RADIUS服务器ACS 5.2和无线控制器动态VLAN分配配置举例
RADIUS服务器ACS 5.2和无线控制器
动态VLAN分配配置举例
简介 (2)
先决条件 (2)
要求 (2)
组件使用 (2)
RADIUS服务器的动态VLAN分配 (2)
配置 (3)
网络图 (3)
假设条件 (5)
配置步骤 (5)
配置RADIUS服务器 (5)
配置网络资源 (6)
配置用户 (9)
定义策略元素 (11)
应用访问策略 (14)
配置无线控制器 (18)
在无线控制器上配置认证服务器的详细信息 (18)
配置动态接口（VLAN） (19)
配置无线局域网WLAN S（SSID） (23)
配置无线客户端实用工具 (26)
验证 (32)
验证S TUDENT-1用户 (32)
验证T EACHER-1用户 (34)
故障排除 (36)
故障排除命令 (36)
简介
本文档介绍了动态VLAN分配的概念。它还介绍了如何配置无线控制器和RADIUS服务器，即思科访问控制服务器（ACS）5.2版本，来为无线客户端动态分配一个特定的VLAN。
先决条件
要求
请确保您满足下列要求，然后再尝试进行配置：
* 具备基本的无线控制器和轻量级无线接入点的知识
* 具备AAA服务器功能的知识
* 具备无线网络和无线网络安全问题的透彻认识
组件使用
本文档中的信息基于下列软件和硬件版本：
* 思科5508无线控制器，软件版本7.0.220.0
* 思科3502系列无线接入点
* 微软Windows 7原生请求程序与英特尔6300-N无线客户端（驱动程序版本14.3）
* 思科Secure ACS 5.2版本
* 思科3560系列交换机
本文档中的资料是从一个特定实验室环境中的设备上生成的。本文档中使用的所有设备以缺省（默认）配置开始配置。如果您的网络是正在使用的生产系统，请确保您了解所有命令带来的潜在影响。
RADIUS服务器的动态VLAN分配
在大多数无线局域网系统中，每一个WLAN都有一个静态的政策，适用于关联服务集标识符
（SSID）的所有客户端。这种静态方法有其局限性，因为需要不同的QoS和安全政策的客户端必须关联不同的SSID。
然而，对于支持身份识别的思科无线网络解决方案，一个单一的SSID允许根据用户凭据继承不同的QoS、VLAN属性和/或安全政策。
动态VLAN分配就是一个这样的功能，可根据用户提供的凭据将无线用户放到一个特定的VLAN。这个任务是由RADIUS认证服务器处理，例如思科Secure ACS。这可以用来允许无线主机保持在同一个VLAN，即使它在园区网内移动。
因此，当客户端试图关联注册到无线控制器的无线接入点时，用户凭据被传递到RADIUS服务器进行验证。一旦认证成功，RADIUS服务器将特定的Internet工程任务组（IETF）用户属性传输给用户。这些RADIUS属性决定了应分配给无线客户端的VLAN ID。用户始终被分配到这个预定的VLAN ID。
RADIUS的用户VLAN ID属性是：
* IETF 64 (Tunnel Type) - 设置为VLAN。
* IETF 65 (Tunnel Medium Type) - 设置为802。
* IETF 81 (Tunnel Private Group ID) - 设置为VLAN ID。
VLAN ID是一个12位的介于1和4094（含）之间的值。Tunnel-Private-Group-ID是字符串类型，在RFC 2868中定义，用于IEEE 802.1X认证。VLAN ID的整型值被编码为一个字符串。
正如在RFC2868的3.1节中描述：该域长度是一个字节，用于提供在同一隧道同一数据包的一组属性。有效值是0X01到0x1F。如果该域是未使用的，它的值必须是零（0x00）。参考RFC 2868 获取所有RADIUS属性的更多信息。
配置
在本节中将向您介绍如何配置本文档中描述的功能的信息。
注意：使用命令查找工具（注册用户才可访问）获得本节中使用的命令的更多信息。
网络图
本文使用的网络设置：
下列为图中所使用的组件的详细配置信息：
* ACS（RADIUS）服务器的IP地址是192.168.150.24。
* 无线控制器的管理和AP-manager接口地址为192.168.75.44。
* DHCP服务器的地址192.168.150.25。
* VLAN 253和VLAN 257被用于整个此配置。用户连接到相同的SSID“goa”。用户Student-1被配置为分配到VLAN 253，用户Teacher-1被配置为分配到VLAN 257。
* 用户将被分配到VLAN 253：
o VLAN 253: 192.168.153.x/2。网关：192.168.153.1
o VLAN 257: 192.168.157.x/2。网关：192.168.157.1
o VLAN 75: 192.168.75.x/24。网关：192.168.75.1
* 本文使用802.1x和PEAP安全机制。
注：思科建议您使用高级的验证方法，如EAP-FAST和EAP-TLS进行验证，以确保WLAN的安全性。
假设条件
* 交换机配置了所有三层的VLAN。
* DHCP服务器配置了一个DHCP的IP地址范围范围。
* 第3层连接在网络中的所有设备之间存在。
* 无线接入点已经加入到无线控制器。
* 每个VLAN为24位掩码。
* ACS 5.2安装了一个自签名的证书。
配置步骤
配置分为三大步骤：
1. 配置RADIUS服务器。
2. 配置无线控制器。
3. 配置无线客户端实用工具。
配置RADIUS服务器
