目录 1 Web 认证 1-1 1.1 Web 认证配置命令 1-1 1.1.1 display web-auth 1-1 1.1.2 display web-auth free-ip 1-2 1.1.3 display web-auth server 1-2 1.1.4 display web-auth user 1-3 1.1.5 ip 1-5 1.1.6 redirect-wait-time 1-6 1.1.7 url 1-6 1.1.8 url-parameter 1-7 1.1.9 web-auth auth-fail vlan 1-8 1.1.10 web-auth domain 1-9 1.1.11 web-auth enable 1-10 1.1.12 web-auth free-ip 1-10 1.1.13 web-auth max-user 1-11 1.1.14 web-auth offline-detect 1-12 1.1.15 web-auth proxy port 1-12 1.1.16 web-auth server 1-13 i
1 Web 认证 1.1 Web 认证配置命令 1.1.1 display web-auth display web-auth 命令用来显示接口上 Web 认证的配置信息和运行状态信息 命令 display web-auth [ interface interface-type interface-number ] 视图 任意视图 缺省用户角色 network-operator interface interface-type interface-number: 显示指定接口上 Web 认证的配置信息 其中 interface-type interface-number 表示接口类型和接口编号 若不指定本参数, 则显示设备上所有 Web 认证的配置信息 举例 # 显示接口 Ten-GigabitEthernet1/0/1 上 Web 认证的配置信息 <Sysname> display web-auth interface ten-gigabitethernet 1/0/1 Global Web-auth parameters : Proxy Port Numbers : Not configured Total online web-auth users: 1 Ten-GigabitEthernet1/0/1 is link-up Port role : Authenticator Web-auth domain : my-domain Auth-Fail VLAN : Not configured Offline-detect : Not configured Max online users : 1024 Web-auth enable : Enabled Total online web-auth users: 1 表 1-1 display web-auth 命令显示信息描述表 字段 描述 Global Web-auth parameters Proxy Port Numbers Total online web-auth users 全局 Web 认证参数 Web 代理服务器端口 全局 Web 认证的在线用户数 1-1
字段 描述 接口 Ten-GigabitEthernet1/0/1 的状态, 包括如下取值 : Ten-GigabitEthernet1/0/1 is link-up Port role Web-auth domain Auth-fail VLAN Offline-detect Max online users link-up: 接口管理状态和物理状态均为开启 link-down: 接口处于关闭状态 该端口担当认证端的作用, 目前仅支持作为认证端 Web 认证用户使用的 ISP 域 Web 认证的认证失败 VLAN, 如果没有配置, 则显示 Not configured Web 认证用户在线检测的时间间隔,Not configured 表示 Web 认证用户在线检测功能处于关闭状态 允许同时接入的 Web 认证最大用户数 Web 认证功能的开启状态, 包括如下取值 : Web-auth enable Total online web-auth users Enabled: 开启 Disabled: 关闭 接口下 Web 认证的在线用户数 1.1.2 display web-auth free-ip display web-auth free-ip 命令用来显示所有 Web 认证用户免认证的目的 IP 地址 命令 display web-auth free-ip 视图 任意视图 缺省用户角色 network-operator 举例 # 显示所有 Web 认证用户免认证的目的 IP 地址 <Sysname> display web-auth free-ip Free IP : 1.1.0.0 255.255.0.0 : 1.2.0.0 255.255.0.0 相关命令 web-auth free-ip 1.1.3 display web-auth server display web-auth server 命令用来显示 Web 认证服务器信息 1-2
