- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
01-WLAN用户安全命令
本章节下载： 01-WLAN用户安全命令 (300.18 KB)
目 录
1.1.3 display wlan private-psk cloud-password
1.1.4 display wlan private-psk cloud-password mac-binding
1.1.5 gtk-rekey client-offline enable
1.1.10 pmf association-comeback
1.1.12 pmf saquery retrytimeout
1.1.15 private-psk fail-permit enable
1.1.19 snmp-agent trap enable wlan usersec
1.1.24 wlan password-failure-limit enable
akm mode命令用来配置身份认证与密钥管理的模式。
undo akm mode命令用来恢复缺省情况。
【命令】
akm mode { dot1x | private-psk | psk | anonymous-dot1x }
undo akm mode
【缺省情况】
未配置身份认证与密钥管理。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
dot1x：表示身份认证与密钥管理的模式是802.1X模式。
private-psk：表示身份认证与密钥管理的模式是Private-PSK模式。
psk：表示身份认证与密钥管理的模式是PSK模式。
anonymous-dot1x：表示身份认证与密钥管理的模式是Wi-Fi联盟匿名802.1X模式。
【使用指导】
本命令只能在无线服务模板处于关闭状态时配置，并且只能配置一种模式。
当WLAN网络采用RSNA安全机制时，必须配置身份认证与密钥管理。若配置了身份认证与密钥管理模式为Wi-Fi联盟匿名802.1X模式，则安全IE只能配置为OSEN IE。
每一种身份认证模式都有互相依赖的用户认证方式：
· 802.1X模式和802.1X用户认证模式相互依赖，必须同时配置。有关802.1X的详细介绍请参见“用户接入与认证配置指导”中的“WLAN用户接入认证”。
· Private-PSK模式和MAC地址认证模式相互依赖，必须同时配置，有关MAC地址认证的详细介绍请参见“用户接入与认证配置指导”中的“WLAN用户接入认证”。
· PSK模式和MAC地址认证模式或Bypass用户认证模式相互依赖，必须同时配置。有关MAC地址认证和Bypass认证的详细介绍请参见“用户接入与认证配置指导”中的“WLAN用户接入认证”。
· Wi-Fi联盟匿名802.1X模式和802.1X用户认证模式相互依赖，必须同时配置。
【举例】
# 配置身份认证与密钥管理模式为PSK模式。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] akm mode psk
【相关命令】
· cipher-suite
· security-ie
cipher-suite命令用来配置在帧加密时使用的加密套件。
undo cipher-suite命令用来取消在帧加密时使用指定的加密套件。
【命令】
cipher-suite { ccmp | tkip | wep40 | wep104 | wep128 }
undo cipher-suite { ccmp | tkip | wep40 | wep104 | wep128 }
【缺省情况】
未配置加密套件。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
ccmp：AES-CCMP加密套件。
tkip：TKIP加密套件。
wep40：WEP40加密套件。
wep104：WEP104加密套件。
wep128：WEP128加密套件。
【使用指导】
本命令只能在无线服务模板处于关闭状态时配置。
如果配置了安全IE，则必须配置TKIP或者CCMP加密套件中的一种。当WLAN网络采用RSNA安全机制时，必须配置加密套件。
WEP加密套件只能配置WEP40/WEP104/WEP128其中的一种，且需要配置与加密套件种类相对应的WEP密钥及WEP密钥ID。
WEP128和CCMP或TKIP不能同时配置。
【举例】
# 配置在帧加密时使用TKIP加密套件。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] cipher-suite tkip
【相关命令】
· security-ie
· wep key
· wep key-id
仅WX3500H-LI系列无线控制器支持本命令。
display wlan private-psk cloud-password命令用来显示PPSK密码相关信息。
【命令】
display wlan private-psk cloud-password [ password-id ] [ verbose ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
password-id：显示指定密码ID的PPSK密码数据。如果不指定本参数，则显示所有PPSK密码数据。
verbose：显示PPSK密码数据的详细信息。如果不指定本参数,则显示PPSK密码数据的简要信息。
【举例】
