华为无线AC与Cisco ISE服务器对接配置（MAC认证）
MAC认证简介MAC认证是网络接入控制方案（NAC）中的一种，它是基于接口和MAC地址对用户的网络访问权限进行控制的认证方法，并且不需要用户安装任何客户端软件。通过MAC认证能够实现保护企业内网的安全性的目的。MAC认证无需用户终端安装客户端，但是却需要在服务器上登记MAC地址，管理较为复杂。相较而言，NAC中的802.1X认证方式安全性高，但是由于用户终端需要安装客户端，部署不灵活；而Portal认证方式同样不需要客户端并且部署灵活，但是安全性不高。MAC认证一般适用于打印机、传真机等哑终端接入认证的场景。举例适用的产品和版本表2-7举例适用的产品和版本
产品版本
华为ACV200R007C10及之后版本
Cisco ISE2.0.0.306
业务需求无线网络打印机、无线网络电话等哑终端接入WLAN网络，由于无法安装认证客户端，使用MAC认证。
组网需求
[*]AC组网方式：旁挂二层组网。
[*]DHCP部署方式：AC作为DHCP服务器为AP分配IP地址，SwitchB作为DHCP服务器为STA分配IP地址。
[*]业务数据转发方式：直接转发。
[*]WLAN认证方式：开放式系统认证。
图2-3配置MAC认证组网图
https://download.huawei.com/mdl/image/download?uuid=ab6b0091fdeb4e8a846f7d11444ac96d
数据规划表2-8AC数据规划表
配置项数据
管理VLANVLAN100
业务VLANVLAN101
AC的源接口VLANIF100：10.23.100.1/24
DHCP服务器AC作为DHCP服务器为AP分配IP地址，SwitchB作为DHCP服务器为STA分配IP地址
AP的IP地址池10.23.100.2～10.23.100.254/24
STA的IP地址池10.23.101.2～10.23.101.254/24
RADIUS认证参数
[*]RADIUS服务器模板名称：wlan-net
[*]IP地址：10.23.103.1
[*]认证端口号：1812
[*]共享密钥：huawei@123
[*]认证方案：wlan-net
MAC接入模板名称：wlan-net
认证模板
[*]名称：wlan-net
[*]引用模板和认证方案：MAC接入模板wlan-net、RADIUS服务器模板wlan-net、认证方案wlan-net
AP组
[*]名称：ap-group1
[*]引用模板：VAP模板wlan-net、域管理模板default
域管理模板
[*]名称：default
[*]国家码：中国
SSID模板
[*]名称：wlan-net
[*]SSID名称：wlan-net
安全模板
[*]名称：wlan-net
[*]安全策略：开放式系统认证
VAP模板
[*]名称：wlan-net
[*]转发模式：直接转发
[*]业务VLAN：VLAN101
[*]引用模板：SSID模板wlan-net、安全模板wlan-net、认证模板wlan-net
表2-9Cisco ISE数据规划
配置项数据
终端MAC地址（请以实际设备为准）
用户账号账号：huawei密码：huawei123
设备模板Huawei
设备名称AC6605
设备IP地址10.23.102.2/32
RADIUS共享密钥huawei@123
认证协议
[*]MS-CHAPv2
[*]PEAP
[*]CHAP（仅用于test-aaa测试）
配置思路
[*]配置网络互通。
[*]配置AC和SwitchB分别给AP和STA分配IP地址。
[*]配置AP上线。
[*]配置WLAN业务参数。
[*]配置AC上的MAC认证。
[*]配置Cisco ISE服务器。
配置注意事项
[*]建议在与AP直连的设备接口上配置端口隔离，如果不配置端口隔离，尤其是业务数据转发方式采用直接转发时，可能会在VLAN内形成大量不必要的广播报文，导致网络阻塞，影响用户体验。
[*]AC侧配置的RADIUS共享密钥需要和服务器侧保持一致。
操作步骤
配置网络互通
# 配置接入交换机SwitchA的接口GE0/0/1和GE0/0/2加入VLAN100和VLAN101。
<HUAWEI> system-view
sysname SwitchA
vlan batch 100 101
interface gigabitethernet 0/0/1
port link-type trunk
port trunk pvid vlan 100
port trunk allow-pass vlan 100 101
port-isolate enable
quit
interface gigabitethernet 0/0/2
port link-type trunk
port trunk allow-pass vlan 100 101
quit
# 配置汇聚交换机SwitchB的接口GE0/0/1加入VLAN100和VLAN101，GE0/0/2加入VLAN100和VLAN102，GE0/0/3加入VLAN103，GE0/0/4加入VLAN104，创建VLANIF102、VLANIF103和VLANIF104接口，并配置下一跳为Router的缺省路由。
<HUAWEI> system-view
sysname SwitchB
vlan batch 100 to 104
interface gigabitethernet 0/0/1
port link-type trunk
port trunk allow-pass vlan 100 101
quit
interface gigabitethernet 0/0/2
port link-type trunk
port trunk allow-pass vlan 100 102
quit
interface gigabitethernet 0/0/3
port link-type trunk
port trunk pvid vlan 103
port trunk allow-pass vlan 103
quit
interface gigabitethernet 0/0/4
port link-type trunk
port trunk pvid vlan 104
port trunk allow-pass vlan 104
quit
interface vlanif 102
ip address 10.23.102.1 24
quit
interface vlanif 103
ip address 10.23.103.2 24
quit
interface vlanif 104
