当前位置：文档之家 › Aruba 3000 系列移动控制器简介(中文版)

Aruba 3000 系列移动控制器简介(中文版)

  • 格式：pdf
  • 大小：142.00 KB
  • 文档页数：6

Aruba MMC-3000 多服务移动性控制器系列Aruba MMC-3000 多业务移动控制器系列包括三种全功能控制器，分别能够管理32、64 和128 个接入点。

MMC-3000 系列提供了真正以用户为中心的网络体验，提供 Follow-me 连接、基于身份的安全性和应用连续性服务。

MMC-3200 是为小型/分支机构设计的，而MMC-3400 和 MMC-3600 则主要面向大中型企业或密集的办公室部署。

MMC-3000 系列可以作为重叠网络进行部署，而不会对现有的有线网络造成任何干扰。

先进的 WLAN 语音功能 — 例如Call Admission Control (CAC)、语音感知射频管理和严格的无线 QoS — 可使MMC-3000 系列提供移动V oIP 功能。

MMC-3000 系列通过 ArubaOS 或 Aruba 移动性管理系统进行管理。

此外，MMC-3000 系列还可以部署为以用户为中心的安全网关，对有线和无线用户进行身份验证，执行基于角色的访问控制策略，阻止不安全的端点访问公司网络。

内置登录网络门户服务器和高级网络服务可以方便安全地支持访客用户的访问。

MMC-3000 系列能够利用集成的站点到站点 VPN 和 NAT 功能、分离隧道以及动态防火墙创建一个安全的网络环境，而不需要额外的 VPN/防火墙设备。

站点到站点 VPN 支持可以与所有领先的 VPN 集中器集成，从而无缝集成到现有的公司 VPN 中。

控制器性能和容量(MM C-3200/MM C-3400/MM C-3600)园区连接的接入点最多 32/64/128 个远程接入点最多 128/256/512 个用户最多 512/1024/2048 个MAC 地址最多 64,000 个VLAN IP 接口128 个千兆以太网端口（RJ-45 或 SFP） 4活动防火墙会话最多 128,000 个并发 IPsec 隧道最多 512/1024/2048 个防火墙吞吐率3/4/4 Gbps加密吞吐率（3DES、AESCBC256） 1.6/4/8 GbpsGbps加密吞吐率(AES-CCM) 0.8/2/4无线局域网安全性和控制功能• 802.11i 安全性（WFA 认证的 WPA2 和 WPA）• 802.1X 用户和计算机身份验证• EAP-PEAP、EAP-TLS、EAP-TTLS 支持• 集中式 AES-CCM、TKIP 和 WEP 加密• 用于快速漫游应用的 802.11i PMK 缓存• 确保 AAA 服务器可扩展性和耐久性的 EAP 卸载• 独立接入点的状态 802.1X 身份验证• MAC 地址、SSID 以及多 WLAN 情况下基于位置的身份验证多 SSID 支持• 基于 SSID 的 RADIUS 服务器选择• 通过 IPsec 或 GRE 提供安全的接入点控制和管理• 兼容 CAPWAP 且可以升级• 适合远程接入点部署的分布式 WLAN 模式• 同时支持集中式和分布式 WLAN基于身份的安全性功能• 有线和无线用户身份验证• 强制网络门户认证、802.1X 和 MAC 地址验证• 用户名、IP 地址、MAC 地址和加密密钥绑定，支持创建强大的网络身份验证• 防止假冒的每数据包身份验证• 端点状态评估、隔离和纠正• 支持 Microsoft NAP、Cisco NAC、Symantec SSE• 支持 RADIUS 和基于 LDAP 的 AAA 服务器• 提供 AAA 服务器故障切换保护的内部用户数据库• 消除过度权限的基于角色的授权• 强健的策略执行和状态数据包检查• 支持使用核查的每用户会话计费• 通过 Aruba GuestConnect™ 提供基于 Web 的访客注册• 可配置、可接受的访客访问使用策略• 提供外部网络门户集成的基于 XML 的 API• 用于有线局域网身份验证和加密的 xSec 选项（802.1X 身份验证、256 位 AES-CBC 加密）融合功能• 在单一融合设备 SSID 上提供语音和数据• 使用V oice Flow Classification™ 提供基于流的 QoS• 支持SIP、Spectralink SVP、Cisco SCCP 和 V ocera ALGs• 支持空中 QoS 的严格优先级排队• 802.11e 支持 – WMM、U-APSD 和 T-SPEC• 通过 802.11e 防止网络滥用的 QoS 管理• 确保网络 QoS 的 Diffserv 标记和 802.1p 支持• 挂机 (on-hook) 和摘机 (off-hook) V oIP 客户端检测• 使用 VFC 的V oIP 呼叫接入控制 (CAC)• 移动V oIP 呼叫的呼叫保留阈值• 确保语音质量的语音感知射频管理• 确保移动语音质量的快速漫游支持• SIP 早期媒体和振铃音生成 (RFC 3960)• 每用户和每角色速率限制（带宽合同）自适应无线电管理™ (ARM ) 功能• 受控接入点的自动信道和功率设置• 同时空中监控和最终用户服务• 基于动态射频条件的自我恢复覆盖面• 优化容量的密集部署选项• 基于用户数量的接入点负载均衡• 基于带宽利用率的接入点负载均衡• 覆盖漏洞和射频干扰检测• 提供雷达检测和规避的 802.11h 支持• 活动 RFID 标记的自动位置检测• 用于 RFID 应用的基于 XML 的内置位置 API无线入侵防护功能• 与 