Aperçu de la mobilité gratuite

Dans un réseau d'entreprise, différentes stratégies d'accès au réseau peuvent être déployées pour les utilisateurs sur des périphériques d'accès afin de répondre aux différentes exigences d'accès au réseau. L’application des technologies de bureau mobile et BYOD entraîne de fréquents changements d’emplacement physique et d’adresses IP des utilisateurs. Par conséquent, la solution de contrôle de réseau d'origine basée sur les ports physiques et les adresses IP ne peut pas garantir la cohérence de l'expérience d'accès au réseau. Par exemple, la stratégie d'accès réseau d'un utilisateur ne change pas lorsque son emplacement physique change.

La solution de mobilité gratuite permet à un utilisateur d’obtenir la même politique d’accès au réseau indépendamment de son emplacement et de la modification de son adresse IP dans un réseau agile.

Les commutateurs doivent être associés à Agile Controller-Campuss dans la solution de mobilité libre. Un administrateur n'a besoin que de déployer de manière uniforme les stratégies d'accès réseau sur Agile Controller-Campuss pour les utilisateurs et de fournir les stratégies à tous les commutateurs associés. Après cela, un utilisateur peut obtenir la même stratégie d'accès, peu importe la façon dont son emplacement physique et son adresse IP changent.

Notes de configuration

l    La mobilité libre est prise en charge uniquement en mode unifié NAC.

l    Le tableau suivant répertorie les produits et versions applicables.

Tableau 1-1 Produits et versions applicables

l    Si le commutateur principal a été associé à un agile Controller Campus et que la mobilité est configurée, procédez comme suit pour supprimer les données historiques et reconfigurer le commutateur principal.

une.          Exécutez la commande undo group-policy controller dans la vue système pour désactiver la mobilité et déconnectez le commutateur de Agile Controller-Campus.

b.          Exécutez la commande undo acl all pour supprimer la stratégie de contrôle d'accès.

c.          Exécutez la commande undo ucl-group ip all pour supprimer les adresses IP liées à des groupes de sécurité.

ré.          Exécutez la commande undo ucl-group all pour supprimer les groupes de sécurité.

e.          Retournez à la vue utilisateur et exécutez la commande save. Le système supprime automatiquement le numéro de version configuré.

Exigences de mise en réseau

Les employés d'une entreprise se connectent au réseau en modes filaire et sans fil et sont authentifiés à l'aide de l'authentification 802.1x ou Portal.

Les employés ne travaillent pas dans des emplacements fixes et souhaitent obtenir les mêmes droits après avoir été authentifiés, quel que soit leur emplacement d'accès.

Figure 1-1 Mise en réseau

Analyse des exigences

Comme le montre la figure 1-1 , le commutateur principal de commutateur principal agile (prenant en charge l’AC natif) sert de point d’authentification et le commutateur d’accès est un commutateur commun.

Vous pouvez configurer les authentifications 802.1x et Portal sur le commutateur principal pour que les utilisateurs câblés et sans fil puissent se connecter au réseau après leur authentification par le commutateur principal.

Vous pouvez configurer la mobilité libre de sorte que les utilisateurs disposent des mêmes droits et bénéficient de la même expérience indépendamment de leur emplacement d'accès.

Plan de données

Tableau 1-2 Plan de données réseau

Tableau 1-3 Plan de données de service

Feuille de route de configuration

Configurez le commutateur principal.

1.          Basculez le mode de configuration NAC en mode unifié.

2          Configurez les interfaces et les VLAN et activez la fonction de serveur DHCP.

3          Configurez les paramètres pour l'interconnexion avec le serveur RADIUS.

4          Configurez les paramètres pour l'interconnexion avec le serveur de portail.

5          Configurez le point d'authentification d'accès pour les PC fixes.

6          Configurez une règle sans authentification.

7.          Configurez les paramètres du système AC pour fournir un accès sans fil.

8          Configurez les paramètres XMPP pour l'interconnexion avec Agile Controller-Campus et autorisez la mobilité.

Configurez le commutateur d'accès.

