目  录

1 Web认证

1.1 Web认证配置命令

1.1.1 display web-auth

1.1.2 display web-auth free-ip

1.1.3 display web-auth server

1.1.4 display web-auth user

1.1.5 ip

1.1.6 url

1.1.7 web-auth auth-fail vlan

1.1.8 web-auth domain

1.1.9 web-auth enable

1.1.10 web-auth free-ip

1.1.11 web-auth max-user

1.1.12 web-auth offline-detect

1.1.13 web-auth proxy port

1.1.14 web-auth server

1 Web认证

1.1  Web认证配置命令

1.1.1  display web-auth

display web-auth命令用来显示接口上Web认证的配置信息和运行状态信息。

【命令】

display web-auth [ interface interface-type interface-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

interface interface-type interface-number：显示指定接口上Web认证的配置信息。其中interface-type interface-number表示接口类型和接口编号。若不指定本参数，则显示设备上所有Web认证的配置信息。

【举例】

# 显示接口GigabitEthernet1/0/1上Web认证的配置信息。

<Sysname> display web-auth interface gigabitethernet 1/0/1

 Global Web-auth parameters  :

  Proxy Port Numbers         : Not configured

  Total online web-auth users: 1

 GigabitEthernet1/0/1  is link-up

   Port role                  : Authenticator

   Web-auth domain            : my-domain

   Auth-Fail VLAN             : Not configured

   Offline-detect             : Not configured

   Max online users           : 1024

   Web-auth enable            : Enabled

  Total online web-auth users: 1

表1-1 display web-auth命令显示信息描述表

1.1.2  display web-auth free-ip

display web-auth free-ip命令用来显示所有Web认证用户免认证的目的IP地址。

【命令】

display web-auth free-ip

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【举例】

# 显示所有Web认证用户免认证的目的IP地址。

<Sysname> display web-auth free-ip

       Free IP           : 1.1.0.0        255.255.0.0

                         : 1.2.0.0        255.255.0.0

【相关命令】

·     web-auth free-ip

1.1.3  display web-auth server

display web-auth server命令用来显示Web认证服务器信息。

【命令】

display web-auth server [ server-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

server-name：Web认证服务器的名称，为1～32个字符的字符串，区分大小写。若不指定此参数，则显示设备上所有Web认证服务器的信息。

【举例】

# 显示Web认证服务器aaa的信息。

<Sysname> display web-auth server aaa

Web-auth server: aaa

  IP                    : 8.8.8.8

  Port                  : 80

  URL                   : http://8.8.8.8/portal/

  Redirect-wait-time    : Not configured

  URL parameters        : Not configured

表1-2 display web-auth server命令显示信息描述表

1.1.4  display web-auth user

display web-auth user命令用来显示在线Web认证用户的信息。

【命令】

display web-auth user [ interface interface-type interface-number | slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

interface interface-type interface-number：显示指定接口上在线Web认证用户的信息。其中interface-type interface-number表示接口类型和接口编号。若不指定该参数，则表示设备上所有接口上在线用户的信息。

slot slot-number：显示指定成员设备上所有接口在线Web认证用户的信息。slot-number表示设备在IRF中的成员编号。若不指定该参数，则表示所有成员设备上在线Web认证用户的信息。