The RADIUS server configuration is divided into four steps: RADIUS服务器的配置分为四个步骤：
1. 配置网络资源。
2. 配置用户。
3. 定义策略元素。
4. 应用访问策略。
ACS 5.x是基于策略的访问控制系统。也就是说，ACS 5.x使用一个以规则为基础的策略模型，而不是像4.x版本中使用基于组的模型。ACS 5.x的以规则为基础的策略模式提供了更加强大和灵活的访问控制。
传统的以组为基础的模型，可根据三种类型的信息基于组来定义政策，：
* 身份信息–该信息可以使用AD或LDAP上的成员信息，或ACS内部静态用户信息。
* 其他限制或条件- 时间的限制，设备的限制等等。
* 权限- VLAN或思科IOS?权限级别。
ACS 5.x的策略模型是基于规则的形式：
* If condition then result（如果满足条件则导致）
例如，我们使用基于组的模型所描述的信息：
* If identity-condition, restriction-condition then authorization-profile（如果匹配身份的条件，限制条件，则授权。）
因此，这给我们限制在什么条件下允许用户访问网络，以及符合特定条件时授权什么样的级别带来了灵活性。
配置网络资源
在本节中，我们在RADIUS服务器上配置AAA客户端。此过程说明如何在RADIUS服务器上添加无线控制器作为AAA客户端，以便使用户可以通过认证的过程。
完成以下步骤：
1. 从ACS GUI界面，到网络资源> 网络设备组> 位置，然后单击“创建”（底部）。
2. 添加所需的字段，并单击“提交”。
现在，您将看到这样的画面：
3. 单击“设备类型”>“创建”。
4. 点击“提交”。您将看到下列画面：
5. 到网络资源> 网络设备和AAA客户端。
6. 单击创建，填写详细信息，如下所示：
7. 点击“提交”。您将看到下列画面：
配置用户
在本节中，我们将在ACS上创建本地用户Student-1和Teacher-1，Student-1用户被分配在Student组，Teacher-1用户则分配到Teacher组。
1. 到用户和身份存储> 身份组> 创建。
2. 当您单击“提交”，页面如下：
3. 创建用户并分配到各自的组。
4. 单击“用户和身份存储> 身份识别组”>“用户”> “创建”。。
5. 同样的，创建Teacher-1。
屏幕上看起来像这样：
定义策略元素
完成下列步骤以便为用户定义IETF的属性：
1. 转至策略元素> 授权和权限> 网络接入> 授权信息> 创建。
2. 从常见任务选项卡：
3. 加入下列IETF属性：
* Tunnel-Type = 64 = VLAN
* Tunnel-Medium-Type = 802
* Tunnel-Private-Group-ID = 253 (Student-1)和257 (Teacher-1) 对于Students组：
对于Teachers组：
4. 一旦添加了两个属性，屏幕上看起来像这样：
应用访问策略
在本节中，我们将描述选择要使用的身份验证方法和规则是如何进行配置的。基于前面的步骤，我们将创建规则。完成以下步骤：
1. 到访问策略> 接入服务> 默认网络访问> 编辑：“默认网络访问”。
2. 选择无线客户端进行身份验证的EAP方法。在这个例子中，我们使用PEAP-MSCHAPv2。
3. 点击“提交”。
4. 请确认您所选择的身份组。在这个例子中，我们使用内部的用户组。
5. 为了验证授权配置，请访问策略> 接入服务> 默认网络访问授权。
您可以自定义在什么情况下你会允许用户对网络访问和以及分配授权配置文件（属性）。这
种划分仅适用于ACS 5.x。在这个例子中，我们选择了基于位置、设备类型、协议、身份组和EAP验证方法。
6. 单击“确定”保存更改。
7. 下一步是要创建规则。如果没有定义规则，则允许客户端访问而无需任何条件。
单击创建> 规则-1。这条规则适用于用户Student-1。
8. 同样的，创建一个Teacher-1的规则。点击“保存更改”。
屏幕上看起来像这样：
9. 现在我们要定义服务选择规则。使用此页配置一个简单的或以规则为基础的策略，以确定哪些服务适用于进入的的请求。在这个例子中，我们使用以规则为基础的策略。
配置无线控制器
配置需要以下步骤：
1. 在无线控制器上配置身份验证服务器的详细信息。
2. 配置动态接口（VLAN）。
3. 配置无线局域网（SSID）。
在无线控制器上配置认证服务器的详细信息
这是必要的无线控制器配置，以便它可以与RADIUS服务器进行通信来对客户端进行身份验证，也可用于任何其他交互。
完成以下步骤：
1. 在控制器的GUI界面中，单击“安全性”。
2. 输入RADIUS服务器的IP地址，RADIUS服务器和无线控制器之间使用的共享密钥。该共享密钥与在RADIUS服务器上的配置应该是相同的。
配置动态接口（VLAN）
此过程说明如何在无线控制器配置动态接口。如前面所释，根据RADIUS服务器的Tunnel-Private-Group ID属性指定的VLAN ID也必须在无线控制器上存在。
在这个例子中，Student-1指定的Tunnel-Private-Group ID为253（VLAN=253）。同样，Teacher-1指定的Tunnel-Private-Group ID为257（VLAN=257）。
完成以下步骤：
1. 从控制器GUI界面进入Controller > Interfaces窗口。
2. 单击“Apply”。这将带您到动态接口编辑窗口（VLAN 253）。
3. 输入接口的IP地址和默认网关。
