<4D F736F F D20574C4E DCEDECFDFBED6D3F2CDF8BFD8D6C6C6F C8CFD6A4C5E4D6C3BED9C0FD2E646F63>

Size: px

Start display at page:

Download "<4D F736F F D20574C4E DCEDECFDFBED6D3F2CDF8BFD8D6C6C6F C8CFD6A4C5E4D6C3BED9C0FD2E646F63>"

讪钉禹
5 years ago
Views:

1 标题无线局域网控制器 Web 认证配置举例译者姓名张啸天校对人翻译完成时间原文英文标题 Wireless LAN Controller Web Authentication Configuration Example 原文链接翻译内容见下文

2 无线局域网控制器 Web 认证配置举例文档编号 : 介绍前提要求使用的设备惯例 Web 方式认证在控制器上配置 Web 方式认证创建一个 VLAN 接口添加 WLAN 实例在 WLC 上配置 DHCP 及 DNS 重启 WLC Web 认证下两种认证用户的方式在你的 Windows 计算机上配置使用 Web 认证客户端配置客户端登录内部 Web 认证配置的核对及排障核对 ACS 配置核对内部 Web 认证配置 ACS 排障内部 Web 认证排障在 WLAN 上没有配置认证服务器时 Web 认证依然向外部认证服务器发送认证请求微软 IE 因为缓存重定向到 Web 认证登录页面定制 Web 认证页面原则定制 Web 认证成功或者 Web 认证登录页面在 WLC 上定制 Web 认证成功或者 Web 认证登录页面在 WCS 上定制 Web 认证成功或者 Web 认证登录页面在 WLAN 上分配登录, 登录失败, 登出页面基于 802.1x 认证的有条件的 Web 重定向相关信息介绍本文介绍了如何配置思科 4400 系列无线局域网控制器 (WLC) 支持 web 方式的客户端认证

3 前提要求本文需要你已经掌握 4400WLC 的初始化配置使用的设备本文的内容是基于以下的硬件平台与软件版本的 : 4400 系列无线局域网控制器, 软件版本为思科 4.2 版本的 ACS 软件, 安装在微软 Windows2003 服务器上思科 Aironet 1230 系列轻型无线接入点思科 Aironet a/b/g CardBus 无线网卡, 软件版本为 3.6 本文的内容是基于特殊的实验室环境而产生的所有设备都是从默认配置开始配置的如果你的网络正在运行中, 请确保理解这些配置可能对你的网络造成的潜在影响惯例对更多文档惯例的信息, 请参见思科技术提示惯例 Web 方式认证 Web 方式认证是一个三层的安全特性, 在无线客户端输入正确的用户名口令之前, 控制器不接受该用户的 IP 数据 ( 除了 DHCP 相关的数据包 ) Web 认证可以通过 WLC 本地认证, 也可以通过 RADIUS 服务器通常在部署访客网络时, 使用 Web 方式认证典型的部署模式包括热点区域, 例如 T Mobile 或者星巴克 Web 方式认证提供了不需要 802.1x 认证请求方或者客户端工具的简单的认证方式记住 Web 方式认证不提供数据加密 Web 认证通常被用在热点或者仅考虑连接性的园区环境本文中创建了一个新的 VLAN 接口和一个新的用作 Web 认证的 WLAN 这个 VLAN 接口被分配到这个 WLAN 上, 因此接入这个 WLAN 的用户是在一个独立的子网在那些你不希望用独立子网的场合, 你可以把 WLAN 关联到 Management 接口本文中控制器的 Web 认证配置包含了新建一个 VLAN 接口的过程在控制器上配置 Web 方式认证下文介绍了如何在控制器上配置 Web 方式的认证本文使用以下 IP 地址 : 无线局域网控制器的 IP 地址是

4 ACS 服务器的地址是创建一个 VLAN 接口完成以下步骤 : 1. 在控制器的主页上, 选择最上方的 Controller 菜单, 选择左边的 Interfaces 栏, 点击窗口右上方的 New 图 1 的窗口出现了本例中接口名字是 vlan90,vlan 号是 90: 图 1 2. 点击 Apply, 创建该 VLAN 接口一个新的窗口出现, 需要你填入相关信息 3. 本文采用以下参数 : IP Address: Netmask: (24 bits) Gateway: Port Number:2 Primary DHCP Server: 注意 : 这个参数应该填写 DHCP 服务器地址在本例中 WLC 的管理地址被用来当作 DHCP 服务器的地址, 因为在 WLC 启用的 DHCP 功能 Secondary DHCP Server: 注意 : 本文不使用 dier1dhcp 服务器, 所以使用如果你有第二台 DHCP 服务器, 需要在这里填写地址 ACL Name:None 图 2 显示了这些配置 : 图 2

