48基于客户端的无线捕获典型配置举例.docx
- 文档编号:27942207
- 上传时间:2023-07-06
- 格式:DOCX
- 页数:18
- 大小:153.67KB
48基于客户端的无线捕获典型配置举例.docx
《48基于客户端的无线捕获典型配置举例.docx》由会员分享,可在线阅读,更多相关《48基于客户端的无线捕获典型配置举例.docx(18页珍藏版)》请在冰豆网上搜索。
48基于客户端的无线捕获典型配置举例
基于客户端的无线捕获典型配置举例
Copyright©2014杭州华三通信技术有限公司版权所有,保留一切权利。
非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,
并不得以任何形式传播。
本文档中的信息可能变动,恕不另行通知。
目录
1简介1
2配置前提1
3配置举例1
3.1组网需求1
3.2配置思路2
3.3配置注意事项2
3.4配置步骤2
3.4.1AC的配置2
3.4.2Switch的配置5
3.4.3AAAserver的配置6
3.5验证配置8
3.6配置文件9
4相关资料11
1简介
本文档介绍WLAN基于客户端的无线捕获报文记录的典型配置举例。
2配置前提
本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。
如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解AAA、802.1X和WLAN特性。
3配置举例
3.1组网需求
如图1所示,无线客户端首先在AP1上线并漫游至AP2。
要求:
∙对Client进行EAP中继方式的802.1X认证。
∙对Client和AC间的传输数据进行加密。
∙通过开启基于客户端的无线报文捕获功能,捕获客户端发送和接收到的与客户端上线或状态更新相关的管理、控制与数据报文。
∙将捕获的报文记录在office.dmp的文件中。
图1基于客户端的无线捕获典型配置组网图
3.2配置思路
∙由于部分802.1X客户端不支持与设备进行握手报文的交互,因此需要关闭设备的在线用户握手功能,避免该类型的在线用户因没有回应握手报文而被强制下线。
∙对于无线局域网来说,802.1X认证可以由客户端主动发起,或由无线模块发现用户后自动触发,不需要通过端口定期发送802.1X组播报文的方式来触发。
同时,组播触发报文会占用无线的通信带宽,因此建议无线局域网中的接入设备关闭802.1X组播触发功能。
∙为了防止用户通过恶意假冒其它域账号从本端口接入网络,配置端口的强制认证域。
∙为了对Client和AC间的传输数据进行加密,采用AES-CCMP加密套件。
3.3配置注意事项
∙目前,配置基于客户端的无线捕获的ACL时,设备只支持二层ACL,且只支持源MAC地址的匹配,不支持目地MAC匹配。
∙捕获到的报文将保存在AC的文件系统中,如果AC的存储空间小于2M,将无法继续保存。
∙配置AP的序列号时请确保该序列号与AP唯一对应,AP的序列号可以通过AP设备背面的标签获取。
∙由于端口安全特性通过多种安全模式提供了802.1X认证的扩展和组合应用,因此在无特殊组网要求的情况下,无线环境中通常使用端口安全特性。
3.4配置步骤
3.4.1AC的配置
(1)配置AC接口和路由信息
#创建VLAN100及其对应的VLAN接口,并为该接口配置IP地址。
AC将使用该接口的IP地址与AP建立LWAPP隧道。
[AC]vlan100
[AC-vlan100]quit
[AC]interfacevlan-interface100
[AC-Vlan-interface101]ipaddress137.100.0.124
[AC-Vlan-interface101]quit
#创建VLAN200作为ESS接口的缺省VLAN。
[AC]vlan200
[AC-vlan200]quit
#创建VLAN300作为Client接入的业务VLAN。
[AC]vlan300
[AC-vlan300]quit
#配置默认路由。
[AC]iproute-static0.0.0.00137.100.0.2
#配置AC与Switch连接的GigabitEthernet1/0/1接口的属性为trunk,禁止VLAN1通过,允许VLAN100、VLAN200和VLAN300通过。
[AC]interfaceGigabitEthernet1/0/1
[AC-GigabitEthernet1/0/1]portlink-typetrunk
[AC-GigabitEthernet1/0/1]porttrunkpermitvlan100200300
[AC-GigabitEthernet1/0/1]undoporttrunkpermitvlan1
[AC-GigabitEthernet1/0/1]quit
(2)配置802.1X认证服务
#使能端口安全。
[AC]port-securityenable
#配置802.1X用户的认证方式为EAP。
[AC]dot1xauthentication-methodeap
#创建RADIUS方案office。
[AC]radiusschemeoffice
#配置主认证AAA服务器的IP地址8.1.1.5,主计费AAA服务器的IP地址8.1.1.5。
[AC-radius-office]primaryauthentication8.1.1.5
[AC-radius-office]primaryaccounting8.1.1.5
#配置系统与AAA认证服务器交互报文时的共享密钥为123456789,与AAA计费服务器交互报文时的共享密钥为123456789。