三层交换机路由配置实例
三层交换机路由配置 一、三层交换机VLAN间路由建立 某公司有两个主要部门：技术部和销售部，分处于不同的办公室，为了安全和便于管理对两个部门的主机进行了VLAN划分，技术部和销售部分处于不同VLAN。现由于业务需要销售部和技术部的主机能够相互访问，获得相应资源，两个部门的交换机通过一台三层交换机进行连接。 在交换机上建立2个Vlan：Vlan10分配给技术部及Vlan20分配给销售部。为了实现两部门的主机能够相互访问，在三层交换机上开启路由功能，并在Vlan10中设置IP地址为192.168.10.1；在Vlan20中设置IP地址为192.168.20.1，查看三层交换机路由表，会发现在三层交换机路由表内有2条直连路由信息，实现在不同网络之间路由数据包，从而达到2个部门的主机可以相互访问，拓朴图如图所示。 第1步：开启三层交换机路由功能 Switch#configure terminal Switch(config)#hostname s3550
S3550(conifg)#ip routing 第2步：建立Vlan，并分配端口 S3550(conifg)#vlan 10 S3550(config-vlan)#name sales S3550(config-vlan)#exit S3550(conifg)#vlan 20 S3550(config-vlan)#name technical S3550(config-vlan)#exit S3550(conifg)# S3550(conifg)#interface fastethernet 0/10 S3550(conifg-if)#switchport mode access S3550(conifg-if)#switchport access vlan 10 S3550(conifg-if)#exit S3550(conifg)# interface fastethernet 0/20 S3550(conifg-if)#switchport mode access S3550(conifg-if)#switchport access vlan 20 S3550(config-vlan)#exit S3550(config)# 第3步：配置三层交换机端口的路由功能 S3550(config)#interface vlan 10 S3550(conifg-if)#ip address 192.168.10.1 255.255.255.0 S3550(conifg-if)#no shutdown
RADIUS服务器进行MAC验证
RADIUS服务器进行MAC验证,配置nat，使无线接入端连接外网 一、实验目的：通过Radius服务器的mac验证和路由器上的 nat配置，使得在局域网内的无线设备可以上网。 二、实验拓扑图： 三、使用的设备列表： S3610交换机3台 AR28路由器1台 AP无线路由器1台 AC无线控制器1台 Radius服务器1台 四、具体的配置：
步骤一：在AC上设置用户和做mac地址绑定，以及设计无线网
如何在交换机上配置VLAN
如何在交换机上配置VLAN 我们知道，传统的局域网Ethernet 使用具有冲突检测的载波监听多路访问( CSMA / CD )方法。在CSMA / CD 网络中，节点可以在它们有数据需要发送的任何时候使用网络。在节点传输数据之前，它进行"监听"以了解网络是否很繁忙。如果不是，则节点开始传送数据。如果网络正在使用，则节点等待。如果两个节点进行监听，没有听到任何东西，而开始同时使用线路，则会出现冲突。在发送数据时，它如果使用广播地址，那么在此网段上的所有PC都将收到数据包，这样一来如果该网段PC众多，很容易引起广播风暴。而冲突和广播风暴是影响网络性能的重要因素。为解决这一问题，引入了虚拟局域网（VLAN的概念。 虚拟网络是在整个网络中通过网络交换设备建立的虚拟工作组。虚拟网在逻辑上等于OSI 模型的第二层的广播域，与具体的物理网及地理位置无关。虚拟工作组可以包含不同位置的部门和工作组，不必在物理上重新配置任何端口，真正实现了网络用户与它们的物理位置无关。虚拟网技术把传统的广播域按需要分割成各个独立的子广播域，将广播限制在虚拟工作组中，由于广播域的缩小，网络中广播包消耗带宽所占的比例大大降低，网络的性能得到显著的提高。我们结合下面的图来看看讲下。图1所表示的是两层楼中的相同性质的部门划分到一个VLAN中，这样，会计的数据不会向市场的机器上广播，也不会和市场的机器发生数据冲突。所以VLAN有效的分割了冲突域和广播域。 我们可以在交换机的某个端口上定义VLAN ，所有连接到这个特定端口的终端都是虚拟网络的一部分，并且整个网络可以支持多个VLAN。VLAN通过建立网络防火墙使不必要的数据流量减至最少，隔离各个VLAN间的传输和可能出现的问题，使网络吞吐量大大增加，减少了网络延迟。在虚拟网络环境中，可以通过划分不同的虚拟网络来控制处于同一物理网段中的用户之间的通信。这样一来有效的实现了数据的保密工作，而且配置起来并不麻烦，网络管理员可以逻辑上重新配置网络，迅速、简单、有效地平衡负载流量，轻松自如地增加、删除和修改用户，而不必从物理上调整网络配置。既然VLAN有那么多的优点，我们为什么不了解它从而把VLAN技术应用到我们的现实网络管理中去呢。好的让我们通过实际的在Catalyst 1900交换机上来配置静态VLAN的例子来看看如何在交换机上配置VLAN。
VLAN间路由配置心得体会
