03-微软NPS接入认证功能对接操作指导

本章节下载 (3.11 MB)

03-微软NPS接入认证功能对接操作指导

H3C无线控制器与微软NPS接入认证功能对接操作指导

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 H3C无线控制器与微软 NPS接入认证功能对接操作指导

1 H3C无线控制器与微软 NPS接入认证功能对接操作指导

1.1 简介

本章介绍H3C无线控制器与微软的认证服务器软件NPS的接入认证功能对接配置，包括Portal认证和授权下发ACL。

1.2 Portal认证对接配置举例

1.2.1 适用产品和版本

本配置举例所使用的设备型号及版本信息如下：

· AC：vAC，R5435P03

· NPS认证服务器：Windows Server 2016 NPS组件

· iMC服务器：iMC PLAT 7.3（E0706P03）、iMC 7.3（E0620）

如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

1.2.2 组网需求

如图1-1所示，AC、Portal服务器和RADIUS服务器通过Switch建立连接，设备管理员希望对Client进行Portal认证，以控制其对网络资源的访问，具体要求如下：

· 采用NPS作为 RADIUS服务器。

· 采用iMC作为Portal服务器。

· 对无线用户采用直接方式的Portal认证。

图1-1 Portal认证配置组网图

1.2.3 配置注意事项

配置AP的序列号时请确保该序列号与AP唯一对应，AP的序列号可以通过AP设备背面的标签获取。

1.2.4 配置步骤

1. 配置AC

(1) 配置RADIUS方案

# 创建名字为nps的RADIUS方案并进入该方案视图。

[AC] radius scheme nps

# 配置RADIUS方案的主认证和主计费服务器及其通信密钥，服务器IP地址为NPS服务器的IP地址，通信密钥要与NPS服务器配置的一致。

[AC-radius-nps] primary authentication 8.72.1.7 key simple 12345678

[AC-radius-nps] primary accounting 8.72.1.7 key simple 12345678

# 配置发送给RADIUS服务器的用户名不携带ISP域名。

[AC-radius-nps] user-name-format without-domain

[AC-radius-nps] quit

(2) 配置认证域

# 创建并进入名字为portal的ISP域。

[AC] domain portal

# 为portal用户配置认证、授权和计费方案为RADIUS，方案名称为nps。

[AC-isp-portal] authentication portal radius-scheme nps

[AC-isp-portal] authorization portal radius-scheme nps

[AC-isp-portal] accounting portal radius-scheme nps

[AC-isp-portal] quit

(3) 配置Portal认证

# 配置Portal认证服务器：名称为imc，IP地址为iMC服务器的地址，密钥为明文portal。

[AC] portal server imc

[AC-portal-server-imc] ip 8.1.1.231 key simple portal

[AC-portal-server-imc] quit

# 配置Portal Web服务器的URL为http://8.1.1.231:8080/portal/（请根据实际情况配置Portal Web服务器的URL）。

[AC] portal web-server imc

[AC-portal-websvr-imc] url http://8.1.1.231:8080/portal/

[AC-portal-websvr-imc] quit

# 配置无线服务模板portal的SSID为portal_nps。

[AC] wlan service-template portal

[AC-wlan-st-portal] ssid portal_nps

# 在无线服务模板portal上使能直接方式的Portal认证。

[AC-wlan-st-portal] portal enable method direct

# 在无线服务模板portal上引用Portal Web服务器imc。

[AC-wlan-st-portal] portal apply web-server imc

# 在无线服务模板portal上Portal用户使用认证域portal。

[AC-wlan-st-portal] portal domain portal

# 使能无线服务模板portal

[AC-wlan-st-portal] service-template enable

[AC-wlan-st-portal] quit

# 创建手工AP，名称为ap1，选择AP型号并配置序列号。

[AC] wlan ap ap1 model WA6638-JP

[AC-wlan-ap-ap1] serial-id 219801A24F8198E0001G

[AC-wlan-ap-ap1] quit

# 配置射频，将无线服务模板portal绑定到Radio1上，并绑定VLAN 80。

[AC] wlan ap ap1

[AC-wlan-ap-ap1] radio 1

[AC-wlan-ap-ap1-radio-1] service-template portal vlan 80