【举例】

# 显示接口GigabitEthernet1/0/1上在线用户的信息。

<Sysname> display web-auth user interface gigabitethernet 1/0/1

  Online web-auth users: 1

User name: user1

  MAC address: 0000-2700-b076

  Access interface: GigabitEthernet1/0/1

  Initial VLAN: 1

  Authorization VLAN: N/A

  Authorization ACL ID: N/A

  Authorization user profile: N/A

表1-3 display web-auth user命令显示信息描述表

1.1.5  ip

ip命令用来配置Web认证服务器的IP地址。

undo ip命令用来恢复缺省情况。

【命令】

ip ipv4-address port port-number

undo ip

【缺省情况】

不存在Web认证服务器的IP地址。

【视图】

Web认证服务器视图

【缺省用户角色】

network-admin

【参数】

ipv4-address：表示Web认证服务器的IPv4地址，该地址为接入设备上一个与Web认证用户路由可达的三层接口IP地址。

port port-number：指定Web认证服务器的端口。port-number是端口号，取值范围为1～65535。

【使用指导】

配置Web认证服务器的IP地址，建议使用设备上空闲的Loopback接口的IP地址，使用LoopBack接口有如下优点：

·     状态稳定，可避免因为接口故障导致用户无法打开认证页面的问题。

·     由于发送到LoopBack接口的报文不会被转发到网络中，当请求上线的用户数目较大时，可减轻对系统性能的影响。

此命令配置的端口号必须与本地Portal Web服务器中配置的侦听端口号保持一致。有关本地Portal Web服务器的详细介绍请参见“安全配置指导”中的“Portal”。

同一个Web认证服务器视图下多次执行本命令，最后一次执行的命令生效。

【举例】

# 进入Web认证服务器视图。

<Sysname> system-view

[Sysname] web-auth server wbs

# 配置Web认证服务器wbs的IP地址为192.168.1.1，端口为8080。

[Sysname-web-auth-server-wbs] ip 192.168.1.1 port 8080

【相关命令】

·     url

·     tcp-port（安全命令参考/Portal）

1.1.6  url

url命令用来配置Web认证服务器的重定向URL。

undo url命令用来恢复缺省情况。

【命令】

url url-string

undo url

【缺省情况】

不存在Web认证服务器的重定向URL。

【视图】

Web认证服务器视图

【缺省用户角色】

network-admin

【参数】

url-string：表示Web认证服务器的重定向URL，为1～256个字符的字符串，区分大小写。

【使用指导】

本命令配置的Web认证服务器重定向URL是可以用标准HTTP或者HTTPS协议访问的URL，它必须以http://或者https://开头。如果该URL未以http://或者https://开头，则系统默认其以http://开头。

该URL中的IP地址必须与Web认证服务器中的IP地址保持一致。

【举例】

# 配置Web认证服务器wbs的重定向URL为http://192.168.1.1:80/portal/。

<Sysname> system-view

[Sysname] web-auth server wbs

[Sysname-web-auth-server-wbs] url http://192.168.1.1:80/portal/

【相关命令】

·     ip

·     tcp-port（安全命令参考/Portal）

1.1.7  web-auth auth-fail vlan

web-auth auth-fail vlan命令用来配置Web认证的Auth-Fail VLAN。

undo web-auth auth-fail vlan命令用来恢复缺省情况。

【命令】

web-auth auth-fail vlan authfail-vlan-id

undo web-auth auth-fail vlan

【缺省情况】

不存在Web认证的Auth-Fail VLAN。

【视图】

二层以太网接口视图

【缺省用户角色】

network-admin

【参数】

authfail-vlan-id：表示Web认证的Auth-Fail VLAN ID，取值范围为1～4094，该VLAN必须已经存在。

【使用指导】

接口上配置此功能后，认证失败的Web认证用户可以访问Auth-Fail VLAN中的资源。

为使此功能生效，必须开启二层以太网接口上的MAC VLAN功能，并将Auth-Fail VLAN的网段设为Web认证用户免认证的目的IP地址。

因为MAC VLAN功能仅在Hybrid端口上生效，所以Web认证的Auth-Fail VLAN功能也只能在Hybrid端口上生效。

当用户认证失败后，设备将Web认证用户的MAC地址与Auth-fail VLAN进行绑定。

禁止删除已被配置为Web认证Auth-Fail VLAN的VLAN，若要删除该VLAN，请先通过undo web-auth auth-fail vlan命令取消Web认证的 Auth-Fail VLAN配置。

如果某个VLAN被指定为Super VLAN，则该VLAN不能被指定为某个接口的Auth-Fail VLAN；同样，如果某个VLAN被指定为某个接口的Auth-Fail VLAN，则该VLAN不能被指定为Super VLAN。

【举例】

# 配置接口GigabitEthernet1/0/1上的Web认证的Auth-Fail VLAN为VLAN 5。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname–GigabitEthernet1/0/1] port link-type hybrid