WLAN 基础设施集成• 同时或专用的空中监控功能• 恶意接入点检测和内置位置可视化• 自动恶意、干扰和有效接入点分类• 无线和有线恶意接入点控制• 临时 WLAN 网络检测和控制• Windows 客户端桥接和无线桥接器检测• 接入点和用户点的拒绝服务攻击保护• 配置不当的独立接入点检测和控制• 第三方接入点性能监控和故障诊断• 针对新 WLAN 攻击的灵活攻击签名创建• EAP 握手验证和顺序号分析• 合法接入点假冒检测• 帧溢出、虚假接入点和 Airjack 攻击检测• ASLEAP、Death Broadcast、零探测响应检测• 基于 Netstumbler 的网络探测检测状态防火墙功能• 与用户身份或端口联系在一起的状态数据包检测• 位置和时间意识的策略定义• 用于 WLAN 防火墙的 802.11 用户感知• 无线策略执行和用户黑名单• 用于分析的会话镜像和每数据包日志• 用于使用核查的详细防火墙流量日志• ICSA 公司防火墙 4.1 兼容性• SIP、SCCP、RTSP、V ocera、FTP、TFTP、PPTP 的应用层网关 (ALG) 支持• 源和目标网络地址转换 (NAT)• 确保高性能的专用流处理硬件• TCP、ICMP 拒绝服务攻击检测和保护• 基于策略把访客流量转发到 GRE 隧道中• 提供第三方安全性集成的外部服务接口，用于在线防病毒、防垃圾邮件和内容过滤应用• 外部服务的运行状况检测和负载均衡VPN 服务器功能• 适合分支机构部署的站点到站点 VPN 支持• 与第三方 VPN 服务器的站点到站点互操作性• 模拟 VPN 服务器，轻松集成到 WLAN 之中• Windows VPN 客户端的 L2TP/IPsec VPN 端接• 第三方客户端的 XAUTH/IPsec VPN 端接• 实现传统 VPN 集成的 PPTP VPN 端接• 支持 RADIUS 和 LDAP 服务器，提供 VPN 身份验证• PAP、CHAP、MS-CHAP 和 MS-CHAPv2 身份验证• DES、3DES、AES、MPPE 硬件加密• 第二层 VPN 的安全点到点 xSec 隧道网络功能和高级服务• 无线和有线第二层与第三层交换• VLAN Pooling，支持简便、可扩展的网络设计• 支持无缝第二层漫游的 VLAN 移动性• 支持第三层漫游的代理移动 IP 和代理 DHCP• 内置 DHCP 服务器和 DHCP 中继• 基于 VRRP 的 N+1 控制器冗余（第二层）• 基于接入点连接的 N+1 控制器冗余（第三层）• 提供集中式安全性的有线接入集中器模式• 提供链路冗余的 Etherchannel 支持• 802.1d 生成树协议 (STP)• 802.1Q VLAN 标记基于控制器的管理功能• 射频规划和接入点部署工具包• 集中式接入点连接和图像管理• 通过射频热敏图提供实时覆盖面可视化显示• 用于监控的详细统计数据可视化• 用于射频故障诊断的远程数据包捕捉• 能与 Ethereal 和 Airopeek 分析器互操作• 多控制器配置管理• 位置可视化和设备跟踪• 系统范围的事件收集和报告控制器管理功能• 通过 HTTP 和 HTTPS 访问基于 Web 的用户界面• 方便控制器配置的 Quickstart 屏幕• 使用 SSH、Telnet 和控制台端口访问 CLI• 基于角色的访问控制，限制管理访问权• 通过 RADIUS、LDAP 或内部数据库提供进行身份验证的访问• 支持 SNMPv3 和 SNMPv2，实现控制器监控• 标准 MIB 和专用企业 MIB• 详细的消息日志和系统日志事件通知控制器电源规格功耗• Aruba MMC-3200：最大 35 瓦• Aruba MMC-3400：最大 45 瓦• Aruba MMC-3600：最大 60 瓦电源规格（交流输入要求）Aruba MMC-3200：• 交流输入电压：90-264 伏左右，通用输入• 交流输入电流：1.5 安培• 交流输入频率：47-63 赫兹Aruba MMC-3400/Aruba MMC-3600：• 交流输入电压：90-264 伏左右，通用输入• 交流输入电流：2.2 安培• 交流输入频率：47-63 赫兹工作规格和尺寸工作温度范围：0° - 40° C储存温度范围：10° - 70° C非冷凝湿度：5 - 95%高度：1.75 英寸（44 毫米）宽度：13.8 英寸（351 毫米）深度：11.7 英寸（297 毫米）重量Aruba MMC-3200：7.1 磅/3.2 公斤（不含包装箱）Aruba MMC-3400/MMC-3600：7.4 磅/3.4 公斤（不含包装箱）标准和安全合规性FCC part 15 Class A CEIndustry Canada Class AVCCI Class A（日本）EN 55022 Class A (CISPR 22 Class A)、EN 61000-3、EN 61000-4-2、EN 61000-4-3、EN 61000-4-4、EN 61000-4-5、EN 61000-4- 6、EN 61000-4-8、EN 61000-4-11、EN 55024、AS/NZS 3548UL 60950、EN60950CAN/CSA 22.2 #60950CE mark、cTUVus、GS、CB、C-tick、Anatel、NOM、MIC、IQC1322 Crossman Avenue.Sunnyvale, CA 94089 | 电话：+1 408.227.4500 | 传真：+1 408.227.4550©2007 Aruba Networks, Inc. 保留所有权利。