VLAN间路由配置心得体会 众所周知，第二层平面网络的扩展性不佳，各站点发送数据包前要广播查询目的地的MAC地址。由于大量应用层软件需要广播传送某些数据包，而这些数据广播包只需发向某一组用户，如果此时没有VLAN(Virtual Local Area Network)，这些数据包会占用大量网络资源，使正常数据包无法获得带宽，从而严重影响网络效率及性能。VLAN依靠用户的逻辑设定将原来物理上互联的一个局域网络划分为多个虚拟网段，即在两层交换机的逻辑上划分若干LAN(广播域)，将广播信息、组播信息等限制在特定的一组端口上，从而为限制全网范围的广播和多点广播提供有效手段。在网络设计中，应选择切实可行的技术进行VLAN的灵活划分。划分可依据设备所连的端口、用户节点的MAC地址等，划分的结果是使同一个VLAN 内的数据可自由通信。不同VLAN间的数据交流需要通过第三层交换完成。即通过跨越交换机划分VLAN，从而高性能地实现VLAN之间的路由，提高带宽利用率和网络性能，增强网络应用的灵活性和安全性。二、VLAN在网络中的典型划分VLAN在网络中的典型划分如图1所示。VLAN通常与IP网络是相关联的，例如特定IP子网中的所有工作端属于同一个VLAN，不同VLAN之间必须通过路由器或具有路由器功能的模块才能通信。VLAN可以是动态的，也可以是静态的。所谓动态VLAN就是基于工作站的MAC地址，即根据工作站上网卡的48位硬件地址划分的VLAN。动态VLAN主要是通过每台交换机所连接工作站的MAC地址，它将一组MAC地址划分在同一逻辑组中，其中的成员不会因地理位置的改变而改变(这种方法仅用于局域网)。静态VLAN是一种具有固定地理位置的划分方法，它基于交换机端口的划分，可以通过对交换机的适当设置，将同一个交换机或不同交换机上的一组端口划分在同一个VLAN中。VTP(VLAN Trunk Protocol)协议主要用于多台局域网交换机互联情况下有效管理VLAN的配置。VTP Domain 也叫VLAN的管理域，它由具有相同管理域名称的交换机组成，每个交换机只能位于一个VTP域中，这样便可以通过命令行(CLI)方式或简单的网络管理协议(SNMP)来完成整个Domain中VLAN的设置(在缺省状态下，交换机处于非管理域中)。由于一个端口只能同时属于一个VLAN，那么当两台交换机联机后，属于不同VLAN的数据包如何通过级联端口到达另一台交换机，数据包到达另一台交换机后又如何交换呢？我们可以使用交换机中的Trunk功能。两台交换机之间的Trunk关系以及Trunk中所使用的ISL和802．1Q 协议是可以通过双方协商建立的，总共有5种工作方式：On、Off、Desirable、Auto(Trunk 端口缺省模式)和Nonegotiate(交换机与路由器之间的Trunk)。VLAN的配置实现交换机可以分为基于Set命令的和基于IOS的两类。交换机的平台不同，具体设置命令也有所不同，但各种配置的基本原理及设置思路都是一样的。就VLAN的设置来讲，其基本步骤包括：配置VTP 域、建立新的VLAN、将端口分配到目标的VLAN之中。
radius认证服务器配置
基于IEEE 802.1x认证系统的组成 一个完整的基于IEEE 802.1x的认证系统由认证客户端、认证者和认证服务器3部分（角色）组成。 认证客户端。认证客户端是最终用户所扮演的角色，一般是个人计算机。它请求对网络服务的访问，并对认证者的请求报文进行应答。认证客户端必须运行符合IEEE 802.1x 客户端标准的软件，目前最典型的就是Windows XP操作系统自带的IEEE802.1x客户端支持。另外，一些网络设备制造商也开发了自己的IEEE 802.1x客户端软件。 认证者认证者一般为交换机等接入设备。该设备的职责是根据认证客户端当前的认证状态控制其与网络的连接状态。扮演认证者角色的设备有两种类型的端口：受控端口（controlled Port）和非受控端口（uncontrolled Port）。其中，连接在受控端口的用户只有通过认证才能访问网络资源；而连接在非受控端口的用户无须经过认证便可以直接访问网络资源。把用户连接在受控端口上，便可以实现对用户的控制；非受控端口主要是用来连接认证服务器，以便保证服务器与交换机的正常通讯。 认证服务器认证服务器通常为RADIUS服务器。认证服务器在认证过程中与认证者配合，为用户提供认证服务。认证服务器保存了用户名及密码，以及相应的授权信息，一台认证服务器可以对多台认证者提供认证服务，这样就可以实现对用户的集中管理。认证服务器还负责管理从认证者发来的审计数据。微软公司的Windows Server 2003操作系统自带有RADIUS 服务器组件。 实验拓扑图 安装RADIUS服务器：如果这台计算机是一台Windows Server 2003的独立服务器（未升级成为域控制器，也未加入域），则可以利用SAM来管理用户账户信息；如果是一台Windows Server 2003域控制器，则利用活动目录数据库来管理用户账户信息。虽然活动目录数据库管理用户账户信息要比利用SAM来安全、稳定，但RADIUS服务器提供的认证功
思科设备交换机vlantrunk配置
本次讲解vlan trunk配置方法： 本例配置模型图 命令行： 以下为switchA配置： Switch> Switch>enable Switch#vlan database % Warning: It is recommended to configure VLAN from config mode, as VLAN database mode is being deprecated. Please consult user documentation for configuring VTP/VLAN in config mode.