ip address 10.23.104.1 24
quit
ip route-static 0.0.0.0 0.0.0.0 10.23.104.2
# 配置AC的接口GE0/0/1加入VLAN100和VLAN102，创建VLANIF102接口，并配置指向RADIUS服务器的静态路由。
<AC6605> system-view
sysname AC
vlan batch 100 101 102
interface gigabitethernet 0/0/1
port link-type trunk
port trunk allow-pass vlan 100 102
quit
interface vlanif 102
ip address 10.23.102.2 24
quit
ip route-static 10.23.103.0 24 10.23.102.1
# 配置Router的接口GE0/0/1的IP地址，并配置指向STA网段的静态路由。
<Huawei> system-view
sysname Router
interface gigabitethernet 0/0/1
ip address 10.23.104.2 24
quit
ip route-static 10.23.101.0 24 10.23.104.1
配置AC作为DHCP服务器为AP分配IP地址，SwitchB作为DHCP服务器为STA分配IP地址
# 在AC上配置VLANIF100接口为AP提供IP地址。
dhcp enable
interface vlanif 100
ip address 10.23.100.1 24
dhcp select interface
quit
# 在SwitchB上配置VLANIF101接口为STA提供IP地址。
DNS服务器地址请根据实际需要配置。常用配置方法如下：
接口地址池场景，需要在VLANIF接口视图下执行命令dhcp server dns-list ip-address &<1-8>。
全局地址池场景，需要在IP地址池视图下执行命令dns-list ip-address &<1-8>。
dhcp enable
interface vlanif 101
ip address 10.23.101.1 24
dhcp select interface
quit
配置AP上线
# 创建AP组，用于将相同配置的AP都加入同一AP组中。
wlan
ap-group name ap-group1
quit
# 创建域管理模板，在域管理模板下配置AC的国家码并在AP组下引用域管理模板。
regulatory-domain-profile name default
country-code cn
quit
ap-group name ap-group1
regulatory-domain-profile default
Warning: Modifying the country code will clear channel, power and antenna gain configurations of the radio and reset the AP. Continu
e?:y
quit
quit
# 配置AC的源接口。
capwap source interface vlanif 100
# 在AC上离线导入AP，并将AP加入AP组“ap-group1”中。假设AP的MAC地址为60de-4476-e360，并且根据AP的部署位置为AP配置名称，便于从名称上就能够了解AP的部署位置。例如MAC地址为60de-4476-e360的AP部署在1号区域，命名此AP为area_1。
ap auth-mode命令缺省情况下为MAC认证，如果之前没有修改其缺省配置，可以不用执行ap auth-mode mac-auth。
举例中使用的AP为AP5030DN，具有射频0和射频1两个射频。AP5030DN的射频0为2.4GHz射频，射频1为5GHz射频。
wlan
ap auth-mode mac-auth
ap-id 0 ap-mac 60de-4476-e360
ap-name area_1
ap-group ap-group1
Warning: This operation may cause AP reset. If the country code changes, it will clear channel, power and antenna gain configuration
s of the radio, Whether to continue? :y
quit
# 将AP上电后，当执行命令display ap all查看到AP的“State”字段为“nor”时，表示AP正常上线。
display ap all
Total AP information:
nor: normal
-------------------------------------------------------------------------------------------------
ID MAC Name Group IP Type State STA Uptime ExtraInfo
-------------------------------------------------------------------------------------------------
0 60de-4476-e360 area_1 ap-group1 10.23.100.254 AP5030DN nor 0 10S -
-------------------------------------------------------------------------------------------------
Total: 1
配置AP射频的信道和功率
射频的信道和功率自动调优功能默认开启，如果不关闭此功能则会导致手动配置不生效。举例中AP射频的信道和功率仅为示例，实际配置中请根据AP的国家码和网规结果进行配置。
# 关闭AP射频0的信道和功率自动调优功能，并配置AP射频0的信道和功率。
ap-id 0
radio 0
calibrate auto-channel-select disable
calibrate auto-txpower-select disable
channel 20mhz 6
Warning: This action may cause service interruption. Continue?y
eirp 127