[AC-radius-office]keyauthentication123456789
[AC-radius-office]keyaccounting123456789
#配置AC发送给AAA服务器的用户名不带ISP域名。
[AC-radius-office]user-name-formatwithout-domain
#配置AC发送至AAA服务器的报文使用的源IP地址为137.100.0.1。
[AC-radius-office]nas-ip137.100.0.1
[AC-radius-office]quit
#创建office域并进入其视图。
[AC]domainoffice
#为lan-access用户配置认证方案为RADIUS方案,方案名为office。
[AC-isp-office]authenticationlan-accessradius-schemeoffice
#为lan-access用户配置授权方案为RADIUS方案,方案名为office。
[AC-isp-office]authorizationlan-accessradius-schemeoffice
#为lan-access用户配置计费为none,不计费。
[AC-isp-office]accountinglan-accessnone
[AC-isp-office]quit
(3)配置无线服务
#创建WLAN-ESS1接口。
[AC]interfacewlan-ess1
#配置WLAN-ESS1接口类型为Hybrid类型。
[AC-WLAN-ESS1]portlink-typehybrid
#配置当前Hybrid端口的PVID为VLAN200,禁止VLAN1通过并允许VLAN200不带tag通过。
[AC-WLAN-ESS1]undoporthybridvlan1
[AC-WLAN-ESS1]porthybridvlan200untagged
[AC-WLAN-ESS1]porthybridpvidvlan200
#配置WLAN-ESS1口开启MAC-VLAN功能。
[AC-WLAN-ESS1]mac-vlanenable
#在接口WLAN-ESS1上配置802.1X用户的强制认证域office。
[AC-WLAN-ESS1]dot1xmandatory-domainoffice
#配置端口安全模式为userlogin-secure-ext,并使能端口11key类型的密钥协商功能。
[AC-WLAN-ESS1]port-securityport-modeuserlogin-secure-ext
[AC-WLAN-ESS1]port-securitytx-key-type11key
#关闭802.1X多播触发功能和在线用户握手功能。
[AC-WLAN-ESS1]undodot1xmulticast-trigger
[AC-WLAN-ESS1]undodot1xhandshake
[AC-WLAN-ESS1]quit
#创建crypto类型的服务模板1。
[AC]wlanservice-template1crypto
#设置当前服务模板的SSID为service1。
[AC-wlan-st-1]ssidservice1
#将WLAN-ESS1接口绑定到服务模板1。
[AC-wlan-st-1]bindwlan-ess1
#配置加密套件为AES-CCMP。
[AC-wlan-st-1]cipher-suiteccmp
#设置在AP发送信标和探查响应帧时携带RSNIE,并使能服务模板。
[AC-wlan-st-1]security-iersn
[AC-wlan-st-1]service-templateenable
[AC-wlan-st-1]quit
(4)配置射频接口并绑定服务模板
#创建AP1的模板,名称为officeap1,型号名称选择WA2620E-AGN,并配置其序列号。
[AC]wlanapofficeap1modelWA2620E-AGN
[AC-wlan-ap-officeap1]serial-id21023529G007C000020
#设置AP1的radio2工作模式为dot11gn。
[AC-wlan-ap-officeap1]radio2typedot11gn
#将在AC上配置的服务模板1与射频2进行关联,Client通过服务模板1接入VLAN300。
[AC-wlan-ap-officeap1-radio-2]service-template1vlan-id300
#使能AP的radio2。
[AC-wlan-ap-officeap1-radio-2]radioenable
[AC-wlan-ap-officeap1-radio-2]quit
[AC-wlan-ap-officeap1]quit
#创建AP2的模板,名称为officeap2,型号名称选择WA2620E-AGN,并配置其序列号。
[AC]wlanapofficeap2modelWA2620E-AGN
[AC-wlan-ap-officeap2]serial-id21023529G007C000021
#设置AP2的radio2工作模式为dot11gn。
[AC-wlan-ap-officeap2]radio2typedot11gn
#将在AC上配置的服务模板1与射频2进行关联,Client通过服务模板1接入VLAN300。
[AC-wlan-ap-officeap2-radio-2]service-template1vlan-id300
#使能AP的radio2。
