锐捷网络——安全域网关（SDG）+WEB认证实施指导_锐捷smp+认证配置

目录

一、组网需求

二、组网拓扑

三、配置要点

四、配置方法

1、通过配置接口IP、路由等信息使网络连通性正常

2、配置SDG域隔离功能

3、配置WEB认证功能（可选配置，与SDG域隔离功能无关联）

4、配置实名日志功能

五、验证方法

1、内网电脑通过WEB认证

 2、内网电脑默认属于 Internet 组，只能访问属于 Internet资源。

---

 

一、组网需求

1、所有用户都要实名认证接入

2、将内外资源进行分类，所有用户同一时间只能访问一类资源，做到访问隔离

3、对所有用户需要实名日志记录

二、组网拓扑

三、配置要点

1)配置连通性；

2)配置SDG域隔离功能；

3)配置WEB认证功能

4)配置实名日志功能

四、配置方法

（以RSR20X系列路由器为例）

1、通过配置接口IP、路由等信息使网络连通性正常

    在内网终端上确认可以正常访问资源、业务，比如访问业务网站、政务网等

2、配置SDG域隔离功能

    路由器配置

        步骤1：配置用户组，用于定于用户所属组（可访问的资源）  

user-group Office    ---->创建名为Office用户组，用于定义政务外网资源

user-group Internet    ---->创建名为Internet用户组。用于定义互联网资源

ip sdg classifier 1       ---->创建SDG分类器，显示用户可以切换的域

  user-group Internet default    ---->用户接入网络后默认属于Internet用户组，即只能访问互联网

  user-group Office                                                                     

      步骤3：路由器开启WEB功能，用于弹出域隔离切换切换页面（选择所属的域）

enable service web-server http   ---->开启http连接WEB服务，用于弹出域隔离切换页面

interface GigabitEthernet 0/1                                                            

  ip sdg in access-group 110 trigger 1    ---->在内网接口开启域隔离功能，终端使用 分类器1的用户组进行选择并按 acl 110 策略进行域隔离控制                                                

aaa new-model

aaa accounting network default start-stop group radius

aaa authentication web-auth default group radius   ----> RSR77X系列默认已开启该命令，不用配置

radius dynamic-authorization-extension enable                                                                                              

radius-server host 10.12.251.150 key ruijie                                              

radius-server attribute framed-ip-addr always-send    ----> RSR77X系列命 令为radius-server attribute 4 192.168.3.2）       

radius-server key ruijie

ip radius source-interface GigabitEthernet 0/0    ----> RSR77X系列命令为 radius-server host 10.12.251.150 src-ip 192.168.3.2 key ruijie

web-auth authentication default                                                                                                                             

web-auth portal key ruijie  

web-auth nas-ip 192.168.3.2    ---->  与SMP上添加设备的地址保持一致

web-auth direct-site 10.12.251.150 255.255.255.25   ---->放通访问SMP服务器地址，使不用认证即可访问

web-auth acct-update-interval 10

   web-auth offline-detect idle-timeout 15 threshold 0    ---->开启流量保活，终端15分钟内流量累计为0则踢用户下线

   portal-server ruijie ip 10.12.251.150 url http://10.12.251.150:80/smp/commonauth

snmp-server enable traps                                                                 

snmp-server community public rw    ---->public为snmp团体字，根据客户需求配置，需要与SMP上添加设备时参数一致

interface GigabitEthernet 0/1                                                                                                          

web-auth control ruijie    ---->在内网接口应用web认证，名称为rujie，与portal-server命令后的名字保持一致

   注意：由于是跨了三层，因此SMP无法获取路由器mac地址，不影响WEB认证功能使用。

clock set 13:00:00 3 12 2013

configuration terminal

clock timezone beijing 8  

rlog server 10.12.251.152

rlog enable

rlog url enable

认证成功后在路由器上可以使用show web-auth user命令查看用户认证状态

RSR20-X-28#show web-auth user                                                                                     

 Current user num  :  1                                            

 Address                  State                   Nas-IP           Time Used     

 ----------------     ---------------        ---------------         ------------- 

 172.12.32.1       AUTHENTICATED    192.168.3.2         0d 00:04:10   

SMP上查看用户在线信息

      

ELOG上查看用户rlog日志(以NAT日志为例)信息

 2、内网电脑默认属于 Internet 组，只能访问属于 Internet资源。

如果访问的是Office组内的资源会弹出切换域的页面，选择相应域后点击“提交”即可访问该域资源。