1.          Configurez les interfaces et les VLAN pour mettre en œuvre la communication réseau.

2          Configurez le commutateur pour transmettre de manière transparente les paquets 802.1x.

Dans cet exemple, le commutateur de réseau local existe entre le commutateur de commutateur d'accès et les utilisateurs. Pour vous assurer que les utilisateurs peuvent réussir l'authentification 802.1x, vous devez configurer la fonction de transmission transparente de paquet EAP sur le commutateur LAN.

l   Méthode 1: Le S5700 est utilisé comme exemple de commutateur de réseau local. Effectuez les opérations suivantes:

l   Exécutez la commande l2protocol-tunnel user-defined-protocol 802.1x protocol-mac 0180-c200-0003 group-mac 0100-0000-0002 dans la vue système du commutateur de réseau local afin de configurer celui-ci pour la transmission transparente de paquets EAP.

1.      Exécutez la commande  l2protocol-tunnel user-defined-protocol 802.1x enable sur l'interface connectant les utilisateurs et l'interface connectant le commutateur d'accès pour activer la fonction de transmission transparente du protocole de couche 2.

l   Méthode 2: cette méthode est recommandée lorsqu'un grand nombre d'utilisateurs existe ou lorsque des performances réseau élevées sont requises. Seuls les modèles S5720EI, S5720HI et S6720EI prennent en charge cette méthode.

l   Exécutez les commandes suivantes dans la vue système:

l  undo bpdu mac-address 0180-c200-0000 ffff-ffff-fff0

l  bpdu mac-address 0180-c200-0000 FFFF-FFFF-FFFE

l  bpdu mac-address 0180-c200-0002 FFFF-FFFF-FFFF

l  bpdu mac-address 0180-c200-0004 FFFF-FFFF-FFFC

l  bpdu mac-address 0180-c200-0008 FFFF-FFFF-FFF8

1.      (Cette étape est obligatoire lorsque vous passez de la méthode 1 à la méthode 2.) Exécutez la commande undo l2protocol-tunnel user-defined-protocol 802.1x enable dans la vue Interface pour supprimer la configuration de la transmission transparente des paquets de protocole 802.1x.

Configurez le contrôleur-campus agile.

1.          Configurez les paramètres RADIUS, Portal et XMPP, puis ajoutez le commutateur principal.

2          Configurez les groupes de sécurité Employee_Group et Email_Server pour indiquer les utilisateurs et les ressources, respectivement.

3          Utilisez l'autorisation rapide pour autoriser le groupe de sécurité Employee_Group au service des employés. Les employés sont mappés sur le groupe de sécurité Employee_Group après avoir été authentifié.

4          Configurez une stratégie de contrôle d'accès pour permettre à Employee_Group d'accéder à Email_Server .

Procédure

                               Étape 1      Configurez le commutateur principal.

1.          Basculez le mode de configuration NAC en mode unifié.

Vous devez basculer le mode de configuration NAC sur le mode unifié sur un commutateur avec la fonction de mobilité libre configurée. Le mode unifié prend effet après le redémarrage du commutateur.

<HUAWEI> system-view 
[HUAWEI] sysname coreswitch 
[coreswitch] authentication unified-mode 
[coreswitch] quit 
<coreswitch> save 

2          Configurez les interfaces et les VLAN et activez la fonction de serveur DHCP.

[coreswitch] vlan batch 11 to 14 
[coreswitch] interface vlanif 11     
[coreswitch-Vlanif11] ip address 192.168.11.254 255.255.255.0 
[coreswitch-Vlanif11] quit 
[coreswitch] dhcp enable                                  
[coreswitch] interface vlanif 12     
[coreswitch-Vlanif12] ip address 192.168.12.254 255.255.255.0 
[coreswitch-Vlanif12] dhcp select interface     
[coreswitch-Vlanif12] quit 
[coreswitch] interface vlanif 13                                  
[coreswitch-Vlanif13] ip address 192.168.13.254 255.255.255.0 
[coreswitch-Vlanif13] dhcp select interface                                  
[coreswitch-Vlanif13] dhcp server dns-list 192.168.11.200 
[coreswitch-Vlanif13] quit 
[coreswitch] interface vlanif 14                                   
[coreswitch-Vlanif14] ip address 192.168.14.254 255.255.255.0 
[coreswitch-Vlanif14] dhcp select interface                                  
[coreswitch-Vlanif14] dhcp server dns-list 192.168.11.200 
[coreswitch-Vlanif14] quit 
[coreswitch] interface gigabitEthernet 1/0/11 
[coreswitch-GigabitEthernet1/0/11] port link-type trunk 
[coreswitch-GigabitEthernet1/0/11] port trunk allow-pass vlan 11 
[coreswitch-GigabitEthernet1/0/11] quit 
[coreswitch] interface gigabitEthernet 1/0/12 
[coreswitch-GigabitEthernet1/0/12] port link-type trunk 
[coreswitch-GigabitEthernet1/0/12] port trunk allow-pass vlan 12 14 
[coreswitch-GigabitEthernet1/0/12] quit  