合集下载

Aruba配置手册大全

Aruba配置手册大全

第二卷安装Aruba移动边缘系统第2章部署基本移动边缘系统这章主要介绍如何将Aruba移动控制器和Aruba AP接入你的有线网络。

看完这章的介绍以后，你就可以配置AP,同样的介绍在第3卷里。

这章主要介绍了以下几部分：⏹“配置的介绍” 第48页⏹“配置Aruba移动控制器” 第52页⏹“部署APs” 第57页⏹“附加的配置” 第61页配置的介绍这个部分介绍了典型的部署情况和任务，你必须把Aruba移动控制器和Aruba AP接入到你的有线网络。

部署环境一：路由器是控制器和客户端的默认网关在这个部署环境中，Aruba AP和移动控制器连接在相同的子网上，并且使用被指定的子网IP地址。

在AP与控制器中间没有路由器。

AP能够被物理的连接到控制器上。

控制器上的上行端口被连接到2层交换机或者路由器上。

你必须完成下列任务：1. 进行初始化设置●设置VLAN 1的IP地址●设置默认网关的IP地址，将控制器连接到上行的路由器2. 把移动控制器上的上行端口连接到交换机或者路由器的端口上，默认的，控制器上的所有端口都是Access端口并且所有端口都属于同一个VLAN3. 部署AP。

所有的AP会使用Aruba Discovery Protocol（ADP）协议来发现移动控制器。

为所有用户指定VLAN并且配置VLAN 1的SSID。

部署环境二：对于所有客户端来说移动控制器是默认网关在这个部署环境中，Aruba移动控制器和AP在不同的子网中，而且AP在多个子网中。

移动控制器将作为无线网络的一个路由器（移动控制器作为无线客户端的默认网关）。

控制器上的上行端口被连接到2层交换机或路由器上；这是一个属于VLAN 1的Access 端口。

你必须完成下列任务：1. 进行初始化设置●设置VLAN 1的IP地址●设置默认网关的IP地址，将控制器连接到上行的路由器2. 把移动控制器上的接口连接到交换机或者路由器的接口上3. 部署AP。

