16-安全配置指导

03-User Profile配置

1.4 User Profile显示和维护

1.5 User Profile典型配置举例

1.5.1 使用RADIUS服务器进行MAC地址认证的User Profile典型配置举例

1 User Profile

1.1 User Profile简介

User Profile（用户配置文件）提供一个配置模板，用于定义针对一个或一类用户的一系列配置，例如QoS（Quality of Service，服务质量）策略。User Profile可重复使用，并且在用户的接入端口发生变化后，无须重新为用户进行配置，减少了配置工作量。

用户访问设备时，需要先进行上线用户身份认证（例如通过802.1X接入认证方式）。用户通过身份认证后，认证服务器会将与用户帐户绑定的User Profile名称下发给设备，设备会根据指定User Profile里配置的内容对上线用户进行限制。

基于User Profile的用户身份认证需要与认证服务器配合使用。

仅支持用户采用远程认证，需要在远程认证服务器上指定与该用户帐户相关联的User Profile。

当用户通过认证上线后，其访问行为将受到User Profile的限制。当用户下线时，系统会自动取消相应的限制。因此，User Profile适用于限制上线用户的访问行为，没有用户上线（例如没有用户接入、用户没有通过认证或者用户下线）时，对应的User Profile配置并不生效。

使用User Profile之后，可以：

· 更精确地利用系统资源。比如基于接口进行流量监管，此时限制的是一群用户（从指定接口接入的用户）。使用User Profile之后，可以基于用户进行流量监管，此时限制的是单个用户。

· 更灵活地限制用户访问系统资源。比如只对当前接口的所有流进行流量监管，当用户的物理位置移动时（比如从另一个接口接入），则需要先取消旧的接入接口下的流量监管功能，再在新的接入接口下配置流量监管功能。使用User Profile之后，可以基于用户进行流量监管，只要用户上线，认证服务器会自动下发相应的User Profile，当用户下线，对应的配置亦会失效，不需要再进行手工调整。

1.2 User Profile配置准备

User Profile是和接入认证配合使用的，在配置User Profile前需要保证已完成相应的接入认证配置。各接入认证对User Profile的支持情况，请参见相关接入认证模块的配置指导。

1.3 配置User Profile

(1) 进入系统视图。

system-view

(2) 创建User Profile并进入相应的User Profile视图。

user-profile profile-name

(3) 配置User Profile。请至少选择其中一项进行配置。

¡ 应用已创建的QoS策略。

qos apply policy policy-name { inbound | outbound }

缺省情况下，未应用QoS策略。

¡ 配置流量监管。

qos car { inbound | outbound } any cir committed-information-rate [ cbs committed-burst-size [ ebs excess-burst-size ] ]

qos car { inbound | outbound } any cir committed-information-rate [ cbs committed-burst-size ] pir peak-information-rate [ ebs excess-burst-size ]

缺省情况下，未配置User Profile的流量监管。

关于QoS策略、流量监管的具体介绍与配置，请参见“QoS配置指导”中的QoS配置。

1.4 User Profile显示和维护

在任意视图下执行display命令可以显示User Profile的配置信息和在线用户信息，通过查看显示信息验证配置的效果。

表1-1 显示User Profile

操作	命令
显示User Profile的配置信息和在线用户信息	display user-profile [ name profile-name ]

1.5 User Profile典型配置举例

1.5.1 使用RADIUS服务器进行MAC地址认证的User Profile典型配置举例

1. 组网需求

· AC和RADIUS服务器通过交换机建立连接。AC的IP地址为10.18.1.1，与AC相连的RADIUS服务器的IP地址为10.18.1.88。

· 要求使用MAC认证方式进行用户身份认证。

· 要求MAC地址认证用户在指定的AP上接入无线网络。

2. 组网图

图1-1 使用RADIUS服务器进行MAC地址认证典型配置组网图

3. 配置步骤

确保RADIUS服务器与设备路由可达，完成服务器的配置，并成功添加了接入用户账户，用户名为123，密码为aaa_maca。

(1) 配置RADIUS方案

# 配置Radius方案，名称为imcc，认证服务器的IP地址为10.18.1.88，端口号为1812，配置计费服务器的IP地址为10.18.1.88，端口号为1813，认证密钥为明文123456789Test&!，计费密钥为明文123456789Test&!，用户名格式为without-domain。

<AC> system-view

[AC] radius scheme imcc

[AC-radius-imcc] primary authentication 10.18.1.88 1812

[AC-radius-imcc] primary accounting 10.18.1.88 1813

[AC-radius-imcc] key authentication simple 123456789Test&!

[AC-radius-imcc] key accounting simple 123456789Test&!

[AC-radius-imcc] user-name-format without-domain

[AC-radius-imcc] quit

(2) 配置ISP域的AAA方法

# 配置名称为imc的ISP域，并将认证、授权和计费的方式配置为使用Radius方案imcc。

[AC] domain imc

[AC-isp-imc] authentication lan-access radius-scheme imcc