16-安全配置指导

03-User Profile配置

1 User Profile

1.1 User Profile简介

1.2 User Profile配置准备

1.3 配置单一用户的User Profile

1.4 配置用户组的User Profile

1.5 User Profile显示和维护

1.6 User Profile典型配置举例

1.6.1 使用RADIUS服务器进行MAC地址认证的User Profile典型配置举例

1 User Profile

1.1 User Profile简介

User Profile（用户配置文件）提供一个配置模板，用于定义针对一个或一类用户的一系列配置，例如QoS（Quality of Service，服务质量）策略。User Profile可重复使用，并且在用户的接入端口发生变化后，无须重新为用户进行配置，减少了配置工作量。

用户访问设备时，需要先进行上线用户身份认证（例如通过Portal接入认证方式）。用户通过身份认证后，认证服务器会将与用户账户绑定的User Profile名称下发给设备，设备会根据指定User Profile里配置的内容对上线用户进行限制。

如下为User Profile的典型应用：

· 用户控制系统资源的分配。比如基于接口进行流量监管限制的是一群用户（从指定接口接入的用户）对带宽资源的使用，而User Profile则可对单个用户进行流量监管。

· 限制上线用户的访问行为：当上线用户欠费时，可通过向用户下发配置了免认证规则的User Profile，仅允许用户访问免认证规则中ACL permit规则指定的网络资源。

1.2 User Profile配置准备

User Profile是和接入认证配合使用的，在配置User Profile前需要保证已完成相应的接入认证配置。各接入认证对User Profile的支持情况，请参见相关接入认证模块的配置指导。

1.3 配置单一用户的User Profile

(1) 进入系统视图。

system-view

(2) 创建User Profile并进入相应的User Profile视图。

user-profile profile-name

(3) 配置User Profile。请至少选择其中一项进行配置。

¡ 应用已创建的QoS策略。

qos apply policy policy-name { inbound | outbound }

缺省情况下，未应用QoS策略。

¡ 配置流量监管。

qos car { inbound | outbound } any cir committed-information-rate [ cbs committed-burst-size [ ebs excess-burst-size ] ]

qos car { inbound | outbound } any cir committed-information-rate [ cbs committed-burst-size ] pir peak-information-rate [ ebs excess-burst-size ]

缺省情况下，未配置User Profile的流量监管。

¡ 配置流量过滤。

packet-filter [ ipv6] { acl-number | name acl-name } { inbound | outbound }

缺省情况下，未配置User Profile的报文过滤。

关于QoS策略和流量监管的具体介绍与配置，请参见“QoS配置”中的“QoS”。

1.4 配置用户组的User Profile

1. 功能简介

用户组的User Profile是一种特殊的User Profile，主要用于配置多用户的QoS，例如，家庭用户整体的QoS。一个家庭用户内可以包含多个个人用户和多个业务，用户组的User Profile主要用于控制整个家庭总体的流量。对于一个家庭内的两个用户，既需要分别对两个用户进行限制，又需要对家庭的总体流量进行限制，单一用户User Profile的配置是满足不了需求的，此时可以为家庭账户配置用户组的User Profile，同时为两个个人账户配置单一用户的User Profile。

部署多用户组的User Profile后，设备通过会话识别不同的用户组的流量，识别后将指定的用户组与User Profile进行绑定。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建Session Group Profile并进入Session Group Profile视图。

user-profile profile-name type session-group

(3) 配置Session Group Profile。请至少选择其中一项进行配置。

¡ 配置流量监管。

qos car { inbound | outbound } any cir committed-information-rate [ cbs committed-burst-size [ ebs excess-burst-size ] ]

qos car { inbound | outbound } any cir committed-information-rate [ cbs committed-burst-size ] pir peak-information-rate [ ebs excess-burst-size ]

缺省情况下，未配置Session Group Profile的流量监管。

关于流量监管的具体配置，请参见“QoS配置”中的“QoS”。

1.5 User Profile显示和维护

可在任意视图下执行以下命令，显示User Profile的配置信息和在线用户信息。

display user-profile [ session-group ] [ name profile-name ]

1.6 User Profile典型配置举例

1.6.1 使用RADIUS服务器进行MAC地址认证的User Profile典型配置举例

1. 组网需求

· AC和RADIUS服务器通过交换机建立连接。AC的IP地址为10.18.1.1，与AC相连的RADIUS服务器的IP地址为10.18.1.88。

· 要求使用MAC认证方式进行用户身份认证。

· 要求MAC地址认证用户在指定的AP上接入无线网络。

2. 组网图

图1-1 使用RADIUS服务器进行MAC地址认证典型配置组网图

3. 配置步骤

确保RADIUS服务器与设备路由可达，完成服务器的配置，并成功添加了接入用户账户，用户名为123，密码为aaa_maca。

(1) 配置RADIUS方案

# 配置Radius方案，名称为imcc，认证服务器的IP地址为10.18.1.88，端口号为1812，配置计费服务器的IP地址为10.18.1.88，端口号为1813，认证密钥为明文123456789Test&!，计费密钥为明文123456789Test&!，用户名格式为without-domain。

<AC> system-view

[AC] radius scheme imcc

[AC-radius-imcc] primary authentication 10.18.1.88 1812

[AC-radius-imcc] primary accounting 10.18.1.88 1813

[AC-radius-imcc] key authentication simple 123456789Test&!

[AC-radius-imcc] key accounting simple 123456789Test&!

[AC-radius-imcc] user-name-format without-domain

[AC-radius-imcc] quit

(2) 配置ISP域的AAA方法

# 配置名称为imc的ISP域，并将认证、授权和计费的方式配置为使用Radius方案imcc。

[AC] domain imc

[AC-isp-imc] authentication lan-access radius-scheme imcc