华为举例：配置IPv6 Portal认证（使用Portal协议）

华为举例：配置IPv6 Portal认证（使用Portal协议）

组网需求

如图3-58所示，某公司访客区内用户通过DeviceA接入公司内部网络。如果该公司内存在非法接入和非授权访问的状况，将会导致企业业务系统的破坏以及关键信息资产的泄露，因此管理员希望DeviceA能够对用户的网络访问权限进行控制，以保证公司内网的安全。

根据访客流动性大的特点，使用Portal认证并通过RADIUS服务器验证用户的身份。

图3-58 配置IPv6 Portal认证组网图

本例中Interface1、Interface2分别代表10GE1/0/1、10GE1/0/2。

操作步骤

操作步骤

创建VLAN并配置接口允许通过的VLAN，保证网络通畅。

# 创建VLAN10、VLAN20。

<HUAWEI> system-view

[HUAWEI] sysname DeviceA

[DeviceA] vlan batch 10 20

# 配置DeviceA与用户连接的接口10GE1/0/1为Access类型接口，并将其加入VLAN10。

[DeviceA] interface 10ge 1/0/1 

[DeviceA-10GE1/0/1] port link-type access

[DeviceA-10GE1/0/1] port default vlan 10 

[DeviceA-10GE1/0/1] quit

[DeviceA] interface vlanif 10

[DeviceA-Vlanif10] ipv6 enable

[DeviceA-Vlanif10] ipv6 address fc00:2::1 112

[DeviceA-Vlanif10] ipv6 nd ra halt disable

[DeviceA-Vlanif10] quit

# 配置DeviceA连接RADIUS服务器的接口10GE1/0/2为Access类型接口，并将其加入VLAN20。

[DeviceA] interface 10ge 1/0/2

[DeviceA-10GE1/0/2] port link-type access

[DeviceA-10GE1/0/2] port default vlan 20 

[DeviceA-10GE1/0/2] quit

[DeviceA] interface vlanif 20

[DeviceA-Vlanif20] ip address 192.168.2.10 24

[DeviceA-Vlanif20] ipv6 enable

[DeviceA-Vlanif20] ipv6 address fc00:3::1 112

[DeviceA-Vlanif20] ipv6 nd ra halt disable

[DeviceA-Vlanif20] quit

配置DeviceA到服务器区的路由（假设与DeviceA相连的上游设备的IP地址为192.168.2.1、FC00:3::2）。

[DeviceA] ip route-static 192.168.3.0 255.255.255.0 192.168.2.1

[DeviceA] ipv6 route-static fc00:1:: 112 fc00:3::2

配置AAA。

# 创建并配置RADIUS服务器模板“rd1”。

[DeviceA] radius-server template rd1

[DeviceA-radius-rd1] radius-server authentication fc00:1::1 1812

[DeviceA-radius-rd1] radius-server accounting fc00:1::1 1813

[DeviceA-radius-rd1] radius-server shared-key cipher YsHsjx_202206139

[DeviceA-radius-rd1] quit

# 配置RADIUS方式的认证方案。

[DeviceA] aaa

[DeviceA-aaa] authentication-scheme abc

[DeviceA-aaa-authen-abc] authentication-mode radius

[DeviceA-aaa-authen-abc] quit

# 配置RADIUS方式的计费方案。

[DeviceA-aaa] accounting-scheme scheme1 

[DeviceA-aaa-accounting-scheme1] accounting-mode radius 

[DeviceA-aaa-accounting-scheme1] accounting realtime 15 

[DeviceA-aaa-accounting-scheme1] quit 

# 创建认证域“example.com”，并在其上绑定AAA认证方案、计费方案和RADIUS服务器模板。

[DeviceA-aaa] domain example.com

[DeviceA-aaa-domain-example.com] authentication-scheme abc

[DeviceA-aaa-domain-example.com] accounting-scheme scheme1

[DeviceA-aaa-domain-example.com] radius-server rd1

[DeviceA-aaa-domain-example.com] quit

[DeviceA-aaa] quit

# 测试用户是否能够通过RADIUS模板的认证。（已在RADIUS服务器上配置了测试用户test，用户密码YsHsjx_2022061）

[DeviceA] test-aaa test YsHsjx_2022061 radius-template rd1

Info: Account test succeeded.

