认证检测代理服务器设置

i目录1Web认证·1-11.
1Web认证配置命令1-11.
1.
1displayweb-auth1-11.
1.
2displayweb-authfree-ip1-21.
1.
3displayweb-authserver1-21.
1.
4displayweb-authuser·1-31.
1.
5ip1-41.
1.
6redirect-wait-time·1-51.
1.
7url1-61.
1.
8url-parameter·1-71.
1.
9web-authauth-failvlan·1-81.
1.
10web-authdomain1-91.
1.
11web-authenable1-91.
1.
12web-authfree-ip·1-101.
1.
13web-authmax-user·1-111.
1.
14web-authoffline-detect·1-111.
1.
15web-authproxyport·1-121.
1.
16web-authserver·1-131-11Web认证1.
1Web认证配置命令1.
1.
1displayweb-authdisplayweb-auth命令用来显示接口上Web认证的配置信息和运行状态信息.
【命令】displayweb-auth[interfaceinterface-typeinterface-number]【视图】任意视图【缺省用户角色】network-adminnetwork-operator【参数】interfaceinterface-typeinterface-number:显示指定接口上Web认证的配置信息.
其中interface-typeinterface-number表示接口类型和接口编号.
若不指定本参数,则显示设备上所有Web认证的配置信息.
【举例】#显示接口Ten-GigabitEthernet1/1/1上Web认证的配置信息.
displayweb-authinterfaceten-gigabitethernet1/1/1GlobalWeb-authparameters:ProxyPortNumbers:NotconfiguredTotalonlineweb-authusers:1Ten-GigabitEthernet1/1/1islink-upPortrole:AuthenticatorWeb-authdomain:my-domainAuth-FailVLAN:NotconfiguredOffline-detect:NotconfiguredMaxonlineusers:1024Web-authenable:EnabledTotalonlineweb-authusers:1表1-1displayweb-auth命令显示信息描述表字段描述GlobalWeb-authparameters全局Web认证参数ProxyPortNumbersWeb代理服务器端口Totalonlineweb-authusers全局Web认证的在线用户数1-2字段描述Ten-GigabitEthernet1/1/1islink-up接口Ten-GigabitEthernet1/1/1的状态,包括如下取值:link-up:接口管理状态和物理状态均为开启link-down:接口处于关闭状态Portrole该端口担当认证端的作用,目前仅支持作为认证端Web-authdomainWeb认证用户使用的ISP域Auth-failVLANWeb认证的认证失败VLAN,如果没有配置,则显示NotconfiguredOffline-detectWeb认证用户在线检测的时间间隔,Notconfigured表示Web认证用户在线检测功能处于关闭状态Maxonlineusers允许同时接入的Web认证最大用户数Web-authenableWeb认证功能的开启状态,包括如下取值:Enabled:开启Disabled:关闭Totalonlineweb-authusers接口下Web认证的在线用户数1.
1.
2displayweb-authfree-ipdisplayweb-authfree-ip命令用来显示所有Web认证用户免认证的目的IP地址.
【命令】displayweb-authfree-ip【视图】任意视图【缺省用户角色】network-adminnetwork-operator【举例】#显示所有Web认证用户免认证的目的IP地址.
displayweb-authfree-ipFreeIP:1.
1.
0.
0255.
255.
0.
0:1.
2.
0.
0255.
255.
0.
0【相关命令】web-authfree-ip1.
1.
3displayweb-authserverdisplayweb-authserver命令用来显示Web认证服务器信息.
1-3【命令】displayweb-authserver[server-name]【视图】任意视图【缺省用户角色】network-adminnetwork-operator【参数】server-name:Web认证服务器的名称,为1~32个字符的字符串,区分大小写.
若不指定此参数,则显示设备上所有Web认证服务器的信息.
【举例】#显示Web认证服务器aaa的信息.
displayweb-authserveraaaWeb-authserver:aaaIP:8.
8.
8.
8Port:80URL:http://8.
8.
8.
8/portal/Redirect-wait-time:5URLparameters:Notconfigured表1-2displayweb-authserver命令显示信息描述表字段描述Web-authserverWeb认证服务器名称IPWeb认证服务器的IP地址PortWeb认证服务器的端口号URLWeb认证服务器的重定向URLRedirect-wait-timeWeb认证成功后,认证页面跳转的时间间隔URLparameters设备重定向给用户的URL中携带的参数信息1.
