【HUAWEI】PPP&PPPoE配合Radius认证配置案例

【背景】

对于在一个大的园区网,要保证接入的安全性和合法性,有许多种手段。对于到端的接入用户,可以使用802.1X。对于移动办公人员,可以使用SSL。可以配合使用IPS、防火墙、上网行为管理等手段。不过,对于网关分布的网络呢?或者说,公司合并,怎么保证接入合法性。首先想到的是VPN,还有吗?现网中,将PPP、PPPoE用于该网络的这种老旧的情景非常少,但如果碰到了呢?这里我们仅仅以技术来讨论该网络。

【设备】

VMware内开启Windows Server 2012  R2

HUAWEI ENSP模拟器 (使用四台AR1220、使用Cloud串接ENSP和VMware)

【拓扑】

【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第1张图片

 

 

 

【原理1——PPP】

PPP,适用于串行链路,其自带有在数据链路层的认证功能,在链路的建立阶段,使用LCP对链路的合法性进行验证,如果链路的LCP验证通过,则利用IPCP协商链路网络层,若协商失败,则拆除链路。LCP的验证,可以在本地进行,也可以使用AAA,将认证提交给AAA,并且使用Radius认证进行。

【原理2——PPPoE】

该技术是在以太网的链路上,使用PPP进行网络协商。对于服务端,需要建立一个虚拟拨号模板,用该模板模拟PPP链路,然后将该链路绑定于以太网链路上。在该模板上的配置,和PPP链路一致。

-------------------------------------------------------------

【配置过程】

【配置1——Windows端】

步骤1:在Windows Server上安装“网络策略服务器(NPS)”、“Active Directory证书服务”,在NPS上关联验证服务器,也就是需要使用PPP认证的设备。

步骤2:创建用于认证的用户名和用户组

步骤3:配置“连接请求策略

打开NPS,选择“策略”-->“连接请求策略”-->选择“新建”-->打开“新建连接请求策略”向导,按照如下向导配置

 

【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第2张图片

备注:在“指定条件”中,选择“添加”,选择“帧协议”,“添加”该帧协议为PPP。使得当进入该Radius服务器的协议类型为PPP时,匹配该策略

 

【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第3张图片

【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第4张图片

【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第5张图片

【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第6张图片

备注:我们是在本台服务器上直接添加有关PPP的认证,所以按照默认第一项直接“下一步”

【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第7张图片

【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第8张图片

然后按照默认“下一步”完成即可

步骤4:配置“网络策略”

需要注意的是,在“身份验证方法”中选择“未加密的身份验证”。经过测试只能使用pap验证,使用“CHAP”认证,一直认证失败。大概华为的设备和Windows的设备不能正确互传秘钥信息,导致验证失败,这可能是两个厂商的CHAP加密算法不同吧

 【HUAWEI】PPP&PPPoE配合Radius认证配置案例_第9张图片

其他默认即可

【配置2——华为路由器】

步骤1:在R1上的配置

#

radius-server template windows

radius-server shared-key cipher %$%$Qto)Z7GE$!Z8j`D-JA(

radius-server authentication 172.16.255.1 1812

undo radius-server user-name domain-included

#

aaa

authentication-scheme huawei

authentication-mode radius

quit

domain huawei

authentication-scheme huawei

radius-server windows

quit

quit

#

interface Serial1/0/0

link-protocol ppp

ppp authentication-mode pap domain huawei

#

interface Virtual-Template1

ppp authentication-mode pap domain huawei

ip address 192.168.3.254 255.255.255.0

#

interface GigabitEthernet0/0/1

pppoe-server bind Virtual-Template 1

#

步骤2:在被验证路由器(R2、R3)配置PPP

interface Serial1/0/0

link-protocol ppp

#注意,此处不需要带入r2的域,因为在R1的配置中,我们已经在配置中指定所有进入的验证用户名带上huawei的域

ppp pap local-user r2 password cipher %$%$FJ6#%'W+o,0:&y!EDU],,%y+%$%$

步骤3:配置被验证端R4的PPPoE

#

interface Dialer0

link-protocol ppp

ppp pap local-user r4 password cipher %$%$E^f60_>:a@&81})|FEXR,'Ja%$%$

ip address 192.168.3.4 255.255.255.0

dialer user r4

dialer bundle 4

dialer-group 4

#

interface GigabitEthernet0/0/0

pppoe-client dial-bundle-number 4

【其他注意事项】

【注意1】认证无法通过:在认证无法通过之时,在验证端会出现如下的debug信息

Feb 15 2019 15:27:24-08:00 R1 %%01IFPDT/4/IF_STATE(l)[3]:Interface Serial1/0/0 has turned into UP state.

[R1]

Feb 15 2019 15:27:30-08:00 R1 %%01PPP/4/PEERNOPAP(l)[4]:On the interface Serial1/0/0, authentication failed and PPP link was closed because PAP was disabled on the peer.

[R1]

Feb 15 2019 15:27:30-08:00 R1 %%01PPP/4/RESULTERR(l)[5]:On the interface Serial1/0/0, LCP negotiation failed because the result cannot be accepted.

该提示在开启串行链路之后,经过LCP认证之时,验证无法通过,此时链路关闭。

【注意2】当被验证端配置正确,在debug信息中会提示物理层先up,然后链路层up,并且进入LCP验证,当验证成功,则PPP IPCP也up,协商网络层。

[R2-Serial1/0/0]

Feb 15 2019 15:32:52-08:00 R2 %%01IFPDT/4/IF_STATE(l)[16]:Interface Serial1/0/0

has turned into UP state.

[R2-Serial1/0/0]

Feb 15 2019 15:32:55-08:00 R2 %%01IFNET/4/LINK_STATE(l)[17]:The line protocol PP

P on the interface Serial1/0/0 has entered the UP state.

[R2-Serial1/0/0]

Feb 15 2019 15:32:55-08:00 R2 %%01IFNET/4/LINK_STATE(l)[18]:The line protocol PP

P IPCP on the interface Serial1/0/0 has entered the UP state.

 

你可能感兴趣的:(网络设备原理与配置)