# 显示所有PPSK密码数据。
<Sysname> display wlan private-psk cloud-password
Total number: 2
PWD ID Username Max clients Used Update time Aging time(Min)
1111 zhangsan@3521buyd.. 2 1 2018/11/26 10:52 10080
1112 lisi 2 1 2018/11/26 10:59 10080
表1-1 display wlan private-psk cloud-password命令显示信息描述表
|
字段 |
描述 |
|
Total number |
PPSK密码总数 |
|
PWD ID |
密码ID |
|
Username |
用户名 |
|
Max clients |
允许使用该密码认证的终端数 |
|
Used |
使用该密码认证上线过的终端数 |
|
Update time |
设备侧密码更新时间 |
|
Aging time(Min) |
密码老化时间（单位：分） |
# 显示指定密码ID的PPSK密码数据详细信息。
<Sysname> display wlan private-psk cloud-password 1111 verbose
Site ID : 23
Password ID : 1111
Update time : 2018/11/26 10:52
Expiration time : 2018/12/03 10:52
Aging time(min) : 10080
Username : zhangsan@3521buydfgsygf
Max clients : 2
Used : 1
CAR:
Average inbound : 102400 bps
Average outbound : 102400 bps
Password : jfkeiksdfdnfksnfekdssdfelsmdfei4f5ds4
表1-2 display wlan private-psk cloud-password verbose命令显示信息描述表
|
字段 |
描述 |
|
Site ID |
场所ID |
|
Password ID |
密码ID |
|
Update time |
设备侧密码更新时间 |
|
Expiration time |
密码过期时间 |
|
Aging time (min) |
密码老化时间（单位：分） |
|
Username |
用户名 |
|
Max clients |
允许使用该密码认证的终端数 |
|
Used |
使用该密码认证上线过的终端数 |
|
CAR |
通过绿洲平台完成PPSK认证上线的终端承诺访问速率 |
|
Average inbound |
平均下行速率（单位：bps） |
|
Average outbound |
平均上行速率（单位：bps） |
|
Password |
密码 |
仅WX3500H-LI系列无线控制器支持本命令。
display wlan private-psk cloud-password mac-binding命令用来显示PPSK密码和无线用户MAC地址绑定关系。
【命令】
display wlan private-psk cloud-password mac-binding [ password-id ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
password-id：显示指定密码ID的PPSK密码和MAC地址绑定关系。如果不指定本参数，则显示所有PPSK密码和MAC地址绑定关系。
【举例】
# 显示所有PPSK密码和无线用户MAC地址绑定关系。
<Sysname> display wlan private-psk cloud-password mac-binding
Total: 2
PWD ID MAC address Binding time Expiration time
1111 D34A-A35C-28A3(+) 2018/11/26 11:22 2018/12/03 11:00
2222 A54E-368D-A433(*) 2018/11/26 11:30 2018/12/02 11:00
#显示指定密码ID的PPSK密码和无线用户MAC地址绑定关系。
<Sysname> display wlan private-psk cloud-password mac-binding 1111
Total Number: 1
PWD ID MAC address Binding time Expiration time
1111 D34A-A35C-28A3(+) 2018/11/26 11:22 2018/12/03 11:00
表1-3 display wlan private-psk cloud-password mac-binding命令显示信息描述表
|
字段 |
描述 |
|
Total |
绑定MAC地址总数 |
|
PwdID |
密码ID |
|
MAC address |
与该密码绑定的MAC地址，(*)表示密码创建时预绑定的MAC地址；(+)表示终端通过该密码上线时绑定的MAC地址 |
|
Binding time |
密码和MAC地址绑定时间 |
|
Expiration time |
密码过期时间 |
gtk-rekey client-offline enable命令用来开启客户端离线更新GTK功能。
undo gtk-rekey client-offline enable命令用来关闭客户端离线更新GTK功能。