1.
4displayweb-authuserdisplayweb-authuser命令用来显示在线Web认证用户的信息.
【命令】displayweb-authuser[interfaceinterface-typeinterface-number|slotslot-number]【视图】任意视图1-4【缺省用户角色】network-adminnetwork-operator【参数】interfaceinterface-typeinterface-number:显示指定接口上在线Web认证用户的信息.
其中interface-typeinterface-number表示接口类型和接口编号.
若不指定该参数,则表示设备上所有接口上在线用户的信息.
slotslot-number:显示指定成员设备/PEX上所有接口在线Web认证用户的信息.
slot-number表示设备在IRF中的成员编号或者PEX的虚拟槽位号.
若不指定该参数,则表示所有成员设备上在线Web认证用户的信息.
【举例】#显示接口Ten-GigabitEthernet1/1/1上在线用户的信息.
displayweb-authuserinterfaceten-gigabitethernet1/1/1Totalonlineweb-authusers:1Username:user1MACaddress:0000-2700-b076Accessinterface:Ten-GigabitEthernet1/1/1InitialVLAN:1AuthorizationVLAN:N/AAuthorizationACLID:N/A表1-3displayweb-authuser命令显示信息描述表字段描述Totalonlineweb-authusers在线用户总数Username在线用户的用户名MACaddress在线用户的MAC地址Accessinterface在线用户接入的接口InitialVLAN初始的VLANAuthorizationVLAN授权的VLANAuthorizationACLID授权ACL编号1.
1.
5ipip命令用来配置Web认证服务器的IP地址.
undoip命令用来恢复缺省情况.
【命令】ipipv4-addressportport-numberundoip1-5【缺省情况】不存在Web认证服务器的IP地址.
【视图】Web认证服务器视图【缺省用户角色】network-admin【参数】ipv4-address:表示Web认证服务器的IPv4地址,该地址为接入设备上一个与Web认证用户路由可达的三层接口IP地址.
portport-number:指定Web认证服务器的端口.
port-number是端口号,取值范围为1~65535.
【使用指导】配置Web认证服务器的IP地址,建议使用设备上空闲的Loopback接口的IP地址,使用LoopBack接口有如下优点:状态稳定,可避免因为接口故障导致用户无法打开认证页面的问题.
由于发送到LoopBack接口的报文不会被转发到网络中,当请求上线的用户数目较大时,可减轻对系统性能的影响.
此命令配置的端口号必须与本地PortalWeb服务器中配置的侦听端口号保持一致.
有关本地PortalWeb服务器的详细介绍请参见"安全配置指导"中的"Portal".
同一个Web认证服务器视图下多次执行本命令,最后一次执行的命令生效.
【举例】#进入Web认证服务器视图.
system-view[Sysname]web-authserverwbs#配置Web认证服务器wbs的IP地址为192.
168.
1.
1,端口为8080.
[Sysname-web-auth-server-wbs]ip192.
168.
1.
1port8080【相关命令】urltcp-port(安全命令参考/Portal)1.
1.
6redirect-wait-timeredirect-wait-time命令用来配置认证页面跳转的时间间隔.
undoredirect-wait-time命令用来恢复缺省情况.
【命令】redirect-wait-timeperiodundoredirect-wait-time【缺省情况】Web认证用户认证成功后认证页面跳转的时间间隔为5秒.
1-6【视图】Web认证服务器视图【缺省用户角色】network-admin【参数】period:表示自Web认证用户认证成功后,当前认证页面开始跳转到其他页面的时间间隔,取值范围为1~90,单位为秒.
【使用指导】在某些应用环境中,客户端在Web认证成功后需要更新IP地址,为了避免客户端IP地址还未完成更新而无法打开跳转的网站页面,需要适当增加页面跳转的时间间隔,保证认证页面跳转的时间间隔大于客户端更新IP地址的时间.
【举例】#配置Web认证用户认证成功后认证页面跳转的时间间隔10秒.
system-view[Sysname]web-authserverwbs[Sysname-web-auth-server-wbs]redirect-wait-time101.
1.
7urlurl命令用来配置Web认证服务器的重定向URL.
undourl命令用来恢复缺省情况.
【命令】urlurl-stringundourl【缺省情况】不存在Web认证服务器的重定向URL.
【视图】Web认证服务器视图【缺省用户角色】network-admin【参数】url-string:表示Web认证服务器的重定向URL,为1~256个字符的字符串,区分大小写.