Switch(vlan)#vlan 2 name TztA VLAN 2 added: Name: TztA Switch(vlan)#vlan 3 name TztB VLAN 3 added: Name: TztB Switch(vlan)#exit APPLY completed. Exiting.... Switch#wr Building configuration... [OK] Switch#config t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#int f0/1 Switch(config-if)#sw mo ac Switch(config-if)#sw acc vlan 2 Switch(config-if)#int f0/2 Switch(config-if)#sw mo ac Switch(config-if)#sw acc vlan 3 Switch(config-if)#exit Switch(config)#exit
华为路由器交换VLAN配置实例
华为路由器交换VLAN配置实例 华为路由器交换VLAN配置实例 配置说明：使用4台PC，华为路由器（R2621）、交换机（S3026e）各一台，组建一VLAN，实现虚拟网和物理网之间的连接。实现防火墙策略，和访问控制（ACL）。 网络结构如图：四台PC的IP地址、掩码如下列表：P1 192.168.1.1 255.255.255.0网关IP为192.168.1.5P2 192.168.1.2 255.255.255.0网关IP为192.168.1.5P3 192.168.1.3 255.255.255.0网关IP为192.168.1.6P4 192.168.1.4 255.255.255.0网关IP为192.168.1.6路由器上Ethernet0的IP为192.168.1.5 Ethernet1的IP为192.168.1.6 firewall设置默认为deny 实施命令列表： 交换机上设置，划分VLAN： sys //切换到系统视图 [Quidway]vlan enable [Quidway]vlan 2 [Quidway-vlan2]quit //默认所有端口都属于VLAN1,指定交换机的到八个端口属于VLAN2 [Quidway]vlan 3 [Quidway-vlan3]quit //指定交换机的到八个端口属于VLAN3[Quidway]dis vlan all [Quidway]dis cu
路由器上设置，实现访问控制： [Router]interface ethernet 0 [Router-Ethernet0]ip address 192.168.1.5 255.255.255.0[Router-Ethernet0]quit //指定ethernet 0的ip [Router]interface ethernet 1 [Router-Ethernet1]ip address 192.168.1.6 255.255.255.0[Router-Ethernet1]quit //开启firewall，并将默认设置为deny [Router]fire enable [Router]fire default deny //允许192.168.1.1访问192.168.1.3 //firewall策略可根据需要再进行添加 [Router]acl 101 [Router-acl-101]rule permit ip source 192.168.1.1 255.255.255.0 destination 192.168.1.3 255.255.255.0 [Router-acl-101]quit //启用101规则 [Router-Ethernet0]fire pa 101 [Router-Ethernet0]quit [Router-Ethernet1]fire pa 101 [Router-Ethernet1]quit
Windows2003 Radius服务器搭建
Windows2003 Radius服务器搭建 1 目的 为测试提供指导，加快测试效率，并为WLAN产品积累相应的测试案例。 2 范围 1）适用于802.1x Radius测试。 4 术语和定义 AP Access Point，接入点 AC Access Controller，接入控制器 WLAN Wireless Local Access Network，无线局域网 VLAN Virtual Local Area Network，虚拟局域网
5 windows2003 Radius服务器安装步骤 5.1 IIS安装 在【控制面板->添加或删除程序->添加/删除Windows组件->应用程序服务器】中勾选“https://www.360docs.net/doc/4e10798217.html,”，“Internet信息服务(IIS)”，“启用网络COM+访问”。点击<确定>，插入Windows2003安装盘，点击<下一步>，完成IIS安装。 图5-1 IIS安装选项 5.2 IAS(Internet验证服务)安装 在【控制面板->添加或删除程序->添加/删除Windows组件->网络服务】中勾选“Internet 验证服务”，“域名系统(DNS)”。点击<确定>，插入Windows2003安装盘，点击<下一步>，完成IAS安装。 图5-2 IAS安装选项 5.3 Active Directory安装 1、在运行栏输入“dcpromo”，进入AD安装向导。 图5-3 输入运行命令
2、在安装向导页面点击<下一步>。 图5-4 开始安装向导3、点击<下一步>，继续安装。 图5-5 操作系统兼容性信息4、选择<新域的域控制器>，点击<下一步>。 图5-6 域控制类型 5、选择<在新林中的域>，点击<下一步>。
交换机配置命令
交换机配置命令 Prepared on 24 November 2020
