Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

强制门户身份验证

您可以使用几种不同的身份验证方法，通过交换机控制对网络的访问。Junos OS 交换机支持 802.1X、MAC RADIUS 和强制门户身份验证。您可以在交换机上设置强制门户身份验证，以便将 Web 浏览器请求重定向到要求用户输入用户名和密码的登录页面。

示例：在 EX 系列交换机上设置强制门户身份验证

您可以在交换机上设置强制门户身份验证（以下简称强制门户），以便将 Web 浏览器请求重定向到要求用户输入用户名和密码的登录页面。身份验证成功后，允许用户继续执行原始页面请求和随后对网络的访问。

此示例介绍如何在 EX 系列交换机上设置强制门户：

要求

此示例使用以下硬件和软件组件：

  • 支持强制强制门户的 EX 系列交换机

  • 适用于 EX 系列交换机的 Junos OS 10.1 或更高版本

开始之前，确保您具备以下条件：

概述和拓扑

此示例显示了在交换机上在某个接口上启用强制门户所需的配置。要允许连接到强制门户接口的打印机在不通过强制门户的情况下访问 LAN，请将其 MAC 地址添加到身份验证允许列表。允许在没有强制门户的情况下访问此列表中的 MAC 地址。

拓扑结构

此示例的拓扑由连接到 RADIUS 身份验证服务器的一台 EX 系列交换机组成。交换机上有一个接口配置为强制门户。在此示例中，接口配置为多请求方模式。

配置

要在交换机上配置强制门户，请执行以下操作：

CLI 快速配置

要在完成 Requirements 部分中的任务后在交换机上快速配置强制门户，请复制以下命令并将其粘贴到交换机终端窗口中：

过程

分步程序

要在交换机上配置强制门户，请执行以下操作：

  1. 定义服务器 IP 地址、服务器身份验证端口号并配置密钥密码。交换机上的密钥密码必须与服务器上的密钥密码匹配：

  2. 配置身份验证顺序，使 radius 第一种身份验证方法：

  3. 配置要尝试的服务器 IP 地址以对请求方进行身份验证：

  4. 在交换机上启用 HTTP 访问：

  5. 要创建用于交换机 Web 访问的安全通道，请为 HTTPS 配置强制门户：

    注意：

    您可以在不启用 HTTPS 的情况下启用 HTTP，但出于安全考虑，我们建议使用 HTTPS。

    分步程序

    1. 将安全证书与 Web 服务器相关联，并在交换机上启用 HTTPS 访问：

    2. 将强制门户配置为使用 HTTPS：

  6. 为强制门户启用接口：

  7. 指定要用于强制门户身份验证的访问配置文件的名称：

  8. （选答）允许特定客户端绕过强制门户：

    注意：

    如果客户端已连接到交换机，则必须在将其 MAC 地址添加到允许列表后，使用命令 clear captive-portal mac-address mac-address 从强制门户身份验证中清除其 MAC 地址。否则，将不会将 MAC 地址的新条目添加到以太网交换表中，并且不允许绕过身份验证。
    注意：

    或者，您可以使用来 set ethernet-switching-options authentication-whitelist 00:10:12:e0:28:22 interface ge-0/0/10.0 将范围限制为接口。

  9. （选答）要将客户端重定向到指定的页面，而不是他们最初请求的页面，请配置身份验证后 URL：

结果

显示配置结果：

验证

要确认强制门户已配置并正常工作，请执行以下任务：

验证接口上是否已启用强制门户

目的

验证是否在接口 ge-0/0/10 上配置了强制门户。

行动

使用操作模式命令 show captive-portal interface interface-name detail：

意义

输出确认接口 ge-0/0/10 上配置了强制门户，默认设置为重试次数、静默期、CP 会话超时和服务器超时。

验证强制门户是否正常工作

目的

验证强制门户是否在交换机上正常工作。

行动

将客户端连接到接口 ge-0/0/10。从客户端打开 Web 浏览器并请求网页。应显示您设计的强制门户登录页面。输入登录信息并针对 RADIUS 服务器进行身份验证后，Web 浏览器应显示您请求的页面或您配置的身份验证后 URL。