5 4. 点击 Apply, 保存配置添加 WLAN 实例现在一个 VLAN 接口已经配置好, 你需要提供一个 WLAN/SSID 来支持 Web 认证的用户通过以下方式, 创建一个新的 WLAN/SSID: 1. 打开 WLC 页面, 点击最上方 WLAN 菜单, 点击右上方的 New 会弹出类似图 3 的画面将类型选为 WLAN 为这个 WLAN SSID 选择一个名字本例中 Profile 和 WLAN 都是 Guest 图 3

6 2. 点击 Apply 出现一个新的 WLAN > Edit 窗口, 如图 4 所示图 4

7 3. 钩选 WLAN 的状态栏, 激活该 WLAN 在接口栏, 选择先前创建的 VLAN 接口在本例中, 接口的名字是 vlan90 注意 : 其他参数不做修改, 都是初始设置 4. 点击 Security 栏出现图 5 图 5

8 通过以下步骤, 完成 Web 认证配置 : a) 点击 Layer 2 栏, 选择 None 注意 : 当某个 WLAN 的二层安全策略使用 802.1x or WPA/WPA2 时, 你的三层安全策略不可以配置成 web passthrough 关于控制器上二层和三层安全策略的兼容问题, 参见 Wireless LAN Controller Layer 2 Layer 3 Security Compatibility Matrix 一文 b) 点击 Layer 3 栏如图 5 所示, 钩选 Web Policy 框, 选择 Authentication 选项 c) 点击 Apply, 保存配置 d) 这个时候你回到了 WLAN 概要页面确认你的 Web 认证选项在 SSID Guest 下已经配置在 WLC 上配置 DHCP 及 DNS 完成以下步骤 : 1. 点击菜单页面上方的 Controller 2. 点击菜单左面的 Internal DHCP Server 3. 点击 New, 创建一个 DHCP 池 4. 键入你需要分配给客户端的 DHCP 地址池如图 6 所示图 6

9 5. 点击 Apply. 6. 出现 DHCP Scope > Edit 窗口. 7. 键入地址池的起始及终止地址在本例中,DHCP 地址池是从到键入默认网关的地址, 是键入 DNS 域名和 DNS 服务器的地址确认 Status 是激活的图 7 给了一个例子 : 图 7

10. 点击 Apply 重启 WLC 由于不能在系统工作的时候完成一个或者更多的 WLAN 上的改变, 你需要重启 WLC 修改需要在启动前或者启动中完成完成以下步骤来重启 WLC: 1. 在控制器的主界面上, 选择菜单最上方的 Commands 2. 在新的窗口下, 选择左边菜单上的 Reboot 如果在你的配置中有未保存的部分, 你需要保存配置然后重启 3.

10 10. 点击 Apply 重启 WLC 由于不能在系统工作的时候完成一个或者更多的 WLAN 上的改变, 你需要重启 WLC 修改需要在启动前或者启动中完成完成以下步骤来重启 WLC: 1. 在控制器的主界面上, 选择菜单最上方的 Commands 2. 在新的窗口下, 选择左边菜单上的 Reboot 如果在你的配置中有未保存的部分, 你需要保存配置然后重启 3. 点击 Save and Reboot, 保存配置然后重启设备 4. 通过 console 连接监控设备的重启过程当 WLC 启动完毕, 你可以创建你的 Web 认证用户了 Web 认证下两种认证用户的方式当你使用 Web 认证的时候, 有两种认证用户的方式本地认证允许你使用 WLC 的用户去认证你也可以使用 RADIUS 服务器认证用户配置 WLC 的本地认证, 完成以下步骤 : 本地认证用户名和密码存放在控制器的本地数据库用户通过 WLC 的这个数据库来认证以下步骤描述了如何在 WLC 上创建用户名和密码 :

11 1. 在菜单上方点击 Security, 进入 WLC 的安全配置窗口 2. 在左边 AAA 菜单里, 选择 Local Net Users 图 8 给出了例子图 8 3. 点击右上方的 New, 创建一个新的用户会出现一个新的窗口, 需要你填写用户名和密码 4. 填入用户名和密码, 确认密码本例中创建的用户是 webuser1 5. 核对你的用户是否分配到正确的 WLAN 上该动作确保这个用户只能在特定的 WLAN 认证使用本例中,WLAN Profile 是,Guest, 该 WLAN 用作 Web 方式的认证 6. 如果你需要, 添加一个描述本例中使用 Web Auth 7. 点击 Apply, 保存用户配置图 9 给出了例子 : 图 9