3          Configurez les paramètres pour l'interconnexion avec le serveur RADIUS.

[coreswitch] radius-server template policy     
[coreswitch-radius-policy] radius-server authentication 192.168.11.1 1812     
[coreswitch-radius-policy] radius-server accounting 192.168.11.1 1813         
[coreswitch-radius-policy] radius-server shared-key cipher Admin@123                    
[coreswitch-radius-policy] quit 
[coreswitch] aaa 
[coreswitch-aaa] authentication-scheme auth     
[coreswitch-aaa-authen-auth] authentication-mode radius     
[coreswitch-aaa-authen-auth] quit 
[coreswitch-aaa] accounting-scheme acco     
[coreswitch-aaa-accounting-acco] accounting-mode radius     
[coreswitch-aaa-accounting-acco] accounting realtime 15     
[coreswitch-aaa-accounting-acco] quit 
[coreswitch-aaa] domain default     
[coreswitch-aaa-domain-default] radius-server policy 
[coreswitch-aaa-domain-default] authentication-scheme auth 
[coreswitch-aaa-domain-default] accounting-scheme acco 
[coreswitch-aaa-domain-default] quit 
[coreswitch-aaa] quit 

4          Configurez les paramètres pour l'interconnexion avec le serveur de portail.

[coreswitch] url-template name huawei     
[coreswitch-url-template-huawei] url http://192.168.11.1:8080/portal     
[coreswitch-url-template-huawei] quit 
[coreswitch] web-auth-server policy      
[coreswitch-web-auth-server-policy] server-ip 192.168.11.1     
[coreswitch-web-auth-server-policy] port 50200                
[coreswitch-web-auth-server-policy] shared-key cipher Admin@123     
[coreswitch-web-auth-server-policy] url-template huawei      
[coreswitch-web-auth-server-policy] quit 

5          Configurez GE1 / 0/12 en tant que point d’authentification d’accès pour les PC fixes.

[coreswitch] interface gigabitEthernet 1/0/12 
[coreswitch-GigabitEthernet1/0/12] authentication dot1x portal    
[coreswitch-GigabitEthernet1/0/12] dot1x authentication-method eap    
[coreswitch-GigabitEthernet1/0/12] web-auth-server policy direct    
[coreswitch-GigabitEthernet1/0/12] domain name default force    
[coreswitch-GigabitEthernet1/0/12] quit

6          Configurez une règle sans authentification afin que les AP puissent se connecter et que les clients puissent accéder au serveur DNS.

[coreswitch] authentication free-rule 1 destination ip 192.168.11.200 mask 24 source ip any 
[coreswitch] authentication free-rule 2 source vlan 12

7.          Configurez les paramètres système de l’AC (coreswitch dans cet exemple) pour implémenter l’accès sans fil.

une.          Configurez le code de pays, l'ID et l'ID de l'opérateur du AC.

[coreswitch] wlan ac-global country-code cn 
[coreswitch] wlan ac-global ac id 1 carrier id other

b.          Configurez VLANIF 12 en tant qu'interface source de l'AC.

[coreswitch] capwap source interface vlanif 12

l   Dans les versions V200R006 et antérieures, exécutez la commande wlan ac source interface vlanif 12 dans la vue WLAN.

l   Dans les versions V200R007 et versions ultérieures, exécutez la commande capwap source interface vlanif 12 dans la vue système.

c.          Gérez les points d'accès sur le secteur et vérifiez l'ID correspondant à AP7110DN-AGN. L'adresse MAC de l'AP obtenu est dcd2-fc04-b4c0.