命令 display web-auth server [ server-name ] 视图 任意视图 缺省用户角色 network-operator server-name:web 认证服务器的名称, 为 1~32 个字符的字符串, 区分大小写 若不指定此参数, 则显示设备上所有 Web 认证服务器的信息 举例 # 显示 Web 认证服务器 aaa 的信息 <Sysname> display web-auth server aaa Web-auth server: aaa IP : 8.8.8.8 Port : 80 URL : http://8.8.8.8/portal/ Redirect-wait-time : 5 URL parameters : Not configured 表 1-2 display web-auth server 命令显示信息描述表 字段 描述 Web-auth server IP Port URL Redirect-wait-time URL parameters Web 认证服务器名称 Web 认证服务器的 IP 地址 Web 认证服务器的端口号 Web 认证服务器的重定向 URL Web 认证成功后, 认证页面跳转的时间间隔设备重定向给用户的 URL 中携带的参数信息 1.1.4 display web-auth user display web-auth user 命令用来显示在线 Web 认证用户的信息 命令 display web-auth user [ interface interface-type interface-number slot slot-number ] 视图 任意视图 1-3
缺省用户角色 network-operator interface interface-type interface-number: 显示指定接口上在线 Web 认证用户的信息 其中 interface-type interface-number 表示接口类型和接口编号 若不指定该参数, 则表示设备上所有接口上在线用户的信息 slot slot-number: 显示指定成员设备上所有接口在线 Web 认证用户的信息 slot-number 表示设备在 IRF 中的成员编号 若不指定该参数, 则表示所有成员设备上在线 Web 认证用户的信息 举例 # 显示接口 Ten-GigabitEthernet1/0/1 上在线用户的信息 <Sysname> display web-auth user interface ten-gigabitethernet 1/0/1 Total online web-auth users: 1 User name: user1 MAC address: 0000-2700-b076 Access interface: Ten-GigabitEthernet1/0/1 Initial VLAN: 1 Authorization VLAN: N/A Authorization ACL ID: N/A Authorization user profile: N/A 表 1-3 display web-auth user 命令显示信息描述表 字段 描述 Total online web-auth users User name MAC address Access interface Initial VLAN Authorization VLAN Authorization ACL ID 在线用户总数在线用户的用户名在线用户的 MAC 地址在线用户接入的接口初始的 VLAN 授权的 VLAN 授权 ACL 编号 Web 认证用的授权 User profile 名称 若未授权 User profile, 则显示为 N/A 授权状态包括如下 : Authorization user profile active: AAA 授权 User profile 成功 inactive:aaa 授权 User profile 失败或者设备上不存在该 User profile 1-4
1.1.5 ip ip 命令用来配置 Web 认证服务器的 IP 地址 undo ip 命令用来恢复缺省情况 命令 ip ipv4-address port port-number undo ip 缺省情况 不存在 Web 认证服务器的 IP 地址 视图 Web 认证服务器视图 缺省用户角色 ipv4-address: 表示 Web 认证服务器的 IPv4 地址, 该地址为接入设备上一个与 Web 认证用户路由可达的三层接口 IP 地址 port port-number: 指定 Web 认证服务器的端口 port-number 是端口号, 取值范围为 1~ 65535 使用指导 配置 Web 认证服务器的 IP 地址, 建议使用设备上空闲的 Loopback 接口的 IP 地址, 使用 LoopBack 接口有如下优点 : 状态稳定, 可避免因为接口故障导致用户无法打开认证页面的问题 由于发送到 LoopBack 接口的报文不会被转发到网络中, 当请求上线的用户数目较大时, 可减轻对系统性能的影响 此命令配置的端口号必须与本地 Portal Web 服务中配置的侦听端口号保持一致 有关本地 Portal Web 服务的详细介绍请参见 安全配置指导 中的 Portal 同一个 Web 认证服务器视图下多次执行本命令, 最后一次执行的命令生效 举例 # 进入 Web 认证服务器视图 [Sysname] web-auth server wbs # 配置 Web 认证服务器 wbs 的 IP 地址为 192.168.1.1, 端口为 8080 [Sysname-web-auth-server-wbs] ip 192.168.1.1 port 8080 相关命令 url tcp-port( 安全命令参考 /Portal) 1-5
1.1.6 redirect-wait-time redirect-wait-time 命令用来配置认证页面跳转的时间间隔 undo redirect-wait-time 命令用来恢复缺省情况 命令 redirect-wait-time period undo redirect-wait-time 缺省情况 Web 认证用户认证成功后认证页面跳转的时间间隔为 5 秒 视图 Web 认证服务器视图 缺省用户角色 period: 表示自 Web 认证用户认证成功后, 当前认证页面开始跳转到其他页面的时间间隔, 取值范围为 1~90, 单位为秒 使用指导 在某些应用环境中, 客户端在 Web 认证成功后需要更新 IP 地址, 为了避免客户端 IP 地址还未完成更新而无法打开跳转的网站页面, 需要适当增加页面跳转的时间间隔, 保证认证页面跳转的时间间隔大于客户端更新 IP 地址的时间 举例 # 配置 Web 认证用户认证成功后认证页面跳转的时间间隔 10 秒 [Sysname] web-auth server wbs [Sysname-web-auth-server-wbs] redirect-wait-time 10 1.1.7 url url 命令用来配置 Web 认证服务器的重定向 URL undo url 命令用来恢复缺省情况 命令 url url-string undo url 缺省情况 不存在 Web 认证服务器的重定向 URL 视图 Web 认证服务器视图 1-6