[AC-wlan-ap-officeap2-radio-2]radioenable
[AC-wlan-ap-officeap2-radio-2]quit
[AC-wlan-ap-officeap2]quit
(5)配置无线报文捕获
#配置ACL4000,匹配客户端的源MAC地址。
[AC]aclnumber4000
[AC-acl-ethernetframe-4000]rule1permitsource-mac0015-00ef-ac23ffff-ffff-ffff
[AC-acl-ethernetframe-4000]quit
#配置AP捕获报文的记录文件名为office。
[AC]wlancapturefile-nameoffice
#配置客户端报文捕获的匹配条件为ACL4000,并开启报文捕获。
[AC]wlancapturestartclientacl4000
3.4.2Switch的配置
#创建VLAN100和VLAN300,其中VLAN100用于转发AC和AP间LWAPP隧道内的流量,VLAN300为无线用户接入的VLAN。
[Switch]vlan100
[Switch-vlan100]quit
[Switch]vlan300
[Switch-vlan300]quit
#配置Switch与AC相连的GigabitEthernet1/0/1接口的属性为Trunk,当前Trunk口的PVID为100,允许VLAN100通过。
[Switch]interfaceGigabitEthernet1/0/1
[Switch-GigabitEthernet1/0/1]portlink-typetrunk
[Switch-GigabitEthernet1/0/1]porttrunkpermitvlan100
[Switch-GigabitEthernet1/0/1]porttrunkpvidvlan100
[Switch-GigabitEthernet1/0/1]quit
#配置Switch与AP1相连的GigabitEthernet1/0/2接口属性为Access,并允许VLAN100通过。
[Switch]interfaceGigabitEthernet1/0/2
[Switch-GigabitEthernet1/0/2]portlink-typeaccess
[Switch-GigabitEthernet1/0/2]portaccessvlan100
#使能PoE功能。
[Switch-GigabitEthernet1/0/2]poeenable
[Switch-GigabitEthernet1/0/2]quit
#配置Switch与AP2相连的GigabitEthernet1/0/3接口属性为Access,并允许VLAN100通过。
[Switch]interfaceGigabitEthernet1/0/3
[Switch-GigabitEthernet1/0/3]portlink-typeaccess
[Switch-GigabitEthernet1/0/3]portaccessvlan100
#使能PoE功能。
[Switch-GigabitEthernet1/0/3]poeenable
[Switch-GigabitEthernet1/0/3]quit
#在Switch上配置接口VLAN100的IP地址为137.100.0.2/24。
[Switch]interfacevlan-interface100
[Switch-Vlan-interface100]ipaddress137.100.0.2255.255.255.0
[Switch-Vlan-interface100]quit
3.4.3AAAserver的配置
下面以iMC为例(使用iMC版本为:
iMCPLAT7.0(E0202)、iMCUAM7.0(E0202)),说明RADIUS服务器的基本配置。
#增加接入设备。
登录进入iMC管理平台,选择“用户”页签,单击导航树中的[接入策略管理/接入设备管理/接入设备配置]菜单项,进入接入设备配置页面,在该页面中单击<增加>按钮,进入增加接入设备页面。
∙设置认证、计费共享密钥为123456789,其它保持缺省配置;
∙选择或手工增加接入设备,添加IP地址为137.100.0.1的接入设备。
图1增加接入设备
#增加接入策略。
选择“用户”页签,单击导航树中的[接入策略管理/接入策略管理]菜单项,进入接入策略管理页面,在该页面中单击<增加>按钮,进入增加接入策略页面。
∙设置接入策略名为office;
∙选择认证证书类型为EAP-PEAP认证,认证证书子类型为MS-CHAPV2认证。
图2增加接入策略页面
#增加接入服务。
选择“用户”页签,单击导航树中的[接入策略管理/接入服务管理]菜单项,进入接入服务管理页面,在该页面中单击<增加>按钮,进入增加接入服务页面。
∙设置服务名为office;
∙选择缺省接入策略为office,其他保持缺省配置。
图3增加接入服务页面
#增加接入用户。
选择“用户”页签,单击导航树中的[接入用户管理/接入用户]菜单项,进入接入用户页面,在该页面中单击<增加>按钮,进入增加接入用户页面。
∙单击<增加用户>添加用户office,证件号码123456;
∙添加帐号名为office,密码为123456;
∙选中刚才配置的服务office。
图4增加接入用户
3.5验证配置
#当客户端在AP1上线并认证成功后,在AC上停止报文捕获。
[AC]wlancapturestop
Warning:
SavetheWLANcaptureinformationtoanarchivefile.Continue?
