华为H3C实战 | 第21章 企业级无线认证

   ① 认证（Authentication）：你是谁？
   ② 授权（Authorization）：你能干什么？（分配哪个 VLAN、下发什么 ACL）
   ③ 计费（Accounting）：你用了多少？（上网时长、流量）

         [终端] <---EAPOL---> [AP/AC] <---RADIUS---> [RADIUS 服务器]
       （申请进门）          （中转/门卫）            （真正查名单的人）

   [终端]                    [AP/AC]                  [RADIUS 服务器]
      |                         |                            |
      |--EAPOL-Start----------->|                            |
      |<--EAP-Request/Identity--|                            |
      |--EAP-Response/Identity->|                            |
      |                         |--Access-Request(EAP-Msg)--->|
      |                         |                            | 查用户
      |                         |<--Access-Challenge(EAP)----|
      |<--EAP 多轮交互----------|                            |
      |--EAP 多轮交互---------->|--- RADIUS 多轮 ----------->|
      |                         |                            | 验证通过
      |                         |<--Access-Accept(EAP-Success,-
      |                         |   VLAN/ACL 等授权属性)      |
      |<--EAP-Success-----------|                            |
      |                         |--Accounting-Request(Start)->|
      |                         |                            |
      |==== 4 次握手，安装密钥 ===|                            |
      |<=======================>|                            |
      |==== 数据帧（加密）======>|                            |
      |                         |                            |
      |（下线时）               |--Accounting-Request(Stop)-->|

   ① 终端连上 SSID，拿到 IP（DHCP 不受限制）
   ② 终端第一次访问外网，AC/网关把 HTTP 请求重定向到 Portal 登录页
   ③ 终端在登录页输入手机号/账号密码
   ④ Portal 服务器把凭据发给 RADIUS 校验
   ⑤ 校验通过，AC 给终端下发授权（放通流量）
   ⑥ 终端被踢回真实网站，正常上网

   [domain: acme.com]                     ← 域：按用户名后缀区分走哪套 AAA
        │
        ├── authentication-scheme: radius-auth    ← 认证方案：说"用 RADIUS 认证"
        │        └── radius-server wlan-radius    ← 指向 RADIUS 模板
        │
        └── radius-server template: wlan-radius   ← RADIUS 模板：服务器 IP、端口、密钥
                 └── RADIUS 服务器 10.200.1.50:1812/1813

   [ISP domain: acme]                    ← ISP 域
        │
        └── authentication default radius-scheme wlan-radius   ← 默认认证方案指向 RADIUS
                 └── [radius scheme: wlan-radius]              ← RADIUS 方案
                          └── primary authentication 10.200.1.50:1812

   访客 VLAN 20 (192.168.20.0/24)
        |
        |  ACL 3000: deny 目的 192.168.0.0/16, deny 10.0.0.0/8, permit any
        v
   [核心交换机三层转发]
        |
        +--> 员工 VLAN 10 (192.168.10.0/24)   ← 被 ACL 拒绝
        +--> 互联网 (经出口路由器 NAT)          ← 放行

# 创建高级 ACL 3000：拒绝访客访问内网
acl number 3000
 # 拒绝访问 192.168.0.0/16
 rule 5 deny ip destination 192.168.0.0 0.0.255.255
 # 拒绝访问 10.0.0.0/8
 rule 10 deny ip destination 10.0.0.0 0.255.255.255
 # 拒绝访问 172.16.0.0/12
 rule 15 deny ip destination 172.16.0.0 0.15.255.255
 # 其余放行（去互联网）
 rule 20 permit ip
 quit

# 把 ACL 应用到访客 VLAN 的三层接口入方向
interface Vlanif20
 traffic-filter inbound acl 3000
 quit

# 创建高级 ACL 3000
acl advanced 3000
 rule 5 deny ip destination 192.168.0.0 0.0.255.255
 rule 10 deny ip destination 10.0.0.0 0.255.255.255
 rule 15 deny ip destination 172.16.0.0 0.15.255.255
 rule 20 permit ip
 quit

# 应用到访客 VLAN 接口入方向
interface Vlan-interface20
 packet-filter 3000 inbound
 quit

   [终端] 提示"无法连接" / "身份验证失败"
        |
        |  ① 终端侧日志（Windows 事件查看器 / Android Wi-Fi 日志）
        v
   [AC/AP] 是否有该终端的关联记录？
        |
        |  ② AC 侧：display station all / 日志里有没有 AUTH_FAIL
        v
   [RADIUS] 服务器日志里有没有这次请求？
        |
        |  ③ 服务器侧：Access-Request / Accept / Reject 的时间戳
        v
   结论落点

# 进入系统视图
system-view

# 设备名
sysname AC6005

# ---------- 第一步：RADIUS 服务器模板 ----------
radius-server template wlan-radius
 # 与 RADIUS 服务器约定的共享密钥（必须两边一致）
 radius-server shared-key cipher Radius@2026
 # 认证服务器：IP + 端口（标准 RADIUS 认证端口 1812）
 radius-server authentication 10.200.1.50 1812
 # 计费服务器：IP + 端口（标准 1813）
 radius-server accounting 10.200.1.50 1813
 # 认证失败时重试次数与超时
 radius-server retransmit 2
 radius-server timeout 5
 quit

