06-WAPI配置詳細完整

目錄WAPI配置 1-1WAPI簡介 1-1WAPI系統(tǒng)概述 1-1WAPI的工作過程 1-2WAPI的鑒別方式 1-3WAPI的密鑰管理 1-4協(xié)議規(guī)范 1-5WAPI配置任務簡介 1-5配置WAPI鑒別方式 1-6配置證書鑒別 1-6配置準備 1-6配置證書所屬的PKI域和AS的實體名 1-6配置AS的IP地址 1-6配置BK更新 1-7配置證書格式 1-7配置證書鑒別模式 1-8配置AAA證書鑒別所屬ISP域 1-8配置預共享密鑰鑒別 1-9配置準備 1-9配置預共享密鑰 1-9配置單播密鑰更新 1-9配置準備 1-9配置單播密鑰更新 1-9配置組播密鑰更新 1-101.7.1配置準備 1-101.7.2配置組播密鑰更新 1-10WAPI顯示和維護 1-11WAPI典型配置舉例 1-11預共享密鑰鑒別配置舉例 1-11標準證書鑒別配置舉例 1-12AAA證書鑒別配置舉例 1-14常見配置錯誤舉例 1-17Client上線失敗 1-17導入證書失敗 1-171.10.3計費異常 1-181.10.4用戶上線后無ping通 1-18i1-1-PAGE18zH3CWAWA1208E系列、WA2200WA2600系列，各zEth口舉例說明。實際使用中請根據具體設備的接口類型和編號進行配置。1WAPI配置WAPI簡介WAPI是WLANAuthenticationandPrivacyInfrastructure（無線局域網鑒別與保密基礎結構）的簡稱，是中國提出的、以802.11無線協(xié)議為基礎的無線安全標準。WAPI協(xié)議由以下兩部分構成：z WAI：是WLANAuthentication無線局域網鑒別基礎結構）線局域網中身份鑒別和密鑰管理的安全方案；z WPI：是WLANPrivacy無線局域網保密基礎結構）網中數(shù)據傳輸保護的安全方案，包括數(shù)據加密、數(shù)據鑒別和重放保護等功能。WAPI系統(tǒng)概述基本概念WAPI系統(tǒng)中所涉及到的基本概念如表1-1所示。概念全稱及中文解釋說明AP概念全稱及中文解釋說明APAccessPoint，接入點是指任何一個能通過無線介質為無線終端提供分布式訪問服務的實體ASAuthenticationServer，鑒別服務器 用于對用戶和設備證書進行身份鑒別等，是基于公鑰密碼技術的WAI中重要的組成部分BKBaseKey，基密鑰用于導出單播會話密鑰，由證書鑒別過程協(xié)商得到或者由預共享密鑰導出MSKMulticastSessionKey，組播會話密 用于保護站點發(fā)送的組播MPDU的隨機值，由組播主密鑰 鑰導出，包括組播加密密鑰和組播完整性校驗密鑰PSKPresharedKey，預共享密鑰是發(fā)布給Client的靜態(tài)密鑰Client無線終端本文中是指帶有支持WAPI協(xié)議無線網卡的PC、便攜式筆記本電腦等無線終端USK是由BK通過偽隨機函數(shù)導出的隨機值，分為四個部分：UnicastSessionKey，單播會話密鑰 單播加密密鑰、單播完整性校驗密鑰、消息鑒別密鑰密鑰加密密鑰概念概念全稱及中文解釋說明WAPIuserWAPI用戶是指使用WAPI安全模式進行認證的用戶，系統(tǒng)所支持的最大WAPI用戶數(shù)量為256個。本文中也稱為Client系統(tǒng)組成在一個典型的WAPI1-1所示，WAPI用戶通過AP接入有線IP網絡。首先，WAPI與AP802.11鏈路協(xié)商，之后AP為該用戶觸發(fā)WAI鑒別過程（請參見“1.1.3WAPI式”一節(jié)），配合ASAP會發(fā)起對該用戶的密鑰協(xié)商（請參見“1.1.4WAPI的密鑰”一節(jié)），并使用協(xié)商出的密鑰通過WPI向該WAPI務。圖1-1WAPI系統(tǒng)典型組網圖 WAPI的工作過程在一個采用了WAPI安全關聯(lián)機制的WLANClient需要訪問該WLANAP標（Beacon）幀或主動發(fā)送探詢幀（1-2所示）以識別AP所采用的安全策略：若AP采用證書鑒別方式，AP將發(fā)送鑒別激活分組啟動證書鑒別過程，當證書鑒別過程成功結束后，AP和Client再進行單播密鑰協(xié)商和組播密鑰通告；zz若AP采用預共享密鑰鑒別方式，AP將與Client直接進行單播密鑰協(xié)商和組播密鑰通告。