【使用指导】本命令配置的Web认证服务器重定向URL是可以用标准HTTP或者HTTPS协议访问的URL,它必须以http://或者https://开头.
如果该URL未以http://或者https://开头,则系统默认其以http://开头.
该URL中的IP地址和端口号必须与Web认证服务器中的IP地址和端口号保持一致.
1-7【举例】#配置Web认证服务器wbs的重定向URL为http://192.
168.
1.
1:80/portal/.
system-view[Sysname]web-authserverwbs[Sysname-web-auth-server-wbs]urlhttp://192.
168.
1.
1:80/portal/【相关命令】iptcp-port(安全命令参考/Portal)1.
1.
8url-parameterurl-parameter命令用来配置设备重定向给用户的URL中携带的参数信息.
undourl-parameter命令用来删除配置的设备重定向给用户的URL中携带的参数信息.
【命令】url-parameterparameter-name{original-url|source-address|source-mac|valueexpression}undourl-parameterparameter-name【缺省情况】未配置设备重定向给用户的URL中携带的参数信息.
【视图】Web认证服务器视图【缺省用户角色】network-admin【参数】parameter-name:表示URL中携带参数的名称,为1~32个字符的字符串,区分大小写.
URL参数名对应的参数内容由parameter-name后的参数指定.
original-url:用户初始访问的Web页面的URL.
source-address:用户的IP地址.
source-mac:用户的MAC地址.
valueexpression:自定义字符串,为1~256个字符的字符串,区分大小写.
【使用指导】可以通过多次执行本命令配置多条参数信息.
多次执行本命令且参数名parameter-name都相同,则最后一次执行的命令生效该命令用于配置用户访问Web认证服务器时,要求携带的一些参数,比较常用的是要求携带用户的IP地址、MAC地址、用户原始访问的URL信息.
用户也可以手工指定,携带一些特定的字符信息.
配置完成后,在设备给用户强制推送重定向URL时会携带这些参数,例如用户的源IP地址的1.
1.
1.
1,配置Web认证服务器的URL为:http://192.
168.
1.
1/portal,若同时配置如下两个参数信息:url-parameteruseripsource-address和url-parameteruserurlvalue1-8http://www.
abc.
com/welcome,则设备给该用户重定向的URL格式即为:http://192.
168.
1.
1/portaluserip=1.
1.
1.
1&userurl=http://www.
abc.
com/welcome.
param-name这个URL参数名必须与PC浏览器所接受的参数名保持一致,请根据具体情况配置URL参数名.
【举例】#为设备重定向给用户的PortalWeb服务器wbs的URL中配置两个参数userip和userurl,其值分别为用户IP地址和自定义字符串http://www.
abc.
com/welcome.
system-view[Sysname]web-authserverwbs[Sysname-web-auth-server-wbs]url-parameteruseripsource-address[Sysname-web-auth-server-wbs]url-parameteruserurlvaluehttp://www.
abc.
com/welcome1.
1.
9web-authauth-failvlanweb-authauth-failvlan命令用来配置Web认证的Auth-FailVLAN.
undoweb-authauth-failvlan命令用来恢复缺省情况.
【命令】web-authauth-failvlanauthfail-vlan-idundoweb-authauth-failvlan【缺省情况】不存在Web认证的Auth-FailVLAN.
【视图】二层以太网接口视图【缺省用户角色】network-admin【参数】authfail-vlan-id:表示Web认证的Auth-FailVLANID,取值范围为1~4094,该VLAN必须已经存在.
【使用指导】接口上配置此功能后,认证失败的Web认证用户可以访问Auth-FailVLAN中的资源.
为使此功能生效,必须开启二层以太网接口上的MACVLAN功能,并将Auth-FailVLAN的网段设为Web认证用户免认证的目的IP地址.
因为MACVLAN功能仅在Hybrid端口上生效,所以Web认证的Auth-FailVLAN功能也只能在Hybrid端口上生效.
当用户认证失败后,设备将Web认证用户的MAC地址与Auth-failVLAN进行绑定.
禁止删除已被配置为Web认证Auth-FailVLAN的VLAN,若要删除该VLAN,请先通过undoweb-authauth-failvlan命令取消Web认证的Auth-FailVLAN配置.