故障排除

要对强制门户进行故障排除，请执行以下任务：

强制门户故障排除

问题

当连接到交换机上的强制门户界面的用户请求网页时，交换机不会返回强制门户登录页面。

解决方案

您可以检查 ARP、DHCP、HTTPS 和 DNS 计数器。如果其中一个或多个计数器没有递增，则可以指示问题出在哪里。例如，如果客户端无法获取 IP 地址，请检查交换机接口以确定 DHCP 计数器是否在递增 — 如果计数器递增，则交换机收到了 DHCP 数据包。

配置强制门户身份验证（CLI 过程）

在EX 系列交换机上配置强制门户身份验证（以下简称 强制门户），以便在允许访问网络之前对连接到交换机的用户进行身份验证。当用户请求网页时，将显示一个登录页面，要求用户输入用户名和密码。身份验证成功后，允许用户继续执行原始页面请求和随后对网络的访问。

开始之前，确保您具备以下条件：

本主题包含以下任务：

为强制门户配置安全访问

要为强制门户配置安全访问：

  1. 在交换机上启用 HTTP 访问：
  2. 将安全证书与 Web 服务器相关联，并在交换机上启用 HTTPS 访问：
    注意：

    您可以启用不带 HTTPS 的 HTTP，但出于安全考虑，我们建议使用 HTTPS。

  3. 将强制门户配置为使用 HTTPS：

为强制门户启用接口

要为强制门户启用接口：

例如，要在接口 ge-0/0/10 上启用强制门户：

配置绕过强制门户身份验证

要允许特定客户端绕过强制门户：

例如，要允许特定客户端绕过强制门户：

注意：

或者，您可以使用来 set ethernet-switching-options authentication-whitelist 00:10:12:e0:28:22 interface ge-0/0/10.0 将范围限制为接口。
注意：

如果客户端已连接到交换机，则必须在将其 MAC 地址添加到允许列表后，使用命令 clear captive-portal mac-address mac-address 从强制门户身份验证中清除其 MAC 地址。否则，将不会将 MAC 地址的新条目添加到以太网交换表中，并且不允许绕过身份验证。

在交换机上设计强制门户身份验证登录页面

您可以在交换机上设置强制门户身份验证，以便将所有 Web 浏览器请求重定向到登录页面，该页面要求用户在允许访问之前输入用户名和密码。身份验证成功后，允许用户访问网络并重定向到请求的原始页面。

Junos OS为强制门户窗口提供了一个可自定义的模板，使您可以轻松设计和修改强制门户登录页面的外观。您可以修改模板的设计元素，以更改强制门户登录页面的外观，并向页面添加说明或信息。您还可以修改强制门户登录页面的任何设计元素。

强制登录页面之前显示的第一个屏幕要求用户阅读使用条款和条件。通过单击“同意”按钮，用户可以访问强制门户登录页面。

图 1 显示了强制门户登录页面的示例：

图 1：强制门户登录页面 Example of a Captive Portal Login Page示例

表 1 汇总了强制门户登录页面的可配置元素。

表 1：强制门户登录页面的可配置元素
元素 CLI 声明 描述

页脚背景颜色

页脚-bg颜色 hex-color

用于强制门户登录页面页脚背景颜色的 HTML 十六进制代码。

页脚消息

页面底部消息 text-string

强制门户登录页面页脚中显示的文本。您可以添加版权信息、链接和其他信息，例如帮助说明、法律声明或隐私政策

页脚中显示的默认文本为 版权所有 @2010， Juniper Networks Inc.