配置Portal认证。

# 配置Portal服务器模板“abc”。

[DeviceA] web-auth-server abc

[DeviceA-web-auth-server-abc] server-source ip-address 192.168.2.10 

[DeviceA-web-auth-server-abc] server-ip 192.168.3.30

[DeviceA-web-auth-server-abc] server-ip ipv6 fc00:1::1

[DeviceA-web-auth-server-abc] port 50200

[DeviceA-web-auth-server-abc] url http://[FC00:1::1]:8445/portal

[DeviceA-web-auth-server-abc] shared-key cipher YsHsjx_202206

[DeviceA-web-auth-server-abc] quit

请确保设备配置的端口号与Portal服务器使用的端口号保持一致。

# 配置Portal接入模板“web1”。

[DeviceA] portal-access-profile name web1

[DeviceA-portal-access-profile-web1] web-auth-server abc

[DeviceA-portal-access-profile-web1] quit

# 配置认证模板“p1”，并在其上绑定Portal接入模板“web1”、指定认证模板下用户的强制认证域为“example.com”、指定用户接入模式为多用户单独认证接入模式、最大接入用户数为100。

[DeviceA] authentication-profile name p1

[DeviceA-authen-profile-p1] portal-access-profile web1

[DeviceA-authen-profile-p1] access-domain example.com force

[DeviceA-authen-profile-p1] authentication mode multi-authen max-user 100

# 在接口10GE1/0/1上绑定认证模板“p1”，使能Portal认证。

[DeviceA] interface 10ge 1/0/1

[DeviceA-10GE1/0/1] authentication-profile p1

[DeviceA-10GE1/0/1] quit

验证配置结果。

用户打开浏览器输入任意的网络地址后，将会被重定向到Portal认证页面。之后，用户可输入用户名和密码进行认证。

如果用户输入的用户名和密码验证正确，Portal认证页面会显示认证成功信息。用户即可访问网络。

用户上线后，管理员可在设备上执行命令display access-user access-type portal查看在线Portal认证用户信息。

配置文件

DeviceA的配置文件

#
sysname DeviceA
#
vlan batch 10 20 
#
authentication-profile name p1
 portal-access-profile web1
 access-domain example.com force
 authentication mode multi-authen max-user 100
#
radius-server template rd1
 radius-server authentication fc00:1::1 1812
 radius-server accounting fc00:1::1 1813
 radius-server shared-key cipher %^%#b<4UC_J36%l@*;E]1\s6fJIY85mHu68SrhKtU%"B%^%#
#
web-auth-server abc
 server-source ip-address 192.168.2.10
 server-ip 192.168.3.30
 server-ip ipv6 fc00:1::1
 port 50200
 url http://[FC00:1::1]:8445/portal
 shared-key cipher %^%#S/:6+:&#J0Sj|H:P2"MOcOh<!DZqX'kF.uSH'~Q'%^%#
#
portal-access-profile name web1
 web-auth-server abc
#
interface 10GE 1/0/1
 port link-type access
 port default vlan 10
 authentication-profile p1
#
interface 10GE 1/0/2
 port link-type access
 port default vlan 20
#
interface vlanif 10
 ipv6 enable
 ip address 192.168.1.10 255.255.255.0
 ipv6 address fc00:2::1 112
 ipv6 nd ra halt disable
#
interface vlanif 20
 ipv6 enable
 ip address 192.168.2.10 255.255.255.0
 ipv6 address fc00:3::1 112
 ipv6 nd ra halt disable
#
aaa
 authentication-scheme abc
  authentication-mode radius
 accounting-scheme scheme1 
  accounting-mode radius 
  accounting realtime 15
 domain example.com
  authentication-scheme abc
  accounting-scheme scheme1
  radius-server rd1
#
ip route-static 192.168.3.0 255.255.255.0 192.168.2.1
ipv6 route-static fc00:1:: 112 fc00:3::2
#
return