RADIUS 服务器的 Web 认证本文使用安装在 Windows2003 服务器上的 ACS 作为 RADIUS 服务器你可以使用你网络中部属的可用的 RADIUS 服务器注意 : ACS 可以在 Windows NT 或者 Windows 2000 服务器上安装关于在思科网站下载 ACS, 通过 Software Center (Downloads) Cisco Secure

12 RADIUS 服务器的 Web 认证本文使用安装在 Windows2003 服务器上的 ACS 作为 RADIUS 服务器你可以使用你网络中部属的可用的 RADIUS 服务器注意 : ACS 可以在 Windows NT 或者 Windows 2000 服务器上安装关于在思科网站下载 ACS, 通过 Software Center (Downloads) Cisco Secure Software ( 限注册用户使用 ) 你需要一个思科网站的帐号去下载软件当 Web 认证是通过 RADIUS 服务器的时候, 第一个认证的询问是发给 WLC 本地的如果 WLC 没有回答, 第二个询问发到 RADIUS 服务器 ACS 建立部分介绍了如何配置 ACS 你需要有 DNS 和 RADIUS 服务器 ACS 建立下文将告诉你如何建立一个 ACS 作为 RADIUS 服务器在你的服务器上建立 ACS, 然后通过以下步骤来创建认证用户 : 1. 当 ACS 问你是否需要打开 ACS 页面来配置的时候, 点击 yes 注意 : 在你安装完 ACS 后, 在你的桌面会有一个快捷图标 2. 在左边菜单里, 点击 User Setup 这个动作把你带到了用户建立的页面, 如图 10 所示图 10

13 3. 键入你想用来 Web 认证的用户, 点击 Add/Edit 在用户建立之后, 会出现另一个窗口, 如图 11 所示图 11

4. 确认最上方的 Account Disabled 框没有钩选, 如图 11 所示 5. 在 Password Authentication 选项里, 选择 ACS Internal Database 6. 输入 2 次密码 7. 点击 Click Submit 在思科 WLC 上输入 RADIUS 服务器信息 Enter 完成以下步骤 : 1. 在上方的菜单中点击 Security 2.

14 4. 确认最上方的 Account Disabled 框没有钩选, 如图 11 所示 5. 在 Password Authentication 选项里, 选择 ACS Internal Database 6. 输入 2 次密码 7. 点击 Click Submit 在思科 WLC 上输入 RADIUS 服务器信息 Enter 完成以下步骤 : 1. 在上方的菜单中点击 Security 2. 在左边菜单里点击 Radius Authentication 3. 点击 New, 键入 ACS/RADIUS 服务器的地址本例中,ACS 的地址是键入 Radius 服务器的共享密钥确保密钥和在 Radius 服务器上为 WLC 配置的密钥一致 5. Port number 保持默认, 确保 Server Status 选项是 Enabled 7. 钩选 Network User Enable 框, 这样 Radius 服务器就用来认证无线网络的用户了 8. 点击 Apply 图 12 给了一个例子 : 图 12

15 图 13 显示了一个配置好的 RADIUS 服务器确保 Network User 框是钩选的,Admin Status 是 Enabled 图 13

16 配置 WLAN 上的 RADIUS 服务器到目前,RADIUS 服务器已经在 WLC 配置好了, 你需要在 WLAN 上使用这个 RADIUS 服务器作 Web 认证通过以下步骤, 完成 WLAN 上 RADIUS 服务器的配置 1. 打开 WLC 页面, 点击 WLANs 该页面显示了 WLC 上已配置的 WLAN 的列表点击 Guest 这个 WLAN 2. 在 WLANs>Edit 页面, 点击 Security 菜单点击安全菜单下的 AAA Servers 一栏如图 14 所示, 选择 Radius 服务器, 本例中为图 14

3. 点击 Apply 在你的 Windows 计算机上配置使用 Web 认证一旦 WLC 完成了配置, 客户端需要正确配置 Web 方式的认证下文介绍了如何在 Windows 系统上配置 Web 认证客户端配置微软无线客户端配置基本保持不变你只需要添加相应的 WLAN/SSID 配置完成以下步骤 : 1.