所有的AP会使用DNS或DHCP来发现移动控制器。

Aruba 3600

Aruba 3600

Aruba 3600移动控制器Aruba3600移动控制器最大可支持AP 128个。

Aruba3600控制器设计用于中/大型企业. Aruba3600控制器可以在不改变现有有线网络的状况下快速、便捷的进行无线部署. 高级voice-over-WLAN 特性利用Call Admission Control (CAC), voice-aware RF管理和严格的基于无线的QOS 赋予Aruba3600控制器实现移动VOIP的能力. Aruba3600控制器可通过ArubaOS系统或者Aruba移动管理系统进行管理。

并且Aruba3600控制器可以部署以用户为中心的安全网关用于对有线以及无线用户的认证，增强的基于用户的访问控制策略可以从网络中隔离不安全的终端。

Aruba3600控制器可以在无需额外VPN/防火墙等设备的状况下使用完整的Site-to-Site VPN和NAT以及隧道拆分和状态防火墙等的功能。

Site-to-Site VPN的支持可以使控制器与所有主流的VPN集中器无缝的整合到企业现有的VPN 中。

性能和容量●最大支持AP数量：128●Remote AP最大支持数量：512●最大PEF用户数量：2048●最大MAC地址数：64,000●VLAN IP interfaces：128●千兆以太网接口(RJ-45 or SFP)：4●防火墙会话数：128,000●IPsec最大并发数：2048●防火墙吞吐量：4 Gbps●加密吞吐量(3DES)：8 Gbps容错性●VRRP用于交换机故障切换：是●多个级联端口以实现冗余：是（可使用任一交换机端口）802.11 传送、认证和加密●802.11 通信标准a，b & g●802.1x 是●加密类型：WEP、动态 WEP、TKIP、WPA、WPA-2、802.11i、DES、3DES、AES-CCMP、AES-CBC、EAP、PEAP、TLS、TTLS、LEAP、EAP-FAST、xSec-L2 AES●MAC 地址认证是●可升级到新的加密机制是●Wi-Fi 认证是射频管理和控制●适合无线电资源管理 (ARM) 是●语音感知扫描是●多 ESSID 每接入点最多 16● 3 维射频站点视图是●自动接入点校准分布式和集中式●在失败的接入点旁进行自恢复是●负载平衡 — 用户数目是●负载平衡 — 基于利用情况是●覆盖盲区和干扰检测是●无线 RMON/分组捕捉是●第三方分析工具插件Ethereal，Airopeek●基于定时器的接入点接入控制是移动性●快速漫游2–3 米秒（交换机间） 10–15 米秒（交换机内）●内部子网漫游是●移动 IP 支持是●代理移动 IP 是●代理 DHCP 是●每个用户或每个角色分配防火墙策略、带宽合同、会话优先级、VLAN 分配●角色来源：认证、ESSID、加密、OUI服务质量●带宽合同：是●应用识别流量分类和优先级：是●802.1p：是●DiffServ 控制协议支持（DSCP 标记）是VoIP 支持●SCP、SIP、Skinny、Vocera认证服务●本地 RADIUS 是●第三方 AAA 服务器互用性Microsoft Active Directory、Microsoft IAS Radius Server、Cisco ACS Radius Server、Funk Steel Belted Radius Server、RSA ACEserver、Infoblox、Interlink Radius Server●高级 AAA 服务：射频C3576、Auth. Server per SSID、●Auth Server per FQDN●RADIUS 服务器接口安全的 NAS IPsec DES/3DES●LDAP/SSL 安全 LDAP 是网络和系统管理●网站用户界面：是●管理方式：命令行、控制台、telnet、SSH●系统日志：是●SNMP v2c ：是●Aruba专用MIB：是●MIB-II：是●本地Wi-Fi交换机的集中配置：128●Wi-Fi交换机和所有接入点的图像更新：是●IEEE 802.1x●IEEE 802.3 10BASE-T●IEEE 802.3u 100BASE-T●IEEE 802.1Q●IEEE 802.3af●IEEE 802.11a/b/g IEEE 802.11d ●IEEE 802.11i●FIPS DES/3DES/AES CBC-CCM●FIPS 140-2 Level 2。

Aruba_AP70简介(中文版)

Aruba_AP70简介(中文版)