[coreswitch] display ap-type all       
  All AP types information: 
  ------------------------------------------------------------------------------ 
  ID     Type 
  ------------------------------------------------------------------------------ 
  17     AP6010SN-GN 
  19     AP6010DN-AGN 
  21     AP6310SN-GN 
  23     AP6510DN-AGN 
  25     AP6610DN-AGN 
  27     AP7110SN-GN 
   
  29     AP5010SN-GN 
  30     AP5010DN-AGN 
  31     AP3010DN-AGN 
  33     AP6510DN-AGN-US 
  34     AP6610DN-AGN-US 
  35     AP5030DN 
  36     AP5130DN 
  37     AP7030DE 
  38     AP2010DN 
  39     AP8130DN 
  40     AP8030DN 
  42     AP9330DN 
  ------------------------------------------------------------------------------ 
  Total number: 19

[coreswitch] wlan 
[coreswitch-wlan-view] ap-auth-mode mac-auth       
[coreswitch-wlan-view] ap id 1 type-id 28 mac dcd2-fc04-b4c0     
[coreswitch-wlan-ap-1] quit 
[coreswitch-wlan-view] ap-region id 10     
[coreswitch-wlan-ap-region-10] quit 
[coreswitch-wlan-view] ap id 1 
[coreswitch-wlan-ap-1] region-id 10       
[coreswitch-wlan-ap-1] quit 

[coreswitch-wlan-view] display ap all     
  All AP(s) information: 
  Normal[1],Fault[0],Commit-failed[0],Committing[0],Config[0],Download[0] 
  Config-failed[0],Standby[0],Type-not-match[0],Ver-mismatch[0] 
  ------------------------------------------------------------------------------ 
  AP    AP                    AP              Profile   AP              AP 
                                              /Region 
  ID    Type                  MAC             ID        State           Sysname 
  ------------------------------------------------------------------------------ 
  1     AP7110DN-AGN          dcd2-fc04-b4c0    0/10              ap-1 
  ------------------------------------------------------------------------------ 
  Total number: 1,printed: 1

Le réglage du canal radio et de la puissance d'un point d'accès peut conduire au réglage d'un autre point d'accès. Pour accélérer les ajustements, minimiser l’impact et réduire la charge de travail, il est conseillé de diviser tous les points d’accès accédant au même AC en plusieurs régions. L'impact de l'ajustement sur un PA est limité dans la région locale.

ré.          Configurez les paramètres du service WLAN.

[coreswitch-wlan-view] wmm-profile name wmm id 1     
[coreswitch-wlan-wmm-prof-wmm] quit 
[coreswitch-wlan-view] radio-profile name radio id 31     
[coreswitch-wlan-radio-prof-radio] wmm-profile name wmm      
[coreswitch-wlan-radio-prof-radio] quit 
[coreswitch-wlan-view] quit 
[coreswitch] interface wlan-ess 32     
[coreswitch-Wlan-Ess32] port trunk allow-pass vlan 13 
[coreswitch-Wlan-Ess32] quit 
[coreswitch] interface wlan-ess 33     
[coreswitch-Wlan-Ess33] port trunk allow-pass vlan 13 
[coreswitch-Wlan-Ess33] quit 
[coreswitch] wlan 
[coreswitch-wlan-view] security-profile name portal_security id 32     
[coreswitch-wlan-sec-prof-portal_security] quit 
[coreswitch-wlan-view] security-profile name dot1x_security id 33     
[coreswitch-wlan-sec-prof-dot1x_security] security-policy wpa2 
[coreswitch-wlan-sec-prof-dot1x_security] wpa2 authentication-method dot1x encryption-method ccmp 
[coreswitch-wlan-sec-prof-dot1x_security] quit 
[coreswitch-wlan-view] traffic-profile name traffic id 1     
[coreswitch-wlan-traffic-prof-traffic] quit 
[coreswitch-wlan-view] service-set name portal_test id 32     
[coreswitch-wlan-service-set-portal_test] ssid portal_test 
[coreswitch-wlan-service-set-portal_test] wlan-ess 32 
[coreswitch-wlan-service-set-portal_test] security-profile id 32 
[coreswitch-wlan-service-set-portal_test] traffic-profile name traffic 
[coreswitch-wlan-service-set-portal_test] service-vlan 13            
[coreswitch-wlan-service-set-portal_test] forward-mode tunnel     
[coreswitch-wlan-service-set-portal_test] quit 
[coreswitch-wlan-view] service-set name dot1x_test id 33      
[coreswitch-wlan-service-set-dot1x_test] ssid dot1x_test 
[coreswitch-wlan-service-set-dot1x_test] wlan-ess 33 
[coreswitch-wlan-service-set-dot1x_test] security-profile id 33 
[coreswitch-wlan-service-set-dot1x_test] traffic-profile name traffic 
[coreswitch-wlan-service-set-dot1x_test] service-vlan 13 
[coreswitch-wlan-service-set-dot1x_test] forward-mode tunnel     
[coreswitch-wlan-service-set-dot1x_test] quit 
[coreswitch-wlan-view] quit 