页脚文本颜色

footer- 文本颜色 color

页脚中文本的颜色。默认颜色为白色。

表单标题背景颜色

表单标头-bg颜色 hex-color

用于强制门户登录页面表单区域顶部标题栏背景颜色的 HTML 十六进制代码。

表单标题消息

表单标题-消息 text-string

强制门户登录页面标题中显示的文本。默认文本为强制 门户用户身份验证 。

表单标题文本颜色

表单标题- 文本- 颜色 color

表单标题中文本的颜色。默认颜色为黑色。

表单重置按钮标签

表单重置标签 label-name

使用 “重置” 按钮，用户可以清除表单上的用户名和密码字段。

表单提交按钮标签

表单-提交-标签 label-name

使用 登录 按钮，用户可以提交登录信息。

标题背景颜色

标头-bg颜色 hex-color

用于强制门户登录页面标头背景颜色的 HTML 十六进制代码。

Header 徽标

标题徽标 filename

包含要显示在强制门户登录页面标题中的徽标图像的文件名。图像文件可以是 GIF、JPEG 或 PNG 格式。

您可以将徽标图像文件上传到交换机。将徽标复制到交换机上的 /var/tmp 目录中（在提交期间，文件将保存到永久位置）。

如果未指定徽标图像，则会显示瞻博网络徽标。

标题消息

标头消息 text-string

页眉中显示的文本。默认文本为 用户身份验证。

标题文本颜色

header-text- 颜色color

标题中文本的颜色。默认颜色为白色。

身份验证后 URL

身份验证后 URL url

用户在成功身份验证时被定向到 URL。默认情况下，用户将被定向到他们最初请求的页面。

要设计强制门户登录页面，请执行以下操作：

  1. （可选）将徽标图像文件上传到交换机：
  2. 配置自定义选项以指定强制门户页面中显示的背景颜色和文本：

现在可以提交配置了。

注意：

对于未指定的自定义选项，将使用默认值。

也可以看看

在支持 ELS 的 EX 系列交换机上配置强制门户身份验证（CLI 过程）

注意：

此任务可将 Junos OS 用于支持增强型第 2 层软件 （ELS） 配置样式的交换机。如果交换机运行的软件不支持 ELS，请参阅 配置强制门户身份验证（CLI 过程）。有关 ELS 的详细信息，请参阅 使用增强型第 2 层软件 CLI。

在交换机上配置强制门户身份验证（以下简称强制门户），以便在允许访问网络之前对连接到交换机的用户进行身份验证。当用户请求网页时，将显示一个登录页面，要求用户输入用户名和密码。身份验证成功后，允许用户继续执行原始页面请求和随后对网络的访问。

开始之前，确保您具备以下条件：

本主题包含以下任务：

为强制门户配置安全访问

要为强制门户配置安全访问：

  1. 将安全证书与 Web 服务器相关联，并在交换机上启用 HTTPS：
    注意：

    您可以启用 HTTP 而不是 HTTPS，但出于安全考虑，我们建议使用 HTTPS。

  2. 将强制门户配置为使用 HTTPS：

为强制门户启用接口

要启用用于强制门户身份验证的接口，请执行以下操作：

配置绕过强制门户身份验证

您可以允许特定客户端绕过强制门户身份验证：

注意：

或者，您可以使用来 set switch-options authentication-whitelist mac-address interface interface-name 将范围限制为接口。
注意：

如果客户端已连接到交换机，则必须在将其 MAC 地址添加到允许列表后，使用命令 clear captive-portal mac-address session-mac-addr 从强制门户身份验证中清除其 MAC 地址。否则，不会将 MAC 地址的新条目添加到以太网交换表中，并且不允许绕过身份验证。

示例：在支持 ELS 的 EX 系列交换机上设置强制门户身份验证

注意：

此示例将 Junos OS 用于支持增强型第 2 层软件 （ELS） 配置样式的 EX 系列交换机。如果交换机运行的软件不支持 ELS，请参阅 示例：在 EX 系列交换机上设置强制门户身份验证。有关 ELS 的详细信息，请参阅 使用增强型第 2 层软件 CLI。