配置命令 交换机之间用交叉线 1进入特权模式：Switch>enable 2配置模式 Switch#config 3配置主机名：Switch(config)#hostname S1 4.设置访问口令S1#configure terminal S1(config)#line console 0 S1(config-line)#password cisco S1(config-line)#login S1(config-line)#line vty 0 15 S1(config-line)#password cisco S1(config-line)#login S1(config-line)#exit 5.将使能加密口令设置为 class。 S1(config)#enable secret class S1(config)#配置默认网关 6.在虚拟接口vlan99设置交换机ip地址 S1(config)#interface vlan99 S1(config-if)# S1(config-if)#no shutdown S1(config-if)#exit 7.交换机 VLAN 分配端口 S1(config)#interface fa0/1 S1(config-if)#switchport mode access S1(config-if)#switchport access vlan 99 S1(config-if)#exit 8.给vlan命名 S1(config)#vlan 10 S1(config-vlan)#name Faculty/Staff .本征vlan即分配端口连接s1 使用中继vlan S1中继vlan S1(config)#interface FastEthernet 0/1 S1(config-if)#switchport mode trunk S1(config-if)#switchport trunk native vlan 99 9.．设置交换机默认网关
cisco三层交换机vlan间路由配置实例
cisco三层交换机vlan间路由配置实例 下面以cisco3560实例说明如何在一个典型的快速以太局域网中实现VLAN。所谓典型局域网就是指由一台具备三层交换功能的核心交换机接几台分支交换机（不一定具备三层交换能力）。我们假设核心交换机名称为：COM；分支交换机分别为：PAR1、PAR2、PAR3，分别通过Port 1的光线模块与核心交换机相连；并且假设VLAN名称分别为COUNTER、MARKET、MANAGING…… 需要做的工作： 1、设置VTP DOMAIN（核心、分支交换机上都设置） 2、配置中继（核心、分支交换机上都设置） 3、创建VLAN（在server上设置） 4、将交换机端口划入VLAN 5、配置三层交换 1、设置VTP DOMAIN。 VTP DOMAIN 称为管理域。 交换VTP更新信息的所有交换机必须配置为相同的管理域。如果所有的交换机都以中继线相连，那么只要在核心交换机上设置一个管理域，网络上所有的交换机都加入该域，这样管理域里所有的交换机就能够了解彼此的VLAN列表。 COM#vlan database 进入VLAN配置模式 COM(vlan)#vtp domain COM 设置VTP管理域名称 COM COM(vlan)#vtp server 设置交换机为服务器模式 PAR1#vlan database 进入VLAN配置模式 PAR1(vlan)#vtp domain COM 设置VTP管理域名称COM PAR1(vlan)#vtp Client 设置交换机为客户端模式 PAR2#vlan database 进入VLAN配置模式 PAR2(vlan)#vtp domain COM 设置VTP管理域名称COM PAR2(vlan)#vtp Client 设置交换机为客户端模式 PAR3#vlan database 进入VLAN配置模式 PAR3(vlan)#vtp domain COM 设置VTP管理域名称COM PAR3(vlan)#vtp Client 设置交换机为客户端模式 注意：这里设置核心交换机为Server模式是指允许在该交换机上创建、修改、删除VLAN 及其他一些对整个VTP域的配置参数，同步本VTP域中其他交换机传递来的最新的VLAN 信息；Client模式是指本交换机不能创建、删除、修改VLAN配置，也不能在NVRAM中存储VLAN配置，但可同步由本 VTP域中其他交换机传递来的VLAN信息。 2、配置中继为了保证管理域能够覆盖所有的分支交换机，必须配置中继。Cisco交换机能够支持任何介质作为中继线，为了实现中继可使用其特有的ISL标签。ISL （Inter－Switch Link）是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议，通过在交换机直接相连的端口配置 ISL封装，即可跨越交换机进行整个网络的VLAN分配和进行配置。 在核心交换机端配置如下： COM(config)#interface gigabitEthernet 2/1 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk COM(config)#interface gigabitEthernet 2/2 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk COM(config)#interface gigabitEthernet 2/3 COM(config-if)#switchport COM(config-if)#switchport trunk encapsulation isl 配置中继协议 COM(config-if)#switchport mode trunk 在分支交换机端配置如下： PAR1(config)#interface gigabitEthernet 0/1
RADIUS(Remote Authentication Dial In User Service)简介及Lunix平台下构建RADIUS服务器设置步骤