[Y/N]:
y
#查看文件系统目录,找到记录捕获信息的文件office.dmp。
Directoryofcfa0:
/
0drw--Feb12201311:
05:
08logfile
1-rw-2530Oct11201309:
31:
10startup.cfg
2-rw-349Feb12201313:
15:
18system.xml
3-rw-523Nov19201314:
12:
22office.dmp
#通过FTP等方式将office.dmp下载到本地计算机,可以通过报文解析工具查看捕获到的Client和AC之间从捕获开始以来所有的报文。
#修改捕获报文的记录文件名为roam。
[AC]wlancapturefile-nameroam
#再次开启报文捕获,操作客户端从AP1漫游至AP2。
[AC]wlancapturestartclientacl4000
#客户端漫游至AP2上线并认证成功后,停止报文捕获,得到记录捕获信息的文件roam.dmp。
[AC]wlancapturestop
Warning:
SavetheWLANcaptureinformationtoanarchivefile.Continue?
[Y/N]:
y
#通过FTP等方式将roam.dmp下载到本地计算机,可以通过报文解析工具查看Client在漫游过程中与AC之间交互的所有报文。
3.6配置文件
∙AC:
#
port-securityenable
#
dot1xauthentication-methodeap
#
wlancapturefile-nameoffice
#
aclnumber4000
rule1permitsource-mac0015-00ef-ac23ffff-ffff-ffff
#
vlan100
#
vlan200
#
vlan300
#
radiusschemeoffice
primaryauthentication8.1.1.5
primaryaccounting8.1.1.5
keyauthenticationcipher$c$3$SjWMEAJbTjqCC9+XHRLYhNZOSJ6bBN/7K3HBEA==
keyaccountingcipher$c$3$Oj5WtaBGNaZb9s+R0Y/z0yKMG4fZcS0LuOUeOw==
user-name-formatwithout-domain
nas-ip137.100.0.1
#
domainoffice
authenticationlan-accessradius-schemeoffice
authorizationlan-accessradius-schemeoffice
accountinglan-accessnone
access-limitdisable
stateactive
idle-cutdisable
self-service-urldisable
#
wlanservice-template1crypto
ssidservice1
bindWLAN-ESS1
cipher-suiteccmp
security-iersn
service-templateenable
#
interfaceGigabitEthernet1/0/1
portlink-typetrunk
undoporttrunkpermitvlan1
porttrunkpermitvlan100200300
#
interfaceVlan-interface100
ipaddress137.100.0.1255.255.255.0
#
interfaceWLAN-ESS1
portlink-typehybrid
undoporthybridvlan1
porthybridvlan200untagged
porthybridpvidvlan200
mac-vlanenable
port-securityport-modeuserlogin-secure-ext
port-securitytx-key-type11key
undodot1xhandshake
dot1xmandatory-domainoffice
undodot1xmulticast-trigger
#
wlanapofficeap1modelWA2620E-AGNid1
serial-id21023529G007C000020
radio1
radio2
service-template1vlan-id300
radioenable
#
wlanapofficeap2modelWA2620E-AGNid2
serial-id21023529G007
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 48 基于 客户端 无线 捕获 典型 配置 举例