第二部分 H3C iMC UAM产品培训

Portal方式下的证书认证需要设备支持Portal EAP
Portal
身份认证协议
客户端证书
Portal Server
RADIUS
iNode 客户端 认证设备 UAM
根证书 服务器证书 服务器证书私钥

12
用户接入认证－LDAP认证方式
UAM支持与微软AD等多种LDAP服务器对接，可以定期或手工将LDAP服务器 上的用户信息同步到UAM中，大大减轻了管理员创建账号的工作量 认证方式分为在UAM本地认证与送到LDAP服务器上认证两种方式 UAM支持主备LDAP服务器，支持主备切换.
H3C iMC-用户接入管理组件(不含认证用户)-纯软件(CD)中文 版
备注
0231A99U
必配
3130A209
LIS-IMCUAMA-CN-1K
H3C iMC-用户接入管理组件license费用-管理1000认证用户
3130A31G
LIS-IMCUAMB-CN-2K
H3C iMC-用户接入管理组件License费用-管理2000认证用户
入设备端口”，UAM会自动将终端用户第一次认证时使用的接入设备端口添加
到账号信息中.
终端 认证设备
UAM
tom 接入设备端口:2
Access Request

19
用户接入授权－下发VLAN
UAM上账号对应的服务中配置vlan号或vlan name 终端用户认证时，UAM下发vlan号或vlan name给接入设备，由接入设备将终 端用户划入对应的vlan
终端
认证设备
UAM
tom 服务 下发VLAN:1000
Access Request
身份认证协议 UserName=tom
Access Accept Tunnel-Type=xx Tunnel-Medium-Type=xx Tunnel-Private-Group-ID(81)=1000

20
用户接入授权－下发ACL
UAM上账号对应的服务中配置下发ACL，有手工输入与列表选择两种方式 终端用户认证时，UAM下发acl号给接入设备(该acl需要提前在设备上配置好)， 由接入设备动态将该acl作用于终端用户 终端用户下线后设备释放该acl，取消该ACL对终端用户的控制
LDAP UAM LDAP Server

14
用户接入认证－漫游认证方式
UAM支持标准的Radius Proxy-state方式将认证，计费报文漫游到上级UAM或 第三方的3A服务器上 UAM根据终端认证用户的域名来判断漫游到哪个3A服务器 支持记录漫游用户的漫游上网明细
UAM的LDAP同步策略支持过滤条件，支持自动同步,按需同步,新增用户及接
入账号,为已存在的用户新增接入账号,仅同步某节点下的账号等多个选项. 支持将LDAP服务器上的用户信息导出为文件
Portal
身份认证协议
Portal Server RADIUS LDAP 认证设备
iNode 客户端
UAM
LDAP Server

6
UAM配套的操作系统，数据库及服务器情况
UAM有Windows及Linux两种版本.由于其基于iMC平台运行，所以配套的操作系统及数据库
情况同iMC平台
一般UAM用户接入管理需要和iMC PLAT分布式部署，如果平台管理的设备小于50个，可以 将UAM用户接入管理与iMC平台部署在一台服务器上. 在存在大量用户访问用户自助的场景（特别是教育网计费局点），需要将用户自助服务 分布式部署在一台单独的服务器上. 不同场景的UAM对服务器的数量及硬件要求不一样.主要考虑因素有：管理用户数，在线 用户数，是否启用用户自助，是否启动Portal认证，Portal认证是否包含网页认证.

22
认证绑定检查－绑定接入设备IP
UAM上账号中配置接入设备IP地址，服务中勾选“绑定接入设备IP” 终端用户认证时，UAM检查设备认证请求中的设备IP地址与UAM账号信息中 的“接入设备IP”是否一致，如果不一致则该账号不能上线 在服务中勾选“绑定接入设备IP”的情况下，如果UAM账号中没有配置“接入
Portal Portal Portal Server
RADIUS
客户端 认证设备 UAM

11
用户接入认证－证书认证方式
证书认证支持基于EAP和WAPI二种方式 基于EAP的证书认证可以选择802.1x/portal/l2tp三种身份认证协议，支持EAPTLS与EAP-PEAP两种认证类型. 客户端只能采用iNode PC客户端
User_name User-password tom@beijing 123
UAM(南京)
第三方3A(北京)
用户名 密码
tom＠beijing 123