# ---------- 第二步：AAA 视图 ----------
aaa

# 创建认证方案，指定用 RADIUS
authentication-scheme radius-auth
 authentication-mode radius
 # 认证失败后走本地认证（可选，方便紧急登录）
 authentication-mode radius local
 quit

# ---------- 第三步：创建域，绑定 RADIUS 模板 ----------
domain acme.com
 radius-server wlan-radius
 quit

# 缺省域（用户名不带 @xxx 时使用它）
domain default
 radius-server wlan-radius
 quit

# 退出 AAA 视图
quit

# ---------- 第四步：WLAN 侧安全模板启用 802.1X ----------
wlan

security-profile name wlan-1x
 # WPA2 企业版（802.1X）
 security wpa2 dot1x aes
 quit

# ---------- 第五步：创建 802.1X 接入模板 ----------
# 接入模板管"怎么认人"：EAP/PAP/CHAP、超时、重试次数
dot1x-access-profile name wlan-1x-access
 quit

# ---------- 第六步：创建认证模板，绑定接入模板与 AAA 方案 ----------
# 认证模板是"总调度"：绑哪个接入模板（802.1X/MAC/Portal）+ 用哪个 AAA 方案 + 认证域
authentication-profile name wlan-1x-auth

 # 1) 绑定 802.1X 接入模板（这一步决定"这个 VAP 用 802.1X 认证"）
 dot1x-access-profile wlan-1x-access

 # 2) 绑定 AAA 认证方案（上面第二步建的 radius-auth）
 authentication-scheme radius-auth

 # 3) 指定用户默认域（不配则用全局缺省域 default）
 access-domain acme.com
 quit

# ---------- 第七步：VAP 模板同时引用安全模板与认证模板 ----------
vap-profile name wlan-office
 security-profile wlan-1x
 # 认证模板必须在 VAP 模板下应用，NAC 才会对这个 VAP 的用户生效
 authentication-profile wlan-1x-auth
 quit

   security-profile（安全模板）       —— 管"空口怎么加密"：WPA2-802.1X-AES
                                          只管加密框架，不管谁来验身份
        +
   dot1x-access-profile（802.1X接入模板） —— 管"802.1X 怎么交互"：EAP/PAP/CHAP、超时、重试
        ↓ 被绑定
   authentication-profile（认证模板）   —— 管"总调度"：绑哪种接入模板 + 绑哪个 AAA 方案 + 哪个域
        ↓ 被引用
   vap-profile（VAP模板）              —— 只有在这一层同时引用，
                                          安全模板和认证模板才真正"合体"生效

# ---------- 第一步：创建 Portal 接入模板 ----------
# 注意：创建前要先配好 Portal 服务器模板（指向 Portal 服务器的 IP、密钥、端口）
portal-access-profile name wlan-portal-access
 quit

# ---------- 第二步：认证模板绑定 Portal 接入模板 ----------
authentication-profile name wlan-portal-auth
 portal-access-profile wlan-portal-access
 authentication-scheme radius-auth
 access-domain acme.com
 quit

# ---------- 第三步：VAP 模板应用认证模板 ----------
vap-profile name wlan-guest
 authentication-profile wlan-portal-auth
 quit

# ---------- 第一步：Portal 认证页面 URL 模板 ----------
url-template name url-template
 # Portal 认证页面的真实地址
 url http://10.23.200.1:8080/portal
 quit

# ---------- 第二步：Portal 服务器模板（管服务器 IP / 密钥 / 端口） ----------
web-auth-server web-auth-server
 # 外置 Portal 服务器的 IP
 server-ip 10.23.200.1
 # 与 Portal 服务器约定的共享密钥（必须一致）
 shared-key cipher YsHsjx_202206
 # 与 Portal 服务器约定的端口
 port 50200
 # 引用第一步的 URL 模板
 url-template url-template
 quit

# ---------- 第三步：Portal 接入模板，绑定服务器 ----------
portal-access-profile name portal-access
 # direct 表示二层 Portal 认证（三层用 layer3）
 web-auth-server web-auth-server direct
 quit

# V200R021C00 及之后：指定接收 Portal 报文的本机网关地址
portal web-authen-server server-source all-interface

# MAC + 802.1X 混合认证的认证模板写法
authentication-profile name wlan-mixed
 mac-access-profile wlan-mac-access
 dot1x-access-profile wlan-1x-access
 authentication-scheme radius-auth
 quit