___________________________________________ 物理尺寸 (H/W/D)
• 天线收回： 167 x 190 x 30mm（6.57 x 7.48 x 1.18 英寸） • 天线展开： 293 x 190 x 30mm（11.54 x 7.48 x 1.18 英寸） • 重___________________________ 电磁兼容性
• FCC Part 15 Class B • FCC Part 15 Class C 15.207/15.247 • FCC Part 15 Class E 15.407 • ICES-003 Class A • RSS 210 (CAN) • VCCI Class A • EN 61000-3、EN 61000-4-2、EN 61000-4-3、EN 61000-4-4 • EN 61000-4-5、EN 61000-4-6、EN 61000-4-8、EN 61000-4-11 • 73/23/EEC 和 89/336/EEC • EN 55022、EN55024 (89/336/EEC) • ETS 300 328 (89/336/EEC)、ETS 301 489 (89/336/EEC) • ETS 301 893 • AS/NZS 3548 Class A • 射频S 29 (NZ)
• 温度 。 ~ 操作： 0 到 50 C（32 到 122 。 ~ 存储： 0 到 70 C（32 到 158 • 湿度 5% 到 95%（非冷凝） 。 F） 。 F）
___________________________________________ 天线
Aruba 提供适合与 Aruba 70 配套使用的各种可拆卸天线类型。有 关详细信息，请与当地的销售代表联系。
Aruba控制器操作配置模版中文