17 3. 点击 Apply 在你的 Windows 计算机上配置使用 Web 认证一旦 WLC 完成了配置, 客户端需要正确配置 Web 方式的认证下文介绍了如何在 Windows 系统上配置 Web 认证客户端配置微软无线客户端配置基本保持不变你只需要添加相应的 WLAN/SSID 配置完成以下步骤 : 1. 通过 Windows 的 Start 菜单, 选择 Settings > Control Panel > Network and Internet Connections 2. 点击 Network Connection 图标 3. 右键单击 LAN Connection 图标, 选择 Disable 4. 右键单击 Wireless Connection 图标, 选择 Enable 5. 再次右键单击 Wireless Connection 图标, 选择 Properties 6. 从无线网络连接属性窗口, 点击 Wireless Networks 栏 7. 在优选网络中, 点击 Add, 添加 Web 认证的 SSID 8. 在关联栏下, 键入网络名称 (WLAN/SSID) 图 15 给出了一个例子 : 图 15

认证的连接 WLC 分配给你的 Windows 客户端一个 IP 地址图 16 注意 : 如果你的无线客户端同时也是以 VPN 终端, 同时你配置

18 注意 : 数据加密选项默认为 Wired Equivalent Privacy (WEP) 为了支持 Web 认证, 关闭数据加密 9. 点击窗口底部的 OK, 保存配置当你连接这个 WLAN 的时候, 你会在优选网络框中看见一个信标的图标图 16 显示了一个成功的 Web 认证的连接 WLC 分配给你的 Windows 客户端一个 IP 地址图 16 注意 : 如果你的无线客户端同时也是以 VPN 终端, 同时你配置 WLAN 的 Web 认证的特性, 除非通过了 Web 认证, 不然 VPN 隧道不会建立只有通过了 Web 认证,VPN 隧道才会建立只有那个时候,VPN 隧道建立才会成功

注意 : 在成功的登录之后, 如果无线客户端并没有和其他设备通信, 该客户端会在过了 WLAN 上配置的会话超时周期后断开关联当这样的情况发生后, 该客户端处在 Webauth_Reqd 的状态, 除非你断开连接重新打开浏览器建立连接, 不然无法恢复当会话超时周期到达之后, 这个是预计的行为客户端登录完成以下步骤 : 1.

19 注意 : 在成功的登录之后, 如果无线客户端并没有和其他设备通信, 该客户端会在过了 WLAN 上配置的会话超时周期后断开关联当这样的情况发生后, 该客户端处在 Webauth_Reqd 的状态, 除非你断开连接重新打开浏览器建立连接, 不然无法恢复当会话超时周期到达之后, 这个是预计的行为客户端登录完成以下步骤 : 1. 打开浏览器, 键入你所设置用来的本地认证的 virtual IP 地址使用这个步骤在 3.0 版本以前是非常重要的在之后的版本, 打开任何 URL 都会把你重定向到 web 认证的页面同时, 在所有最近的控制器软件版本中, 支持通过 http 的 web 认证登录这个和控制器管理登录联系在一起为了支持这个功能, 需要关闭 https 登录, 只打开 http 管理如果现在你打开 web 认证, 将使用 http 方式的登录出现一个安全告警窗口 2. 点击 Yes 3. 当登录窗口出现后, 键入所创建的本地用户的用户名和密码如果登录成功, 你会看见两个浏览器窗口大的表示登录成功, 你可以用这个窗口浏览 internet 当你的访客接入完成后, 使用小的窗口登出图 17 显示了一个成功的 web 认证的重定向图 17 注意 : 这个默认的 Web 认证页面是由思科提供的这个页面也可以定制如何定制页面, 参见本文订制 Web 认证通过或者 Web 认证登录页面的部分图 18 显示了当认证在 ACS 中发生时的一个登录成功的窗口

20 图 18 内部 Web 认证配置的核对及排障核对 ACS 配置当你建立 ACS 时, 记住要下载所有的补丁及最新的软件这样会解决一些发生过的问题在你使用 Radius 认证的时候, 确保 WLC 配置成 AAA 客户端, 如图 19 所示点击左手边的 Network Configuration 菜单, 进行检查点击 AAA 客户端, 核对密码及认证方式更多关于如何配置 AAA 客户端的信息, 参见思科 ACS4.3 用户手册的配置 AAA 客户端章节图 19