RADIUS(Remote Authentication Dial In User Service)简介及Lunix平台下构建RADIUS服务器设置步骤 RADIUS:Remote Authentication Dial In User Service，远程用户拨号认证系统，由RFC2865，RFC2866定义，是目前应用最广泛的AAA(AAA=authentication、Authorization、Accounting，即认证、授权、计费)协议。 RADIUS协议最初是由Livingston公司提出的，原先的目的是为拨号用户进行认证和计费。后来经过多次改进，形成了一项通用的认证计费协议。创立于1966年Merit Network, Inc.是密执安大学的一家非营利公司，其业务是运行维护该校的网络互联MichNet。1987年，Merit在美国NSF（国家科学基金会）的招标中胜出，赢得了NSFnet （即Internet前身）的运营合同。因为NSFnet是基于IP的网络，而MichNet却基于专有网络协议，Merit面对着如何将MichNet的专有网络协议演变为IP协议，同时也要把MichNet上的大量拨号业务以及其相关专有协议移植到IP网络上来。 1991年，Merit决定招标拨号服务器供应商，几个月后，一家叫Livingston的公司提出了建议，冠名为RADIUS，并为此获得了合同。 1992年秋天，IETF的NASREQ工作组成立,随之提交了RADIUS 作为草案。很快，RADIUS成为事实上的网络接入标准，几乎所有的
网络接入服务器厂商均实现了该协议。 1997年，RADIUS RFC2039发表，随后是RFC2138，最新的RADIUS RFC2865发表于2000年6月。 RADIUS是一种C/S结构的协议，它的客户端最初就是NAS（Net Access Server）服务器，现在任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS协议认证机制灵活，可以采用PAP、 CHAP或者Unix登录认证等多种方式。RADIUS是一种可扩展的协议，它进行的全部工作都是基于Attribute-Length-Value的向量进行的。RADIUS也支持厂商扩充厂家专有属性。 RADIUS的基本工作原理:用户接入NAS（Network Access Server），NAS向RADIUS服务器使用Access-Require数据包提交用户信息，包括用户名、密码等相关信息，其中用户密码是经过MD5加密的，双方使用共享密钥，这个密钥不经过网络传播；RADIUS服务器对用户名和密码的合法性进行检验，必要时可以提出一个Challenge，要求进一步对用户认证，也可以对NAS进行类似的认证；如果合法，给NAS返回Access-Accept数据包，允许用户进行下一步工作，否则返回Access-Reject数据包，拒绝用户访问；如果允许访问，NAS向RADIUS服务器提出计费请求Account- Require，RADIUS 服务器响应Account-Accept，对用户的计费开始，同时用户可以进行自己的相关操作。
配置采用RADIUS协议进行认证
配置采用RADIUS协议进行认证、计费和授权示例 组网需求 如图1所示，用户通过RouterA访问网络，用户同处于huawei域。RouterB作为目的网络接入服务器。用户首先需要穿越RouterA和RouterB所在的网络，然后通过服务器的远端认证才能通过RouterB访问目的网络。在RouterB上的远端认证方式如下： ?用RADIUS服务器对接入用户进行认证、计费。 ?RADIUS服务器129.7.66.66/24作为主用认证服务器和计费服务器，RADIUS服务器129.7.66.67/24作为备用认证服务器和计费服务器，认证端口号缺省为1812，计费端口号缺省为1813。 图1 采用RADIUS协议对用户进行认证和计费组网图 配置思路 用如下的思路配置采用RADIUS协议对用户进行认证和计费。 1.配置RADIUS服务器模板。 2.配置认证方案、计费方案。 3.在域下应用RADIUS服务器模板、认证方案和计费方案。 数据准备 为完成此配置举例，需要准备如下数据： ?用户所属的域名 ?RADIUS服务器模板名 ?认证方案名、认证模式、计费方案名、计费模式 ?主用和备用RADIUS服务器的IP地址、认证端口号、计费端口号 ?RADIUS服务器密钥和重传次数 说明： 以下配置均在RouterB上进行。 操作步骤
1.配置接口的IP地址和路由，使用户和服务器之间路由可达。 2.配置RADIUS服务器模板 # 配置RADIUS服务器模板shiva。
交换机Vlan配置
实验三交换机的VLAN配置 一、实验目的 1. 理解理解Trunk链路的作用和VLAN的工作原理 2. 掌握交换机上创建VLAN、接口分配 3．掌握利用三层交换机实现VLAN间的路由的方法。 二、实验环境 本实验在实验室环境下进行操作，需要的设备有：配置网卡的PC机若干台，双绞线若干条，CONSOLE线缆若干条，思科交换机cisco 2960两台。 三、实验容 1. 单一交换机的VLAN配置； 2. 跨交换机VLAN配置，设置Trunk端口； 3. 测试VLAN分配结果； 4．在三层交换机上实现VLAN的路由； 5．测试VLAN间的连通性 四、实验原理 1．什么是VLAN VLAN是建立在局域网交换机上的，以软件方式实现逻辑工作组的划分与管理，逻辑工作组的站点不受物理位置的限制，当一个站点从一个逻辑工作组移到另一个逻辑工作组时，只需要通过软件设定，而不需要改变它在网络中的物理位置；当一个站点从一个物理位置移动到另一个物理位置时，只要将该计算机连入另一台交换机，通过软件设定后该计算机可成为原工作组的一员。 相同VLAN的主机可以相互直接通信，不同VLAN中的主机之间不能直接通信，需要借助于路由器或具有路由功能的第三层交换机进行转发。广播数据包只可以在本VLAN进行广播，不能传输到其他VLAN中。 2．交换机的端口 以太网交换机的每个端口都可以分配给一个VLAN，分配给同一个VLAN的端口共享广播域，即一个站点发送广播信息，同一VLAN中的所有站点都可以接收到。 交换机一般都有三种类型的端口：TRUNK口、ACCESS口、CONSOLE口。 ?CONSOLE端口：它是专门用于对交换机进行配置和管理的。通过Console 端口连接并配置交换机，是配置和管理交换机必须经过的步骤。 ?ACCESS口（默认）：ACCESS端口只能通过缺省VLAN ID的报文。
搭建radius服务器(全)