zz圖1-2主動探詢過程探詢請求探詢響應（探詢請求探詢響應（WAPI信息元素）鏈路驗證請求鏈路驗證響應關聯(lián)請求（WAPI信息元素）關聯(lián)響應WAPI的鑒別方式WAPI支持如下兩種鑒別方式：證書鑒別方式和預共享密鑰鑒別方式。證書鑒別方式PKI（PublicKeyInfrastructure，公鑰基礎設施）開密鑰及用戶相關信息的文件，是網絡用戶的數(shù)字身份憑證。WAPIAS對用戶證書進行驗證，可以唯一確定WAPI用戶的身份及其合法性。證書鑒別是基于Client和APClient和AP然后通過AS對雙方的身份進行鑒別，根據雙方產生的臨時公鑰和臨時私鑰生成BK，并為隨后的單1-3所示。圖1-3證書鑒別過程鑒別激活分組接入鑒別請求分組鑒別激活分組接入鑒別請求分組證書鑒別請求分組證書鑒別響應分組(5)接入鑒別響應分組在進行證書鑒別時，有如下兩種證書鑒別模式可供選擇：z WAPIUDP模式。在該模式下，APASWAI協(xié)UDP能。z AAAH3C私有的一種鑒別模式。在該模式下，APASRADIUSRADIUS協(xié)議報文之上（要求RADIUSWAPI功能），作為RADIUS報文的一個私有屬性。此外，該模式還能夠提供對用戶的授權和計費功能（需要RADIUS服務器配合）。z當采用證書鑒別方式時，需要配置證書所屬的PKI域，以實現(xiàn)WAPI證書鑒別的功能。zWAPIAPAS的證書。AP作為本地實體，AS當本地實體申請證書時必須預先擁有自己的非對稱密鑰對，WAPIECDSA（EllipticCurveDigitalSignatureAlgorithm簽名算法）；而外部實體在獲取證書時則不需要進行獲取密鑰的操作。。預共享密鑰鑒別方式ClientAPClientAP有相同的密鑰，即預共享密鑰。鑒別時直接將預共享密鑰轉換為BK播密鑰通告。在預共享密鑰鑒別方式下，由于整個身份鑒別和密鑰協(xié)商過程中不進行證書鑒別，因此不需要AS的支持。WAPI的密鑰管理ClientAP之間交互的單播數(shù)據利用單播密鑰協(xié)商過程所協(xié)商出的單播加密密鑰和單播完整性校驗密鑰進行保護；AP利用自己通告的、由組播主密鑰導出的組播加密密鑰和組播完整性校驗密鑰對其發(fā)送的廣播/組播數(shù)據進行保護，而ClientAP鑰和組播完整性校驗密鑰對收到的廣播/組播數(shù)據進行解密。首先要進行單播密鑰的協(xié)商，其過程如圖1-4所示。圖1-4單播密鑰協(xié)商過程當單播密鑰協(xié)商完成后，再使用單播密鑰協(xié)商過程所協(xié)商出的密鑰進行組播密鑰的通告，其過程如圖1-5所示。圖1-5組播密鑰通告過程 協(xié)議規(guī)范與WAPI相關的協(xié)議規(guī)范有：z GB111號修改單z RFC3280：InternetX.509PublicKeyInfrastructureCertificateandCertificateRevocationList(CRL)Profilez RFC4492：EllipticCurveCryptography(ECC)CipherSuitesforTransportLayerSecurity(TLS)WAPI配置任務簡介表1-2WAPI配置任務簡介配置任務說明詳細配置配置WAPI鑒別方式必選1.3配置證書所屬的PKI域和AS必選1.4.2配置AS的IP地址可選1.4.3配置證書鑒別配置BK更新可選1.4.4配置證書格式可選1.4.5配置證書鑒別模式可選1.4.6配置AAA證書鑒別所屬的ISP域可選1.4.7配置預共享密鑰鑒別配置預共享密鑰必選1.5.2配置單播密鑰更新可選1.6.2配置組播密鑰更新可選1.7.2配置WAPI鑒別方式WAPI有兩種鑒別方式：證書鑒別和預共享密鑰鑒別，請根據實際需要選擇適當?shù)蔫b別方式。表1-3配置WAPI鑒別方式操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number-必選配置WAPI的鑒別方式