[Sysname–GigabitEthernet1/0/1] mac-vlan enable

[Sysname–GigabitEthernet1/0/1] web-auth auth-fail vlan 5

【相关命令】

·     display web-auth

1.1.8  web-auth domain

web-auth domain命令用来指定Web认证用户使用的认证域。

undo web-auth domain命令用来恢复缺省情况。

【命令】

web-auth domain domain-name

undo web-auth domain

【缺省情况】

未指定Web认证用户认证使用的认证域。

【视图】

二层以太网接口视图

【缺省用户角色】

network-admin

【参数】

domain-name：ISP认证域名，为1～255个字符的字符串，不区分大小写。

【使用指导】

在接口上执行此命令后，使得所有从该接口接入的Web认证用户强制使用该认证域。

【举例】

# 指定从接口GigabitEthernet1/0/1上接入的Web认证用户使用认证域为my-domain。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname–GigabitEthernet1/0/1] web-auth domain my-domain

1.1.9  web-auth enable

web-auth enable命令用来开启Web认证功能。

undo web-auth enable命令用来关闭Web认证功能。

【命令】

web-auth enable apply server server-name

undo web-auth enable

【缺省情况】

Web认证功能处于关闭状态。

【视图】

二层以太网接口视图

【缺省用户角色】

network-admin

【参数】

server-name：表示引用的Web认证服务器的名称，为1～32个字符的字符串，区分大小写。

【使用指导】

此命令用来开启Web认证功能，并指定引用的Web认证服务器。

为使Web认证功正常运行，在接入设备的二层以太网接口上开启Web认证功能后，请不要再在此接口上开启端口安全功能和配置端口安全模式。

【举例】

# 在接口GigabitEthernet1/0/1上开启Web认证功能，并指定引用的Web认证服务器为wbs。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] web-auth enable apply server wbs

【相关命令】

·     web-auth server

1.1.10  web-auth free-ip

web-auth free-ip命令用来配置Web认证用户免认证目的IP地址。

undo web-auth free-ip命令用来恢复缺省情况。

【命令】

web-auth free-ip ip-address { mask-length | mask }

undo web-auth free-ip { ip-address { mask-length | mask } | all }

【缺省情况】

不存在Web认证用户免认证的目的IP地址。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ip-address：Web认证用户免认证目的网段的IP地址。

