- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
07-用户认证功能典型配置举例
本章节下载： 07-用户认证功能典型配置举例 (1.18 MB)
目录
本文档介绍设备的用户认证配置举例，包括本地用户Web认证、Radius联动Web认证和LDAP联动Web认证。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解用户认证特性。
设备的R6614版本仅支持与AD域服务器联动认证，与openldap服务器联动仅支持用户同步不支持认证，在配置使用时请使用AD域服务器联动认证。
如图1所示，某公司的财务部、工程部和生产部实行用户认证上网，其网段分别是172.16.1.0/24、172.16.2.0/24和172.16.3.0/24。内网Radius服务器的地址为172.16.0.10/24、LDAP服务器的地址为172.16.0.20/24。使用设备的ge0和ge1接口透明模式部署在网络中，在设备上配置用户认证功能。具体要求如下：
· 财务部进行Web认证上网，用户名和密码存储在设备的本地。
· 工程部进行Web认证上网，用户名和密码存储在Radius服务器上。
· 生产部进行Web认证上网，用户名和密码存储在LDAP服务器上。
· 财务部、工程部和生产部的每个Web认证用户需要支持两个终端同时并发登录，要求用户成功登录后跳转到http://www.baidu.com。
· 配置Radius和LDAP服务器对象，设备上的相关参数配置需要和服务器保持一致。
· 配置地址对象。
· 配置本地认证用户，RADIUS和LDAP认证用户直接在相应的服务器创建即可。
· 配置用户认证策略。
本举例是在R6614版本上进行配置和验证的。
· 设备的配置Web认证时，允许用户的TCP三次握手报文、DNS报文以及ICMP报文通过，当检测到用户HTTP报文时拦截并弹出认证页面。所以，在使用Web认证功能时，需要保证终端可以进行正常的HTTP访问。
· 如果需要实现访问某些资源时免Web认证，请在对应用户策略的目的地址对象中配置排除地址，将需要免认证访问的目的IP地址排除即可。
(1) 配置工程部Radius服务器
如图2所示，进入“用户管理>认证管理>认证服务器”，点击<新建>，选择Radius服务器，配置“服务器地址”为172.16.0.10，“服务器密码”和“端口”需要和Radius服务器保持一致，点击<提交>。
(2) 配置生产部LDAP服务器
如图3所示，进入“用户管理>认证管理>认证服务器>”，点击<新建>选择LDAP服务器，配置“服务器地址”为172.16.0.20，“端口”和“通用名标识”和“Base DN”需要和LDAP服务器保持一致，点击<提交>。
图3 添加生产部LDAP服务器
(1) 配置市场部本地认证用户
如图4所示，进入“用户管理>用户组织结构”，点击“新建>用户”，配置用户名称为“user1”，配置和确认密码后，点击<提交>。
(2) 配置工程部Radius认证用户
设备本地不需要创建Radius认证用户，直接在Radius服务器上创建即可。
(3) 配置生产部LDAP认证用户
设备本地不需要创建LDAP认证用户，直接在LDAP服务器上创建即可。
如图5所示，添加完成的认证用户对象配置如下。
图5 Web认证用户对象配置完成
(1) 配置财务部地址对象
如图6所示，进入“策略配置>对象管理>地址对象>地址对象”，点击<新建>，命名为“财务部地址对象”，“地址项目”选为子网地址，配置地址为172.16.1.0/24，点击<提交>。
(2) 配置工程部地址对象
如图7所示，进入“策略配置>对象管理>地址对象>地址对象”，点击<新建>，命名为“工程部地址对象”，“地址项目”选为子网地址，配置地址为172.16.2.0/24，点击<提交>。
(3) 配置生产部地址对象
如图8所示，进入“策略配置>对象管理>地址对象>地址对象”，点击<新建>，命名为“生产部地址对象”，“地址项目”选为子网地址，配置地址为172.16.3.0/24，点击<提交>。
如图9所示，创建完成的地址对象配置如下。
如图10所示，进入“用户管理>认证管理>认证方式>本地WEB认证”，勾选“允许重复登录”，配置“允许登录数”为2，配置重定向URL为https://www.baidu.com，点击<提交>。
如图11所示，进入“策略配置>控制策略”，将默认规则修改为允许。
图11 配置IPv4控制策略
(1) 配置财务部用户认证策略
如图12所示，进入“用户管理>认证管理>认证策略”，点击<新建>，源地址配置为“财务部地址对象”，认证方式选择“本地WEB认证”，其它选项保持默认，点击<提交>。
(2) 配置工程部用户策略
如图13所示，进入“用户管理>认证管理>认证策略”，点击<新建>，源地址配置为“工程部地址对象”，认证方式选择“本地WEB认证”，其它选项保持默认，点击<提交>。
(3) 配置生产部用户认证策略
如图14所示，进入“用户管理>认证管理>认证策略”，点击<新建>，源地址配置为“生产部地址对象”，认证方式选择“本地WEB认证”，其它选项保持默认，点击<提交>。
如图15所示，添加完成的用户策略配置如下。
如图16、图17所示，进入“用户管理>认证管理>高级选项>全局配置”，当与Radius服务器认证对接时，启用Radius方式，当与LDAP服务器认证对接时，启用LDAP服务器。
图17 启用第三方认证LDAP
如图18所示，以WinRadius为例搭建Radius服务器，点击<操作>，配置用户名为user2，密码为123456，点击<确定>。
图18 配置Radius服务器
如图19所示，在LDAP服务器上配置Common Name和Sumname为user3，User Password为123456。
图19 配置LDAP服务器
如图20所示，在每个网段使用终端进行HTTP访问，弹出如下本地Web认证页面，填写用户名和密码进行认证。
图20 本地Web认证页面
如图21所示，财务部（172.16.1.0/24）本地用户user1测试认证成功。
图21 财务部本地Web认证成功
如图22所示，工程部（172.16.2.0/24）Radius联动用户user2测试认证成功。
图22 Radius联动用户Web认证成功
如图23所示，生产部（172.16.3.0/24）LDAP联动用户user3测试认证成功。
图23 LDAP联动用户Web认证成功
如图24所示，用户Web认证通过后跳转到配置的https://www.baidu.com。
图24 Web认证通过后重定向到www.baidu.com
!
