ME60常見認(rèn)證方式配置介紹.ppt

1、2020/8/14,2010.09,ME60常見認(rèn)證方式配置介紹,Page 2,目錄,常用寬帶用戶接入認(rèn)證方式介紹 PPPOE認(rèn)證方式 WEB認(rèn)證方式 ME60常見業(yè)務(wù)配置介紹 PPPOE接入認(rèn)證配置 WEB接入認(rèn)證配置,Page 3,ME60支持的業(yè)務(wù)接入類型,接入用戶的協(xié)議棧分為以下幾類 IPoX（IPoE、IPoEoVLAN、IPoEoQ、IPoEoA） PPPoX（PPPoE、PPPoEoVLAN、PPPoEoQ、PPPoA、PPPoEoA） 802.1X,Page 4,接入方式 PPPOE認(rèn)證方式,PPPOE方式是一種常用的基于帳號(hào)、密碼的認(rèn)證方式。,3、 ME60與RADIUS服務(wù)

2、器配合完成PPPoE的帳號(hào)、密碼的驗(yàn)證處理，給用戶分配一個(gè)合法的IP地址,ME60,Radius Server,Lanswitch,Core,5、RADIUS服務(wù)器完成對(duì)用戶的計(jì)費(fèi),2、ME60終結(jié)PPPoX,1.1、用戶發(fā)起PPPoE,4、用戶獲得合法的IP地址，并可以訪問Internet,Modem,1.2、用戶發(fā)起PPPoE,dslam,Page 5,ME60的PPPoE接入過程,用戶客戶端通過PPPoE撥號(hào)器撥號(hào)發(fā)起上線請(qǐng)求。,ME60和客戶端進(jìn)行PPPoE協(xié)商，創(chuàng)建PPPoE控制塊，為用戶建立會(huì)話并分配Session ID，完成PPPoE鏈路的建立。,ME60和客戶端進(jìn)行PPP協(xié)商，

3、協(xié)商完成后客戶端和ME60間以CHAP、PAP或MSCHAP方式完成驗(yàn)證。,ME60根據(jù)用戶所在域的認(rèn)證方案進(jìn)行遠(yuǎn)端認(rèn)證，并返回認(rèn)證成功消息。,認(rèn)證成功后，ME60從用戶所在域配置的地址池中為用戶分配IP地址，或者通過DHCP Proxy從遠(yuǎn)端的DHCP服務(wù)器為用戶分配IP地址 。,用戶可以正常上網(wǎng)并開始計(jì)費(fèi)。,ME60在用戶上網(wǎng)過程中，將周期性的對(duì)用戶進(jìn)行握手探測(cè)，以確保用戶連接信息的實(shí)時(shí)準(zhǔn)確性，如果連續(xù)在配置的最大探測(cè)次數(shù)內(nèi)沒有收到用戶的響應(yīng)，并且用戶無流量，ME60認(rèn)為用戶已經(jīng)異常下線，斷開用戶連接并刪除相關(guān)信息，停止計(jì)費(fèi) 。,用戶在線過程中，若通過PPPoE撥號(hào)軟件主動(dòng)斷開和ME60連

4、接，此時(shí)ME60立即刪除用戶的連接信息，停止計(jì)費(fèi)。,Page 6,ME60的PPPoE接入過程圖,Page 7,ME60與Radius交互流程,Page 8,接入方式 WEB認(rèn)證方式,Web認(rèn)證是指用戶通過訪問Web認(rèn)證服務(wù)器的認(rèn)證頁(yè)面，交互輸入用戶名和密碼進(jìn)行身份認(rèn)證的一種認(rèn)證方式。,Core,Radius Server,WEB Server,LAN Switch,ME60,2、ME60的ACL控制用戶在未經(jīng)過認(rèn)證前只能訪問一個(gè)或幾個(gè)特定WWW服務(wù)器（WEB認(rèn)證服務(wù)器）,4、用戶通過認(rèn)證后可以正常實(shí)現(xiàn)Internet訪問,5、ME60作為認(rèn)證客戶端，與Radius Server配合完成用戶的

5、認(rèn)證過程,4、用戶通過認(rèn)證后可以正常實(shí)現(xiàn)Internet訪問,1、用戶通過DHCP獲得IP地址,3、用戶發(fā)起認(rèn)證,Page 9,圖2 Web接入認(rèn)證流程,ME60的WEB認(rèn)證接入過程圖,Page 10,ME60的WEB認(rèn)證接入過程,進(jìn)行Web認(rèn)證前，用戶要先通過DHCP或者靜態(tài)配置獲取IP地址。 用戶訪問Web認(rèn)證服務(wù)器，并在Web認(rèn)證服務(wù)器提供的認(rèn)證頁(yè)面上輸入用戶名和密碼。 Web認(rèn)證服務(wù)器提取用戶的用戶名和密碼，并發(fā)送給ME60。 ME60將用戶名和密碼發(fā)送給AAA服務(wù)器對(duì)用戶進(jìn)行認(rèn)證。 AAA服務(wù)器將認(rèn)證結(jié)果通知ME60。 ME60將認(rèn)證結(jié)果通知Web認(rèn)證服務(wù)器。 Web認(rèn)證服務(wù)器將認(rèn)證

