H3C网络认证进阶：iMC联动配置无线802.1X认证全攻略

我们之前以MSR810-W为例，介绍了如何配置无线Portal认证（）和有线Portal认证（）；又将其作为AC设备，结合两台WA5530搭建了WLAN网络（），并介绍了如何配置本地无线802.1X认证（）。

你是否也曾遭遇过AC设备因频繁认证导致CPU飙升至100%的窘境？一般情况下，如果设备本身既要负责业务转发，还要进行用户认证，性能可能会稍有不足；尤其是当认证需求量比较大或出现突发流量时，设备性能势必会大打折扣。

所以，在一些规模稍大一些的使用场景中，我们就需要使用专业的认证服务器来解决这个问题，比如我们前面部署的iMC EIA组件（）。本文将手把手教你如何通过专业的iMC认证服务器来彻底解决此问题，并实现更稳定安全的802.1X无线认证。如果大家也想尝试部署，iMC平台PLAT在Windows系统的安装可以参考（），在Linux系统的安装可以参考（）。本例中，iMC平台版本为E0710，EIA组件版本为E0633，iNode客户端版本为E0648。

其实，iMC在这里最简单的用法就是配置一个接入用户就可以了，AC设备将接入用户的认证请求转发到iMC来进行用户认证，用户只有认证通过后才能访问网络资源。

我们首先增加接入设备，单击【资源】下的【增加设备】，将用于无线认证的MSR810-W添加进来。

在增加设备时，主要需要设备的IP地址、SNMP参数和远程登录方式（Telnet或SSH）等参数。

对应的，我们需要在设备上配置好相关参数，参考如下：

#snmp-agent snmp-agent community read simple public snmp-agent sys-info version all#local-user imc class manage password simple iMC@h3c service-type telnet authorization-attribute user-role network-admin

添加设备之后，我们可以查看设备详细信息。

接下来，我们就可以把这台设备作为接入认证的接入设备添加进来。注意，从此处开始，剩余相关iMC的页面配置都是在【用户】页签下面进行。

单击导航树中的【接入策略管理】下面的【接入设备管理】页面，单击【接入设备配置】，进入接入设备配置页面。

单击【增加】按钮。

单击设备列表处的【选择】按钮，我们选择刚才添加的已经被系统管理的MSR810-W设备作为接入设备，单击【确定】完成选择。

回到【增加接入设备】页面，输入共享密钥、认证端口等参数，单击【确定】完成添加。

对应的，我们需要在接入设备上创建与iMC侧相对应的RADIUS策略，指定主认证RADIUS服务器及其共享密钥，配置认证用户的用户名格式为不携带域名，将nas-ip配置为iMC中使用的设备IP地址。

#radius scheme imc63 primary authentication 192.168.1.63 key authentication simple iMC123 user-name-format without-domain nas-ip 192.168.1.81

iMC的默认接入策略是拒绝，我们要新建一个允许的接入策略。配置入口在【接入策略管理】下面的【接入策略管理】，单击【增加】。

如果没有特殊需要，只需要填写接入策略名，其他配置保持默认即可，单击【确定】完成添加。

查看增加的接入策略。

然后进入到【接入策略管理】下面的【接入服务管理】，单击【增加】，新增一个接入服务来调用刚才新建的接入策略。

配置服务名，缺省接入策略选择到刚刚新建的msr1x，其它参数保持默认，单击【确定】完成添加。

然后，我们就可以配置用于802.1X认证的账号了。进入【接入用户管理】下面的【接入用户】，单击【增加】。

配置账户的用户姓名、证件号码、账号名和密码等信息。特别提醒：记得勾选上我们刚刚创建的接入服务，单击【确定】完成增加。

至此，iMC侧的配置就完成了。我们接下来继续配置接入设备MSR810-W，首先检查接入设备和iMC之间的可达性。

其实，只需要创建名为dot1x的ISP域，配置使用RADIUS策略imc63，再应用到射频接口下面就可以了。

#domain dot1x authentication lan-access radius-scheme imc63 authorization lan-access radius-scheme imc63#wlan service-template dot1x ssid dot1x client-security authentication-mode dot1x dot1x domain dot1x service-template enable#wlan ap AP2 model WA5530 radio 1  service-template dot1x