Aruba控制器操作配置模版中文

1.Mgmt用户设置设置mgmt用户ssh登录的方式：是证书还是用户名与密码ssh mgmt-auth [public-key ｜username/password]mgmt-user ssh-pubkey client-cert <certificate> <username> <role>mgmt用户验证使用外部认证服务器:aaa authentication-server radius rad1host <ipaddr>key――――aaa server-group corp_radauth-server rad1-------------------------aaa authentication mgmtdefault-role rootenableserver-group corp_rad禁用本地认证数据库mgmt-user localauth-disable设置用户超时退出loginsession timeout <value> //CLI下web-server sessiontimeout <session-timeout> //webUI下1.1配置mgmt的tacacs认证The pre-defined roles for the controllers are:1.root - super user role2.guest-provisioning - guest provisioning rolework-operations - Network operator role4.read-only - Read only role5.location-api-mgmt - Location API Management Roleaaa authentication-server tacacs TACACS-SERVERhost TACACS_SERVER_IPkey PRESHARE_KEYsession-authorization!aaa server-group TACACS-SERVER-GRPauth-server TACACS-SERVER!aaa tacacs-accounting server-group TACACS-SERVER-GRP mode enable command[all|action|configuration|show]aaa authentication mgmtserver-group TACACS-SERVER-GRPenable!2.系统默认的角色与策略：默认的策略：ip access-list session control，validuser，allowall，icmp-acl, logon-control, captiveportal,tftp-acl, https-acl, http-acl, dhcp-acl, ap-acl,默认的角色：user-role ap-role， voice, guest-logon(portal认证), guest, authenticated，logon――――――――――――――――――――――――――――――――――――3.本地数据库操作local-userdb export <filename>local-userdb import <filename>local-userdb add {generate-username|username <name>} {generate-password|password <password>}――――――――――――――――――――――――――――――――――――――――4.配置DHCP服务：ip dhcp pool user-pooldefault-router 192.168.100.1dns-server 192.168.100.1network 192.168.100.0 255.255.255.0!service dhcpip dhcp excluded-address 192.168.100.1 192.168.100.10 ――――――――――――――――――――――――――――――――――――5.配置带宽：aaa bandwidth-contract BC512_up kbps 512user-role web-guestbw-contract BC512_up per-user upstream ―――――――――――――――――――――――――――――――――――――6.策略：限制访问内网netdestination “Internal Network”network 10.0.0.0 255.0.0.0network 172.16.0.0 255.255.0.0network 192.168.0.0 255.255.0.0ip access-list session block-internal-accessuser alias “Internal Network” any deny ―――――――――――――――――――――――――――――――――――――7.配置portal认证：外置portal时：netdestination portal-serverhost 10.50.22.221ip access-list session abc-portal-acluser alias portral-server svc-http permitaaa authentication captive-portal c-portaldefault-role employeeserver-group cp-srvlogin-page http://192.168.100.10/test.phpuser-role logoncaptive-portal c-portalsession-acl abc-portal-aclaaa profile aaa_c-portalinitial-role logonwlan ssid-profile ssid_c-portalessid c-portal-apwlan virtual-ap vp_c-portalaaa-profile aaa_c-portalssid-profile ssid_c-portalvlan 20portal下增加白名单：(host)(config)# netdestination "Mywhite-list"(host)(config)#name (host)(config)#name (host) (config) #aaa authentication captive-portal default(host)(Captive Portal Authentication Profile "default")#white-list Mywhite-list注意：如果在一台控制器配置多个captiveportal的Virtaul AP时，每个captiveportal必须分别配置不同的initial role和user role、cp profile、AAA profile与ssid profile;8.配置Air time fair(Aruba651) (Traffic management profile "test") #shaping-policy fair-access (Aruba651) (Traffic management profile "test") #exit(Aruba651) (config)ap-group demo-group(Aruba651) (AP group " demo-group") #dot11g-traffic-mgmt-profile test(Aruba651) (AP group "demo-group") #9.配置LACP:LACP默认不生效每台设备最多创建8个组（0-7），每个组最多允许8个端口加入,所有端口的属性要相同；1、Enable LACP and configure the per-port specific LACP. The group number range is 0 to 7.lacp group <group_number> mode {active | passive}? Active mode—the interface is in active negotiating state. LACP runs on any link that is configured to be in the active state. The port in an active mode also automatically initiates negotiations with otherports by initiating LACP packets.? Passive mode—the interface is not in an active negotiating state. LACP runs onany link that is configured in a passive state. The port in a passive mode responds to negotiations requests from other ports that are in an active state. Ports in passive state respond to LACP packets.注意：passive模式的端口不能与另一个passive 模式的端口建立起来；2. Set the timeout for the LACP session. The timeout value is the amount of time thata port-channelinterface waits for a LACPDU from the remote system before terminating the LACP session. The defaulttime out value is long (90 seconds); short is 3 seconds,默认为longlacp timeout {long | short}3. Set the port priority.lacp port-priority <priority_value>The higher the priority value the lower the priority. Range is 1 to 65535 and default is 255.4.加入端口中interface fastethernet 1/1lacp timeout shortlacp group 0 mode active―――――――――――――――――――――――――――――――――――――――――10.