【命令】
gtk-rekey client-offline enable
undo gtk-rekey client-offline enable
【缺省情况】
客户端离线更新GTK功能处于关闭状态。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【使用指导】
只有开启了更新GTK功能，客户端离线更新GTK的功能才能生效。
【举例】
# 开启客户端离线更新GTK功能。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] gtk-rekey client-offline enable
【相关命令】
· gtk-rekey enable
gtk-rekey enable命令用来开启更新GTK功能。
undo gtk-rekey enable命令用来关闭更新GTK功能。
【命令】
gtk-rekey enable
undo gtk-rekey enable
【缺省情况】
更新GTK功能处于开启状态。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【举例】
# 开启更新GTK功能。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] gtk-rekey enable
gtk-rekey method命令用来配置GTK更新方法。
undo gtk-rekey method命令用来恢复缺省情况。
【命令】
gtk-rekey method { packet-based [ packet ] | time-based [ time ] }
undo gtk-rekey method
【缺省情况】
GTK更新采用基于时间的方法，时间间隔为86400秒。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
packet-based：表示基于数据包的更新方法。
packet：指定传输的数据包（包括组播和广播）的数目，在传送指定数目的数据包（包括组播和广播）后更新GTK，取值范围为5000～4294967295，缺省值为10000000。
time-based：表示基于时间的GTK更新方法。
time：指定GTK密钥更新的周期。取值范围为180～604800，单位为秒，缺省值为86400秒。
【使用指导】
只有开启了GTK更新功能，GTK更新方法才能生效。
使用该命令配置GTK密钥更新方法，多次执行本命令，最后一次执行的命令生效。例如，如果先配置了基于数据包的方法，然后又配置了基于时间的方法，则最后生效的是基于时间的方法。
若该命令在无线服务模板处于开启状态下配置，则分为以下几种情况：
· 基于时间的GTK的更新方式不改变，只改变时间值，则在原有定时器超时之后，新的定时器才可以生效；
· 基于报文数的GTK更新方式不改变，只改变报文数值，则该新的配置立即生效；
· 更新方式由基于时间更新改为基于报文数更新，则删除GTK更新定时器，在组播或广播报文数大于配置的数目值之后立即生效；
· 更新方式由基于报文数更新改为基于时间更新，则基于时间方式立即生效。
【举例】
# 配置基于时间的GTK更新方法。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] gtk-rekey method time-based 3600
# 配置基于数据包的GTK更新方法。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] gtk-rekey method packet-based 600000
【相关命令】
· gtk-rekey enable
key-derivation命令用来配置密钥衍生算法。
undo key-derivation命令用来恢复缺省情况。
【命令】
key-derivation { sha1 | sha1-and-sha256 | sha256 }
undo key-derivation
【缺省情况】
密钥衍生算法为sha1。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
sha1：表示SHA1算法，它使用HMAC-SHA1算法进行迭代计算产生密钥。
sha1-and-sha256：表示SHA1和SHA256算法，它使用HMAC-SHA1或HMAC-SHA256算法进行迭代计算产生密钥。
sha256：表示SHA256算法，它使用HMAC-SHA256算法进行迭代计算产生密钥。
【使用指导】
当使用RSNA安全机制，密钥衍生算法才会生效。
如果配置保护管理帧功能为mandatory模式，建议指定密钥衍生类型为sha256。
本命令只能在无线服务模板处于关闭状态时配置。
【举例】
# 配置密钥衍生算法为SHA256。
<Sysname> system-view
[Sysname] wlan service-template 1
[Sysname-wlan-st-1] key-derivation sha256
【相关命令】
· akm mode
· cipher-suite
· security-ie
pmf命令用来开启保护管理帧功能。
undo pmf命令用来关闭保护管理帧功能。
【命令】
pmf { mandatory | optional }
undo pmf
【缺省情况】