21 当你选择建立用户时, 核对你是否确实建立了用户点击 List All Users 如图 20 所示, 会出现一个窗口确保所创建的用户在这个列表中图 20

核对内部 Web 认证配置下文介绍如何检查内部 web 认证的配置是否工作正常 Web 认证的配置相对较为简单牢记要在你的客户端上的无线连接检查配置属性在无线网络栏下, 检查 Use Windows to Configure My Wireless Network 配置如果你使用的是 Windows 零配置方式, 确保这个选项是钩选的如果你使用的是其它的客户端, 请参见相关的配置文档

22 核对内部 Web 认证配置下文介绍如何检查内部 web 认证的配置是否工作正常 Web 认证的配置相对较为简单牢记要在你的客户端上的无线连接检查配置属性在无线网络栏下, 检查 Use Windows to Configure My Wireless Network 配置如果你使用的是 Windows 零配置方式, 确保这个选项是钩选的如果你使用的是其它的客户端, 请参见相关的配置文档确保 virtual 接口在 Controller > Interfaces 页面上配置正确同时, 检查 WLAN/SSID 配置, 确保你激活了这个 WLAN/SSID 并且正确配置了 web 方式认证 ACS 排障如果你有密码认证的问题, 点击 ACS 左下方的 Reports and Activity, 打开所有报告在你打开了报告窗口后, 你可以选择打开 RADIUS Accounting,Failed Attempts for login, Passed Authentications,Logged in Users, 以及其他报告这些报告是.csv 文件格式的, 你可以在本地打开这些文件看图 21 报告帮助发现认证的问题所在, 比如错误的用户名密码 ACS 同样支持在线的文档如果你没有接入工作着的网络, 或者没有定义服务端口,ACS 用使用你的以太端口的 IP 地址作为你的服务端口如果你没有网络连接, 你很有可能获得 Windows 的默认地址, 类似 x.x 图 21

注意 : 如果你键入了任意的外部 URL,WLC 自动的将你转到内部的 web 认证页面如果自动的重定向不工作, 你可以输入 WLC 的管理地址进行排障查看浏览器的顶部的消息是否显示重定向到 web 认证内部 Web 认证排障为了在你的 PC 上对无线连接进行排障, 带上思科 Aironet 350 无线网卡某些早期的 PC 机带有不合规范的无线适配器确保带有一块可信的网卡

23 注意 : 如果你键入了任意的外部 URL,WLC 自动的将你转到内部的 web 认证页面如果自动的重定向不工作, 你可以输入 WLC 的管理地址进行排障查看浏览器的顶部的消息是否显示重定向到 web 认证内部 Web 认证排障为了在你的 PC 上对无线连接进行排障, 带上思科 Aironet 350 无线网卡某些早期的 PC 机带有不合规范的无线适配器确保带有一块可信的网卡记住这个网络配置是用在访客接入的环境下的牢记数据流是明文的唯一的安全措施是在 web 认证时候使用的用户名及密码 Web 认证经常被提及的一个问题就是页面重定向出现问题完成以下检查 : 1. 在 WLC 的版本早于时, 用户必须手工键入来连接 web 认证的窗口但如果这样的问题发生在以后的版本, 这就和 DNS 解析有关当一个该 SSID 下的用户连接 Internet 的时候, 控制器的管理地址会做一个 DNS 询问, 查看这个 URL 是否合法如果合法, 就会出现带有虚拟接口地址的认证页面在用户成功登录之后, 原来的请求就会允许送回给客户端因此, 确认 DNS 服务器是否正确配置你可以通过 nslookup 命令来查看 DNS 是否工作正常更多信息, 参见思科 bug 号 CSCsc68105 ( 限注册用户 ) 2. 有时候是因为客户端的计算机安装了防火墙, 阻挡了 Web 认证页面在你尝试连接登录页面前, 关闭防火墙当 web 认证完成之后可以再打开防火墙