wapiauthenticationmethod{certificatecertificate-or-psk|psk}

缺省情況下，WAPI采用證書鑒別方式配置證書鑒別配置準備在配置證書鑒別之前，需完成以下任務：z WAPI采用證書鑒別方式z PKI域z AAA證書鑒別所屬的ISP域（僅當證書鑒別模式為AAA鑒別模式時需要）在配置證書鑒別之前，需準備以下數(shù)據：z AS的IP地址z BK的更新時間PKIAS的實體名PKIPKIASAS上的證書。操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interface操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number-必選指定證書所屬的PKI域 wapicertificatedomaindomain-name和AS的實體名 authentication-serverentity-namePKI域和AS的實體名ASIP地址ASClientAPAS的IP地址。操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interface操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number-必選指定AS的IP地址 wapiauthentication-serveripip-addressAS的IP地址當采用AAAAS的IP地址應在配置AAA策略時指定，而不應通過wapiauthentication-serverip命令指定。有關AAA配置”。BK更新BK具有生命周期，當其生命周期結束時需要進行更新，即重新進行證書鑒別過程，生成新的BK。要進行BK更新，必須保證BK更新功能處于開啟狀態(tài)。操作命令說明進入系統(tǒng)視圖system-view-操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number-可選使能BK更新功能 wapibkrekeyenable缺省情況下，BK更新功能處于開啟狀態(tài)可選配置BK更新時間wapibklifetimetime缺省情況下，BK43200秒配置證書格式WAPI協(xié)議中定義了兩種證書格式：X.509v3GBWX.509v3書進行證書鑒別。操作命令說明進入系統(tǒng)視圖system-view操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number-操作指定證書鑒別所采用的證書格式

命令wapicertificateformat{gbw|x509

說明必選X.509v3證書進行證書鑒別GBWGBW功。配置證書鑒別模式WAPIAAA別模式。操作命令說明進入系統(tǒng)視圖操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number-必選配置證書鑒別模式 wapiauthenticationmode{scheme|standard}WAPI采用標準鑒別模式AAAISP域當采用AAA鑒別模式時，必須指定AAA證書鑒別所屬的ISP域，用于獲取對應ISP域的相關策略（包括AAA策略）。操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interface操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number-必選指定AAA證書鑒別所 wapimandatory-domaindomain-name屬的ISP域缺省情況下，沒有指定AAA證書鑒別所屬的ISP域當采用標準鑒別模式時不必進行此項配置。配置預共享密鑰鑒別配置準備在配置預共享密鑰鑒別之前，需完成以下任務：z WAPI采用預共享密鑰鑒別方式在配置預共享密鑰鑒別之前，需準備以下數(shù)據：z 預共享密鑰配置預共享密鑰WAPIAPClientBK，進行密鑰協(xié)商。表1-10配置預共享密鑰操作進入系統(tǒng)視圖進入接口視圖配置預共享密鑰

命令system-viewinterfaceinterface-typeinterface-numberwapipsk{pass-phrase{cipher|simple}password|raw-key{ciphersimple}key}

說明--必選缺省情況下，沒有配置預共享密鑰配置單播密鑰更新配置準備在配置單播密鑰更新之前，需完成以下任務：z 配置證書鑒別或者預共享密鑰鑒別在配置單播密鑰更新之前，需準備以下數(shù)據：z 單播密鑰的更新時間配置單播密鑰更新單播密鑰具有生命周期，當其生命周期結束時需要進行更新，即重新進行單播密鑰協(xié)商。要進行單播密鑰更新，必須保證單播密鑰更新功能處于開啟狀態(tài)。操作命令說明進入系統(tǒng)視圖操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number -操作操作命令說明可選使能單播密鑰更新功能 wapiuskrekeyenable缺省情況下，單播密鑰更新功能處于開啟狀態(tài)可選配置單播密鑰的更新時間 wapiusklifetimetime缺省情況下，單播密鑰的更新時間為86400秒配置組播密鑰更新配置準備在配置組播密鑰更新之前，需完成以下任務：z 配置證書鑒別或者預共享密鑰鑒別在配置組播密鑰更新之前，需準備以下數(shù)據：z 觸發(fā)組播密鑰更新的報文數(shù)量或時間間隔配置組播密鑰更新組播密鑰具有生命周期，當其生命周期結束時需要更新組播密鑰。要進行組播密鑰更新，必須保證組播密鑰更新功能處于開啟狀態(tài)。這樣可以防止密鑰的泄漏。除此之外，還有其它兩種觸發(fā)組播密鑰更新的方式：z 由時間間隔觸發(fā)的組播密鑰更新：在指定時間間隔后進行組播密鑰更新；z 鑰更新。操作命令說明進入系統(tǒng)視圖操作命令說明進入系統(tǒng)視圖system-view-進入接口視圖interfaceinterface-typeinterface-number-可選使能組播密鑰更新功能 wapimsk-rekeyenable缺省情況下，組播密鑰更新功能處于開啟狀態(tài)可選使能用戶下線觸發(fā)組播密鑰更新功能 wapimsk-rekeyclient-offlineenable缺省情況下，用戶下線觸發(fā)組播密鑰更新功能處于關閉狀態(tài)操作 命令 說明配置組播密鑰更新方式 wapimsk-rekeymethod{[packet]|time-based[time]}