   ┌──────────────────────────────────────────────────────────────┐
   │ ① 网络层                                                      │
   │    □ AC 能 ping 通 RADIUS 服务器 10.200.1.50                  │
   │    □ 中间防火墙放行 UDP 1812 / 1813                           │
   │    □ RADIUS 服务器白名单里加了 AC 的源地址                     │
   ├──────────────────────────────────────────────────────────────┤
   │ ② AC 侧 AAA                                                   │
   │    □ radius-server template 建好，IP 与端口正确               │
   │    □ shared-key 与服务器一字不差                              │
   │    □ authentication-scheme 指定 radius                        │
   │    □ domain acme.com 绑定了 radius 模板                       │
   │    □ domain default 也绑定了（否则不带后缀的用户名走不通）       │
   ├──────────────────────────────────────────────────────────────┤
   │ ③ AC 侧 WLAN                                                  │
   │    □ security-profile 里是 wpa2 dot1x aes                     │
   │    □ vap-profile 引用了这个 security-profile                  │
   │    □ ap-group 绑定了这个 vap-profile                          │
   │    □ display vap ssid 显示 ON                                  │
   ├──────────────────────────────────────────────────────────────┤
   │ ④ 服务器侧                                                    │
   │    □ 服务器支持终端将要使用的 EAP 方式（PEAP / TLS）           │
   │    □ 服务器证书有效、未过期                                    │
   │    □ 账号库可查、密码正确                                      │
   │    □ 授权属性（VLAN、ACL）已配置                              │
   ├──────────────────────────────────────────────────────────────┤
   │ ⑤ 验证                                                        │
   │    □ test-aaa 测试通过                                        │
   │    □ 真终端能连上并拿到授权 VLAN 的地址                        │
   │    □ 下线后服务器有计费 Stop 记录                              │
   └──────────────────────────────────────────────────────────────┘

# 进入系统视图
system-view

# 设备名
sysname WX3540H

# ---------- 第一步：RADIUS 方案 ----------
radius scheme wlan-radius
 # 认证服务器
 primary authentication 10.200.1.50 1812
 # 计费服务器
 primary accounting 10.200.1.50 1813
 # 共享密钥（与服务器一致）
 key authentication simple Radius@2026
 key accounting simple Radius@2026
 # 用户名格式：不带域名发送给服务器
 user-name-format without-domain
 quit

# ---------- 第二步：ISP 域 ----------
domain acme
 # 默认认证/授权/计费都用 radius scheme
 authentication default radius-scheme wlan-radius
 authorization default radius-scheme wlan-radius
 accounting default radius-scheme wlan-radius
 quit

# 缺省域
domain default
 authentication default radius-scheme wlan-radius
 quit

# ---------- 第三步：WLAN 侧启用 802.1X ----------
wlan service-template wlan-office
 # 密钥管理模式：802.1X
 akm mode dot1x
 # 设置 802.1X 认证方式
 # （具体命令与版本相关，见下方说明）
 service-template enable
 quit

# ---------- 第一段：Portal Web 服务器模板 ----------
portal web-server newpt
 # Portal 认证页面的 URL
 url http://2.2.2.100:8080/portal
 # 向 Portal 报文携带客户端 IP 的参数（按 Portal 服务器要求选）
 url-parameter wlanuserip source-address
 quit

# ---------- 第二段 + 第三段：服务模板上开 Portal 并引用服务器 ----------
wlan service-template st1
 ssid service
 vlan 200
 client forwarding-location ac

 # 安全部分照常配（Portal 通常在开放/PSK 之上叠加）
 akm mode psk
 preshared-key pass-phrase simple 12345678
 cipher-suite ccmp
 security-ie rsn

 # 开启 IPv4 Portal 认证，方式为直接认证（direct）
 portal enable method direct

 # 指定 Portal 用户的认证域
 portal domain dm1

 # 设置发给 Portal 服务器报文里的 BAS-IP 属性（Portal 2.0 必须携带）
 portal bas-ip 2.2.2.1

 # 引用 Portal Web 服务器
 portal apply web-server newpt

 service-template enable
 quit

# 查看 RADIUS 服务器模板
display radius-server configuration

----------------------------------------------------------------------
Radius Server-name              : wlan-radius
Authentication Server           : 10.200.1.50:1812
Accounting Server               : 10.200.1.50:1813
Shared-key                       : ******
Retransmit Times                : 2
Timeout Interval(sec)           : 5
----------------------------------------------------------------------

# 查看 AAA 配置概览
display aaa configuration

Domain Name            : acme.com
  Authentication Scheme : radius-auth
  Radius Server Template : wlan-radius

# 用测试账号直接验证 RADIUS 认证
test-aaa zhangsan@acme.com Test@123 radius-template wlan-radius

Info: The user zhangsan@acme.com obtained the IP address... success
Return message:
  Result    : Success
  ... 

# 查看 RADIUS 方案
display radius scheme wlan-radius

Radius scheme name         : wlan-radius
Primary Authentication     : 10.200.1.50:1812
Primary Accounting         : 10.200.1.50:1813

# 查看 ISP 域配置
display domain acme

Domain name              : acme
Authentication Scheme    : radius-scheme wlan-radius

   ① 终端连上 SSID，弹出"身份验证"对话框（Windows）或要求输入用户名密码（手机）
   ② 输入账号后能连上
   ③ 终端拿到授权 VLAN 的地址
   ④ 能上网

# H3C：查看在线客户端的详细认证信息
display wlan client verbose

Authentication method             : Open system
Security mode                     : RSN
AKM mode                          : 802.1X
Cipher suite                      : CCMP
User authentication mode          : 802.1X