mask-length：Web认证用户免认证目的网段IP地址的掩码长度，取值范围为0～32。

mask：Web认证用户免认证目的网段IP地址的子网掩码，点分十进制格式。

all：Web认证用户可免认证访问的所有网段。

【使用指导】

在设备上执行此命令后，Web认证用户无需认证即可访问此命令指定IP地址网段中的资源。

可通过重复执行此命令来配置多个Web认证用户免认证的目的IP地址。

【举例】

# 配置Web认证用户免认证的目的IP地址为192.168.0.0/24。

<Sysname> system-view

[Sysname] web-auth free-ip 192.168.0.0 24

1.1.11  web-auth max-user

web-auth max-user命令用来配置Web认证最大用户数。

undo web-auth max-user命令用来恢复缺省情况。

【命令】

web-auth max-user max-number

undo web-auth max-user

【缺省情况】

接口上同时可接入的Web认证最大用户数为1024。

【视图】

二层以太网接口视图

【缺省用户角色】

network-admin

【参数】

max-number：表示接口上同时可接入的Web认证最大用户数，取值范围为1~2048。

【使用指导】

若配置的Web认证最大用户数小于当前已经在线的Web认证用户数，则该命令可以执行成功，且在线Web认证用户不受影响，但系统将不允许新的Web认证用户接入。

开启Web认证功能后，如果Web认证用户过多，可能导致CPU利用率过高，建议用户根据实际情况通过本命令调整Web认证最大用户数。

该命令指定的最大用户数仅为IPv4 Web认证用户数。

【举例】

# 在接口GigabitEthernet1/0/1上配置Web认证最大用户数为32。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] web-auth max-user 32

【相关命令】

·     display web-auth

1.1.12  web-auth offline-detect

web-auth offline-detect命令用来开启Web认证用户的在线检测功能。

undo web-auth offline-detect命令用来关闭Web认证用户的在线检测功能。

【命令】

web-auth offline-detect interval interval

undo web-auth offline-detect interval

【缺省情况】

Web认证用户在线检测功能处于关闭状态。

【视图】

二层以太网接口视图

【缺省用户角色】

network-admin

【参数】

interval：指定用户在线检测时间间隔，取值范围为60～65535，单位为秒。

【使用指导】

在二层以太网接口上开启此功能后，接入设备会以此命令指定的时间间隔定期检测此接口上所有在线Web认证用户的MAC地址表项是否被刷新过。若检测到某Web认证用户的MAC地址表项未被刷新过或者已经老化，则认为对此Web认证用户一次检测失败。若连续两次检测失败，则设备认为该Web认证用户已离开，并将此用户置为下线状态，同时通知AAA服务器停止对此用户进行计费。

由于设备进行检测时若发现Web认证用户MAC地址表项已经老化，则认为对此Web认证用户探测失败，因此，为避免这种无效检测，请配置的探测时间间隔不要大于设备上MAC地址表项的老化时间。

【举例】

# 在接口GigabitEthernet1/0/1上开启Web认证用户的在线检测功能，并指定在线检测的时间间隔为3600秒。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] web-auth offline-detect interval 3600

1.1.13  web-auth proxy port

web-auth proxy port命令用来配置允许触发Web认证的Web代理服务器端口。

undo web-auth proxy port命令用来删除指定的或所有的Web认证的Web代理服务器端口。

【命令】

web-auth proxy port port-number

undo web-auth proxy port { port-number | all }

【缺省情况】

不存在Web认证的Web代理服务器端口。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

port-number：Web认证的Web代理服务器的TCP端口号，取值范围为1～65535。

all：指定所有Web认证的Web代理服务器的TCP端口号。

【使用指导】

设备默认只允许未配置Web代理服务器的浏览器发起的HTTP请求才能触发Portal认证。当用户上网使用的浏览器配置了Web代理服务器时，用户的HTTP请求报文将被丢弃，而不能触发Web认证。在这种情况下，网络管理员可以通过在设备上添加Web认证的Web代理服务器的TCP端口号，来允许配置了Web代理服务器的浏览器发起的HTTP请求也可以触发Web认证。

多次配置本命令可以添加多个Web认证的Web代理服务器的TCP端口号。

配置Web认证的Web代理服务器的TCP端口号，需要注意的是：

·     如果用户浏览器采用WPAD（Web Proxy Auto-Discovery，Web代理服务器自动发现）方式自动配置Web代理，则不仅需要网络管理员在设备上添加Web代理服务器端口，还需要将WPAD主机的IP地址配置为Web认证用户免认证的目的IP地址。

·     除了网络管理员需要在设备上添加指定的Web代理服务器端口，还需要用户在浏览器上将接入设备上Web认证服务器的IP地址加入到Web代理服务器的例外情况中，使Web认证服务器的IP地址不使用Web代理服务器，避免Web认证用户发送给Web认证页面的HTTP报文被发送到Web代理服务器上，从而影响正常的Web认证。

【举例】

# 配置Web认证的Web代理服务器的TCP端口号为7777。

<Sysname> system-view

[Sysname] web-auth proxy port 7777

1.1.14  web-auth server

web-auth server命令用来创建Web认证服务器，并进入Web认证服务器视图。如果指定的Web认证服务器已经存在，则直接进入Web认证服务器视图。

undo web-auth server命令用来删除指定的Web认证服务器。

【命令】

web-auth server server-name

undo web-auth server server-name

【缺省情况】

不存在Web认证服务器。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

server-name：表示Web认证服务器的名称，为1～32个字符的字符串，区分大小写。

【使用指导】

在Web认证服务器视图下可以配置Web认证服务器侦听的IP地址、重定向URL及其重定向URL中携带的参数信息。

【举例】

# 创建名称为wbs的Web认证服务器，并进入Web认证服务器视图。

<Sysname> system-view

[Sysname] web-auth server wbs

[Sysname-web-auth-server-wbs]

【相关命令】

·     web-auth enable apply server