08 安全配置指导

19-User Profile配置

1 User Profile

1.1 User Profile简介

1.2 User Profile配置任务简介

1.4.1 配置基于User Profile的QoS策略

1.5 User Profile显示和维护

1.6 User Profile典型配置举例

1.6.1 802.1X本地认证/授权用户应用Qos策略典型配置举例

1 User Profile

1.1 User Profile简介

User Profile（用户配置文件）提供一个配置模板，能够保存预设配置（一系列配置的集合）。用户可以根据不同的应用场景为User Profile配置不同的内容，比如QoS（Quality of Service，服务质量）策略。

用户访问设备时，需要先进行身份认证（目前支持802.1X和MAC地址接入认证方式）。在认证过程中，认证服务器会先匹配用户名和密码，匹配成功后再将与用户绑定的User Profile名称下发给设备，设备会根据指定User Profile里配置的内容对上线用户进行限制。

基于User Profile的用户身份认证需要与认证服务器配合使用。

• 若用户采用远程认证，则需要在远程认证服务器上指定与该用户帐户相关联的User Profile。

• 若用户采用本地认证，则需要在设备对应的本地用户视图中指定该用户的授权User Profile。关于本地用户的相关配置，请参见“安全配置指导”中的“AAA”。

当用户通过认证上线后，其访问行为将受到User Profile的限制。当用户下线时，系统会自动取消相应的限制。因此，User Profile适用于限制上线用户的访问行为，没有用户上线（例如没有用户接入、用户没有通过认证或者用户下线）时，对应的User Profile配置并不生效。

使用User Profile之后，可以：

· 更精确地利用系统资源。比如基于接口进行流量监管，此时限制的是一群用户（从指定接口接入的用户）；使用User Profile之后，可以基于用户进行流量监管，此时限制的是单个用户。

· 更灵活地限制用户访问系统资源。比如只对当前接口的所有流进行流量监管，当用户的物理位置移动时（比如从另一个接口接入），则需要先取消旧的接入接口下的流量监管功能，再在新的接入接口下配置流量监管功能；使用User Profile之后，可以基于用户进行流量监管，只要用户上线，认证服务器会自动下发相应的User Profile，当用户下线，系统会自动取消相应的配置，不需要再进行手工调整。

1.2 User Profile配置任务简介

表1-1 User Profile配置任务简介

配置任务	说明	详细配置
创建User Profile	必选	1.3
配置User Profile	必选	1.4

1.3 创建User Profile

1.3.1 配置准备

User Profile特性支持802.1X和MAC地址接入认证方式，用户在访问网络时可以根据当前的网络规划选择一种方式进行认证。但需要在客户端、本设备和认证服务器上进行相应的配置（比如用户名、密码、认证方案、域以及User Profile和用户的绑定关系等）。

1.3.2 创建User Profile

表1-2 创建User Profile

操作	命令	说明
进入系统视图	system-view	-
创建User Profile并进入相应的user-profile视图	user-profile profile-name	如果指定的User Profile已经存在，则直接进入相应的user-profile视图，不需要再创建User Profile 进入user-profile视图后，在其下的配置只在下发成功后才生效

创建User Profile并进入相应的user-profile视图

user-profile profile-name

如果指定的User Profile已经存在，则直接进入相应的user-profile视图，不需要再创建User Profile

进入user-profile视图后，在其下的配置只在下发成功后才生效

1.4 配置User Profile

User Profile创建之后，需要在User Profile视图下配置具体的内容才能对上线用户进行限制。目前支持的配置有：QoS策略。

1.4.1 配置基于User Profile的QoS策略

用户可以通过在User Profile视图下应用QoS策略来实现多种流量管理功能。QoS策略的详细介绍请参见“ACL和QoS配置指导”中“QoS”。

表1-3 基于上线用户应用QoS策略

操作	命令	说明
进入系统视图	system-view	-
进入user-profile视图	user-profile profile-name	进入user-profile视图后，下面进行的配置只在下发成功后才生效
应用关联的策略	qos apply policy policy-name { inbound \| outbound }	必选被应用关联的策略必须是已经定义的QoS策略应用关联策略相关命令的详细介绍，请见“ACL和QoS命令参考”中的“QoS”