802.1X认证完整配置过程说明 802.1x认证的网络拓布结构如下图： 认证架构 1、当无线客户端在AP的覆盖区域内，就会发现以SSID标识出来的无线信号，从中可以看到SSID名称和加密类型，以便用户判断选择。 2、无线AP配置成只允许经过802.1X认证过的用户登录，当用户尝试连接时，AP会自动设置一条限制
通道，只让用户和RADIUS服务器通信，RADIUS服务器只接受信任的RADIUS客户端（这里可以理解为AP或者无线控制器），用户端会尝试使用802.1X，通过那条限制通道和RADIUS服务器进行认证。 3、RADIUS收到认证请求之后，首先会在AD中检查用户密码信息，如果通过密码确认，RADIUS会收集一些信息，来确认该用户是否有权限接入到无线网络中，包括用户组信息和访问策略的定义等来决定拒绝还是允许，RADIUS把这个决定传给radius客户端（在这里可以理解为AP或者无线控制器），如果是拒绝，那客户端将无法接入到无线网，如果允许，RADIUS还会把无线客户端的KEY传给RADIUS客户端，客户端和AP会使用这个KEY加密并解密他们之间的无线流量。 4、经过认证之后，AP会放开对该客户端的限制，让客户端能够自由访问网络上的资源，包括DHCP，获取权限之后客户端会向网络上广播他的DHCP请求，DHCP服务器会分配给他一个IP地址，该客户端即可正常通信。 我们的认证客户端采用无线客户端，无线接入点是用TP-LINK，服务器安装windows Server 2003 sp1；所以完整的配置方案应该对这三者都进行相关配置，思路是首先配置RADIUS server 端，其次是配置无线接入点，最后配置无线客户端，这三者的配置先后顺序是无所谓的。 配置如下： 配置RADIUS server步骤： 配置RADIUS server 的前提是要在服务器上安装Active Directory ,IAS（internet验证服务），IIS管理器（internet信息服务管理器），和证书颁发机构； 在AD和证书服务没有安装时，要先安装AD然后安装证书服务，如果此顺序反了，证书服务中的企业根证书服务则不能选择安装； 一：安装AD，IIS 安装见附件《AD安装图文教程》 二：安装IAS 1、添加删除程序—》添加删除windows组件
H3C三层交换机VLAN配置实例
H3C三层交换机VLAN配置实例
VLAN+路由器典型配置实例
详解:VLAN+路由器典型配置实例 近期看到有些朋友问交换机划 VLAN 后接路由器如何配置访问外网，其实这是个比较简单，也比较典型的配置。网上也很容易找到，但都不系统很零散。这里针对几种常见的情况，分别做了配置： 1、拓扑结构图： 1）本例中的路由器均为华为 AR28-10,交换机 SW1为华为的 S3526 带3 层交换功能，SW2为华为 2403H-EI二层交换机。 2）图模拟了常见的拓扑结构。也没有用到任何厂商特性，因此也适用于其他厂商的设备，只是命令行有所不同。 2、基础配置： ISP: interface Serial0/0 #配置和RA相连的接口 clock DTECLK1 link-protocol ppp ip address 10.0.1.1 255.255.255.252 interface LoopBack0 #配置该接口模拟 internet 的一个 IP。 ip address 1.1.1.1 255.255.255.255 ip route-static 59.61.94.144 255.255.255.248 10.0.1.2 preference 60 #将该地址段指向 RA，也即分配地址池给 RA。 RA:
nat address-group 0 59.61.94.145 59.61.94.150 #配置NAT 地址池，也即ISP分配的地址段。（如果外网接口类型为广播，则最好把这些地址配置给LOOPBACK接口，否则可能不同，但此例是点对点接口，无此问题） acl number 2000 #配置NA T 用的ACL列表 rule 0 permit source 172.16.0.0 0.0.0.255 rule 1 permit source 172.16.1.0 0.0.0.255 rule 2 permit source 10.0.0.0 0.0.0.3 interface Ethernet0/0 #配置内网口 ip address 10.0.0.1 255.255.255.252 interface Serial0/0 #配置外网口 link-protocol ppp ip address 10.0.1.2 255.255.255.252 nat outbound 2000 address-group 0 #做NA T，采用先前配置的地址池。 ip route-static 0.0.0.0 0.0.0.0 10.0.1.1 preference 60 配置默认路由 SW1: gvrp #启用GVRP 注册协议，用于动态创建SW2的VLAN，实现VLAN 的集中管理。 vlan 2 #创建各VLAN vlan 3 vlan 24#因为S3526 不支持被路由接口，因此将E0/24 划到VLAN24，给VLAN24 配置虚接口IP用于路由。（cisco 则可以在e0/24接口用no switchport 配置为被路由接口，直接配置IP即可） interface Vlan-interface2 #配置VLAN 虚接口IP ip address 172.16.0.254 255.255.255.0 interface Vlan-interface3 配置VLAN 虚接口IP ip address 172.16.1.254 255.255.255.0 interface Vlan-interface24 配置VLAN 虚接口IP ip address 10.0.0.2 255.255.255.252 interface Ethernet0/1 #划分接口到VLAN port access vlan 2 interface Ethernet0/10 #配置和SW2 互联的E0/10接口为Trunk 接口，并启用GVRP协议。port link-type trunk port trunk permit vlan 2 to 3 gvrp registration fixed