可選缺省情況下，由時間間隔觸發(fā)組播密鑰更新，觸發(fā)更新的時間間隔為86400秒WAPI顯示和維護displayWAPI顯示信息驗證配置的效果。在用戶視圖下執(zhí)行reset命令可以清除WAPI的統(tǒng)計信息。表1-13WAPI顯示和維護操作查看接口上WAPI的統(tǒng)計信息查看接口上WAPI用戶的信息清除接口上WAPI的統(tǒng)計信息

命令displaywapistatistics[interfaceinterface-typeinterface-number]displaywapiuser[interfaceinterface-typeinterface-number]resetwapistatistics[interfaceinterface-typeinterface-number]WAPI典型配置舉例預共享密鑰鑒別配置舉例組網需求z Client、APDHCPIP地址。z APAP20000秒。組網圖圖1-6預共享密鑰鑒別配置組網圖配置步驟IP地址請按照圖1-6配置各設備的IP地址和子網掩碼，具體配置過程略。FATAP#使能端口安全功能，并配置接口WLAN-BSS1的端口安全模式為WAPI模式。<AP>system-view[AP]port-securityenable[AP]interfacewlan-bss1[AP-WLAN-BSS1]port-securityport-modewapi#在接口WLAN-BSS1上配置WAPI采用預共享密鑰鑒別方式，預共享密鑰為12345678，并配置單播密鑰和組播密鑰的更新時間均為20000秒。[AP-WLAN-BSS1]wapiauthenticationmethodpsk[AP-WLAN-BSS1]wapipskpass-phrasesimple12345678[AP-WLAN-BSS1]wapiusklifetime20000[AP-WLAN-BSS1]wapimsk-rekeymethodtime-based20000[AP-WLAN-BSS1]quit#創(chuàng)建類型為WAPI的服務模板1，配置其SSID為wapi1，并使能該服務模板。[AP]wlanservice-template1wapi[AP-wlan-st-1]ssidwapi1[AP-wlan-st-1]service-templateenable[AP-wlan-st-1]quit#將WLAN-BSS接口與服務模板綁定。[AP]interfacewlan-radio1/0/2[AP-WLAN-Radio1/0/2]radio-typedot11g[AP-WLAN-Radio1/0/2]service-template1interfacewlan-bss1檢驗配置結果通過使用displaywapiuser命令可以查看接口上WAPI用戶的信息。標準證書鑒別配置舉例組網需求z ClientAPDHCPIP地址。z WAPI系統(tǒng)采用證書鑒別方式中的標準鑒別模式，CA服務器、APASca.cer、ap.ceras.cerFATAPBK更新功能。組網圖圖1-7標準證書鑒別配置組網圖 AS和CA服務器可以是同一臺物理設備。配置步驟IP地址請按照圖1-7配置各設備的IP地址和子網掩碼，具體配置過程略。FATAP#PKIpki1CRL檢查（對導入的證書不進行是否吊銷檢查，即默認此方式下用戶證書有效ECDSAas1<AP>system-view[AP]pkidomain[AP-pki-domain-pki1]crlcheckdisable[AP-pki-domain-pki1]signature-algorithmecdsa[AP-pki-domain-pki1]peer-entityas1import[AP-pki-domain-pki1]quit#分別導入證書文件ca.cer、ap.cer和as.cer。[AP]pkiimport-certificatecadomainpki1pemfilenameca.cer[AP]pkiimport-certificatelocaldomainpki1pemfilenameap.cer[AP]pkiimport-certificatepeer-entityas1domainpki1pemfilenameas.cer#使能端口安全功能，并配置接口WLAN-BSS1的端口安全模式為WAPI模式。[AP]port-securityenable[AP]interfacewlan-bss1[AP-WLAN-BSS1]port-securityport-modewapi#在接口WLAN-BSS1上配置WAPI采用證書鑒別方式中的標準鑒別模式；指定AS的IP地址為10.10.1.3，并指定證書所屬的PKI域為pki1、AS為as1。[AP-WLAN-BSS1]wapiauthenticationmethodcertificate[AP-WLAN-BSS1]wapiauthenticationmodestandard[AP-WLAN-BSS1]wapiauthentication-serverip10.10.1.3[AP-WLAN-BSS1]wapicertificatedomainpki1authentication-serveras1#在接口WLAN-BSS1上關閉BK更新功能，并配置單播密鑰和組播密鑰的更新時間均為20000秒。[AP-WLAN-BSS1]undowapibkrekeyenable[AP-WLAN-BSS1]wapiusklifetime20000[AP-WLAN-BSS1]wapimsk-rekeymethodtime-based20000[AP-WLAN-BSS1]quit#創(chuàng)建類型為WAPI的服務模板1，配置其SSID為wapi1，并使能該服務模板。