quit
# 关闭AP射频1的信道和功率自动调优功能，并配置AP射频1的信道和功率。
radio 1
calibrate auto-channel-select disable
calibrate auto-txpower-select disable
channel 20mhz 149
Warning: This action may cause service interruption. Continue?y
eirp 127
quit
quit
在AC上配置MAC认证
配置RADIUS认证参数
# 创建RADIUS服务器模板。
quit
radius-server template wlan-net
radius-server authentication 10.23.103.1 1812
radius-server shared-key cipher huawei@123
radius-attribute set Service-Type 10 auth-type mac
quit
# 创建RADIUS方式的认证方案。
aaa
authentication-scheme wlan-net
authentication-mode radius
quit
quit
配置MAC接入模板
MAC接入模板中，MAC认证用户的用户名和密码默认均为不带分隔符“-”的MAC地址。
# 创建名为“wlan-net”的MAC接入模板。
mac-access-profile name wlan-net
quit
创建名为“wlan-net”的认证模板，并绑定MAC接入模板、认证方案和RADIUS服务器模板
authentication-profile name wlan-net
mac-access-profile wlan-net
authentication-scheme wlan-net
radius-server wlan-net
quit
配置WLAN业务参数
# 创建名为“wlan-net”的安全模板，并配置安全策略。缺省情况下，安全策略为open方式的开放认证。
wlan
security-profile name wlan-net
quit
# 创建名为“wlan-net”的SSID模板，并配置SSID名称为“wlan-net”。
ssid-profile name wlan-net
ssid wlan-net
quit
# 创建名为“wlan-net”的VAP模板，配置业务数据直接转发、业务VLAN，并且引用安全模板、认证模板和SSID模板。
vap-profile name wlan-net
forward-mode direct-forward
service-vlan vlan-id 101
security-profile wlan-net
authentication-profile wlan-net
ssid-profile wlan-net
quit
# 配置AP组引用VAP模板，AP上射频0和射频1都使用VAP模板“wlan-net”的配置。
ap-group name ap-group1
vap-profile wlan-net wlan 1 radio 0
vap-profile wlan-net wlan 1 radio 1
quit
quit
配置Cisco ISE
登录Cisco ISE服务器。
# 在浏览器中输入Cisco ISE的访问地址，地址格式为https://Cisco ISE IP，其中Cisco ISE IP是Cisco ISE服务器的IP地址。
# 在登录页面中，输入用户名和密码进行登录。
添加终端。
# 依次选择“Administration > Identity Management > Identities > EndPoints”，在右侧操作区域单击“Add”，设置MAC地址，单击“Save”。
[*]
[*]
https://download.huawei.com/mdl/image/download?uuid=30674e33288a4602a6d628307705606f
[*]添加AC设备，使Cisco ISE可以和AC联动。
# 依次选择“Administration > Network Resources > Network Device Profiles”，在左侧操作区域单击“Add”，新建网络设备模板“Huawei”，单击“Submit”。
https://download.huawei.com/mdl/image/download?uuid=30d801fdc2604045a0d31d61164e577d
# 依次选择“Administration > Network Resources > Network Devices”，在右侧操作区域单击“Add”，配置设备名称为“AC6605”，IP地址为“10.23.102.2/32”，RADIUS共享密钥为“huawei@123”，单击“Submit”。
https://download.huawei.com/mdl/image/download?uuid=5bc756c342784ca8a2d1ece051ce9825
[*]配置认证使用的协议。
# 依次选择“Policy > Policy Elements > Results > Authentication > Allowed Protocols”，勾选“Default Network Access”，单击“Edit”。
https://download.huawei.com/mdl/image/download?uuid=7fae8b17716c4e70a21467a09374267d
# 勾选“Allow CHAP”、“Allow MS-CHAPv2”和“Allow PEAP”，其他参数使用缺省配置即可，单击“Save”。https://download.huawei.com/mdl/image/download?uuid=8345fad7bb31427aba3f3c1cbb5a2e10Cisco ISE默认关闭CHAP认证选项，为了后续在AC上使用CHAP认证进行test-aaa测试，需要在服务器上选择认证协议CHAP。
https://download.huawei.com/mdl/image/download?uuid=c0ef1ae01f60446a90dcfcb62bb14951
在AC上测试用户是否能够通过RADIUS认证
test-aaa huawei huawei123 radius-template wlan-net
Info: Account test succeed.