缺省用户角色 url-string: 表示 Web 认证服务器的重定向 URL, 为 1~256 个字符的字符串, 区分大小写 使用指导 本命令配置的 Web 认证服务器重定向 URL 是可以用标准 HTTP 或者 HTTPS 协议访问的 URL, 它必须以 http:// 或者 https:// 开头 如果该 URL 未以 http:// 或者 https:// 开头, 则系统默认其以 http:// 开头 该 URL 中的 IP 地址和端口号必须与 Web 认证服务器中的 IP 地址和端口号保持一致 举例 # 配置 Web 认证服务器 wbs 的重定向 URL 为 http://192.168.1.1:80/portal/ [Sysname] web-auth server wbs [Sysname-web-auth-server-wbs] url http://192.168.1.1:80/portal/ 相关命令 ip tcp-port( 安全命令参考 /Portal) 1.1.8 url-parameter url-parameter 命令用来配置设备重定向给用户的 URL 中携带的参数信息 undo url-parameter 命令用来删除配置的设备重定向给用户的 URL 中携带的参数信息 命令 url-parameter parameter-name { original-url source-address source-mac value expression } undo url-parameter parameter-name 缺省情况 未配置设备重定向给用户的 URL 中携带的参数信息 视图 Web 认证服务器视图 缺省用户角色 parameter-name: 表示 URL 中携带参数的名称, 为 1~32 个字符的字符串, 区分大小写 URL 参数名对应的参数内容由 parameter-name 后的参数指定 original-url: 用户初始访问的 Web 页面的 URL source-address: 用户的 IP 地址 source-mac: 用户的 MAC 地址 1-7
value expression: 自定义字符串, 为 1~256 个字符的字符串, 区分大小写 使用指导 可以通过多次执行本命令配置多条参数信息 多次执行本命令且参数名 parameter-name 都相同, 则最后一次执行的命令生效该命令用于配置用户访问 Web 认证服务器时, 要求携带的一些参数, 比较常用的是要求携带用户的 IP 地址 MAC 地址 用户原始访问的 URL 信息 用户也可以手工指定, 携带一些特定的字符信息 配置完成后, 在设备给用户强制推送重定向 URL 时会携带这些参数, 例如用户的源 IP 地址的 1.1.1.1, 配置 Web 认证服务器的 URL 为 :http://192.168.1.1/portal, 若同时配置如下两个参数信息 :url-parameter userip source-address 和 url-parameter userurl value http://www.abc.com/welcome, 则设备给该用户重定向的 URL 格式即为 : http://192.168.1.1/portal?userip=1.1.1.1&userurl=http://www.abc.com/welcome param-name 这个 URL 参数名必须与 PC 浏览器所接受的参数名保持一致, 请根据具体情况配置 URL 参数名 举例 # 为设备重定向给用户的 Portal Web 服务器 wbs 的 URL 中配置两个参数 userip 和 userurl, 其值分别为用户 IP 地址和自定义字符串 http://www.abc.com/welcome [Sysname] web-auth server wbs [Sysname-web-auth-server-wbs] url-parameter userip source-address [Sysname-web-auth-server-wbs] url-parameter userurl value http://www.abc.com/welcome 1.1.9 web-auth auth-fail vlan web-auth auth-fail vlan 命令用来配置 Web 认证的 Auth-Fail VLAN undo web-auth auth-fail vlan 命令用来恢复缺省情况 命令 web-auth auth-fail vlan authfail-vlan-id undo web-auth auth-fail vlan 缺省情况 不存在 Web 认证的 Auth-Fail VLAN 视图 二层以太网接口视图 缺省用户角色 authfail-vlan-id: 表示 Web 认证的 Auth-Fail VLAN ID, 取值范围为 1~4094, 该 VLAN 必须已经存在 使用指导 接口上配置此功能后, 认证失败的 Web 认证用户可以访问 Auth-Fail VLAN 中的资源 1-8
