轉(zhuǎn)載自微信公眾號：網(wǎng)絡(luò)之路博客 

簡介

在之前里面介紹過open、WPA以及MAC地址認證的方式，這次介紹無線里面常用的另外一種認證就是dot1x ，這里對于IAS的安裝不會做過多介紹，主要講解下怎么配置IAS里面的認證方式，以及AC上面的配置。這里拓撲比較簡單，跟平時的無線拓撲一樣，保證交換機的VLAN放行以及AC與服務(wù)器之間的通信，DHCP正確配置即可。如果對于AP上線以及交換機的配置有不了解的地方，可以參考之前AP上線以及交換機配置注意事項。這里先是做正常的配置，讓AP上線，然后PC能夠通過WPA等認證獲取到地址，證明無線是可以正常工作的，然后在部署dot1x

1、AC的基本配置

（1）初始化與上線

Dhcp enable

[Huawei-AC6605]int vlan 1
[Huawei-AC6605-Vlanif1]ip address 192.168.1.251 24
[Huawei-AC6605-Vlanif1]dhcp sel intaface
說明：配置一個IP地址，該接口地址用來與AP通信的。

[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]wlan ac source interface Vlanif 1
[Huawei-AC6605-wlan-view]ap-auth-mode sn-auth
[Huawei-AC6605-wlan-view]ap id 1 type-id 19 sn 21023544831069236750
說明：定義了AC的源地址為VLAN 1，該地址是與AP進行建立CAPWAP隧道的，啟用了AP認證功能，使用序列號，然后在AP定義了一個ID為1，然后AP類型為19，序列號為那個。其中type-id是可以查看的，SN則在AP上面查看。

可以通過display ap-type all 查看該AC支持的AP類型，其中AP6010DN ID為19，所以定義ID為19，至于序列號怎么查看，在AP上面通過displa system-information 查看。

結(jié)果驗證

目前來看，AP還沒有獲取到地址，這個是定期發(fā)送DHCP報文獲取的。

通過查看已經(jīng)獲取到了IP地址了，然后即可與AC建立CAPWAP隧道，這個過程需要一定的時間，后面可以看到CAPWAP隧道已經(jīng)建立了

查看隧道狀態(tài)為RUN。

可以看到AC上面也有對應(yīng)的AP信息了。至此AP上線完成。

（2）定義域、業(yè)務(wù)功能

[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]ap-region id 1
[Huawei-AC6605-wlan-ap-region-1]ap id 1
說明：默認存在一個與為 0，建議的是不同業(yè)務(wù)或者部門可以加入不同的域，這樣的話后續(xù)調(diào)整射頻參數(shù)、調(diào)優(yōu)等參數(shù)則只影響該域的參數(shù)。

WMM模板定義
WMM模板是提供了QOS等服務(wù)等級，將數(shù)據(jù)報文按照優(yōu)先級從高到低分為4個接入類AC（Access Category）：AC_VO(語音)、AC_VI(視頻)、AC_BE(盡力而為)、AC_BK(背景)，高優(yōu)先級的AC占用信道的機會大于低優(yōu)先級的AC。
[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]wmm-profile name Ap1
說明：WMM默認情況下有默認策略的，沒有特別需求的話，可以直接使用默認的。

射頻模板定義
射頻模板參數(shù)內(nèi)容包括：射頻類型、射頻速率、射頻信道模式、射頻功率模式、丟包/錯包率門限、沖突率門限、分段門限、RTS/CTS門限、短/長幀最大重傳次數(shù)門限、是否支持短前導碼、DTIM周期、beacon幀周期、WMM參數(shù)等。
[Huawei-AC6605-wlan-view]radio-profile name 2.4G
[Huawei-AC6605-wlan-radio-prof-2.4G]wmm-profile name ap1

[Huawei-AC6605-wlan-view]radio-profile name 5G
[Huawei-AC6605-wlan-radio-prof-5G]wmm-profile name ap1
[Huawei-AC6605-wlan-radio-prof-5G]radio-type 80211an
說明：這里模板默認情況下只需要調(diào)用WMM模板，其余的都有默認策略，比如默認情況下，信道模式為Auto，也就是AC會自動根據(jù)AP周圍的信道自動合理規(guī)劃信道，射頻類型等。這里定義2個是一個作為2.4G使用，另外一個使用5G

安全模板定義
[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]security-profile name open