e.          Configurez l'authentification du portail et l'authentification 802.1x sur les interfaces WLAN-ESS.

[coreswitch] interface wlan-ess 32 
[coreswitch-Wlan-Ess32] domain name default force 
[coreswitch-Wlan-Ess32] authentication portal 
[coreswitch-Wlan-Ess32] web-auth-server policy direct 
[coreswitch-Wlan-Ess32] quit 
[coreswitch] interface wlan-ess 33 
[coreswitch-Wlan-Ess33] domain name default force 
[coreswitch-Wlan-Ess33] authentication dot1x 
[coreswitch-Wlan-Ess33] dot1x authentication-method eap 
[coreswitch-Wlan-Ess33] quit 

F.           Configurez un VAP pour fournir l’authentification du portail et l’authentification 802.1x.

[coreswitch] wlan 
[coreswitch-wlan-view] ap 1 radio 0 
[coreswitch-wlan-radio-1/0] radio-profile id 31 
[coreswitch-wlan-radio-1/0] service-set id 32 
[coreswitch-wlan-radio-1/0] service-set id 33 
[coreswitch-wlan-radio-1/0] quit 
[coreswitch-wlan-view] commit ap 1 
[coreswitch-wlan-view] quit

8          Configurez les paramètres XMPP pour l'interconnexion avec Agile Controller-Campus et autorisez la mobilité.

[coreswitch] group-policy controller 192.168.11.1 password Admin@123 src-ip 192.168.11.254     
[coreswitch] quit 
<coreswitch> save

                               Étape 2      Configurez le commutateur d'accès.

Dans cet exemple, il existe un commutateur d'accès entre les utilisateurs et le commutateur principal, qui fonctionne comme point d'authentification et transmet les paquets de manière transparente. Pour vous assurer que les utilisateurs peuvent passer l'authentification 802.1x, configurez le commutateur d'accès pour qu'il transmette de manière transparente les paquets 802.1x (les paquets EAP dans cet exemple, car le mode EAP est utilisé).

<HUAWEI> system-view 
[HUAWEI] sysname l2switch 
[l2switch] l2protocol-tunnel user-defined-protocol 802.1x protocol-mac 0180-c200-0003 group-mac 0100-0000-0002 
[l2switch] vlan batch 12 14 
[l2switch] interface gigabitEthernet 0/0/1 
[l2switch-GigabitEthernet0/0/1] port link-type trunk 
[l2switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 12 14 
[l2switch-GigabitEthernet0/0/1] l2protocol-tunnel user-defined-protocol 802.1x enable 
[l2switch-GigabitEthernet0/0/1] bpdu enable 
[l2switch-GigabitEthernet0/0/1] quit 
[l2switch] interface gigabitEthernet 0/0/3               
[l2switch-GigabitEthernet0/0/3] port link-type access 
[l2switch-GigabitEthernet0/0/3] port default vlan 14 
[l2switch-GigabitEthernet0/0/3] l2protocol-tunnel user-defined-protocol 802.1x enable 
[l2switch-GigabitEthernet0/0/3] bpdu enable 
[l2switch-GigabitEthernet0/0/3] quit 
[l2switch] interface gigabitEthernet 0/0/5             
[l2switch-GigabitEthernet0/0/5] port link-type access 
[l2switch-GigabitEthernet0/0/5] port default vlan 12 
[l2switch-GigabitEthernet0/0/5] l2protocol-tunnel user-defined-protocol 802.1x enable 
[l2switch-GigabitEthernet0/0/5] bpdu enable 
[l2switch-GigabitEthernet0/0/5] quit 
[l2switch] quit 
<l2switch> save

                               Étape 3      Configurez le contrôleur-campus agile.