15
用户接入认证－设备管理用户认证
支持Telnet/SSH/FTP/Terminal四种认证方式 终端账号认证成功后可以下账号对应的发权限级别给H3C设备 认证账号支持绑定用户IP及设备IP 设备管理用户认证日志
终端
认证设备
UAM
tom
Access Request（00:01:00）
服务
接入时段（01:00:0002:00:00）
身份认证协议 UserName=tom
Access Reject

18
用户接入授权－上下行速率限制
UAM上账号对应的服务中配置上行速率与下行速率 终端用户认证时，UAM下发上，下行速率给接入设备，由接入设备对终端用户 的上，下行速率进行控制（需要设备同时支持该特性）
UAM
tom 服务 下发ACL:3000
终端
认证设备
Access Request
身份认证协议 UserName=tom
Access Accept
Filter-ID(11)=3000

21
目录
UAM产品概述 UAM产品的主要功能
用户身份认证方式 用户接入授权
认证绑定检查
客户端类功能 用户管理
Radius
Uam.exe

5
UAM在iMC中的位置
功 功能组件 功能组件 能 组 件 UAM
功能组件 EAD CAMS NTA UBA WSM 功 功 功 能 能 能 组 组 组 件 件 件 QoS 功 能 … 组 件
产品 平台
iMC平台 （专业版）
iMC平台 （标准版）
UAM作为iMC的一个组件基于iMC平台运行，同时也是EAD与CAMS组件的基础. 用户接入管理提供对UAM组件的配置管理界面及Radius协议报文处理功能 Portal服务器，Portal web／代理支持多次部署，可以部署在多个iMC从机上分担性能 用户自助服务提供UAM组件的用户自助功能 策略服务器及代理负责处理EAD报文，同时也是EAD组件的基础.
802.1x认证支持pap/chap/eap三种方式 客户端一般采用iNode
802.1x
RADIUS
客户端
认证设备
UAM

ห้องสมุดไป่ตู้
10
用户接入认证－Portal方式（用户名/密码方式）
Portal认证支持pap/chap/eap三种方式 客户端可以采用iNode或网页方式 终端用户网页认证时可以根据终端的无线SSID，操作系统类型弹出不同的认证 页面.

13
用户接入认证－域统一认证
域统一认证采用Windows Gina技术，支持802.1x/portal认证场景 终端需要安装iNode PC客户端并配置域统一认证连接 终端用户在登陆域时iNode自动发起采用终端登陆时使用的户用户名＠域名/密 码作为身份认证协议使用的认证用户名/密码进行认证.
接入请求
合法用户
网络
非法用户 拒绝入网 不同用户享 受不同的网 络使用权限
你是谁？

4
UAM产品系统架构
LDAP协议
LDAP管理
用户自助服务
LDAP服务器
Portal
Portal proxy
策略服务 器代理
Portal Server 策略服务器
DB
身份认证协议
EAD
终端
认证设备
目录
UAM产品概述 UAM产品的主要功能
UAM产品概述
UAM全称用户接入管理（User Access Manager），是由H3C针对企业网、校 园网和运营商等多种网络运营环境开发的一套基于Radius的集中网络接入认证管 理系统. UAM本身除了是一个扩展的3A服务器，完成对终端用户的认证与授权外，同时 也是EAD，CAMS组件的基础.
telnet/ssh……
RADIUS
终端
认证设备
UAM

16
目录
UAM产品概述 UAM产品的主要功能
用户身份认证方式 用户接入授权
认证绑定检查
客户端类功能 用户管理

17
用户接入授权－接入时段控制
UAM侧对账号配置灵活的接入时段 终端用户认证时，如果认证时间不在接入时段内，则认证被拒绝

23
认证绑定检查－绑定接入设备端口
UAM上账号中配置接入设备端口，服务中勾选“绑定接入设备端口” 终端用户认证时，UAM检查设备认证请求中的“用户接入端口” 与UAM账号 信息中的“接入设备端口”是否一致，如果不一致则该账号不能上线 在服务中勾选“绑定接入设备端口”的情况下，如果UAM账号中没有配置“接
详细内容请见＜ iMC部署和硬件配置方案＞
PLAT
UAM/Portal
PortalN
selfservice

7
UAM License策略