[Huawei-AC6605-wlan-view]security-profile name pre-authen
[Huawei-AC6605-wlan-sec-prof-pre-authen]security-policy wpa2
[Huawei-AC6605-wlan-sec-prof-pre-authen]wpa2 authentication-method psk pass-phrase simple ccieh3c.taobao.com encryption-method ccmp
說明：安全模板定了2個，一個為Open，即默認策略，也就是后續(xù)定義的Guest，不進行認證，而后面定義了一個pre-auten則為WPA2進行密碼認證，這個是給內(nèi)部用的。

流量模板
流量模板可以實現(xiàn)為某個無線網(wǎng)絡(luò)定制特定的優(yōu)先級映射和流量監(jiān)管功能。
[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]traffic-profile name AP-1
說明：默認情況下流量模板下，有默認策略，比如802.1P映射，用戶的限速、VAP限速等功能，這里先使用默認的，后續(xù)需求的話在進行調(diào)整。

定義WLAN-ESS接口
WLAN-ESS接口類似于一個模板，它的作用主要給一個AP可以虛擬多個VAP出來，VAP提供給不同的服務(wù)接入，而一個VAP對應(yīng)一個WLAN-BDSS接口，而WLAN-ESS則是WLAN-BDSS屬性模板，也就是AC動態(tài)創(chuàng)建一個VAP，則自動創(chuàng)建一個WLAN-BDSS，而屬性則繼承WLAN-ESS定義的。
[Huawei-AC6605]interface Wlan-Ess 1
[Huawei-AC6605-Wlan-Ess1]port hybrid untagged vlan 19
說明：創(chuàng)建了一個WLAN-ESS接口，并且允許了VLAN 19的流量不打標簽進入該接口，默認情況下VLAN 1已經(jīng)通過了，所以這里的流量即為VLAN 19與1。當然該接口還可以部署其他策略，比如dot1x、MAC認證等功能，注意的是，V200R3的版本是不需要啟用DHCP功能的，默認就開啟了。

定義WLAN服務(wù)集
服務(wù)集的功能就是來匯集之前定義的業(yè)務(wù)參數(shù)功能，比如定義SSID，轉(zhuǎn)發(fā)模式，關(guān)聯(lián)射頻模板，認證策略等，然后調(diào)用在AP下，進行下發(fā)。
[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]service-set name open
[Huawei-AC6605-wlan-service-set-open]ssid Guest
[Huawei-AC6605-wlan-service-set-open]forward-mode direct-forward
[Huawei-AC6605-wlan-service-set-open]wlan-ess 1
[Huawei-AC6605-wlan-service-set-open]service-vlan 19
[Huawei-AC6605-wlan-service-set-open]security-profile name open
[Huawei-AC6605-wlan-service-set-open]traffic-profile name AP-1

[Huawei-AC6605-wlan-view]service-set name intrenet
[Huawei-AC6605-wlan-service-set-intrenet]ssid intrent
[Huawei-AC6605-wlan-service-set-intrenet]service-vlan 19
[Huawei-AC6605-wlan-service-set-intrenet]wlan-ess 1
[Huawei-AC6605-wlan-service-set-intrenet]security-profile name pre-authen
[Huawei-AC6605-wlan-service-set-intrenet]forward-mode direct-forward
[Huawei-AC6605-wlan-service-set-intrenet]traffic-profile name AP-1
說明：這里創(chuàng)建了2個服務(wù)集，一個用于Guest用的，一個用于intrenet，除了SSID與安全策略不一樣外，其余的都一致。

射頻配置
每個AP都有一個或多個射頻模塊，這個射頻模塊負責無線信號的收發(fā)、功率的調(diào)整以及信道的配置等功能。
[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]ap 1 radio 0
[Huawei-AC6605-wlan-radio-1/0]radio-profile name 2.4G
[Huawei-AC6605-wlan-radio-1/0]service-set name open

[Huawei-AC6605-wlan-view]ap 1 radio 1
[Huawei-AC6605-wlan-radio-1/1]radio-profile name 5G
[Huawei-AC6605-wlan-radio-1/1]service-set name intrenet
說明：這里定義了2個射頻，一個給2.4G用，另外一個給intrenet，2.4G主要提供給Guest使用，而5G在內(nèi)企業(yè)網(wǎng)內(nèi)部使用，這里說明的是，radio 0為2.4G頻率，而1為5G頻率。