24 3. 另外一个 web 认证不工作的原因是客户端的 IP 地址确认客户端获得的地址是合法地址段内的 4. 在使用访客接入时, 在客户端浏览器上关闭代理设置注意 : 当 WLC 重定向用户去进行 web 认证时, 你可以使用域名解析代替虚拟 IP 地址你需要配置 DNS 名字并且在 DNS 上注册这个配置是在控制器的虚拟接口下做的你可以看见一个填写 DNS 的区域完成这个配置后, 重定向显示的是域名而不是在 WLAN 上没有配置认证服务器时 Web 认证依然向外部认证服务器发送认证请求这个问题发生在 WLAN 上配置的是 web 认证使用本地认证, 同时配置了一个默认网络 RADIUS 服务器如果客户端 web 认证失败, 同时控制器上配置了外部的认证服务器, web 认证就会把凭证发到外部认证服务器去确认这个是由于思科 bug 号 CSCsh35098 ( 限注册用户 ) 解决的方法是将 web RADIUS 认证的方法从 PAP 改到 CHAP (Controller General) 通过这个改变, 活动的数据库将拒绝认证默认配置下,AD 只使用 PAP, 无法理解 CHAP 的 hash 过的密码微软 IE 因为缓存重定向到 Web 认证登录页面当用户使用 Web 认证, 并且输入了用户名和密码成功登录后, 浏览器会把用户重定向到登录页面而不是提供网络接入下面是实践发生的顺序 : 1. 用户选择一个 WLAN 并且通过认证 ( 获得 IP 地址 ) 2. 用户打开了指向他们主页的 web 浏览器 3. 浏览器自动重定向到虚拟接口地址 ( ) 4. 虚拟接口地址拥有 Web 认证的登录页面, 页面会要求一个 e mail 地址 ( 或者用户名 / 密码 ) 5. 用户输入自己的信息 6. 虚拟接口重定向到一个特定的 web 页面 7. 用户点击首页键, 页面再次重定向到虚拟接口地址, 再次要求输入登录信息不过这次输入完之后没有重定向 ( 一次又一次显示登录页面 ) 这个是由于思科 bug 号 CSCse90894( 限注册用户 ) 造成的你可以下载定制 Web 认证页面或者升级软件到或者以后版本来解决这个问题下面是定制 HTML 的例子 : <html> <head> <title>web Authentication</title> <meta http equiv="pragma" content="no cache">

25 </head> <meta HTTP EQUIV="Content Type" CONTENT="text/html; charset=iso "> <title>web Authentication</title> <script> function submitaction(){ var link = document.location.href; var searchstring = "redirect="; var equalindex = link.indexof(searchstring); var redirecturl = ""; var urlstr = ""; if(equalindex > 0) { equalindex += searchstring.length; urlstr = link.substring(equalindex); if(urlstr.length > 0){ redirecturl += urlstr; if(redirecturl.length > 255) redirecturl = redirecturl.substring(0,255); document.forms[0].redirect_url.value = redirecturl; } } document.forms[0].buttonclicked.value = 4; document.forms[0].submit(); } function loadaction(){ var url = window.location.href; var args = new Object(); var query = location.search.substring(1); var pairs = query.split("&"); for(var i=0;i<pairs.length;i++){ var pos = pairs[i].indexof('='); if(pos == 1) continue; var argname = pairs[i].substring(0,pos); var value = pairs[i].substring(pos+1); args[argname] = unescape(value); } //alert( "AP MAC Address is " + args.ap_mac); //alert( "The Switch URL is " + args.switch_url); document.forms[0].action = args.switch_url; // This is the status code returned from webauth login action // Any value of status code from 1 to 5 is error condition and user should be shown error as below or //modify the message as it suits the customer if(args.statuscode == 1){ alert("you are already logged in. No further action is required on your part.");

26 } else if(args.statuscode == 2){ alert("you are not configured to authenticate against web portal. No further action is required on your part."); } else if(args.statuscode == 3){ alert("the username specified cannot be used at this time. Perhaps the username is already logged into the system?"); } else if(args.statuscode == 4){ alert("you have been blacklisted."); } else if(args.statuscode == 5){ alert("the User Name and Password combination you have entered is invalid. Please try again."); } } </script> </head> <body topmargin="50" marginheight="50" onload="loadaction();"> <form method="post"> <input TYPE="hidden" NAME="buttonClicked" SIZE="16" MAXLENGTH="15" value="0"> <input TYPE="hidden" NAME="redirect_url" SIZE="255" MAXLENGTH="255" VALUE=""> <input TYPE="hidden" NAME="err_flag" SIZE="16" MAXLENGTH="15" value="0"> <div align="center"> <table border="0" cellspacing="0" cellpadding="0"> <tr> <td> </td></tr> <tr align="center"> <td colspan="2"><font size="10" color="#336699">webauthentication</font></td></tr> <tr align="center"> <td colspan="2"> User Name <input type="text" name="username" SIZE="25" MAXLENGTH="63" VALUE=""> </td> </tr> <tr align="center" > <td colspan="2"> Password <input type="password" name="password" SIZE="25" MAXLENGTH="24"> </td> </tr> <tr align="center"> <td colspan="2"><input type="button" name="submit" value="submit" class="button" onclick="submitaction();"> </td> </tr> </table>