admin auth certificate
radius-server Radius 172.16.0.10 secret kTgxl5p34DqlzzT+XZ0R14cv6Qal7urj9YogDjQGHYyVxSLYIpmOxTPwro4b0aN 1812
ldap LDAP
ldap 172.16.0.20 389
cnid cn
dn ou=test_1,dc=domain,dc=com1
bindtype simple user cn=administrator,cn=users,dc=domain,dc=com1 secret BgJYypIYXs1/LNbP9R5HFuFBPq2wzxUUDLphPZPbxeceoRv3HJMyd9xT0dkiOvR
!
address 财务部地址对象
ip subnet 172.16.1.0/24
!
address 工程部地址对象
ip subnet 172.16.2.0/24
!
address 生产部地址对象
ip subnet 172.16.3.0/24
!
user user1
bind-group organization
authenticate local kTgxl5p34DqlzzT+XZ0R14cv6Qal7urj9YogDjQGHYyVxSLYIpmOxTPwro4b0aN change-password enable first-log-change-pwd disable
!
user-policy listen authentication disable
user-policy https-portal enable
user-policy any any 财务部地址对象 any always local-webauth enable 财务部认证策略 no-record forever
user-policy any any 工程部地址对象 any always local-webauth enable 工程部认证策略 no-record forever
user-policy any any 生产部地址对象 any always local-webauth enable 生产部认证策略 no-record forever
!
policy default-action permit
policy white-list enable
!
user-webauth login-multi number 2
user-webauth hello-url https://www.baidu.com
!user-portal-server
如图25所示，IPv6网络中，内网PC通过设备访问DNS服务器和WEB服务器。
PC的IP地址为：2016::100，DNS及WEB服务器的地址为：2000::1。
在设备上配置用户认证功能，要求内网PC通过本地Web认证后，访问WEB服务器，用户名和密码存储在设备的本地。
图25 IPV6本地认证组网图
· 按照拓扑组网。
· 配置DNS服务器和Web服务器。
· 配置客户机的IPv6地址和DNS地址。
· 配置设备IPv6地址、用户以及用户认证策略。
服务器上开启了DNS服务，域名www.example.com，IP地址指向了服务器的地址2000::1，并且搭建好WEB服务器。
如下图所示，在客户机上配置PC的IPV6地址，网关以及DNS服务器地址。
图26 配置PC
进入“用户管理>认证管理>高级选项”，识别范围配置为any，识别模式配置为“启发模式”。
图27 配置识别模式
进入“网络配置>接口配置”，配置设备接口的IPv6地址，如下图所示。
图28 配置接口IPv6地址
进入“策略配置>NAT转换策略>源NAT”，点击<新建>配置源NAT。
进入“策略配置>对象管理>地址对象”，配置2016::网段的地址对象，如下图所示。
图30 配置地址对象
进入“策略配置>用户管理>用户组织结构”，新建一个本地用户test1，并配置密码，如下图所示。
图31 配置本地用户
进入“策略配置>认证管理>认证策略”，新建一个认证策略，源地址选择PC所在的IPv6网段，如下图所示。
图32 配置认证策略
在内网PC上打开浏览器访问域名www.example.com,会弹出重定向的WEB认证登录页面，输入用户test1及密码后登录成功。
图33 本地WEB认证页面
图34 本地WEB认证成功页面
如图35所示某公司内网用户通过设备认证并上网，用户认证登录后自动绑定用户的IP和MAC信息。
· 设备网络基础配置，配置接口地址、路由、NAT策略。
· 配置认证策略，开启用户录入并绑定IP、MAC。
本举例是在F6613版本上进行配置和验证的。
(1) 进入“网络配置>接口配置>物理接口”页面，如图36所示，配置物理接口地址。
(2) 进入“网络配置>接口配置>路由管理>静态路由”页面，如图37所示，配置静态路由。
(3) 进入“策略配置>NAT转换策略>源NAT”页面，如图38所示，配置源NAT。
(1) 进入“用户管理>认证管理>认证策略”页面，如下图所示。
图39 配置认证策略
该用户开始并没有绑定ip或者mac信息，如下图所示。
图40 用户组织结构信息
使用终端进行HTTP访问，弹出本地Web认证页面，填写用户名和密码进行认证，如下图所示。
图41 用户认证页面
认证成功后，查看用户组织结构页面，可以看到用户信息被录入了ip和mac地址，如图42所示。IP-MAC绑定列表中添加了绑定信息，如图43所示。
图42 用户绑定IP、MAC信息
图43 IP-MAC绑定列表
· 如果用户存在于本地，且不在认证策略中选择的用户组，该用户认证时，录入ip/mac信息不会移动用户到认证策略里选择的用户组。
· 如果用户是第三方认证，本地不存在该用户，则录入ip/mac信息时会在认证策略里选择的用户组下创建该用户。
· 针对自动录入的用户ip、mac有时间限制，但剩余有效期在界面是不可见的。
· 该功能不支持第三方用户同步。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