（3）下發(fā)業(yè)務(wù)配置給AP

[Huawei-AC6605-wlan-view]commit ap 1

二、環(huán)境測試驗證

可以看到2個客戶端都已經(jīng)連接上去了，默認情況下訪客是不需要用戶名密碼認證，而內(nèi)部用戶則需要。

可以看到已經(jīng)正常獲取到IP地址了。

三、dot1x認證（也叫802.1x）

說明：dot1x的方式就是用用戶名密碼進行驗證。（可以基于外部數(shù)據(jù)庫，AD域等）
（1）需要修改的地方
[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]ap 1 r 0
[Huawei-AC6605-wlan-radio-1/0]undo service-set id 0

[Huawei-AC6605-wlan-view]security-profile id 0
[Huawei-AC6605-wlan-sec-prof-test]security-policy wpa
[Huawei-AC6605-wlan-sec-prof-test]wpa authentication-method dot1x peap encryption-method ccmp

（2）開啟dot1x認證
[Huawei-AC6605]dot1x enable

（3）修改WLAN-ESS接口
[Huawei-AC6605]interface Wlan-Ess 0
[Huawei-AC6605-Wlan-Ess0]undo mac-authentication enable
[Huawei-AC6605-Wlan-Ess0]dot1x-authentication enable
[Huawei-AC6605-Wlan-Ess0]dot1x authentication-method eap
[Huawei-AC6605-Wlan-Ess0]force-domain ccieh3c.taobao.com
[Huawei-AC6605-Wlan-Ess0]permit-domain ccieh3c.taobao.com
說明：目前AC是不支持本地dot1x的，所以必須Radius服務(wù)器。這里信任該域，后續(xù)用Radius進行認證的域

（4）下放業(yè)務(wù)
[Huawei-AC6605]wlan
[Huawei-AC6605-wlan-view]ap 1 r 0
[Huawei-AC6605-wlan-radio-1/0]service-set id 0
[Huawei-AC6605-wlan-radio-0/0]com ap 1

（5）Radius服務(wù)器定義，與AAA，Domain
[Huawei-AC6605]radius-server template dot1x
[Huawei-AC6605-radius-dot1x]radius-server authentication 192.168.2.253 1812
[Huawei-AC6605-radius-dot1x]radius-server shared-key test
[Huawei-AC6605-radius-dot1x]undo radius-server user-name domain-included

[Huawei-AC6605]aaa
[Huawei-AC6605-aaa]authentication-scheme dot1x
[Huawei-AC6605-aaa-authen-dot1x]authentication-mode radius

[Huawei-AC6605-aaa]domain ccieh3c.taobao.com
[Huawei-AC6605-aaa-domain-ccieh3c.taobao.com]authentication-scheme dot1x
[Huawei-AC6605-aaa-domain-ccieh3c.taobao.com]radius-server dot1x

（6）測試AAA能否通過

注意：之前已經(jīng)開過密碼存儲功能，默認情況下AD或者Windows的不允許CHAP可逆的。需要單獨開啟。

（7）定義Radius策略

說明：PEAP需要一個證書的，所以必須向CA服務(wù)器申請一張，計算機證書?！救绻仟毩⒌腎AS，可以用自簽名的或者是找獨立CA申請一張，如果是域環(huán)境的話，可以直接在企業(yè)級CA中下放即可?；蛘咄ㄟ^MMC申請】

（8）測試結(jié)果

總結(jié)：有線與無線的環(huán)境部署有點差別，另外無線支持PEAP或者TLS，而有線支持MD5等功能，另外注意PEPA是需要服務(wù)器證書的，可以自簽名或者是找CA申請，該步驟我省略了，這里使用的是自簽名證書。另外模擬器做該實驗，很有可能不成功，特別是dot1x，獲取不到地址，但是配置跟思路是沒錯的，所以如果現(xiàn)象不出來的話，也不用太糾結(jié)。

 ！ 提問與分享（想提高自己，從獨立思考與分享開始）          

分享：實驗可以通過模擬器直接完成，記得老版本選用分享的考試版本即可，最新版本是采用的V2R7命令行有差別。

網(wǎng)絡(luò)之路博客公眾號提供Cisco、華為、H3C、防火墻、VPN、無線等網(wǎng)絡(luò)知識點分享與應(yīng)用，想了解更多企業(yè)技術(shù)應(yīng)用與組網(wǎng)案例，關(guān)注我們（公眾號菜單欄陸續(xù)在更新排列，不管你是青銅入坑的小白沒有學習方向感到迷茫，還是想提升段位充實自己來升職加薪，都有您需要的哦）