配置RAP（remote ap）在控制器上配置VPN、AP通过认证后的地址池，及isakmp的共享密码；注意地址池为RAP的管理地址，如其他网管要直接ping通RAP，需要将此地址段配置静态路由；vpdn group l2tpppp authentication PAPip local pool <pool> <start-ipaddr> <end-ipaddr>crypto isakmp key <key> address 0.0.0.0 netmask 0.0.0.0在控制器上配置服务器组，RAP通过username/password方式接入，并在服务器上增加用户名与密码，此用户名/密码用于L2TP/PAP认证 (如果采用证书方式，此步可以省略)aaa server-group <group>auth-server <server>aaa authentication vpn default-rapdefault-role <role>server-group <group>local-userdb add username rapuser1 password <password>配置remote ap的VAP：wlan ssid-profile <profile>essid <name>opmode <method>wpa-passphrase <string> (if necessary)配置用户角色，用于dot1x-default-role(cli) #netdestination corp(cli) (config-dest) # network 10.3.10.0 255.255.255.0(cli) (config-dest) # !ip access-list session Remote_Enterprise_aclany any svc-dhcp permituser alias corp any permitalias corp user any permituser network 224.0.0.0 255.0.0.0 any permitalias coopr alias corp any permituser any any route src-nat(cli) # user-role corpsplit(cli) (config-role) # session-acl Remote_Enterprise_acl(cli) (config-role) # !配置aaa profile可用于split-tunnel时用户角色策略指定aaa profile <profile>authentication-dot1x <profile>dot1x-default-role <role>dot1x-server-group <group>(cli) # wlan virtual-ap split(cli) # vlan X <-- Clients get IP addr. from VLAN X(cli) # forward-mode split-tunnelaaa-profile <profile>rap-operation {always|backup|persistent}配置RAP的有线端口：ap wired-ap-profile Wired_Branch_ap_profilewired-ap-enableforward-mode split-tunnelswitchport access vlan 128!ap wired-port-profile Wired_Branch_port_profileaaa-profile Remote_Ent_aaa_profilewired-ap-profile Wired_Branch_ap_profile配置RAP做DHCP serverap system-profile APGroup1_sys_profilelms-ip 63.82.214.194rap-dhcp-server-vlan 177rap-dhcp-server-id 192.168.177.1rap-dhcp-default-router 192.168.177.1rap-dhcp-pool-start 192.168.177.100rap-dhcp-pool-end 192.168.177.254!ap-group <name>virtual-ap <name>在webUI界面对AP进行provision，从AC上获取IP，修改为remote模式，AP会重启11.配置MAC认证完整例子RADIUS Server Definition:服务器认证aaa authentication-server radius "amigopod"host "172.16.0.20"key f0e40f33109cd5f863a77327072720aaa4785eff2ca57800nas-identifier "Aruba651"nas-ip 172.16.0.254!aaa server-group "amigopod-srv"auth-server amigopod!aaa rfc-3576-server "172.16.0.20"key 10795ff19c00465dd0b0824e562103bee537be631e5bc876MAC Authentication Profile：MAC认证aaa authentication mac "amigopod-mac"case upperdelimiter dashAAA Profile：aaa profile "amigopod-aaa"authentication-mac "amigopod-mac"mac-default-role "authenticated"mac-server-group "amigopod-srv"radius-accounting "amigopod-srv"rfc-3576-server "172.16.0.20"Captive Portal Profile：aaa authentication captive-portal "amigopod-cp"server-group "amigopod-srv"redirect-pause 3no logout-popup-windowprotocol-httplogin-page "http://172.16.0.20/aruba_login.php"Netdestination Alias for Amigopod：netdestination amigopodhost 172.16.0.20Access Policy to allow redirect to Amigopod：允许的aclip access-list session allow-amigopoduser alias amigopod svc-http permituser alias amigopod svc-https permitInitial Role with Captive Portal enabled:配置initial角色user-role logoncaptive-portal "amigopod-cp"access-list session logon-controlaccess-list session allow-amigopodaccess-list session captiveportalPost Authentication Role for MAC Authentication：配置MAC认证角色user-role MAC-Guestaccess-list session allowallSSID Profile:wlan ssid-profile "MAC-Auth-CP"essid "amigo-MAC-CP"Virtual AP:wlan virtual-ap "MAC-Auth-CP"aaa-profile "amigopod-aaa"ssid-profile "MAC-Auth-CP"12.配置LDAP认证服务器Portal认证aaa authentication-server ldap "aruba-ldap"host 10.1.1.50admin-dn "cn=ldapquery2, cn=Users, dc=arubanetworks, dc=com" admin-passwd "Zaq1xsw2"base-dn "ou=Corp, dc=arubanetworks, dc=com"!aaa server-group "aruba-ldap"auth-server aruba-ldapset role condition memberOf contains "dl-seonly" set-value root !如果将ldap认证应用于无线用户802.1x，必须使用eap-gtc方式aaa authentication dot1x "dot1x_prof-yxy03"termination enabletermination eap-type eap-peaptermination inner-eap-type eap-gtc！aaa authentication mgmt //应用在管理用户default-role "no-access"server-group "aruba-ldap"enable!注意：使用802.1x认证时不能用LDAP认证服务器；但portal认证时可以；13.