保护管理帧功能处于关闭状态。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
mandatory：指定保护管理帧功能为强制模式，即不支持保护管理帧功能的客户端无法接入。
optional：指定保护管理帧功能为可选模式，即支持或不支持保护管理帧功能的客户端均可接入。
【使用指导】
当使用RSNA安全机制且配置了CCMP加密套件和RSN安全信息元素时，保护管理帧功能才会生效。
【举例】
# 开启保护管理帧功能。
<Sysname> system-view
[Sysname] wlan service-template 1
[Sysname-wlan-st-1] pmf optional
【相关命令】
· security-ie
· cipher-suite
pmf association-comeback命令用来配置保护管理帧的关联返回时间。
undo pmf association-comeback命令用来恢复缺省情况。
【命令】
pmf association-comeback time
undo pmf association-comeback
【缺省情况】
保护管理帧的关联返回时间为1秒。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
time：保护管理帧的关联返回时间，取值范围为1～20，单位为秒。
【使用指导】
如果AP拒绝客户端的关联/重关联请求帧，会向客户端发送关联/重关联响应帧，其中携带了保护管理帧关联返回时间。到了保护管理帧关联返回时间，AP才会接收客户端的关联/重关联请求帧。
【举例】
# 配置保护管理帧的关联返回时间为2秒。
<Sysname> system-view
[Sysname] wlan service-template 1
[Sysname-wlan-st-1] pmf association-comeback 2
pmf saquery retrycount命令用来配置AP发送SA Query request的最大重传次数。
undo pmf saquery retrycount命令用来恢复缺省情况。
【命令】
pmf saquery retrycount count
undo pmf saquery retrycount
【缺省情况】
AP发送SA Query request帧的最大重传次数为4次。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
count：表示AP发送SA Query request帧的最大重传次数，取值范围为1～16。
【使用指导】
若AP在SA Query重试次数内未收到SA Query响应帧，并且关联返回时间已经超时，则AP将认为客户端已经掉线。
【举例】
# 设置AP发送SA Query request帧的最大重传次数为3。
<Sysname> system-view
[Sysname] wlan service-template 1
[Sysname-wlan-st-1] pmf saquery retrycount 3
【相关命令】
· pmf
· pmf saquery retrycount
pmf saquery retrytimeout命令用来设置AP发送SA Query request帧的时间间隔。
undo pmf saquery retrytimeout命令用来恢复缺省情况。
【命令】
pmf saquery retrytimeout timeout
undo pmf saquery retrytimeout
【缺省情况】
AP发送SA Query request帧的时间间隔为200毫秒。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
timeout：指定AP发送SA Query request帧的时间间隔，取值范围为100～500，单位为毫秒。
【举例】
# 设置AP发送SA Query request帧的时间间隔为300毫秒。
<Sysname> system-view
[Sysname] wlan service-template 1
[Sysname-wlan-st-1] pmf saquery retrytimeout 300
【相关命令】
· pmf
· pmf saquery retrytimeout
preshared-key命令用来配置PSK密钥。
undo preshared-key命令用来恢复缺省情况。
【命令】
preshared-key { pass-phrase | raw-key } { cipher | simple } string
undo preshared-key
【缺省情况】
未配置PSK密钥。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
pass-phrase：以字符串方式输入预共享密钥。
raw-key：以十六进制数方式输入预共享密钥。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。密钥长度的范围与选择的密钥参数有关，具体关系如下：
· 对于pass-phrase，明文密钥为8～63个字符的字符串，密文密钥为8～117个字符的字符串。
· 对于raw-key，明文密钥为64个十六进制数，密文密钥为8～117个字符的字符串。
【使用指导】