为使此功能生效, 必须开启二层以太网接口上的 MAC VLAN 功能, 并将 Auth-Fail VLAN 的网段设为 Web 认证用户免认证的目的 IP 地址 因为 MAC VLAN 功能仅在 Hybrid 端口上生效, 所以 Web 认证的 Auth-Fail VLAN 功能也只能在 Hybrid 端口上生效 当用户认证失败后, 设备将 Web 认证用户的 MAC 地址与 Auth-fail VLAN 进行绑定 禁止删除已被配置为 Web 认证 Auth-Fail VLAN 的 VLAN, 若要删除该 VLAN, 请先通过 undo web-auth auth-fail vlan 命令取消 Web 认证的 Auth-Fail VLAN 配置 如果某个 VLAN 被指定为 Super VLAN, 则该 VLAN 不能被指定为某个接口的 Auth-Fail VLAN; 同样, 如果某个 VLAN 被指定为某个接口的 Auth-Fail VLAN, 则该 VLAN 不能被指定为 Super VLAN 举例 # 配置接口 Ten-GigabitEthernet1/0/1 上的 Web 认证的 Auth-Fail VLAN 为 VLAN 5 [Sysname] interface ten-gigabitethernet 1/0/1 [Sysname Ten-GigabitEthernet1/0/1] port link-type hybrid [Sysname Ten-GigabitEthernet1/0/1] mac-vlan enable [Sysname Ten-GigabitEthernet1/0/1] web-auth auth-fail vlan 5 相关命令 display web-auth 1.1.10 web-auth domain web-auth domain 命令用来指定 Web 认证用户使用的认证域 undo web-auth domain 命令用来恢复缺省情况 命令 web-auth domain domain-name undo web-auth domain 缺省情况 未指定 Web 认证用户认证使用的认证域 视图 二层以太网接口视图 缺省用户角色 domain-name:isp 认证域名, 为 1~255 个字符的字符串, 不区分大小写 使用指导 在接口上执行此命令后, 使得所有从该接口接入的 Web 认证用户强制使用该认证域 举例 # 指定从接口 Ten-GigabitEthernet1/0/1 上接入的 Web 认证用户使用认证域为 my-domain 1-9
[Sysname] interface ten-gigabitethernet 1/0/1 [Sysname Ten-GigabitEthernet1/0/1] web-auth domain my-domain 1.1.11 web-auth enable web-auth enable 命令用来开启 Web 认证功能 undo web-auth enable 命令用来关闭 Web 认证功能 命令 web-auth enable apply server server-name undo web-auth enable 缺省情况 Web 认证功能处于关闭状态 视图 二层以太网接口视图 缺省用户角色 server-name: 表示引用的 Web 认证服务器的名称, 为 1~32 个字符的字符串, 区分大小写 使用指导 此命令用来开启 Web 认证功能, 并指定引用的 Web 认证服务器 为使 Web 认证功正常运行, 在接入设备的二层以太网接口上开启 Web 认证功能后, 请不要再在此接口上开启端口安全功能和配置端口安全模式 举例 # 在接口 Ten-GigabitEthernet1/0/1 上开启 Web 认证功能, 并指定引用的 Web 认证服务器为 wbs [Sysname] interface ten-gigabitethernet 1/0/1 [Sysname-Ten-GigabitEthernet1/0/1] web-auth enable apply server wbs 相关命令 web-auth server 1.1.12 web-auth free-ip web-auth free-ip 命令用来配置 Web 认证用户免认证目的 IP 地址 undo web-auth free-ip 命令用来恢复缺省情况 命令 web-auth free-ip ip-address { mask-length mask } undo web-auth free-ip { ip-address { mask-length mask } all } 缺省情况 不存在 Web 认证用户免认证的目的 IP 地址 1-10
视图 系统视图 缺省用户角色 ip-address:web 认证用户免认证目的网段的 IP 地址 mask-length:web 认证用户免认证目的网段 IP 地址的掩码长度, 取值范围为 1~32 mask:web 认证用户免认证目的网段 IP 地址的子网掩码, 点分十进制格式 all:web 认证用户可免认证访问的所有网段 使用指导 在设备上执行此命令后,Web 认证用户无需认证即可访问此命令指定 IP 地址网段中的资源 可通过重复执行此命令来配置多个 Web 认证用户免认证的目的 IP 地址 举例 # 配置 Web 认证用户免认证的目的 IP 地址为 192.168.0.0/24 [Sysname] web-auth free-ip 192.168.0.0 24 1.1.13 web-auth max-user web-auth max-user 命令用来配置 Web 认证最大用户数 undo web-auth max-user 命令用来恢复缺省情况 命令 web-auth max-user max-number undo web-auth max-user 缺省情况 接口上同时可接入的 Web 认证最大用户数为 1024 视图 二层以太网接口视图 缺省用户角色 max-number: 表示接口上同时可接入的 Web 认证最大用户数, 取值范围为 1~2048 使用指导 若配置的 Web 认证最大用户数小于当前已经在线的 Web 认证用户数, 则该命令可以执行成功, 且在线 Web 认证用户不受影响, 但系统将不允许新的 Web 认证用户接入 该命令指定的最大用户数仅为 IPv4 Web 认证用户数 1-11