您可以在交换机上设置强制门户身份验证（以下简称强制门户），以便将 Web 浏览器请求重定向到要求用户输入用户名和密码的登录页面。身份验证成功后，允许用户继续执行原始页面请求和随后对网络的访问。

此示例介绍如何在 EX 系列交换机上设置强制门户：

要求

此示例使用以下软件和硬件组件：

  • 适用于 EX 系列交换机的 Junos OS 13.2X50 或更高版本

  • 支持 ELS 的 EX 系列交换机

开始之前，确保您具备以下条件：

概述和拓扑

此示例显示了在交换机上在某个接口上启用强制门户所需的配置。要允许连接到强制门户接口的打印机访问 LAN，请将其 MAC 地址添加到身份验证允许列表，并将其分配给 VLAN vlan1。允许在此列表中的 MAC 地址在接口上进行访问，而无需强制门户身份验证。

拓扑结构

此示例的拓扑由连接到 RADIUS 身份验证服务器的一台 EX 系列交换机组成。交换机上有一个接口配置为强制门户。在此示例中，接口配置为多请求方模式。

配置

要在交换机上配置强制门户，请执行以下操作：

CLI 快速配置

要在完成 Requirements 部分中的任务后在交换机上快速配置强制门户，请复制以下命令并将其粘贴到交换机终端窗口中：

过程

分步程序

  1. 要创建用于交换机 Web 访问的安全通道，请为 HTTPS 配置强制门户：

    分步程序

    1. 将安全证书与 Web 服务器相关联，并在交换机上启用 HTTPS：

      注意：

      您可以启用 HTTP 而不是 HTTPS，但出于安全考虑，建议您启用 HTTPS。

    2. 将强制门户配置为使用 HTTPS：

  2. 为强制门户启用接口：

  3. （选答）允许特定客户端绕过强制门户身份验证：

    注意：

    如果客户端已连接到交换机，则必须在将其 MAC 地址添加到允许列表后，使用命令 clear captive-portal mac-address mac-address 从强制门户身份验证中清除其 MAC 地址。否则，将不会将 MAC 地址的新条目添加到以太网交换表中，并且不允许绕过身份验证。
    注意：

    或者，您可以使用来 set switch-options authentication-whitelist 00:10:12:e0:28:22 vlan-assignment vlan1 interface ge-0/0/10.0 将范围限制为接口。

  4. （选答）要将客户端重定向到指定的页面，而不是他们最初请求的页面，请配置身份验证后 URL：

结果

显示配置结果：

验证

要确认强制门户身份验证已配置且工作正常，请执行以下任务：

验证接口上是否已启用强制门户

目的

验证接口 ge-0/0/10 上是否配置了强制门户。

行动

使用操作模式命令 show captive-portal interface interface-name detail：

意义

输出确认接口上 ge-0/0/10已配置强制门户，并具有重试次数、静默期、CP 会话超时和服务器超时的默认设置。

验证强制门户是否正常工作

目的

验证强制门户是否在交换机上正常工作。

行动

将客户端连接到接口 ge-0/0/10。从客户端打开 Web 浏览器并请求网页。应显示您设计的强制门户登录页面。输入登录信息并针对 RADIUS 服务器进行身份验证后，Web 浏览器应显示您请求的页面或您配置的身份验证后 URL。

故障排除

要对强制门户进行故障排除，请执行以下任务：

强制门户故障排除

问题

当连接到交换机上的强制门户界面的用户请求网页时，交换机不会返回强制门户登录页面。

解决方案

您可以检查 ARP、DHCP、HTTPS 和 DNS 计数器。如果其中一个或多个计数器没有递增，则可以指示问题出在哪里。例如，如果客户端无法获取 IP 地址，则可以检查交换机接口以确定 DHCP 计数器是否在递增。如果计数器递增，则交换机收到了 DHCP 数据包。

相关文档