本命令只能在无线服务模板处于关闭状态时配置。只有认证密钥管理模式为PSK时，此命令才能够生效，当认证密钥管理模式为802.1X时，配置了此项，无线服务模板可以使能，但此配置不会生效。
PSK密钥只能配置一个。
【举例】
# 配置使用明文字符串12345678作为PSK密钥。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] akm mode psk
[Sysname-wlan-st-security] preshared-key pass-phrase simple 12345678
【相关命令】
· akm mode
仅WX3500H-LI系列无线控制器支持本命令。
private-psk cloud enable命令用来开启通过绿洲平台完成PPSK认证功能。
undo private-psk cloud enable命令用来关闭通过绿洲平台完成PPSK认证功能。
【命令】
private-psk cloud enable
undo private-psk cloud enable
【缺省情况】
通过绿洲平台完成PPSK认证功能处于关闭状态。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【使用指导】
通过绿洲平台完成PPSK认证（ Private Pre-Shared Key，私有预共享密钥）功能是指用户采用PSK（Private-PSK Key，预共享密钥）认证进行身份认证，通过绿洲平台获取到的接入密码安全接入无线网络的功能。
开启通过绿洲平台完成PPSK认证功能后，当无线用户接入认证模式为Bypass认证时，设备不对用户进行认证，用户通过绿洲平台获取到的接入密码接入无线网络，当无线用户接入认证模式为MAC地址认证时，设备会对用户进行MAC地址认证，用户使用通过绿洲平台获取到的接入密码接入无线网络。
本命令只能在无线服务模板处于关闭状态时配置。
【举例】
# 开启通过绿洲平台完成PPSK认证功能。
<Sysname> system-view
[Sysname] wlan service-template service1
[Sysname-wlan-st-service1] private-psk cloud enable
【相关命令】
· akm mode
· client-security authentication-mode（WLAN配置指导/WLAN用户接入认证）
仅WX3500H-LI系列无线控制器支持本命令。
private-psk fail-permit enable命令用来开启PPSK无线用户逃生功能。
undo private-psk fail-permit enable命令用来关闭PPSK无线用户逃生功能。
【命令】
private-psk fail-permit enable
undo private-psk fail-permit enable
【缺省情况】
PPSK逃生功能处于开启状态。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【使用指导】
无线用户通过PPSK认证功能上线后，设备端会生成该无线用户的MAC地址与密码绑定关系，开启了PPSK无线用户逃生功能后：
· 当设备与绿洲云平台断开连接后，已通过绿洲平台完成PPSK认证功能上线的无线用户可以继续在线；
· 如果无线用户的MAC地址与密码绑定关系还未老化，则通过绿洲平台完成PPSK认证且上线的无线用户可以再次上线；
· 如果无线用户的MAC地址与密码还未绑定过，则持用密码但从未上线过的无线用户可以上线。
· 如果无线用户MAC地址与密码绑定关系老化，设备会强制通过PPSK认证上线的无线用户下线。
本命令只能在无线服务模板处于关闭状态时配置。
【举例】
# 开启PPSK无线用户逃生功能。
<Sysname> system-view
[Sysname] wlan service-template service1
[Sysname-wlan-st-service1] private-psk fail-permit enable
【相关命令】
· private-psk cloud enable
ptk-lifetime命令用来配置PTK的生存时间。
undo ptk-lifetime命令用来恢复缺省情况。
【命令】
ptk-lifetime time
undo ptk-lifetime
【缺省情况】
PTK的生存时间为43200秒。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
time：指定生存时间，取值范围为180～604800，单位为秒。
【使用指导】
若该命令在无线服务模板处于开启状态下配置，则在原有定时器超时后，该配置生效。
【举例】
# 配置PTK生存时间为200秒。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] ptk-lifetime 200
ptk-rekey enable命令用来开启PTK更新功能。
undo ptk-rekey enable命令用来关闭PTK更新功能。
【命令】
ptk-rekey enable
undo ptk-rekey enable
【缺省情况】
PTK更新功能处于开启状态。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【使用指导】
PTK更新是对单播数据报文的加密密钥进行更新的一种安全手段，采用重新进行四次握手协商出新的PTK密钥的更新机制。