举例 # 在接口 Ten-GigabitEthernet1/0/1 上配置 Web 认证最大用户数为 32 [Sysname] interface ten-gigabitethernet 1/0/1 [Sysname-Ten-GigabitEthernet1/0/1] web-auth max-user 32 相关命令 display web-auth 1.1.14 web-auth offline-detect web-auth offline-detect 命令用来开启 Web 认证用户的在线检测功能 undo web-auth offline-detect 命令用来关闭 Web 认证用户的在线检测功能 命令 web-auth offline-detect interval interval undo web-auth offline-detect interval 缺省情况 Web 认证用户在线检测功能处于关闭状态 视图 二层以太网接口视图 缺省用户角色 interval: 指定用户在线检测时间间隔, 取值范围为 60~65535, 单位为秒 使用指导 开启端口的 Web 认证用户的在线检测功能后, 若设备在一个在线检测时间间隔之内, 未收到此端口下某在线用户的报文, 则将切断该用户的连接, 同时通知 RADIUS 服务器停止对此用户进行计费 配置用户在线检测时间间隔时, 需要与 MAC 地址老化时间配成相同时间, 否则会导致用户异常下线 举例 # 在接口 Ten-GigabitEthernet1/0/1 上开启 Web 认证用户的在线检测功能, 并指定在线检测的时间间隔为 3600 秒 [Sysname] interface ten-gigabitethernet 1/0/1 [Sysname-Ten-GigabitEthernet1/0/1] web-auth offline-detect interval 3600 1.1.15 web-auth proxy port web-auth proxy port 命令用来配置允许触发 Web 认证的 Web 代理服务器端口 undo web-auth proxy port 命令用来删除指定的或所有的 Web 认证的 Web 代理服务器端口 1-12
命令 web-auth proxy port port-number undo web-auth proxy port { port-number all } 缺省情况 不存在 Web 认证的 Web 代理服务器端口 视图 系统视图 缺省用户角色 port-number:web 认证的 Web 代理服务器的 TCP 端口号, 取值范围为 1~65535 all: 指定所有 Web 认证的 Web 代理服务器的 TCP 端口号 使用指导 设备默认只允许未配置 Web 代理服务器的浏览器发起的 HTTP 请求才能触发 Portal 认证 当用户上网使用的浏览器配置了 Web 代理服务器时, 用户的 HTTP 请求报文将被丢弃, 而不能触发 Web 认证 在这种情况下, 网络管理员可以通过在设备上添加 Web 认证的 Web 代理服务器的 TCP 端口号, 来允许配置了 Web 代理服务器的浏览器发起的 HTTP 请求也可以触发 Web 认证 多次配置本命令可以添加多个 Web 认证的 Web 代理服务器的 TCP 端口号 配置 Web 认证的 Web 代理服务器的 TCP 端口号, 需要注意的是 : 如果用户浏览器采用 WPAD(Web Proxy Auto-Discovery,Web 代理服务器自动发现 ) 方式自动配置 Web 代理, 则不仅需要网络管理员在设备上添加 Web 代理服务器端口, 还需要将 WPAD 主机的 IP 地址配置为 Web 认证用户免认证的目的 IP 地址 除了网络管理员需要在设备上添加指定的 Web 代理服务器端口, 还需要用户在浏览器上将接入设备上 Web 认证服务器的 IP 地址加入到 Web 代理服务器的例外情况中, 使 Web 认证服务器的 IP 地址不使用 Web 代理服务器, 避免 Web 认证用户发送给 Web 认证页面的 HTTP 报文被发送到 Web 代理服务器上, 从而影响正常的 Web 认证 举例 # 配置 Web 认证的 Web 代理服务器的 TCP 端口号为 7777 [Sysname] web-auth proxy port 7777 1.1.16 web-auth server web-auth server 命令用来创建 Web 认证服务器, 并进入 Web 认证服务器视图 如果指定的 Web 认证服务器已经存在, 则直接进入 Web 认证服务器视图 undo web-auth server 命令用来删除指定的 Web 认证服务器 命令 web-auth server server-name undo web-auth server server-name 1-13
缺省情况 不存在 Web 认证服务器 视图 系统视图 缺省用户角色 server-name: 表示 Web 认证服务器的名称, 为 1~32 个字符的字符串, 区分大小写 使用指导 在 Web 认证服务器视图下可以配置 Web 认证服务器侦听的 IP 地址 重定向 URL 及其重定向 URL 中携带的参数信息 举例 # 创建名称为 wbs 的 Web 认证服务器, 并进入 Web 认证服务器视图 [Sysname] web-auth server wbs [Sysname-web-auth-server-wbs] 相关命令 web-auth enable apply server 1-14