- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
03-H3C S12500 IPv6 portal典型配置举例
本章节下载： 03-H3C S12500 IPv6 portal典型配置举例 (170 KB)
H3C S12500 IPv6 Portal配置举例
|
Copyright © 2013 杭州华三通信技术有限公司 版权所有，保留一切权利。 非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部， 并不得以任何形式传播。本文档中的信息可能变动，恕不另行通知。 |
|
目 录
本文档介绍了IPv6 Portal的配置举例。
Portal认证通常也称为Web认证，即通过Web页面接受用户输入的用户名和密码，对用户进行身份认证，以达到对用户访问进行控制的目的。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文假设您已了解Portal特性。
· 当在同一个VLAN、VLAN包含接口或全局配置QoS策略，同时又进行Portal认证时，则Portal认证失效
· 由于Portal客户端以IP地址为身份标识，因此使用Portal业务时，在认证客户端、接入设备、Portal服务器、AAA服务器之间不能有配置NAT（Network Address Translation，网络地址转换）特性的设备，避免地址转换导致认证失败。
· 如图1所示，Department A客户端通过Device A接入公司核心网络，要求在Device A上配置Portal，对Department A的网络访问进行控制。
· 用户认证通过前，只能访问Portal服务器，无法访问内部其它网络或Internet。用户通过认证后，可以正常访问网络。
· 采用RADIUS服务器，对Portal用户接入进行认证、授权和计费。
· 在RADIUS服务器和客户端配置共享密钥来增强二者交互报文的安全性。
图1 Portal特性认证配置组网图
|
设备 |
接口 |
IP地址 |
|
Device A |
Vlan-Int5(GE9/0/24) |
2193::1/64 |
|
|
Vlan-Int6(GE9/0/16) |
2001::1234/64 192.168.3.1/24 |
· 为了对Department A的网络访问进行Portal认证，需要在Device A上配置Portal服务器并且使能Portal认证。
· 为了实现通过RADIUS来对Portal用户进行认证、授权和计费，需要在Device A上配置RADIUS方案并指定相应的认证、授权和计费服务器，并将其应用于Portal用户所属的认证域。
· 为了在Device A和RADIUS服务器之间安全地传输用户密码，并且能在Device A上验证RADIUS服务器响应报文未被篡改，在Device A和RADIUS服务器上都要设置交互报文时所使用的共享密钥。
本举例是在S12500-CMW520-R1825P01版本上进行配置和验证的。
· 在配置IPv6 Portal功能之前，首先要确保设备支持IPv6 ACL和IPv6转发功能。
¡ 缺省情况下设备的IPv6转发功能关闭，因此需要配置此功能。
¡ 对于丝印后缀为EC1、EF的单板，需要配置acl ipv6 enable命令才能支持IPv6 ACL（缺省情况为disable）；
¡ 对于丝印后缀为EB、EC2的单板，需要配置acl mode advanced命令才能支持IPv6 ACL（缺省情况为advanced）。
· 目前仅支持使用RADIUS服务器对Portal用户进行认证、授权和计费，同时服务器需要配置路由，可以访问认证端口及用户IP地址所在网段。
· 如果是可跨三层认证，配置认证方式为layer3，如果是直接认证，配置认证方式为direct。IPv6 Portal认证不支持二次地址分配方式的Portal认证。
请保证在RADIUS服务器和Portal服务器上完成相应的配置，例如添加用户等，具体配置步骤略。
#使能交换机的IPv6转发功能。
<DeviceA> system-view
[DeviceA]ipv6
[DeviceA]quit
#使能交换机的IPv6 ACL功能
<DeviceA> system-view
[DeviceA]acl ipv6 enable
[DeviceA]quit
# 配置vlan 5端口及interface vlan 5地址。
<DeviceA> system-view
[DeviceA]vlan 5
[DeviceA-vlan5]port GigabitEthernet 9/0/24
[DeviceA-vlan5]quit
[DeviceA]interface GigabitEthernet 9/0/24
[DeviceA-GigabitEthernet9/0/24]undo shutdown
[DeviceA-GigabitEthernet9/0/24]quit
[DeviceA]interface Vlan-interface 5
[DeviceA-Vlan-interface5]undo shutdown
[DeviceA-Vlan-interface5]ipv6 address 2193::1 64
[DeviceA-Vlan-interface5]quit
[DeviceA]quit
# 配置vlan 6端口及interface vlan 6地址。
<DeviceA> system-view
[DeviceA]vlan 6
[DeviceA-vlan6]port GigabitEthernet 9/0/16
[DeviceA-vlan6]quit
[DeviceA]interface GigabitEthernet 9/0/16
[DeviceA-GigabitEthernet9/0/16]undo shutdown
[DeviceA-GigabitEthernet9/0/16]quit
[DeviceA]interface Vlan-interface 6
[DeviceA-Vlan-interface6]undo shutdown
[DeviceA-Vlan-interface6]ipv6 address 2001::1234 64
[DeviceA-Vlan-interface6]quit
[DeviceA]quit
# 创建名字为imc的RADIUS方案并进入该方案视图。
<DeviceA> system-view
[DeviceA]radius scheme imc
New Radius scheme
# 配置RADIUS方案相关参数，包括RADIUS服务器地址，共享密钥等。
[DeviceA-radius-imc]primary authentication 192.168.3.13
[DeviceA-radius-imc]primary accounting 192.168.3.13
[DeviceA-radius-imc]key authentication imc
