华为举例：配置Portal认证（使用Portal协议）

华为举例：配置Portal认证（使用Portal协议）

组网需求

如图3-54所示，某公司访客区内用户通过DeviceA接入公司内部网络。如果该公司内存在非法接入和非授权访问的状况，将会导致企业业务系统的破坏以及关键信息资产的泄露，因此管理员希望DeviceA能够对用户的网络访问权限进行控制，以保证公司内网的安全。根据访客流动性大的特点，使用Portal认证并通过RADIUS服务器验证用户的身份。

图3-54 配置Portal认证组网图

本例中Interface1、Interface2分别代表10GE1/0/1、10GE1/0/2。

操作步骤

配置网络互连互通。

# 创建VLAN并配置接口允许通过的VLAN、IP地址。

<HUAWEI> system-view

[HUAWEI] sysname DeviceA

[DeviceA] vlan batch 10 20

[DeviceA] interface 10ge 1/0/1

[DeviceA-10GE1/0/1] portswitch

[DeviceA-10GE1/0/1] port link-type trunk

[DeviceA-10GE1/0/1] port trunk allow-pass vlan 10

[DeviceA-10GE1/0/1] quit

[DeviceA] interface vlanif 10

[DeviceA-Vlanif10] ip address 192.168.1.10 24

[DeviceA-Vlanif10] quit

[DeviceA] interface 10ge 1/0/2

[DeviceA-10GE1/0/2] portswitch

[DeviceA-10GE1/0/2] port link-type access

[DeviceA-10GE1/0/2] port default vlan 20

[DeviceA-10GE1/0/2] quit

[DeviceA] interface vlanif 20

[DeviceA-Vlanif20] ip address 192.168.2.10 24

[DeviceA-Vlanif20] quit

配置AAA。

# 创建并配置RADIUS服务器模板“rd1”。

[DeviceA] radius-server template rd1

[DeviceA-radius-rd1] radius-server authentication 192.168.2.30 1812

[DeviceA-radius-rd1] radius-server accounting 192.168.2.30 1813

[DeviceA-radius-rd1] radius-server shared-key cipher Huawei@123456789

[DeviceA-radius-rd1] quit

# 创建AAA认证方案“abc”并配置认证方式为RADIUS。

[DeviceA] aaa

[DeviceA-aaa] authentication-scheme abc

[DeviceA-aaa-authen-abc] authentication-mode radius

[DeviceA-aaa-authen-abc] quit

# 创建AAA计费方案“scheme2”并配置计费方式为RADIUS。

[DeviceA-aaa] accounting-scheme scheme2

[DeviceA-aaa-accounting-scheme2] accounting-mode radius

[DeviceA-aaa-accounting-scheme2] accounting realtime 15

[DeviceA-aaa-accounting-scheme2] quit

# 创建认证域“example.com”，并在其上绑定AAA认证方案“abc”、计费方案“scheme2”与RADIUS服务器模板“rd1”。

[DeviceA-aaa] domain example.com

[DeviceA-aaa-domain-example.com] authentication-scheme abc

[DeviceA-aaa-domain-example.com] accounting-scheme scheme2

[DeviceA-aaa-domain-example.com] radius-server rd1

[DeviceA-aaa-domain-example.com] quit

[DeviceA-aaa] quit

# 测试用户是否能够通过RADIUS模板的认证。（已在RADIUS服务器上配置了测试用户test1，用户密码test1@123）

[DeviceA] test-aaa test1 test1@123 radius-template rd1

Info: Account test succeeded.

配置Portal服务器模板。

请确保Portal服务器地址、URL地址、端口号、共享密钥配置正确，并且和Portal服务器保持一致。

[DeviceA] web-auth-server server-source all-interface

[DeviceA] web-auth-server abc

[DeviceA-web-auth-server-abc] server-ip 192.168.2.30

[DeviceA-web-auth-server-abc] shared-key cipher YsHsjx_202206

[DeviceA-web-auth-server-abc] port 50200

[DeviceA-web-auth-server-abc] url http://192.168.2.30:8080/portal

[DeviceA-web-auth-server-abc] quit

配置Portal接入模板“portal1”，并绑定Portal服务器模板。

[DeviceA] portal-access-profile name portal1

[DeviceA-portal-access-profile-portal1] web-auth-server abc

[DeviceA-portal-access-profile-portal1] quit

配置认证模板“p1”。

[DeviceA] authentication-profile name p1

[DeviceA-authentication-profile-p1] portal-access-profile portal1

[DeviceA-authentication-profile-p1] access-domain example.com force

[DeviceA-authentication-profile-p1] quit

在接口10GE1/0/1上绑定认证模板“p1”，使能Portal认证。

[DeviceA] interface 10ge 1/0/1

[DeviceA-10GE1/0/1] authentication-profile p1

[DeviceA-10GE1/0/1] quit

验证配置结果。

用户打开浏览器输入任意的网络地址后，将会被重定向到Portal认证页面。之后，用户可输入用户名和密码进行认证。

如果用户输入的用户名和密码验证正确，Portal认证页面会显示认证成功信息。用户即可访问网络。

用户上线后，管理员可在设备上执行命令display access-user access-type portal查看在线Portal认证用户信息。

配置脚本

DeviceA的配置脚本

#
sysname DeviceA
#
vlan batch 10 20
#
aaa
 authentication-scheme abc    
  authentication-mode radius    
 accounting-scheme scheme2
  accounting-mode radius
  accounting realtime 15
 domain example.com            
  authentication-scheme abc     
  accounting-scheme scheme2
  radius-server rd1      
#  
radius-server template rd1 
 radius-server shared-key cipher %+%##!!!!!!!!!"!!!!"!!!!*!!!!SKvr${[Fs.3t@/5k|BENhEu>W(3\~XG!!D;!!!!!2jp5!!!!!!A!!!!3"pK8qv!}9M#(4$jGWvQF/R[CNe/+:W^jk8HUe&W%+%#
 radius-server authentication 192.168.2.30 1812 weight 80
 radius-server accounting 192.168.2.30 1813 weight 80
#
web-auth-server server-source all-interface
web-auth-server abc
 server-ip 192.168.2.30
 port 50200
 shared-key cipher %^%#4~ZXE3]6@BXu;2;aw}hA{rSb,@"L@T#e{%6G1AiD%^%#
 url http://192.168.2.30:8445/portal
#
portal-access-profile name portal1
 web-auth-server abc
#
authentication-profile name p1
 portal-access-profile portal1
 access-domain example.com force
#
interface Vlanif10
 ip address 192.168.1.10 255.255.255.0
#
interface Vlanif20
 ip address 192.168.2.10 255.255.255.0
#
interface 10GE1/0/1
 port link-type trunk
 port trunk allow-pass vlan 10
 authentication-profile p1
#
interface 10GE1/0/2
 port link-type access
 port default vlan 20
#
return