有线端口NAT!ip NAT pool Dell-AirWave 63.80.98.56 63.80.98.56 172.16.0.246ip NAT pool SE-WebServer 63.80.98.59 63.80.98.59 172.16.0.16ip NAT pool PDL-eTips 63.80.98.61 63.80.98.61 172.16.0.15ip NAT pool PDL-Clearpass 63.80.98.60 63.80.98.60 172.16.0.13ip NAT pool PDL-AirWave 63.80.98.49 63.80.98.49 172.16.0.252!netdestination PDL-Airwave-Livehost 63.80.98.49!netdestination IPCommshost 64.154.41.150!netdestination SE-WebServerhost 63.80.98.59!netdestination Live-IPhost 63.80.98.41!netdestination PDL-eTipshost 63.80.98.61!netdestination Dell-Airwave-Livehost 63.80.98.56!netdestination PDL-ClearPasshost 63.80.98.60!ip access-list session OUTSIDE-POLICYalias IPComms alias Live-IP udp 4569 dst-nat ip 172.16.0.11 4569 classify-media queue highalias IPComms alias Live-IP udp 5060 dst-nat ip 172.16.0.11 5060 classify-media queue highalias IPComms alias Live-IP udp 5061 dst-nat ip 172.16.0.11 5061 classify-media queue highalias IPComms alias Live-IP udp 5062 dst-nat ip 172.16.0.11 5062 classify-media queue highany alias Live-IP tcp 4343 permitany alias Live-IP udp 4500 permitany alias Live-IP svc-ssh permitany alias Live-IP svc-http permitany alias Live-IP svc-https permitany alias Live-IP udp 500 permitany alias Live-IP svc-icmp permitany alias Live-IP tcp 4345 dst-nat ip 172.16.0.242 443any alias Live-IP tcp 4346 dst-nat ip 172.16.0.242 22any alias Dell-Airwave-Live svc-https dst-nat ip 172.16.0.246 443any alias Dell-Airwave-Live svc-http dst-nat ip 172.16.0.246 80any alias PDL-Airwave-Live svc-https dst-nat ip 172.16.0.252 443any alias PDL-Airwave-Live svc-http dst-nat ip 172.16.0.252 80any alias SE-WebServer svc-http dst-nat ip 172.16.0.16 80any alias SE-WebServer svc-https dst-nat ip 172.16.0.16 443any alias SE-WebServer svc-ssh dst-nat ip 172.16.0.16 22any alias SE-WebServer udp 5900 dst-nat ip 172.16.0.16 5900any alias PDL-eTips svc-http dst-nat ip 172.16.0.15 80any alias PDL-eTips svc-https dst-nat ip 172.16.0.15 443any alias PDL-ClearPass svc-https dst-nat ip 172.16.0.13 443any alias PDL-ClearPass svc-http dst-nat ip 172.16.0.13 80!interface fastethernet 2/0description "OUTSIDE-INTERNET"trustedip access-group OUTSIDE-POLICY sessionswitchport access vlan 10!14.用户通过有线端口portal认证，不同的IP用户可以分别认证，所有有线口共用一个认证方式aaa profile "cppm"initial-role "cp-guest"radius-accounting "amigopod-sg"radius-interim-accountingrfc-3576-server "222.190.16.186" //amigopod地址aaa authentication wired //有线端口启用认证profile "cppm"interface gigabitethernet 1/6 //有张端口untrusted vlan 1000description "connect_to_H3C"trusted vlan 1-999,1001-4094switchport access vlan 1000针对某一vlan启用portal认证vlan 20 wired aaa-profile cppm15.配置AP以太口对于有两个以太口的AP，如125与135系列，除了一个以太口用于AC互连外，另外一个以太口可以连接终端或串联AP；（1）连接终端时：创建wired-ap profileap wired-ap-profile "cppm"wired-ap-enableswitchport access vlan 11trusted创建wired-port profileap wired-port-profile "cppm"wired-ap-profile "cppm"将profile加入到group中ap-group "test"enet1-port-profile "cppm"注意：如果端口为untrusted，需要在wired-port profile中加入aaa profile16.配置VIA(host) (config)# license add <key>(1)Create VIA roles(host) (config) #user-role example-via-role(host) (config-role) #access-list session "allowall" position 1(host) (config-role) #ipv6 session-acl "v6-allowall" position 2(2)Create VIA authentication profiles(host) (config) #aaa server-group "via-server-group"(host) (Server Group "via-server-group") #auth-server "Internal" position 1 (host) (config) #aaa authentication via auth-profile default(host) (VIA Authentication Profile "default") #default-role example-via-role(host) (VIA Authentication Profile "default") #desc "Default VIAAuthenticationProfile"(host) (VIA Authentication Profile "default") #server-group "via-server-group"(3)Create VIA connection profiles(host) (config) #aaa authentication via connection-profile "via"(host) (VIA Connection Profile "via") #server addr 202.100.10.100 internal-ip10.11.12.13 desc "VIA Primary Controller" position 0(host) (VIA Connection Profile "via") #auth-profile "default" position 0(host) (VIA Connection Profile "via") #tunnel address 10.0.0.0 netmask255.255.255.0(host) (VIA Connection Profile "via") #split-tunneling(host) (VIA Connection Profile "via") #windows-credentials //使用windows 的帐号登录(host) (VIA Connection Profile "via") #client-netmask 255.255.255.255 (host) (VIA Connection Profile "via") #no ikev2-proto //local数据库不支持ikeV2(host) (VIA Connection Profile "via") #dns-suffix-list (host) (VIA Connection Profile "via") #support-email via-support@(host) (VIA Connection Profile "via") #client-wlan-profile"via_corporate_wpa2"position 0(4)Configure VIA web authentication(host) (config) #aaa authentication via web-auth default(host) (VIA Web Authentication "default") #auth-profile default position 0(5)Associate VIA connection profile to user role(host) (config) #user-role "example-via-role"(host) (config-role) #via "via"You can have only one profile (default) for VIA web authentication.(6)Configure VIA client WLAN profiles(host) (config) #wlan ssid-profile "via_corporate_wpa2"(host) (SSID Profile "via_corporate_wpa2") #essid corporate_wpa2(host) (SSID Profile "via_corporate_wpa2") #opmode wpa2-aes(host) (SSID Profile "via_corporate_wpa2") #wlan client-wlan-profile"via_corporate_wpa2"(host) (VIA Client WLAN Profile "via_corporate_wpa2") #ssid-profile"via_corporate_ssid"(7)crypto isakmp key 123456 address 0.0.0.0 netmask 0.0.0.0(8)。