开启本功能后，设备会按照ptk-lifetime命令配置的生存时间周期性的更新PTK。
【举例】
# 开启PTK更新功能。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] ptk-rekey enable
【相关命令】
· ptk-lifetime
security-ie命令用来配置信标和探查响应帧携带安全IE。
undo security-ie命令用来配置信标和探查响应帧不携带指定的安全IE。
【命令】
security-ie { osen | rsn | wpa }
undo security-ie { osen | rsn | wpa }
【缺省情况】
信标和探查响应帧不携带WPA IE、RSN IE或OSEN IE。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
osen：设置在AP发送信标和探查响应帧时携带OSEN IE。OSEN IE通告了AP的OSEN能力。
rsn：设置在AP发送信标和探查响应帧时携带RSN IE。RSN IE通告了AP的RSN能力。
wpa：设置在AP发送信标和探查响应帧时携带WPA IE。WPA IE通告了AP的WPA能力。
【使用指导】
本命令只能在无线服务模板处于关闭状态时配置，并且必须要配置CCMP或TKIP加密套件。
当WLAN网络采用RSNA安全机制时，必须配置安全IE。
若配置了安全IE为OSEN IE，则只能配置认证密钥管理模式为Wi-Fi联盟匿名802.1X模式。
【举例】
# 配置信标帧和探查响应帧携带RSN信息元素。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] security-ie rsn
【相关命令】
· akm mode
· cipher-suite
snmp-agent trap enable wlan usersec命令用来开启用户安全的告警功能。
undo snmp-agent trap enable wlan usersec命令用来关闭用户安全的告警功能。
【命令】
snmp-agent trap enable wlan usersec
undo snmp-agent trap enable wlan usersec
【缺省情况】
用户安全的告警功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
开启了告警功能之后，该模块会生成告警信息，用于报告该模块的重要事件。生成的告警信息将发送到设备的SNMP模块，通过设置SNMP中告警信息的发送参数，来决定告警信息输出的相关属性。（有关告警信息的详细介绍，请参见“网络管理和监控配置指导”中的“SNMP”。）
【举例】
# 开启用户安全的告警功能。
<Sysname> system-view
[Sysname] snmp-agent trap enable wlan usersec
tkip-cm-time命令用来配置发起TKIP反制策略时间。
undo tkip-cm-time命令用来恢复缺省情况。
【命令】
tkip-cm-time time
undo tkip-cm-time
【缺省情况】
发起TKIP反制策略时间为0，即不启动反制策略。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
time：设置发起TKIP反制策略时间，取值范围为0～3600，单位为秒。
【使用指导】
启动TKIP反制策略后，如果相邻两次MIC错误的时间间隔小于等于配置的时间，则会解除所有关联到该无线服务的客户端，并且只有在TKIP反制策略实施的时间（60秒）后，才允许客户端重新建立关联。
只有在配置了TKIP加密套件时，此命令才能够生效。
若该命令在无线服务模板处于开启状态时配置，则原有定时器超时后，该配置生效。
【举例】
# 配置发起TKIP反制策略时间为180秒。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] tkip-cm-time 180
【相关命令】
· cipher-suite
wep key命令用来配置WEP密钥。
undo wep key命令用来删除指定的WEP密钥。
【命令】
wep key key-id { wep40 | wep104 | wep128 } { pass-phrase | raw-key } { cipher | simple } string
undo wep key key-id
【缺省情况】
未配置WEP密钥。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
key-id：密钥的ID，取值范围为1～4。
wep40：设置WEP40密钥选项。
wep104：设置WEP104密钥选项。
wep128：设置WEP128密钥选项。
pass-phrase：表示共享密钥为字符串。
raw-key：表示共享密钥为十六进制数。
cipher：以密文方式设置密钥。
simple：以明文方式设置密钥，该密钥将以密文形式存储。
string：密钥字符串，区分大小写。明文密钥的长度范围和选择的密钥参数有关，具体关系如下。密文密钥为37～73个字符的字符串。
· 对于wep40 pass-phrase，明文密钥为5个字符的字符串。
· 对于wep104 pass-phrase，明文密钥为13个字符的字符串。
· 对于wep128 pass-phrase，明文密钥为16个字符的字符串。
