H3C SecPath ACG1000系列应用控制网关典型配置(R6614)-6W102

48-无线非经功能典型配置举例

1 简介

本文档介绍设备的无线非经功能配置举例，包括厂商、场所、AP、上报周期、应用关系对照表配置。

在配置前，先了解如下几个定义：

· 无线非经：即公共场所无线上网安全管理条例，非经营性互联网信息服务提供者从事非经营性互联网信息服务时，应当遵守国家的有关规定，接受有关部门依法实施的监督管理。

· 厂商：隶属相关部门授权并遵循指定的标准（协议、应用维度）和一定的行为规则（场所编码规则、经营性质等），对外提供开放接口用来收集指定场所用户上网行为数据平台。

· 场所：经过设备的流量是从哪些场所过来，就填写哪些场所，表明有多少个场所流量经过设备；

· AP：AP是存在于场所内的，表明该场所内有多少个AP，这样可以知道具体某个用户是在哪一个场所中的哪一个AP使用网络。

· 上报周期：根据对接厂商标准接口文档按一定的周期上报无线非经数据。

· 应用关系对照表：按照对接厂商平台要求，将我司应用转换成其对应的应用ID上报至网监平台，以便网监平台显示对应应用名称。

无线非经功能主要目的是将对接厂商需要的数据按照一定的格式要求，采用指定的协议标准上传至网监平台服务器，实现网监对非经营性场所上网用户行为的监控。

无线非经功能主要涉及到三大块，分别为应用识别审计、数据组织及数据上报，即按网监要求的格式对审计到的数据以固定的字段格式上报到网监系统对应的平台上去。

· 应用识别审计：主要是流量经过设备之后能够对其进行分析识别并审计，此块主要与引擎和特征库相关。

· 数据组织：设备上根据识别审计的日志以及日志平台需要上报的内容进行日志过滤及存储入数据库，并按网监要求生成对应的文件。

· 数据上报：设备根据对接厂商要求，在指定目录下获取生成的数据文件，按照网监平台指定的协议进行上报，上报周期可以手动配置。

2 配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

在配置前，需要做如下准备：

· 获取参与对接厂商的名称及组织机构代码。

· 本文档假设您已了解无线非经功能特性。

3 无线非经功能配置举例

3.1 组网需求1：路由模式组网-派博平台对接

3.1.1 组网需求

如图1所示，某公司内网研发部门办公网段IP地址192.168.10.0/24，其中192.168.10.1/24作为内网的网关地址。TPLINK设备上开启DHCP，地址池为192.168.10.2/24~192.168.10.254/24。使用设备的ge0和ge1接口作为路由模式，设备作为研发部门网关出口设备，上连公司出口防火墙，下连二层交换机。设备的上开启审计、本地认证和无线非经功能。具体应用需求如下：

· 内网用户访问外网时需要通过本地认证。

· 内网用户访问外网的流量通过设备处理上报至派博平台。

图1 路由模式组网

3.1.2 配置思路

· 网络基础配置，配置接口地址、路由、NAT、DNS等信息。

· 升级特征库。

· 配置审计策略。

· 配置Web认证功能，添加认证账号、地址对象等信息。

· 配置无线非经功能，添加厂商、场所、AP和上报周期等信息。

3.1.3 使用版本

本举例是在R6614本上进行配置和验证的。

3.1.4 配置步骤

1. 网络基础配置

(1) 配置接口地址

如图2所示，进入“网络配置>接口配置>物理接口”页面，点击对应接口后面的操作，进行接口IPv4地址配置。

图2 添加接口地址

(2) 配置静态路由

如图3所示，进入“网络配置>路由管理>静态路由”页面，点击<新建>添加一条缺省路由。

图3 添加路由

(3) 配置源NAT

如图4所示，进入“策略配置>NAT转换策略>源NAT”页面，点击<新建>添加一条源NAT，使内网地址访问外网做NAT。

图4 配置源NAT

(4) 配置DNS服务器

如图5所示，进入“网络配置>基础网络>DNS服务>DNS服务器”页面，勾选“启用DNS全局代理”，并配置DNS服务器地址，使其设备能够进行域名解析。

图5 配置DNS服务器

2. 升级特征库

(1) 升级license

如图6所示，进入“系统管理>系统维护>授权管理”页面，点击<导入许可证>，将license文件信息复制到license栏点并击提交。

图6 导入许可证

(2) 升级特征库

如图7所示，进入“系统管理>系统维护>系统升级”页面，升级应用控制特征库，如果网络较好，可以直接连网点击立即升级，如果网络状况较差，可以将特征库文件下载到本地，进行本地导入升级。

