Aruba 无线控制器 PEF 防火墙策略配置

防火墙原理（WEB登录模式）：

1：创建两组（或以上）的角色，其中一组角色为登录角色，这个角色只要一打开浏览器马上登录到一个带有密码验证的的页面，在没有输对密码前，用户一直都处在这个登录角色中。一般情况下这个角色关于在网络应用方面什么都不能干，能达到这个目的都是由这个登录角色下所包含的具体防火墙策略所造成的。

2：在登录成功后，用户会转换成某一角色，这个角色可能是GUEST或者ADMIN或者USER，每个角色都有各自的防火墙策略控制，权限也各不相同。

简略过程：

1：新建policies(策略集合)——>创建Rules(角色)

注：一个角色可以包含N个策略集合，一个策略集合包含N个具体策略，例如开通POP3或者屏蔽网段。

2:在“User Roles”下除了可以增加、减少策略外，还可以设置（Bandwidth Contract）带宽。在web页面验证的情况下，如果这个角色是“登录角色”，还需要在这里选择（Captive Portal Profile）强制登录页面。

3：在Advanced Services > All Profile Management下创建AAA，创建完毕后，为AAA选择一个初始的角色，例如如果需要WEB验证，选择刚才设置过的带有（Captive Portal Profile）

强制登录页面的角色。

4：下拉列框在Captive Portal Profile中新建一个页面设置，在刚才创建的的页面设置中点击“+”号，打开设置选项，在“Server Group”中选择“Internal”

5：创建虚拟AP的SSID及选择具体的AAA，在这里需要填写具体的VLAN。

6：在“Internal DB”下创建用户及密码，在Role项中选择该验证用户的具体角色，例如某些用户可上内网，某些用户不能上外网等，具体的角色是由刚才所创建的Role下选择的。

具体案例：

1：在没有安装防火墙licence，是默认所有接入用户都是无限制角色，在接通网络后可立刻登录互联网。当安装了licence后，所有通过无线AP接入的用户都处于登录角色状态。

2：在安装licence后，不想实行任何的防火墙策略，可以在AAA设置项页面下，把“Initial role”从原来的“logon”改为“authenticated”，此时接入的用户都是无限制的可信任角色。

实例：创建一个有登录页面，登录后有两种不同的角色（GUEST和ADMIN）的过程如下：

1：其中GUEST可以上外网，不可以进行其他的网络应用，ADMIN无则任何限制。为了节省创建策略的时间，可用系统已创建完成好的角色，Access Control > System Roles> System Roles

在这里可以添加策略，在这里，特别添加了已经创建好的mail策略，该策略的作用是可以用邮件客户端收发邮件。在此实验中，一共用到了三个系统自带的角色：logon，guest ，authenticated；其中logon为登录角色，guest为guest用户角色，authenticated为admin用户角色

2：在Advanced Services中选择All Profile，依次打开Wireless LAN> Captive Portal Authentication Profile> default，在Server Group选择internal

3：在Security > Authentication> Internal DB下创建用户，其中2为guest用户，带有guest 权限控制，1为admin用户，没有任何限制。

4：现在只要通过无线连接打开网页，就会有余下的登录页面。