· 对于wep40 raw-key，明文密钥为10个16进制数。
· 对于wep104 raw-key，明文密钥为26个16进制数。
· 对于wep128 raw-key，明文密钥为32个16进制数。
【使用指导】
本命令只能在无线服务模板处于关闭状态时配置。
WEP密钥只有在配置了WEP加密套件的前提下才生效，最多可以配置四个WEP密钥。
【举例】
# 配置加密套件为WEP40，并配置WEP40密钥为明文12345。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] wep key 1 wep40 pass-phrase simple 12345
【相关命令】
· cipher-suite
· wep key-id
wep key-id命令用来选用WEP密钥。
undo wep key-id命令用来恢复缺省情况。
【命令】
wep key-id { 1 | 2 | 3 | 4 }
undo wep key-id
【缺省情况】
WEP加密使用的密钥ID为1。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【参数】
1：选择密钥ID为1。
2：选择密钥ID为2。
3：选择密钥ID为3。
4：选择密钥ID为4。
【使用指导】
如果使用RSNA安全机制，密钥ID不能为1，需要配置其它密钥索引值。因为RSN和WPA协商的密钥ID将为1。本命令只能在无线服务模板处于关闭状态时配置。
只有在配置了与密钥长度相对应的WEP加密套件时，指定ID的密钥才会生效。
当配置了多个密钥，可以通过配置密钥ID选择要使用的加密密钥。
【举例】
# 配置WEP40加密套件，WEP40密钥为明文12345，配置密钥ID为1。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] cipher-suite wep40
[Sysname-wlan-st-security] wep key 1 wep40 pass-phrase simple 12345
[Sysname-wlan-st-security] wep key-id 1
【相关命令】
· wep key
wep mode dynamic命令用来开启动态WEP加密机制。
undo wep mode dynamic命令用来关闭动态WEP加密机制。
【命令】
wep mode dynamic
undo wep mode dynamic
【缺省情况】
动态WEP加密机制处于关闭状态。
【视图】
无线服务模板视图
【缺省用户角色】
network-admin
【使用指导】
本命令只能在无线服务模板处于关闭状态时配置。
配置动态WEP加密必须和dot1x用户接入认证模式一起使用，并且wep key-id不能配置为4。
【举例】
# 开启动态WEP加密机制。
<Sysname> system-view
[Sysname] wlan service-template security
[Sysname-wlan-st-security] wep mode dynamic
【相关命令】
· cipher-suite
· client-security authentication-mode（用户接入与认证命令参考-WLAN用户接入认证）
· wep key
· wep key-id
wlan password-failure-limit enable命令用来开启密码错误限制功能。
undo wlan password-failure-limit enable命令用来关闭密码错误限制功能。
【命令】
wlan password-failure-limit enable [ detection-period detection-period ] [ failure-threshold failure-threshold ]
undo wlan password-failure-limit enable
【缺省情况】
密码错误限制功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
detection-period detection-period：指定密码错误限制功能的检测周期，取值范围是5～600，单位为秒，缺省值为100。
failure-threshold failure-threshold：指定密码错误限制功能的检测阈值，取值范围是1～100，缺省值为20。
【使用指导】
开启本功能后，在指定检测周期内密码校验失败次数达到指定上限时，客户端会被立即加入到动态黑名单中。有关动态黑名单的详细介绍请参见“WLAN接入配置指导”中的“WLAN接入”。
只有当身份认证与密钥管理模式为PSK或者Private-PSK时，密码错误限制功能才会生效。
本功能仅对在设备上进行关联的新接入的无线客户端生效。
当STAMGR进程重启（例如：设备重启导致的STAMGR进程重启）后，本功能将对密码校验失败次数重新进行计数。
本功能不支持IRF组网中AP直接从备份AC上线的情况。
【举例】
# 配置无线客户端的密码错误限制检测周期为300秒，检测阈值为50次。
<Sysname> system-view
[Sysname] wlan password-failure-limit enable detection-period 300 failure-threshold 50
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