检查配置结果
哑终端关联到无线网络后，自动完成认证，认证成功后能够访问网络。
哑终端接入后，在AC上执行命令display access-user access-type mac-authen，可以查看到认证类型为“mac-authen”的用户中，名为“huawei”的用户已成功上线。
display access-user access-type mac-authen
------------------------------------------------------------------------------
UserID Username IP address MAC Status
------------------------------------------------------------------------------
460 huawei 10.23.101.254 8000-6e74-e78a Success
------------------------------------------------------------------------------
Total: 1, printed: 1
配置文件
SwitchA的配置文件
#
sysname SwitchA
#
vlan batch 100 to 101
#
interface GigabitEthernet0/0/1
port link-type trunk
port trunk pvid vlan 100
port trunk allow-pass vlan 100 to 101
port-isolate enable group 1
#
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 100 to 101
#
return
SwitchB的配置文件
#
sysname SwitchB
#
vlan batch 100 to 104
#
dhcp enable
#
interface Vlanif101
ip address 10.23.101.1 255.255.255.0
dhcp select interface
#
interface Vlanif102
ip address 10.23.102.1 255.255.255.0
#
interface Vlanif103
ip address 10.23.103.2 255.255.255.0
#
interface Vlanif104
ip address 10.23.104.1 255.255.255.0
#
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 100 to 101
#
interface GigabitEthernet0/0/2
port link-type trunk
port trunk allow-pass vlan 100 102
#
interface GigabitEthernet0/0/3
port link-type trunk
port trunk pvid vlan 103
port trunk allow-pass vlan 103
#
interface GigabitEthernet0/0/4
port link-type trunk
port trunk pvid vlan 104
port trunk allow-pass vlan 104
#
ip route-static 0.0.0.0 0.0.0.0 10.23.104.2
#
return
Router的配置文件
#
sysname Router
#
interface GigabitEthernet0/0/1
ip address 10.23.104.2 255.255.255.0
#
ip route-static 10.23.101.0 255.255.255.0 10.23.104.1
#
return
AC的配置文件
#
sysname AC
#
vlan batch 100 to 102
#
authentication-profile name wlan-net
mac-access-profile wlan-net
authentication-scheme wlan-net
radius-server wlan-net
#
dhcp enable
#
radius-server template wlan-net
radius-server shared-key cipher %^%#*7d1;XNof/|Q0:DsP!,W51DIYPx}`AARBdJ'0B^$%^%#
radius-server authentication 10.23.103.1 1812 weight 80
radius-attribute set Service-Type 10 auth-type mac
#
aaa
authentication-scheme wlan-net
authentication-mode radius
#
interface Vlanif100
ip address 10.23.100.1 255.255.255.0
dhcp select interface
#
interface Vlanif102
ip address 10.23.102.2 255.255.255.0
#
interface GigabitEthernet0/0/1
port link-type trunk
port trunk allow-pass vlan 100 102
#
ip route-static 10.23.103.0 255.255.255.0 10.23.102.1
#
capwap source interface vlanif100
#
wlan
security-profile name wlan-net
ssid-profile name wlan-net
ssid wlan-net
vap-profile name wlan-net
service-vlan vlan-id 101
ssid-profile wlan-net
security-profile wlan-net
authentication-profile wlan-net
regulatory-domain-profile name default
ap-group name ap-group1
radio 0
vap-profile wlan-net wlan 1
radio 1
vap-profile wlan-net wlan 1
ap-id 0 type-id 35 ap-mac 60de-4476-e360 ap-sn 210235554710CB000042
ap-name area_1
ap-group ap-group1
radio 0
channel 20mhz 6
eirp 127
calibrate auto-channel-select disable
calibrate auto-txpower-select disable
radio 1
channel 20mhz 149
eirp 127
calibrate auto-channel-select disable
calibrate auto-txpower-select disable
#
mac-access-profile name wlan-net
#
return
页:
[1]