VLAN绑定用户的配置

《VLAN绑定用户的配置》由会员分享，可在线阅读，更多相关《VLAN绑定用户的配置（5页珍藏版）》请在金锄头文库上搜索。

1、1. VLAN 绑定用户的配置绑定用户的配置a) 组网图InternetInternetMA5200E/FLS2RADIUS 200.100.0.1200.100.0.261.10.1.0/24配置环境参数 计算机设置为自动获取 IP 地址的方式 MA5200F 的上行口地址：200.100.0.1 MA5200F 对端路由器地址：200.100.0.2b) 数据配置步骤VLAN 绑定用户的接入流程是： 首先一个 VLAN 用户的报文在经过二层交换机的时候就带上了相应的 VLAN ID； 用户的报文从 5200 的某一个端口进入的时候 5200 就会根据事先配置好的 portvlan 的数据来

2、确定这样的一个用户是属于那个域的，以及所采用的接入 方式是 bind； 该用户在找到自己所属的域之后就会根据域下面设置好的认证和计费策略来 进行认证和计费，认证通过之后，根据域下面配置的地址池分配一个 ip 地址， 然后该用户就能正常的上网了。 在了解了用户报文的基本接入流程之后我们就开始来配置数据，从上面的接入流程我们可以看出来， 比较关键和重要的几个数据是：地址池、域、认证计费策略以及 PORTVLAN 的数据。 【配置地址池】 对于动态 VLAN 绑定用户是需要利用 DHCP 协议自动获取 IP 地址的，这个地址是存在一个事先设 定好的地址池中的，这个地址池可以存在一个远端的 DHCP

3、的服务器上面，也可以存在 5200 本机 上面，如果地址池是在 5200 上面的话那么首先就要配置这个地址池的相关参数。 1.创建一个名为 huawei 的地址池： MA5200Fip pool huawei local 2.配置地址池的网关以及掩码： MA5200F-ip-pool-huaweigateway 61.10.1.1 255.255.255.03.配置地址池的地址段： MA5200F-ip-pool-huaweisection 0 61.10.1.2 61.10.1.10注意：地址池中间还需要根据具体的情况配置相应的 DNS 服务器。 如果采用的是外置的地址池的话就按照下面的内容

4、进行配置：注意：MA5200R007 版本在采用外置地址池的情况下也需要在本地配置此地址池，所不 同的在建立地址池的时候需要将地址池的属性设置为 remote，而且地址池中只需 要指定 gateway，而不需要配置地址段 section。同时还需要建立一个 DHCP SERVER 组，在这个组里面指定外置 DHCP SERVER 的地址（注意，这里的 DHCP SERVER 的 ip 地址并不是地址池中的 gateway）1.建立外置一个名为 remotedhcp 的 DHCP SERVER 组： MA5200Fdhcp-server group remotedhcp 2.设置此 DHCP S

5、ERVER 组： 这里主要是指定此 DHCP SERVER 组所指向的 DHCP SERVER 的 IP 地址。 MA5200F-dhcp-server-group-remotedhcpdhcp-server 192.168.1.10 3.创建一个远端地址池： MA5200Fip pool huaweiremote remote 4.指定地址池的 gateway 以及绑定 DHCP SERVER 组： MA5200F-ip-pool-huaweiremotegateway 61.10.1.1 255.255.255.0 MA5200F-ip-pool-huaweiremotedhcp-serv

6、er group remotedhcp 好了，现在我们已经给用户配置了一个地址池，接下来我们要为用户设置相应的认证和计费方案。 【配置认证方案】 1.进入 AAA 视图： MA5200Faaa 2.添加一个新的认证方案 Auth1： MA5200F-aaaauthentication-scheme Auth1 这样接下来就进入了相应的认证方案视图。 3.设置认证方案： 我们已经创建了一个新的认证方案 Auth1，接下来我们将定义这个认证方案的具体内容。 MA5200F-aaa-authen-auth1authentication-mode local 这里我们将 Auth1 这一个认证方案定义

7、为了本地认证，也就是说采用这样的一个认证方案的用户是 在 5200 本地进行认证的，当然在实际的开局中我们也可以根据实际的情况将认证方案设置为其它的 类型，如 radius，这样的话这个用户将会去 radius 服务器进行认证。 【配置计费方案】 1.进入 AAA 视图： MA5200Faaa 2.添加一个新的计费方案 Acct1： MA5200F-aaaaccounting-scheme Acct1 3.设置计费方案： MA5200F-aaa-accounting-acct1accounting-mode local 这里我们将 Acct1 这一个计费方案定义为了本地计费，也就是说采用这样的