[AC-wlan-ap-ap1-radio-1] radio enable

[AC-wlan-ap-ap1-radio-1] quit

[AC-wlan-ap-ap1] quit

(4) 配置ACL 3999（请根据实际需求配置）。

[AC] acl advanced 3999

[AC-acl-ipv4-adv-3999] rule 0 permit ip

[AC-acl-ipv4-adv-3999] quit

(5) 在AC上开启DHCP服务，并创建DHCP地址池，为Client分配地址。

# 创建VLAN 80，配置VLAN 80对应的虚拟三层接口，并配置该虚拟三层接口的地址为72.205.1.1，子网掩码为255.255.0.0

[AC] vlan 80

[AC-vlan80] quit

[AC] interface Vlan-interface 80

[AC-Vlan-interface80] ip address 72.205.1.1 255.255.0.0

[AC-Vlan-interface80] quit

# 开启DHCP服务

[AC] dhcp enable

# 创建名称为80的DHCP地址池

[AC] dhcp server ip-pool 80

[AC-dhcp-pool-80] quit

# 配置DHCP地址池动态分配的主网段为72.205.0.0/16

[AC-dhcp-pool-80] network 72.205.0.0 mask 255.255.0.0

# 配置网关地址为72.205.1.1

[AC-dhcp-pool-80] gateway-list 72.205.1.1

# 配置为DHCP客户端分配的DNS服务器地址为72.205.1.1

[AC-dhcp-pool-80] dns-list 72.205.1.1

[AC-dhcp-pool-80] quit

2. 配置IMC服务器（Portal Server）

(1) 配置Portal认证服务器

选择[用户/接入策略管理/Portal服务管理/服务器配置]选项，进入Portal服务器配置页面，请根据需求配置以下参数。

图1-2 Portal服务器配置

(2) 增加IP地址组

选择[用户/接入策略管理/Portal服务管理/IP地址组配置/增加IP地址组]选项，增加IP地址组，地址的范围为Client所在IP地址段。

图1-3 增加IP地址组

(3) 增加设备信息

选择[用户/接入策略管理/Portal服务管理/设备配置/增加设备信息]选项，将AC添加至服务器，在设备信息栏的“IP地址”中填写AC的IP地址，密钥配置与AC的Portal认证服务器密钥一致，本例配置为portal。

图1-4 增加设备信息

(4) 设备关联IP地址组

a. 在设备信息列表中找到上一步增加的设备，点击该设备的<端口组信息管理>链接，进入端口组信息配置页面；

图1-5 设备信息列表

b. 在端口组信息配置页面中点击<增加>按钮，进入设备的增加端口组信息页面，认证方式选择“PAP认证”，IP地址组选择第（2）步创建的IP地址组，将AC与IP地址组关联。

图1-6 设备关联IP地址组

3. 配置NPS服务器（Radius Server）

(1) 配置RADIUS客户端

在左侧导航栏中选择[RADIUS/RADIUS客户端]选项，新建RADIUS客户端，在“地址(IP或DNS)”中填写AC的IP地址，“共享机密”与AC配置的RADIUS方案中，主认证和主计费服务器的密钥相同，本例为12345678，最后点击<确定>按钮完成配置。

图1-7 新建RADIUS客户端

(2) 新建用户

a. 在Active Directory 用户和计算机组件中，选择目录中的User文件夹，右键新建用户，配置用户名为my，点击<下一步>按钮配置密码。

图1-8 新建用户

b. 配置完新建用户的密码后，勾选密码永不过期选项，点击<系一部>按钮，再在弹窗中点击<完成>按钮完成新用户的创建。

图1-9 配置用户密码

(3) 配置连接请求策略

a. 配置策略名称

右击左侧导航栏中的[策略/连接请求策略]，选择“新建”，在弹窗中配置策略名称，其他选项保持默认配置，完成后点击<下一步>按钮，进入指定条件页面。

图1-10 配置策略名称

b. 添加用户名。

在指定条件页面中选择“用户名”选项，点击<添加>按钮将新建的RADIUS用户添加至策略中，点击<确定>按钮完成配置。

图1-11 添加用户名

c. 配置NAS端口类型。

在指定条件页面中将滚动条拖至最低端，选择“NAS端口类型”选项，点击<添加>按钮将NAS端口类型添加至策略中。在“普通802.1X连接隧道类型”栏目中勾选“无线-IEEE 802.11”，在“其他”栏目中勾选“无线-其他”，完成配置后点击<确定>按钮，再点击<下一步>按钮进入指定连接请求转发功能。

图1-12 配置NAS端口类型

d. 配置身份验证位置

在指定连接请求转发功能页面，选择“身份认证”，勾选“在此服务器上对请求进行身份验证”选项，再点击<下一步>，进入指定身份验证方法页面。

图1-13 配置身份验证位置

e. 指定身份验证方法

在EAP类型中添加“受保护的EAP（PEAP）”和“安全密码（EAP-MSCHAP v2）”；在安全级别较低的身份验证方法中勾选“Microsoft 加密的身份验证版本 2 （MS-CHAP-v2）”、“Microsoft 加密的身份验证版本（CHAP）”、“加密的身份验证（CHAP）”、“未加密的身份验证（PAP，SPAP）”、和“允许客户端连接而不需要协商身份验证方法”。完成后点击<下一步>，在弹窗中点击<No>按钮，进入配置设置页面。