如果某个VLAN被指定为SuperVLAN,则该VLAN不能被指定为某个接口的Auth-FailVLAN;同样,如果某个VLAN被指定为某个接口的Auth-FailVLAN,则该VLAN不能被指定为SuperVLAN.
1-9【举例】#配置接口Ten-GigabitEthernet1/1/1上的Web认证的Auth-FailVLAN为VLAN5.
system-view[Sysname]interfaceten-gigabitethernet1/1/1[Sysname–Ten-GigabitEthernet1/1/1]portlink-typehybrid[Sysname–Ten-GigabitEthernet1/1/1]mac-vlanenable[Sysname–Ten-GigabitEthernet1/1/1]web-authauth-failvlan5【相关命令】displayweb-auth1.
1.
10web-authdomainweb-authdomain命令用来指定Web认证用户使用的认证域.
undoweb-authdomain命令用来恢复缺省情况.
【命令】web-authdomaindomain-nameundoweb-authdomain【缺省情况】未指定Web认证用户认证使用的认证域.
【视图】二层以太网接口视图【缺省用户角色】network-admin【参数】domain-name:ISP认证域名,为1~255个字符的字符串,不区分大小写.
【使用指导】在接口上执行此命令后,使得所有从该接口接入的Web认证用户强制使用该认证域.
【举例】#指定从接口Ten-GigabitEthernet1/1/1上接入的Web认证用户使用认证域为my-domain.
system-view[Sysname]interfaceten-gigabitethernet1/1/1[Sysname–Ten-GigabitEthernet1/1/1]web-authdomainmy-domain1.
1.
11web-authenableweb-authenable命令用来开启Web认证功能.
undoweb-authenable命令用来关闭Web认证功能.
【命令】web-authenableapplyserverserver-nameundoweb-authenable1-10【缺省情况】Web认证功能处于关闭状态.
【视图】二层以太网接口视图【缺省用户角色】network-admin【参数】server-name:表示引用的Web认证服务器的名称,为1~32个字符的字符串,区分大小写.
【使用指导】此命令用来开启Web认证功能,并指定引用的Web认证服务器.
为使Web认证功正常运行,在接入设备的二层以太网接口上开启Web认证功能后,请不要再在此接口上开启端口安全功能和配置端口安全模式.
【举例】#在接口Ten-GigabitEthernet1/1/1上开启Web认证功能,并指定引用的Web认证服务器为wbs.
system-view[Sysname]interfaceten-gigabitethernet1/1/1[Sysname-Ten-GigabitEthernet1/1/1]web-authenableapplyserverwbs【相关命令】web-authserver1.
1.
12web-authfree-ipweb-authfree-ip命令用来配置Web认证用户免认证目的IP地址.
undoweb-authfree-ip命令用来恢复缺省情况.
【命令】web-authfree-ipip-address{mask-length|mask}undoweb-authfree-ip{ip-address{mask-length|mask}|all}【缺省情况】不存在Web认证用户免认证的目的IP地址.
【视图】系统视图【缺省用户角色】network-admin【参数】ip-address:Web认证用户免认证目的网段的IP地址.
mask-length:Web认证用户免认证目的网段IP地址的掩码长度,取值范围为0~32.
mask:Web认证用户免认证目的网段IP地址的子网掩码,点分十进制格式.
1-11all:Web认证用户可免认证访问的所有网段.
【使用指导】在设备上执行此命令后,Web认证用户无需认证即可访问此命令指定IP地址网段中的资源.
可通过重复执行此命令来配置多个Web认证用户免认证的目的IP地址.
【举例】#配置Web认证用户免认证的目的IP地址为192.
168.
0.
0/24.
system-view[Sysname]web-authfree-ip192.
168.
0.
0241.
1.
13web-authmax-userweb-authmax-user命令用来配置Web认证最大用户数.
undoweb-authmax-user命令用来恢复缺省情况.
【命令】web-authmax-usermax-numberundoweb-authmax-user【缺省情况】接口上同时可接入的Web认证最大用户数为1024.
【视图】二层以太网接口视图【缺省用户角色】network-admin【参数】max-number:表示接口上同时可接入的Web认证最大用户数,取值范围为1~2048.
【使用指导】若配置的Web认证最大用户数小于当前已经在线的Web认证用户数,则该命令可以执行成功,且在线Web认证用户不受影响,但系统将不允许新的Web认证用户接入.
该命令指定的最大用户数仅为IPv4Web认证用户数.