图7 特征库升级

3. 配置审计策略

(1) 添加审计策略

如图8所示，进入“策略配置>审计策略”页面，点击<新建>审计策略，审计对象全选，点击提交。

图8 配置审计策略

4. 配置本地认证

(1) 配置地址对象

如图9所示，进入“策略配置>对象管理> 地址对象> 地址对象”页面，配置需要认证的网段地址，点击<提交>。

图9 配置认证地址对象

(2) 配置认证账号

如图10所示，进入“用户管理>用户组织结构”页面，选择新建认证账号，如添加测试认证账号分别为test1，test2等。

图10 添加认证账号

(3) 配置本地认证策略

如图11所示，进入“用户管理>认证管理>认证策略”页面，点击<新建>创建本地认证策略。

图11 添加本地认证策略

5. 配置无线非经

(1) 添加厂商配置

如图12所示，进入“系统管理>系统设定>无线非经>厂商配置”页面，对接厂商选择<派博>，其它信息根据要求进行配置，提交配置。

图12 添加厂商配置

(2) 添加场所配置

如图13所示，进入“系统管理>系统设定>无线非经>场所配置”页面，点击<添加场所>，将场所信息根据要求进行配置，提交配置。

图13 添加场所配置

(3) 添加AP配置

如图14所示，进入“系统管理>系统设定>无线非经>厂商配置>场所配置”页面，勾选对应场所，并点击<添加AP>，将AP信息根据要求进行配置，提交配置。

图14 添加AP配置

(4) 添加上报周期

如上图所示，进入“系统管理>系统设定>无线非经>厂商配置>上报周期设置”页面，点击<新建>，根据上报平台的要求配置上报周期，提交配置。派博对接平台上报周期为系统内置，不需要进行设定，其它厂商根据实际需要进行配置。

(5) 添加应用关系对照表

如图15所示，进入“系统管理>系统设定>无线非经>厂商配置>应用关系对照表”页面，点击<新建>，选择对应厂商及应用名称，并填上对照关系ID，提交配置。

图15 添加应用关系对照表

3.1.5 配置注意事项

· 特征库在线升级必须要配置DNS，否则在线升级不成功。

· 非经版本只记录认证用户上网产生的数据，匿名用户数据不记录。

· 对应厂商的应用关系对照表需要进行配置，如果没有，则对应的应用产生的审计数据不进行入库处理。

3.1.6 验证配置

1. 在线用户

如图16所示，内网用户访问外网需要先进行web认证，在“数据中心>系统监控>在线用户”页面，可以查看到本地认证的在线用户。

图16 本地认证用户

2. 审计日志

如图17所示，认证用户访问IM软件及社区网站有产生相应的审计日志信息。

图17 审计日志

3. 日志上报

设备根据对接厂商要求，在指定目录下获取生成的数据文件，按照网监平台指定的协议进行上报。如图18所示，在网监系统对应的平台上可以查看上上报的日志信息。

图18 非经日志上报

3.2 组网需求2：透明桥模式组网-网博平台对接

3.2.1 组网需求

如图19所示，某公司内网办公网段IP地址90.1.1.0/24，其中90.1.1.1/24作为内网用户的网关。使用设备的ge1-0和ge1-1接口作为透明桥，串接部署在网络中，设备上联出口FW，下联二层交换机设备；并在AC设备上开启AAA认证功能，AC设备只跑路由模式不做NAT，认证服务器为第三方服务器，第三方服务器将用户上下线日志信息直接发给设备（注：设备不参与认证时，所有的用户信息需要设备与第三方认证服务器通过特定接口对接实现，如泰联和IMC服务器是通过udp9999端口将用户上下线信息发送至设备）。设备上开启审计和无线非经功能。具体应用需求如下：

· 设备上可以接收到第三方服务器发过来的用户上下线信息。

· 内网用户访问外网的流量通过设备处理上报至网博平台。

图19 透明桥模式组网

3.2.2 配置思路

· 网络基础配置，配置网桥、路由、DNS等信息。

· 升级特征库。

· 配置审计策略。

· 配置无线非经功能，添加厂商、场所、AP和上报周期等信息。

3.2.3 使用版本

本举例是在R6614本上进行配置和验证的。