WA5320的802.1x认证

1、802.1x如果你用本地lan-access账户就需要外部radius

不用额外部署

您好，请知：

可以试下802.1X的本地认证介绍，但是要进一步实现802.1X的认证安全，需使用radius服务器：

1.10.4  802.1X身份认证与密钥管理模式配置举例

1. 组网需求

·     如图1-13所示，AP旁挂在Switch上，Switch同时作为DHCP server为AP和Client分配IP地址。

·     客户端链路层认证使用开放式系统认证，客户端通过802.1X接入认证的方式实现客户端可使用用户名abcdef和密码123456接入WLAN网络的目的。

·     通过配置客户端和AP之间的数据报文采用802.1X身份认证与密钥管理来确保用户数据的传输安全。

2. 组网图

图1-13 802.1X认证配置组网图

3. 配置步骤

(1)     创建无线服务模板

# 创建无线服务模板service1。

<AP> system-view

[AP] wlan service-template service1

# 配置无线服务的SSID为service。

[AP-wlan-st-service1] ssid service

(2)     配置安全信息

# 配置AKM为802.1X。

[AP-wlan-st-service1] akm mode dot1x

# 配置CCMP为加密套件，配置WPA为安全信息元素。

[AP-wlan-st-service1] cipher-suite ccmp

[AP-wlan-st-service1] security-ie wpa

# 配置用户接入方式为802.1X认证。

[AP-wlan-st-service1] client-security authentication-mode dot1x

# 配置使能无线服务模板。

[AP-wlan-st-service1] service-template enable

[AP-wlan-st-service1] quit

(3)     创建RADIUS方案

# 创建RADIUS方案radius1并进入其视图。

[AP] radius scheme radius1

# 配置主认证/计费RADIUS服务器的IP地址。

[AP-radius-radius1] primary authentication 10.1.1.3 1812

[AP-radius-radius1] primary accounting 10.1.1.3 1813

# 配置AP与认证/计费RADIUS服务器交互报文时的共享密钥为明文字符串12345。

[AP-radius-radius1] key authentication simple 12345

[AP-radius-radius1] key accounting simple 12345

# 配置发送给RADIUS服务器的用户名不携带域名。

[AP-radius-radius1] user-name-format without-domain

[AP-radius-radius1] quit

(4)     创建认证域并配置RADIUS方案

# 创建认证域（ISP域）dom1并进入其视图。

[AP] domain dom1

# 配置802.1X用户使用RADIUS方案radius1进行认证、授权、计费。

[AP-isp-dom1] authentication lan-access radius-scheme radius1

[AP-isp-dom1] authorization lan-access radius-scheme radius1

[AP-isp-dom1] accounting lan-access radius-scheme radius1

[AP-isp-dom1] quit

# 配置使用dom1认证域为默认域。

[AP] domain default enable dom1

(5)     将无线服务模板绑定到WLAN-Radio 1/0/1接口

[AP] interface WLAN-Radio 1/0/1

[AP-WLAN-Radio1/0/1] undo shutdown

[AP-WLAN-Radio1/0/1] service-template service1

[AP-WLAN-Radio1/0/1] quit

4. 验证配置

# 配置完成后，在AP上执行display wlan service-template命令，可以看到无线服务模板的配置情况如下。

[AP] display wlan service-template service1 verbose

Service template name        : service1

Description                  : Not configured

SSID                         : service

SSID-hide                    : Disabled

User-isolation               : Disabled

Service template status      : Enabled

Maximum clients per BSS      : 64

Frame format                 : Dot3

VLAN ID                      : 1

AKM mode                     : PSK

Security IE                  : WPA

Cipher suite                 : CCMP

TKIP countermeasure time     : 0

PTK lifetime                 : 43200 sec

GTK rekey                    : Enabled

GTK rekey method             : Time-based

GTK rekey time               : 86400 sec

GTK rekey client-offline     : Enabled

User authentication mode     : 802.1X

Intrusion protection         : Disabled

Intrusion protection mode    : Temporary-block

Temporary block time         : 180 sec

Temporary service stop time  : 20 sec

Fail VLAN ID                 : Not configured

802.1X handshake             : Disabled

802.1X handshake secure      : Disabled

802.1X domain                : Not configured

MAC-auth domain              : Not configured

Max 802.1X users per BSS     : 4096

Max MAC-auth users per BSS   : 4096

802.1X re-authenticate       : Disabled

Authorization fail mode      : Online

Accounting fail mode         : Online

Authorization                : Permitted

Key derivation               : N/A

PMF status                   : Disabled

Hotspot policy number        : Not configured

Forward policy               : Not configured

Forwarder                    : AP

FT status                    : Disabled

QoS trust                    : Port

QoS priority                 : 0