【举例】#在接口Ten-GigabitEthernet1/1/1上配置Web认证最大用户数为32.
system-view[Sysname]interfaceten-gigabitethernet1/1/1[Sysname-Ten-GigabitEthernet1/1/1]web-authmax-user32【相关命令】displayweb-auth1.
1.
14web-authoffline-detectweb-authoffline-detect命令用来开启Web认证用户的在线检测功能.
1-12undoweb-authoffline-detect命令用来关闭Web认证用户的在线检测功能.
【命令】web-authoffline-detectintervalintervalundoweb-authoffline-detectinterval【缺省情况】Web认证用户在线检测功能处于关闭状态.
【视图】二层以太网接口视图【缺省用户角色】network-admin【参数】interval:指定用户在线检测时间间隔,取值范围为60~65535,单位为秒.
【使用指导】开启端口的Web认证用户的在线检测功能后,若设备在一个在线检测时间间隔之内,未收到此端口下某在线用户的报文,则将切断该用户的连接,同时通知RADIUS服务器停止对此用户进行计费.
配置用户在线检测时间间隔时,需要与MAC地址老化时间配成相同时间,否则会导致用户异常下线.
【举例】#在接口Ten-GigabitEthernet1/1/1上开启Web认证用户的在线检测功能,并指定在线检测的时间间隔为3600秒.
system-view[Sysname]interfaceten-gigabitethernet1/1/1[Sysname-Ten-GigabitEthernet1/1/1]web-authoffline-detectinterval36001.
1.
15web-authproxyportweb-authproxyport命令用来配置允许触发Web认证的Web代理服务器端口.
undoweb-authproxyport命令用来删除指定的或所有的Web认证的Web代理服务器端口.
【命令】web-authproxyportport-numberundoweb-authproxyport{port-number|all}【缺省情况】不存在Web认证的Web代理服务器端口.
【视图】系统视图【缺省用户角色】network-admin1-13【参数】port-number:Web认证的Web代理服务器的TCP端口号,取值范围为1~65535.
all:指定所有Web认证的Web代理服务器的TCP端口号.
【使用指导】设备默认只允许未配置Web代理服务器的浏览器发起的HTTP请求才能触发Portal认证.
当用户上网使用的浏览器配置了Web代理服务器时,用户的HTTP请求报文将被丢弃,而不能触发Web认证.
在这种情况下,网络管理员可以通过在设备上添加Web认证的Web代理服务器的TCP端口号,来允许配置了Web代理服务器的浏览器发起的HTTP请求也可以触发Web认证.
多次配置本命令可以添加多个Web认证的Web代理服务器的TCP端口号.
配置Web认证的Web代理服务器的TCP端口号,需要注意的是:如果用户浏览器采用WPAD(WebProxyAuto-Discovery,Web代理服务器自动发现)方式自动配置Web代理,则不仅需要网络管理员在设备上添加Web代理服务器端口,还需要将WPAD主机的IP地址配置为Web认证用户免认证的目的IP地址.
除了网络管理员需要在设备上添加指定的Web代理服务器端口,还需要用户在浏览器上将接入设备上Web认证服务器的IP地址加入到Web代理服务器的例外情况中,使Web认证服务器的IP地址不使用Web代理服务器,避免Web认证用户发送给Web认证页面的HTTP报文被发送到Web代理服务器上,从而影响正常的Web认证.
【举例】#配置Web认证的Web代理服务器的TCP端口号为7777.
system-view[Sysname]web-authproxyport77771.
1.
16web-authserverweb-authserver命令用来创建Web认证服务器,并进入Web认证服务器视图.
如果指定的Web认证服务器已经存在,则直接进入Web认证服务器视图.
undoweb-authserver命令用来删除指定的Web认证服务器.
【命令】web-authserverserver-nameundoweb-authserverserver-name【缺省情况】不存在Web认证服务器.
【视图】系统视图【缺省用户角色】network-admin【参数】server-name:表示Web认证服务器的名称,为1~32个字符的字符串,区分大小写.
1-14【使用指导】在Web认证服务器视图下可以配置Web认证服务器侦听的IP地址、重定向URL及其重定向URL中携带的参数信息.
【举例】#创建名称为wbs的Web认证服务器,并进入Web认证服务器视图.
system-view[Sysname]web-authserverwbs[Sysname-web-auth-server-wbs]【相关命令】web-authenableapplyserver