1.          Ajouter le commutateur de base.

une.          Choisissez Ressource > Périphérique > Gestion des périphériques .

b.          Cliquez sur XMPP .

c.          Cliquez sur OK Le statut du commutateur est  et l' état de synchronisation est Succès .

ré.          Sur le commutateur principal, vérifiez l’état de la communication du commutateur avec Agile Controller-Campus.

<coreswitch> display group-policy status 
Controller IP address: 192.168.11.1 
Controller port: 5222 
Backup controller IP address: - 
Backup controller port: - 
Source IP address: 192.168.11.254 
State: working 
Connected controller: master 
Device protocol version: 1 
Controller protocol version: 1 

2          Configurez les groupes de sécurité Employee_Group et Email_Server pour indiquer les utilisateurs et les ressources, respectivement.

une.          Choisissez Stratégie > Contrôle des autorisations > Groupe de sécurité > Gestion du groupe de sécurité .

b.          Cliquez sur Ajouter et créez Employee_Group .

c.          Répétez l'étape précédente pour créer le groupe de sécurité Email_Server .

ré.          Cliquez sur  à côté de Email_Server et lie les adresses IP des serveurs de messagerie.

e.          Cliquez sur Déploiement global pour déployer les groupes de sécurité sur l'ensemble du réseau.

3          Utilisez l'autorisation rapide pour autoriser le groupe de sécurité Employee_Group au service des employés. Les employés sont mappés sur le groupe de sécurité Employee_Group après avoir été authentifié.

une.          Choisissez Stratégie > Contrôle des autorisations > Autorisation rapide .

b.          Mappez le département de l' employé sur Employee_Group et cliquez sur OK .

4          Configurez une stratégie de contrôle d'accès pour permettre à Employee_Group d'accéder à Email_Server .

une.          Choisissez Stratégie > Libre mobilité > Contrôle des autorisations .

b.          Cliquez sur Ajouter .

c.          Cliquez sur OK et sur le déploiement global .

Une fois la stratégie de contrôle d'accès déployée avec succès, vous pouvez exécuter les commandes suivantes sur le commutateur principal pour afficher les informations de déploiement.

n    display ucl-group all : affiche les groupes de sécurité.

n    display acl all : affiche la politique de contrôle d'accès.

                               Étape 4      Enregistrez la configuration de Core_SW.

Choisissez Ressource > Périphérique > Gestion des périphériques . Cliquez sur  correspondant à Core_SW pour enregistrer la configuration.

L'enregistrement de la configuration est similaire à l'exécution de la commande save sur le périphérique, qui enregistre toutes les configurations de périphérique (y compris les groupes de sécurité, les stratégies de contrôle des droits d'accès et les stratégies de qualité de service déployées sur le contrôleur) dans le fichier de configuration.

Si les groupes de sécurité, les stratégies de contrôle des droits d'accès et les stratégies QoS sont enregistrés dans le fichier de configuration du périphérique, ces configurations peuvent être restaurées directement à partir du fichier de configuration après le redémarrage du périphérique et il n'est pas nécessaire de les demander au contrôleur. Sinon, l'authentification utilisateur échoue après le redémarrage du périphérique, car les groupes de sécurité, les stratégies de contrôle des droits d'accès et les stratégies QoS ne sont pas déployés sur le périphérique.

                               Étape 5      Vérifiez la configuration.

Les utilisateurs qui utilisent des comptes dans le service des employés peuvent accéder aux serveurs de messagerie après avoir passé l'authentification 802.1x ou Portal, quels que soient leurs emplacements d'accès.

