上网行为管理之身份认证实验-CSDN博客

本文链接：https://blog.csdn.net/2301_78525141/article/details/149507815

一、实验背景

某公司需要在企业的公司网络出口使用上网行为管理设备，以审计管理局域网的所有设备，同时，局域网内的所有设备都将通过上网行为代理上网，但是发生过访客外传一些非法信息，所以需要对外来人员进行实名认证，用户拥有自己独立的上网账号。

二、实验设备

1、山石网科（hillstone）防火墙（作为上网行为管理，实训平台v1.0中hillstone设备）
2、三层交换机一台（实训平台v1.0中cisco vios l2设备）
3、二层交换机一台（实训平台v1.0中cisco iol switch设备）
4、 Windows一台（实训平台v1.0中windows设备）
5、 AAA服务器一台（实训平台v1.0中cisco acs设备，需升级安装才会有）
6、增加一个网络net：cloud0

三、实验拓扑

在这里插入图片描述

四、实验目的

1、掌握上网行为管理设备网关部署的应用场景和方法
2、掌握上网行为管理设备本地和raduis身份认证的配置方法

五、实验配置

Windows主机
IP地址192.168.10.1 255.255.255.0
网关 192.168.10.254 dns 222.246.129.80
二层交换机

Switch(config)#vlan 10
Switch(config-vlan)#exit
Switch(config)#
Switch(config)#int e0/1
Switch(config-if)#switchport mode access 
Switch(config-if)#switchport access vlan 10
Switch(config-if)#int e0/0                 
Switch(config-if)#switchport trunk encapsulation dot1q 
Switch(config-if)#switchport mode trunk 
Switch(config-if)#switchport trunk allowed vlan 10
Switch(config-if)#no shutdown 
Switch(config-if)#

三层交换机

Switch(config)#vlan 10
Switch(config-vlan)#exit
Switch(config)#interface g0/0
Switch(config-if)#switchport trunk encapsulation dot1q
Switch(config-if)#switchport mode trunk
Switch(config-if)#exit

Switch(config)#ip routing  启动路由功能

Switch(config)#interface vlan10
Switch(config-if)#ip address 192.168.10.254 255.255.255.0
Switch(config-if)#no shut
Switch(config)#interface g0/1
Switch(config-if)#no switchport 改为三层接口
Switch(config-if)#no shutdown
Switch(config-if)#ip address 10.1.1.1 255.255.255.252
Switch(config)#interface GigabitEthernet0/2  互联AAA服务器
Switch(config-if)#no shutdown
Switch(config-if)#no switchport  改为三层接口
Switch(config-if)#ip address 10.2.2.1 255.255.255.252

Switch(config)#ip route 0.0.0.0 0.0.0.0 10.1.1.2  配置上网的缺省路由，下一跳为上网行为管理接口e0/1 IP

防火墙
查看DHCP自动分配的IP地址，通过此IP地址进入可视化界面
在这里插入图片描述

配置接口e0/0

接口e0/1

配置目的路由

在这里插入图片描述
配置源nat策略

配置安全策略

测试Windows主机是否能正常上网

在上网行为管理开启身份认证
1、本地DB认证
创建本地用户和密码

开启web认证功能

配置安全策略，增加unknown角色策略，即开启web认证
在这里插入图片描述
把安全策略排序

在Windows中访问任意页面需要登录

登录之后可以在防火墙中查看在线用户

在这里插入图片描述
上网行为管理结合AAA服务器完成集中身份认证
在Windows主机中访问AAA服务器默认地址10.2.2.2进入可视化界面

配置AAA服务器端，指定NAS IP，通信Key等

创建用户上网时，身份认证需要的用户名和密码

在这里插入图片描述
在防火墙配置上网行为管理，指定一台radius服务器

修改web认证策略，改为radius认证

在Windows上使用在AAA服务器中创建的用户名admin1和对应密码进行认证

可以看到登录成功
在AAA服务器可视化界面中信息如下
在这里插入图片描述
实验小结
本实验围绕企业网络出口的上网行为管理与用户认证展开，通过部署山石网科防火墙作为上网行为管理设备，结合三层交换机、二层交换机等构建局域网环境。