27 </div> </form> </body> <head> <META HTTP EQUIV="Pragma" CONTENT="no cache"> </HEAD> </html> 定制 Web 认证页面原则当你创建定制的 Web 认证登录页面时, 使用以下原则 : 登录页面命名为 login.html. 控制器通过名字提供 web 认证 URL 当控制器解压了认证页面包后没有找到这个文件, 会出现一个错误信息包含输入用户名和密码的区域保存重定向 URL 作为原始 URL 的隐藏输入解压并在原始 URL 页面上实际的 URL 包含解码返回状态代码的脚本确保所有主页上使用的路径 ( 例如, 指向图片 ) 是关联的在你上载定制页面到控制器之前, 将页面及图片以.tar 格式压缩当这个.tar 文件通过 TFTP 服务器下载后,WLC 将把它解压以非压缩的形式保存在文件系统中如果你加载了一个非 GNU 兼容的.tar 文件的包, 控制器无法解压, 会出现如下错误信息 : Extracting error 和 TFTP transfer failed 因此思科推荐你使用一个 GNU 兼容的应用, 例如 PicoZip 来解压.tar 文件

定制 Web 认证成功或者 Web 认证登录页面在 WLC 上定制 Web 认证成功或者 Web 认证登录页面通过以下步骤, 在在 WLC 的 GUI 上定制 Web 通过或者 Web 认证登录页面 : 1. 在 WLC 的 GUI 上, 选择 Commands > Download File 将文件上载到 WLC 的页面出现了 2.

28 定制 Web 认证成功或者 Web 认证登录页面在 WLC 上定制 Web 认证成功或者 Web 认证登录页面通过以下步骤, 在在 WLC 的 GUI 上定制 Web 通过或者 Web 认证登录页面 : 1. 在 WLC 的 GUI 上, 选择 Commands > Download File 将文件上载到 WLC 的页面出现了 2. 通过 File Type 的下拉菜单, 选择 Webauth Bundle 3. 输入 TFTP 服务器的地址, 文件路径 ( TFTP 服务器的根目录 ) 和定制的登录脚本的文件名称 ( 需要下载的.tar 文件的名字 ) 点击 Download 新的定制的登录页面下载完毕以下是一个例子 : 4. 选择 Security > Web Login Page, 进入 Web 登录页面 5. 通过 Web Authentication Type 下拉框, 选择 Customized (Downloaded) 6. 点击 Apply, 保存变更下图显示了如何完成该步骤

29 7. 保存控制器配置注意 : 在控制器软件版本 4.1 之前, 一台 WLC 只能有一个 web 认证的页面更多信息, 参见思科无线局域网控制器配置手册,5.0 版本的在 WLAN 上使用 GUI 分配登录, 登录失败, 和登出页面的章节在 WCS 上定制 Web 认证成功或者 Web 认证登录页面通过以下步骤, 完成在 WCS 上定制 Web 通过或者 Web 认证登录页面 1. 通过 WCS 的 GUI, 选择 Configure > Controllers 页面会显示所有的控制器 2. 选择需要定制 Web 通过或者 Web 认证登录页面的控制器 3. 在 Command 下拉菜单里, 选择 Download Customized WebAuth, 点击 Go

30 4. 在控制器的 Download Customized Web Auth Bundle 页面, 键入文件名字 ( 定制的.tar 文件的名字 ) 点击 Download 5. 定制的 Web 认证 /Web 认证成功的页面就推给了控制器