[AP]wlanservice-template1wapi[AP-wlan-st-1]ssidwapi1[AP-wlan-st-1]service-templateenable[AP-wlan-st-1]quit#將WLAN-BSS接口與服務模板綁定。[AP]interfacewlan-radio1/0/2[AP-WLAN-Radio1/0/2]radio-typedot11g[AP-WLAN-Radio1/0/2]service-template1interfacewlan-bss1檢驗配置結果通過使用displaywapiuser命令可以查看接口上WAPI用戶的信息。AAA證書鑒別配置舉例組網需求z ClientAPDHCPIP地址。z WAPIAAA鑒別模式，CA服務器、APASca.cer、ap.ceras.cerFATAPBK更新功能。組網圖圖1-8AAA證書鑒別配置組網圖AS、CA服務器和RADIUSserver可以是同一臺物理設備。配置步驟IP地址請按照圖1-8配置各設備的IP地址和子網掩碼，具體配置過程略。FATAP相關功能#PKIpki1CRL檢查（下用戶證書有效），指定證書采用ECDSA簽名算法，并配置外部實體as1式。<AP>system-view[AP]pkidomain[AP-pki-domain-pki1]crlcheckdisable[AP-pki-domain-pki1]signature-algorithmecdsa[AP-pki-domain-pki1]peer-entityas1import[AP-pki-domain-pki1]quit#分別導入證書文件ca.cer、ap.cer和as.cer。[AP]pkiimport-certificatecadomainpki1pemfilenameca.cer[AP]pkiimport-certificatelocaldomainpki1pemfilenameap.cer[AP]pkiimport-certificatepeer-entityas1domainpki1pemfilenameas.cer#創(chuàng)建RADIUS方案radius1授權服務器和主計費服務器的IP地址均為認證/授權報文和計費報文的共享密鑰均為12345678；并配置該方案的RADIUS服務器類型為extended，用戶名不攜帶域名。[AP]radiusschemeradius1[AP-radius-radius1]primaryauthentication10.10.1.5[AP-radius-radius1]primaryaccounting10.10.1.5[AP-radius-radius1]keyauthentication12345678[AP-radius-radius1]keyaccounting12345678[AP-radius-radius1]server-typeextended[AP-radius-radius1]user-name-formatwithout-domain[AP-radius-radius1]quit#ISPdomain1WAPIradius1ISP域。[AP]domaindomain1[AP-isp-domain1]authenticationwapiradius-schemeradius1[AP-isp-domain1]authorizationwapiradius-schemeradius1[AP-isp-domain1]accountingwapiradius-schemeradius1[AP-isp-domain1]quit[AP]domaindefaultenabledomain1#使能端口安全功能，并配置接口WLAN-BSS1的端口安全模式為WAPI模式。[AP]port-securityenable[AP]interfacewlan-bss1[AP-WLAN-BSS1]port-securityport-modewapiWLAN-BSS1上配置WAPIAAA鑒別模式；指定AAAISP域為domain1PKIpki1、ASas1。[AP-WLAN-BSS1]wapiauthenticationmethodcertificate[AP-WLAN-BSS1]wapiauthenticationmodescheme[AP-WLAN-BSS1]wapimandatory-domaindomain1[AP-WLAN-BSS1]wapicertificatedomainpki1authentication-serveras1#在接口WLAN-BSS1上關閉BK更新功能，并配置單播密鑰和組播密鑰的更新時間均為20000秒。[AP-WLAN-BSS1]undowapibkrekeyenable[AP-WLAN-BSS1]wapiusklifetime20000[AP-WLAN-BSS1]wapimsk-rekeymethodtime-based20000[AP-WLAN-BSS1]quit#創(chuàng)建類型為WAPI的服務模板1，配置其SSID為wapi1，并使能該服務模板。[AP]wlanservice-template1wapi[AP-wlan-st-1]ssidwapi1[AP-wlan-st-1]service-templateenable[AP-wlan-st-1]quit#將WLAN-BSS接口與服務模板綁定。[AP]interfacewla