6、結(jié)果通過Web頁(yè)面通知用戶。如果認(rèn)證成功，用戶可以訪問Internet。,Page 11,目錄,常用寬帶用戶接入認(rèn)證方式介紹 PPPOE認(rèn)證方式 WEB認(rèn)證方式 ME60常見業(yè)務(wù)配置介紹 PPPOE接入認(rèn)證配置 WEB接入認(rèn)證配置,Page 12,PPPoEoVLAN業(yè)務(wù)配置,下行口配置： interface GigabitEthernet3/0/0.10 pppoe-server bind Virtual-Template 1 description to_TongZhou_ShiJiXingCheng_GPON user-vlan 10 QinQ 10 bas access-type la

7、yer2-subscriber default-domain authentication authentication-method ppp 虛模板配置： interface Virtual-Template1 ppp authentication-mode pap ppp keepalive interval 50 retransmit 3 域配置： domain authentication-scheme radius_auth accounting-scheme radius_acct radius-server group bjyd ip-pool pool1,地址池配置： ip p

8、ool pool1 local gateway section 0 54 excluded-ip-address 10 excluded-ip-address 54 dns-server 0 dns-server 2 secondary Radius配置： radius-server group bjyd radius-server authentication 31 1812 weight 10

9、0 radius-server authentication 40 1812 weight 0 radius-server accounting 31 1813 weight 100 radius-server accounting 40 1813 weight 0 radius-server shared-key XXXX radius-server retransmit 5 timeout 8 radius-server class-as-car 認(rèn)證模板配置： authentication-scheme radius_auth

10、authentication-mode radius-none accounting-scheme radius_acct accounting interim interval 30,Page 13,強(qiáng)制WEB業(yè)務(wù)配置,下行口配置： interface GigabitEthernet3/0/0.10 pppoe-server bind Virtual-Template 1 description to_TongZhou_ShiJiXingCheng_GPON user-vlan 10 QinQ 10 bas access-type layer2-subscriber default-doma

11、in pre-authentication local authentication authentication-method web 虛模板配置： interface Virtual-Template1 ppp authentication-mode pap ppp keepalive interval 50 retransmit 3 認(rèn)證域配置： domain authentication-scheme radius_auth accounting-scheme radius_acct radius-server group bjyd ip-pool pool1,地址池配置： ip po

12、ol pool1 local gateway section 0 54 excluded-ip-address 10 excluded-ip-address 54 dns-server 0 dns-server 2 secondary Radius配置： radius-server group bjyd radius-server authentication 31 1812 weight 100

13、 radius-server authentication 40 1812 weight 0 radius-server accounting 31 1813 weight 100 radius-server accounting 40 1813 weight 0 radius-server shared-key XXXX radius-server retransmit 5 timeout 8 radius-server class-as-car 認(rèn)證模板配置： authentication-scheme radius_auth a

14、uthentication-mode radius-none accounting-scheme radius_acct accounting interim interval 30,Page 14,強(qiáng)制WEB業(yè)務(wù)配置,認(rèn)證前域配置： ME60-aaadomain default0 （2）配置域內(nèi)地址池 ME60-aaa-domain-default0ip-pool huawei （3）配置用戶所屬的user-group ME60-aaa-domain-default0user-group 1 （4）配置強(qiáng)制WEB的地址 ME60-aaa-domain-default0web-server 1

15、0 配置用戶組： ME60user-group 1 ACL規(guī)則配置： ME60acl number 10000 match-order auto ME60-acl-simple-10000rule ip source user-group 1 destination ip-address 0 ME60-acl-simple-10000rule ip source user-group 1 destination ip-address 0 ME60-acl-simple-10000rule ip source ip-address 100.

16、1.1.1 0 destination user-group 1 ME60-acl-simple-10000rule ip source ip-address 0 destination user-group 1,ME60acl number 10001 match-order auto ME60-acl-simple-10001rule ip source user-group 1 destination any ME60acl number 10001 match-order auto ME60-acl-simple-10001rule ip source user-

17、group 1 destination any 這里就建立了兩條acl規(guī)則，acl 10000 表示了user-group 1里面的用戶和WEB服務(wù)器 DNS服務(wù)器之間的關(guān)系，acl 10001 表示了user-group 1里面的用戶和所有目的地址之間的關(guān)系。兩條acl的匹配順序全部設(shè)置為auto，意為深度匹配。 ME60traffic classifier 1 ME60-classifier-1if-match acl 10000 ME60traffic classifier 2 ME60-classifier-2if-match acl 10001 ME60traffic behavio

18、r a ME60-behavior-apermit ME60traffic behavior b ME60-behavior-bdeny ME60traffic policy web auto ME60-trafficpolicy-webclassifier 1 behavior inbound a ME60-trafficpolicy-webclassifier 2 behavior inbound b 全局下發(fā)策略 ME60traffic-policy web,Page 15,遠(yuǎn)程登錄管理配置,登錄接口配置： user-interface con 0 authentication-mode password user privilege level 1 set authentication password cipher I6-O!73Q=QMAF41! idle-timeout 5 0 user-interface aux 0 user-interface vty 0 4 authentication-mode aaa idle-timeout 5 0 user-inter