----End

Fichiers de configuration

l    Fichier de configuration du commutateur principal

# 
sysname coreswitch 
# 
vlan batch 11 to 14 
# 
wlan ac-global carrier id other ac id 1 
# 
group-policy controller 192.168.11.1 password %^%#(K2]5P#C6'97.pR(gFv$K$KbGYN}R1Y76~K^;AP&%^%# src-ip 192.168.11.254 
# 
dhcp enable 
# 
radius-server template policy 
 radius-server shared-key cipher %^%#teXm2B&.1O0:cj$OWPq7@!Y\!%}dC3Br>p,}l\L.%^%# 
 radius-server authentication 192.168.11.1 1812 weight 80 
 radius-server accounting 192.168.11.1 1813 weight 80 
# 
url-template name huawei 
 url http://192.168.11.1:8080/portal 
# 
web-auth-server policy 
 server-ip 192.168.11.1 
 port 50200 
 shared-key cipher %^%#SQn,Cr"c;M&{#(R^:;P3F_H$3f3sr$C9%*G7R|u3%^%# 
 url-template huawei 
# 
aaa 
 authentication-scheme auth 
  authentication-mode radius 
 accounting-scheme acco 
  accounting-mode radius 
  accounting realtime 15 
 domain default 
  authentication-scheme auth 
  accounting-scheme acco 
  radius-server policy 
# 
interface Vlanif11 
 ip address 192.168.11.254 255.255.255.0 
# 
interface Vlanif12 
 ip address 192.168.12.254 255.255.255.0 
 dhcp select interface 
# 
interface Vlanif13 
 ip address 192.168.13.254 255.255.255.0 
 dhcp select interface 
 dhcp server dns-list 192.168.11.200 
# 
interface Vlanif14 
 ip address 192.168.14.254 255.255.255.0 
 dhcp select interface 
 dhcp server dns-list 192.168.11.200 
# 
interface GigabitEthernet1/0/11 
 port link-type trunk 
 port trunk allow-pass vlan 11 
# 
interface GigabitEthernet1/0/12 
 port link-type trunk 
 port trunk allow-pass vlan 12 14 
 domain name default force 
 authentication dot1x portal 
 web-auth-server policy direct 
 dot1x authentication-method eap 
# 
interface Wlan-Ess32 
 port trunk allow-pass vlan 13 
 domain name default force 
 authentication portal 
 web-auth-server policy direct 
# 
interface Wlan-Ess33 
 port trunk allow-pass vlan 13 
 domain name default force 
 authentication dot1x 
 dot1x authentication-method eap 
# 
authentication free-rule 1 destination ip 192.168.11.200 mask 255.255.255.0 source ip any 
authentication free-rule 2 source vlan 12 
# 
capwap source interface vlanif12 
# 
wlan 
 ap-region id 10 
 ap id 1 type-id 28 mac dcd2-fc04-b4c0 
  region-id 10 
 wmm-profile name wmm id 1 
 traffic-profile name traffic id 1 
 security-profile name portal_security id 32 
 security-profile name dot1x_security id 33 
  security-policy wpa2 
 service-set name portal_test id 32 
  forward-mode tunnel 
  wlan-ess 32 
  ssid portal_test 
  traffic-profile id 1 
  security-profile id 32 
  service-vlan 13 
 service-set name dot1x_test id 33 
  forward-mode tunnel 
  wlan-ess 33 
  ssid dot1x_test 
  traffic-profile id 1 
  security-profile id 33 
  service-vlan 13 
 radio-profile name radio id 31 
  wmm-profile id 1 
 ap 1 radio 0 
  radio-profile id 31 
  service-set id 32 wlan 1 
  service-set id 33 wlan 2 
 wlan work-group default         //This configuration will be displayed on modular switches but not on fixed switches. 
# 
return

l    Fichier de configuration du commutateur d'accès

# 
sysname l2switch 
# 
vlan batch 12 14 
# 
l2protocol-tunnel user-defined-protocol 802.1x protocol-mac 0180-c200-0003 group-mac 0100-0000-0002 
# 
interface GigabitEthernet0/0/1 
 port link-type trunk 
 port trunk allow-pass vlan 12 14 
 l2protocol-tunnel user-defined-protocol 802.1x enable 
# 
interface GigabitEthernet0/0/3 
 port link-type access 
 port default vlan 14 
 l2protocol-tunnel user-defined-protocol 802.1x enable 
# 
interface GigabitEthernet0/0/5 
 port link-type access 
 port default vlan 12 
 l2protocol-tunnel user-defined-protocol 802.1x enable 
# 
return