别导入证书文件ca.cer、ap.cer和as.cer。

[AP] pki import-certificate ca domain pki1 pem filename ca.cer

[AP] pki import-certificate local domain pki1 pem filename ap.cer

[AP] pki import-certificate peer-entity as1 domain pki1 pem filename as.cer

# 创建RADIUS方案radius1，主认证/授权服务器和主计费服务器的IP地址均为10.10.1.5，RADIUS认证/授权报文和计费报文的共享密钥均为12345678；并配置该方案的RADIUS服务器类型为extended，用户名不携带域名。

[AP] radius scheme radius1

[AP-radius-radius1] primary authentication 10.10.1.5

[AP-radius-radius1] primary accounting 10.10.1.5

[AP-radius-radius1] key authentication 12345678

[AP-radius-radius1] key accounting 12345678

[AP-radius-radius1] server-type extended

[AP-radius-radius1] user-name-format without-domain

[AP-radius-radius1] quit

# 创建ISP域domain1，将WAPI用户的认证、授权和计费方案均配置为radius1，并将该域配置为缺省ISP域。

[AP] domain domain1

[AP-isp-domain1] authentication wapi radius-scheme radius1

[AP-isp-domain1] authorization wapi radius-scheme radius1

[AP-isp-domain1] accounting wapi radius-scheme radius1

[AP-isp-domain1] quit

[AP] domain default enable domain1

# 使能端口安全功能，并配置接口WLAN-BSS1的端口安全模式为WAPI模式。

[AP] port-security enable

[AP] interface wlan-bss 1

[AP-WLAN-BSS1] port-security port-mode wapi

# 在接口WLAN-BSS1上配置WAPI采用证书鉴别方式中的AAA鉴别模式；指定AAA证书鉴别所属的ISP域为domain1，并指定证书所属的PKI域为pki1、AS为as1。

[AP-WLAN-BSS1] wapi authentication method certificate

[AP-WLAN-BSS1] wapi authentication mode scheme

[AP-WLAN-BSS1] wapi mandatory-domain domain1

[AP-WLAN-BSS1] wapi certificate domain pki1 authentication-server as1

# 在接口WLAN-BSS1上关闭BK更新功能，并配置单播密钥和组播密钥的更新时间均为20000秒。

[AP-WLAN-BSS1] undo wapi bk rekey enable

[AP-WLAN-BSS1] wapi usk lifetime 20000

[AP-WLAN-BSS1] wapi msk-rekey method time-based 20000

[AP-WLAN-BSS1] quit

# 创建类型为WAPI的服务模板1，配置其SSID为wapi1，并使能该服务模板。

[AP] wlan service-template 1 wapi

[AP-wlan-st-1] ssid wapi1

[AP-wlan-st-1] service-template enable

[AP-wlan-st-1] quit

# 将WLAN-BSS接口与服务模板绑定。

[AP] interface wlan-radio1/0/2

[AP-WLAN-Radio1/0/2] service-template 1 interface wlan-bss 1

(3)        检验配置结果

通过使用display wapi user命令可以查看接口上WAPI用户的信息。

1.10  常见配置错误举例

1.10.1  Client上线失败

1. 故障现象

Client关联AP失败。在AP上通过display wapi user命令查看到没有WAPI用户存在或者其不处于Online状态，表明Client上线失败。

2. 故障分析

l              要使能WAPI的功能，须先全局使能端口安全功能，并将端口安全模式设置为WAPI模式。

l              对于预共享密钥鉴别，须保证Client与AP的预共享密钥一致；对于标准证书鉴别，须保证Client与AP的证书正确；对于AAA证书鉴别，除了须保证Client与AP的证书正确之外，还须保证AC与AS的鉴别和计费密钥一致。

3. 处理过程

(1)        检查全局端口安全功能是否已使能。在AP上通过display current-configuration命令查看是否已配置了port-security enable。

(2)        检查端口安全模式是否为WAPI模式。在AP上通过display current-configuration命令查看在无线端口下是否已配置了port-security port-mode wapi。

(3)        检查AP和Client的配置是否正确：

l              当采用预共享密钥鉴别时，检查Client与AP的预共享密钥是否一致。在AP上通过display current-configuration命令查看AP的预共享密钥类型和预共享密钥值是否与Client的一致：对于预共享密钥类型，当Client为ASCII类型时，AP必须为字符串类型；当Client为HEX类型时，AP必须为十六进制数类型。

l              当采用标准证书鉴别时，检查CA、AP和AS的证书是否正确。在AP上通过display pki certificate命令查看各证书内容是否正确，特别要注意：若某证书的签名算法不是ECDSA，则需先删除该证书所在PKI域内的所有证书，再将该域的证书签名算法配置为ECDSA，然后重新安装该域内的所有证书。

l              当采用AAA证书鉴别时，检查CA、AP和AS的证书是否正确，以及AP与AS的鉴别和计费密钥是否一致。在AP上通过display pki certificate命令查看各证书内容是否正确，特别要注意：若某证书的签名算法不是ECDSA，则需先删除该证书所在PKI域内的所有证书，再将该域的证书签名算法配置为ECDSA，然后重新安装该域内的所有证书；在AP上通过display current-configuration命令查看AP的鉴别和计费密钥是否与AS的一致。

1.10.2  导入证书失败

1. 故障现象

导入本地证书失败。

2. 故障分析

l              如果提示信息为 “Both local device and import file has a key, please choose one of them.”，说明导入的本地证书中有私钥，而设备中也有私钥，设备无法知道应该使用哪一个私钥。

l              如果提示信息为“Key's signature-algorithm mismatch, which come from local device and import file.”，说明在PKI域下配置的签名算法和导入的本地证书中的签名算法不同。原因可能是不应该导入该证书，也有可能是PKI域下的配置不正确。

3. 处理过程

l              对于提示信息1，执行命令public-key local destroy删除本地密钥对，然后再导入证书。

l              对于提示信息2，首先确认应该导入什么签名算法的证书，再检查导入的证书是否使用该签名算法，如果是，再检查PKI域下是否配置了正确的签名算法。做相应的修改即可解决问题。

1.10.3  计费异常

1. 故障现象

计费出现异常，如计费失败。

2. 故障分析

l              检查认证方案、计费方案、认证服务器、计费服务器的配置是否正确。

l              检查计费服务器是否可达。

3. 处理过程

l              如果WAPI证书鉴别方式为Radius方式，则认证、计费方案需要采用相同的Radius方案，且认证服务器、计费服务器相同，均为IMC。

l              如果WAPI证书鉴别方式为标准方式，则计费方案可以采用None方案，也可以采用Radius方案（计费服务器不能使用IMC）。

l              保证计费服务器可达。

1.10.4  用户上线后无法ping通

1. 故障现象

用户上线后，客户端无法ping通AP或其他设备。

2. 故障分析

由于无线网卡可能不支持QoS，请检查配置，在radio interface下是否没有配置undo wmm enable命令。

3. 处理过程

在radio interface下配置undo wmm enable命令。