8、一个计费方案的用户是 在 5200 本地进行计费的，当然在实际的开局中我们也可以根据实际的情况将计费方案设置为其它的 类型，如 radius，这样的话这个用户将会去 radius 服务器进行计费。【配置域】 在 5200 上面每一个用户都是属于一个指定的（或者是默认的）域的，因此，在进行用户的配置之前 我们首先要配置用户所属的域的一些参数。 1.进入 AAA 视图： MA5200Faaa 2.新建一个名为 isp 的域： MA5200F-aaadomain isp 接下来便进入了相应的域的配置视图。 3.指定该域所使用的地址池： MA5200F-aaa-domain-ispip-pool fi

9、rst Huawei 4.指定该域的认证方案和计费方案： MA5200F-aaa-domain-ispauthentication-scheme Auth1 MA5200F-aaa-domain-ispaccounting-scheme Acct1 这里我们将该域的认证方案和计费方案设置为了先前定义好的两个方案 Auth1 和 Acct1，分别是本地 认证和本地计费。 【配置 VLAN 端口】 配置 VLAN 端口的目的是指定某个端口的某些指定的 VLAN 用户认证前后所使用的域，所采用的认 证方法。 1.进入端口 VLAN 的配置视图： MA5200Fportvlan ethernet 2

10、1 1 这里的含义是进入了 2 号以太网端口的从 1 开始总共 1 个 VLAN ID 的配置视图。 2.设置该端口 VLAN 为二层普通用户接入类型： MA5200F-ethernet-2-vlan1-1access-type layer2-subscriber 在 access-type 后面有多个选项，其中的 layer-subscriber 是指的普通的二层 VLAN 认证类型的端口， 一般用于接入 VLAN 用户。 3.配置用户所使用的域： MA5200F-ethernet-2-vlan1-1default-domain authentication isp 4.配置端口的认证方法：

11、 MA5200F-ethernet-2-vlan1-1authentication-method bind 【添加用户帐号】 1.进入本地认证管理配置视图： MA5200Flocal-aaa-server 2.添加用户： MA5200F-local-aaa-serverbatch-user ethernet 2 1 1 domain isp 这之后便添加了一个用户名为：ma5200f-vlan-01-0001isp 的用户帐号。 【配置上行接口以及路由】 配置上行接口的目的是为了和上层的路由器或者交换机相连接，在配置上行接口的时候我们首先要 将需要配置的接口指定为“非管理类型” 。 1.进入端

12、口 VLAN 的配置视图： MA5200Fportvlan ethernet 24 0 1 2.设置端口 VLAN 的接入类型为非管理类型： MA5200F-ethernet-24-vlan0-0access-type interface 在 access-type 后面有多个选项，其中的 interface 是指的非管理类型的端口，用于连接上层交换机。 3.创建 VLAN 子接口： MA5200Finterface Ethernet 24.0 这里需要说明一下，创建上行接口的步骤是先将一个端口上的某一个 VLAN 指定为“非管理类型” ， 然后再在这个端口上创建此 VLAN 的子接口。这里多

13、了一个概念就是“VLAN 子接口” 。这样，一个物理端口上就可以创建多个逻辑的 VLAN 子接口，每个子接口可以配置不同的 ip 地址。 这样报文在上行的时候就可以根据需要走不同的 ip 上行，并且带上相应的 VLAN ID，三层交换机 （或者二层交换机）就可以根据这样的 VLAN ID 对用户的报文进行不同路径的转发了。增强了转发 的灵活性。如果这里的 VLAN 子接口设置为 0 的话就是不带 VLAN ID 上去。 4.在 VLAN 子接口下配置 ip 地址： MA5200F-Ethernet24.0ip address 200.100.0.1 255.255.255.252 5.配置默认路由： 对于一般条件的接入业务，5200 上面只需要配置一条指向上行路由器端口的默认路由就可以了： MA5200Fip route-static 0.0.0.0 0.0.0.0 200.100.0.2c) 测试验证计算机应该能够获取到 61.10.1.0/24 网段的 IP 地址，此时应该可以 ping 通对端路由器的地址 202.100.0.2（对端路由器需要做到 MA5200F 下面用户网段的回程路由） 。 同时可用 display access-user 来查看用户是否上线。