图1-14 指定身份验证方法

f. 配置策略属性

在配置设置页面中，在属性下拉框中配置属性为Called-Station-Id（默认配置）。

图1-15 配置策略属性

g. 添加标准RADIUS属性

在配置设置页面中，选择“标准”选项，添加标准RADIUS属性。在属性栏中点击名称，再点击<添加>按钮，在属性信息弹窗中配置属性值。

图1-16 添加标准RADIUS属性

属性信息的弹窗中，属性值下面的勾选项保持默认（例如Framed-Protocol属性值默认为一般用于拨号或VPN），在属性值下拉框中将名称为Framed-Protocol的属性值配置为PPP，点击属性信息弹窗中的<确定>按钮完成属性的添加。

图1-17 添加标准RADIUS属性

仿照上一步，将名称为Service-Type的属性值配置为Framed，名称为Tunnel-Media-Type的属性值配置为802( include all 802 media plus Ethernet )，Filter-ID为ACL属性，将属性值配置为3999，添加完成后的效果如下图。

图1-18 完成添加标准RADIUS属性

h. 查看/修改连接请求策略

完成以上配置后，在NPS的左侧导航栏中选择[策略/连接请求策略]，在策略名称栏中可以查看策略的内容。右击策略名称，选择属性，可以修改策略中的配置。

图1-19 查看策略内容

1.2.5 验证配置

Client上线后，访问浏览器页面时可弹出Portal web服务器的认证界面，输入用户名my和用户密码后，可认证成功。通过执行以下显示命令可查看Portal上线成功，且授权ACL下发成功。

[AC] display portal user all verbose

Total portal users: 1

Basic:

AP name: ap1

Radio ID: 1

SSID: portal_nps

Current IP address: 72.205.0.1

Original IP address: 72.205.0.1

Username: my

User ID: 0x1000002b

Access interface: WLAN-BSS0/4

Service-VLAN/Customer-VLAN: 80/-

MAC address: d4bb-c8a1-8a55

Authentication type: Normal

Domain name: portal

VPN instance: N/A

Status: Online

Portal server: imc

Vendor: VIVO

Portal authentication method: Direct

AAA:

Realtime accounting interval: 720s, retry times: 5

Idle cut: N/A

Session duration: 0 sec, remaining: 0 sec

Remaining traffic: N/A

Online time(hh:mm:ss): 00:00:05

DHCP IP pool: N/A

Web URL: N/A

ACL&QoS&Multicast:

Inbound CAR: N/A

Outbound CAR: N/A

ACL number: 3999 (active, AAA)

User profile: N/A

Session group profile: N/A

Max multicast addresses: 4

Flow statistic:

Uplink packets/bytes: 7/540

Downlink packets/bytes: 0/0

1.2.6 配置文件

radius scheme nps

primary authentication 8.72.1.7 key simple 12345678

primary accounting 8.72.1.7 key simple 12345678

user-name-format without-domain

domain portal

authentication portal radius-scheme nps

authorization portal radius-scheme nps

accounting portal radius-scheme nps

portal server imc

ip 8.1.1.231 key simple portal

portal web-server imc

url http://8.1.1.231:8080/portal/

wlan service-template portal

ssid portal_nps

portal enable method direct

portal domain portal

portal apply web-server imc

service-template enable

wlan ap ap1 model WA6638-JP

serial-id 219801A24F8198E0001G

radio 1

radio enable

service-template portal vlan 80

acl advanced 3999

rule 0 permit ip

vlan 80

interface Vlan-interface 80

ip address 72.205.1.1 255.255.0.0

dhcp server ip-pool 80

gateway-list 72.205.1.1

network 72.205.0.0 mask 255.255.0.0

dns-list 72.205.1.1

Return

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

百业灵犀

技术解决方案

行业解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

H3C无线控制器与第三方对接操作指导-6W103

目录

03-微软NPS接入认证功能对接操作指导

1 H3C无线控制器与微软 NPS接入认证功能对接操作指导

1.2 Portal认证对接配置举例

1. 配置AC

2. 配置IMC服务器（Portal Server）

3. 配置NPS服务器（Radius Server）

1.2.5 验证配置

联系我们