[DeviceA-radius-imc]key accounting imc
[DeviceA-radius-imc]user-name-format without-domain
[DeviceA-radius-imc]server-type extended
[DeviceA-radius-imc]quit
[DeviceA] quit
# 配置名为h3c.com的认证域，该域的Portal用户认证采用步骤3配置的RADIUS方案
<DeviceA> system-view
[DeviceA] domain h3c.com
[DeviceA-isp-h3c.com] authentication portal radius-scheme imc
[DeviceA-isp-h3c.com] accounting portal radius-scheme imc
[DeviceA-isp-h3c.com] authorization portal radius-scheme imc
[DeviceA-isp-h3c.com] quit
[DeviceA] quit
# 配置Portal服务器：名称为portal_v6，IP地址为2001::2，密钥为portal，端口为50100，URL为http://[2001::2]:8080/portal。
<DeviceA>system-view
System View: return to User View with Ctrl+Z.
[DeviceA]portal server portal_v6 ipv6 2001::2 key portal url http://[2001::2]:8080/portal
# 在interface vlan 5接口上使能Portal认证，配置使用域和NAS-IP。
<DeviceA> system-view
[DeviceA] interface Vlan-interface 5
[DeviceA-Vlan-interface5] portal server portal_v6 method layer3
[DeviceA-Vlan-interface5] portal nas-ip ipv6 2001::1234
[DeviceA-Vlan-interface5] portal domain ipv6 h3c.com
[DeviceA-Vlan-interface5] quit
[DeviceA] quit
#
domain default enable system
#
ipv6
#
portal server portal_v6 ipv6 2001::2 key cipher $c$3$RTeW9Do7i/oJ044lGqRsCoKGCf
jfpLt4Qw== url http://[2001::2]:8080/portal
#
xbar load-single
#
forward-path check enable
acl ipv6 enable
acl mode advanced
undo vpn popgo
system working mode standard
hardware-failure-detection chip isolate
hardware-failure-detection board isolate
hardware-failure-detection forwarding isolate
#
vlan 1
#
vlan 5 to 6
#
radius scheme imc
server-type extended
primary authentication 192.168.3.13
primary accounting 192.168.3.13
key authentication cipher $c$3$M30nGDQxiOCAxe2AJ9yEZdk8kjoWag==
key accounting cipher $c$3$M30nGDQxiOCAxe2AJ9yEZdk8kjoWag==
user-name-format without-domain
#
domain h3c.com
authentication portal radius-scheme imc
authorization portal radius-scheme imc
accounting portal radius-scheme imc
access-limit disable
state active
idle-cut disable
self-service-url disable
domain system
access-limit disable
state active
idle-cut disable
self-service-url disable
#
user-group system
group-attribute allow-guest
#
stp enable
#
interface NULL0
#
interface Vlan-interface5
ipv6 address 2193::1/64
portal server portal_v6 method layer3
portal domain ipv6 h3c.com
portal nas-ip ipv6 2001::1234
#
interface Vlan-interface6
ipv6 address 2001::1234/64
ip address 192.168.3.1 255.255.255.0
#
interface GigabitEthernet9/0/16
port link-mode bridge
port access vlan 6
#
interface GigabitEthernet9/0/24
port link-mode bridge
port access vlan 5
#
interface M-Ethernet0/0/0
#
load xml-configuration
#
load tr069-configuration
#
user-interface con 0
user-interface aux 0
authentication-mode none
user privilege level 3
user-interface vty 0 17
#
return
按照如上配置，在用户没有认证成功时，Client A、Client B和Client C都只能ping通服务器IP 2001::2，不能ping通自己的网关2193::1和另一网段IP 2001::1234。
用户使用合法的用户名和密码通过认证后，可以ping通自己的网关2193::1、另一网段IP 2001::1234和服务器IP 2001::2。
· 《H3C S12500系列路由交换机 安全配置指导》中的“Portal”
· 《H3C S12500系列路由交换机 安全命令参考》中的“Portal”
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