31 6. 完成在 WLC 上定制 Web 认证成功或者 Web 认证登录页面部分中的第 4 到第 7 步在 WLAN 上分配登录, 登录失败, 登出页面你可以在每个 WLAN 上显示不同的 web 认证的登录, 登录失败以及登出的页面这个特性允许显示基于用户的不同的认证页面, 例如某个公司的不同部门的访客或者雇员不同的认证页面特性支持所有的 web 认证 ( 内部, 外部, 定制 ) 尽管如此, 不同的认证失败及登出页面只有在你选择定制的 web 认证方式时才可用使用 GUI 分配 WLAN 的登录, 登录失败和登出页面你可以通过控制器的 GUI 分配 WLAN 的 web 认证登录, 登录失败和登出页面完成以后步骤 : 1. 点击 WLANs, 打开 WLAN 页面 2. 点击想要分配 Web 登录, 登录失败和登出页面的 WLAN 的 profile 的名字 3. 选择 Security > Layer 3 4. 确认选择了 Web Policy 和 Authentication 5. 为了重载全局 web 认证页面, 钩选 Override Global Config 框 6. 当 Web Auth Type 下拉框出现时, 选择以下几个选项来定义无线访客的 web 认证页面类型 : Internal_ 显示默认的 web 登录页面这个是默认配置 Customized_ 显示定制的 web 认证登录, 登录失败和登出页面如果你选择这个选项, 会出现三个独立的下拉框, 分别为登录, 登录失败和登出页面的选择框你不必为三个选项都选择定制的页面如果你不想显示一个定制的页面, 在下拉菜单中选择 None 注意 : 这些可选的登录, 登录失败和登出页面是作为 webauth.tar 文件下载到控制器的关于下载定制页面, 参见下载定制 Web 认证登录页面 External_ 重定向用户到外部的服务去认证如果使用该选项, 你需要在 URL 栏输入外部服务器的 URL 你可以在 WLANs > Edit (Security > AAA Servers) 页面上, 选择特定的 RADIUS 或者 LDAP 服务器来提供外部认证此外, 你可以定义这些服务器的优先级 7. 如果你在第 6 步中选择 External 作为 web 认证的方式, 点击 AAA Servers, 在下拉框种选择最多三个 RADIUS 或者 LDAP 服务器注意 : RADIUS 和 LDAP 外部服务器需要已在 WLC 上配置, 这样可以在 WLANs > Edit (Security > AAA Servers) 页面上选择你可以在 RADIUS Authentication Servers 页面和 LDAP Servers 页面上配置这些服务器 8. 为了配置这些用于 web 认证的服务器的优先级, 完成以下步骤默认的顺序是 local, RADIUS,LDAP a) 在上和下按钮边上的区域中, 高亮选择你想用来最先认证的服务器类型 (local, RADIUS, or LDAP) b) 点击 Up 和 Down 按钮, 直到你想要的类型出现在区域的最上面 c) 点击 < 箭头, 将服务器类型移到左边的区域 d) 重复上述步骤, 完成其他服务器优先级的分配 9. 点击 Apply, 发送配置变更 10. 点击 Save Configuration, 保存配置

32 基于 802.1x 认证的有条件的 Web 重定向这是一个控制器版本以后的新特性, 它允许用户在成功完成 802.1x 认证后有条件的重定向到特定的 web 页面这样的条件包括当用户的密码到期时, 当用户为继续使用付费, 等等你可以在 RADIUS 服务器上定义重定向页面以及发生重定向的条件如果 RADIUS 服务器返回思科 AV pair "url redirect", 接着用户打开浏览器是就被重定向到特定的 URLO 如果服务器也返回了思科 AV pair "url redirect acl", 特定的访问列表就会被当作认证前的访问控制列表被应用到这个客户端这个客户端在这里不被认为是有全部权限的, 只能访问认证前的访问控制列表允许的数据在客户端在特定的 URL 完成了特定的操作 ( 例如, 修改了密码或者付了费用 ), 用户需要重新认证当 RADIUS 服务器没有回复 "url redirect", 客户端认为是拥有全部权限的, 他的数据流就可以通过有条件的 web 重定向特性只适用于配置 802.1x 或者 WPA1+WPA2 作为 2 层安全策略的 WLAN 上你可以通过控制器的 GUI 或者 CLI 配置这个特性关于这个特性的更多信息以及如何配置这个特性, 请阅读的发布信息, 你可以在思科无线局域网控制器发布信息和轻型无线接入点发布信息中找到相关信息 Cisco Wireless LAN Wired Guest Access using Cisco WLAN Controllers Configuration Example Cisco Wireless LAN Controller Configuration Guide, Release 5.0 Managing User Accounts Authentication of Wireless LAN Controller's Lobby Administrator via RADIUS Server Technical Support & Documentation Cisco Systems Contacts & Feedback Help Site Map Cisco Systems, Inc. All rights reserved. Terms & Conditions Privacy Statement Cookie Policy Trademarks of Cisco Systems, Inc. 更新时间 : 文档编号 : 69340

ext-web-auth-wlc.pdf

ext-web-auth-wlc.pdf 使用无线局域网控制器的外部 Web 身份验证配置示例目录简介先决条件要求使用的组件规则背景信息外部 Web 身份验证过程网络设置配置为来宾用户创建动态接口创建预先身份验证 ACL 在 WLC 上为来宾用户创建本地数据库配置外部