华为设备终端安全管理

1.配置基本IP地址和连通性
&＃xff08;1&＃xff09;配置LSW1
[LSW1]vlan batch 12 to 14
[LSW1-Vlanif12]ip add 10.1.12.1 24
[LSW1-Vlanif13]ip add 10.1.13.1 24
[LSW1-Vlanif14]ip add 10.1.14.1 24
[LSW1-GigabitEthernet0/0/1]port link-type access
[LSW1-GigabitEthernet0/0/1]port default vlan 12
[LSW1-GigabitEthernet0/0/2]port link-type access
[LSW1-GigabitEthernet0/0/2]port default vlan 13
[LSW1-GigabitEthernet0/0/3]port link-type access
[LSW1-GigabitEthernet0/0/3]port default vlan 14
&＃xff08;2&＃xff09;配置LSW2
[LSW2]vlan batch 12 21 22
[LSW2-Vlanif12]ip add 10.1.12.2 24
[LSW2-Vlanif21]ip add 10.1.21.2 24
[LSW2-Vlanif22]ip add 10.1.22.2 24
[LSW2-GigabitEthernet0/0/1]port link-type access
[LSW2-GigabitEthernet0/0/1]port default vlan 21
[LSW2-GigabitEthernet0/0/2]port link-type access
[LSW2-GigabitEthernet0/0/2]port default vlan 22
[LSW2-GigabitEthernet0/0/3]port link-type access
[LSW2-GigabitEthernet0/0/3]port default vlan 12
&＃xff08;3&＃xff09;配置终端IP地址

&＃xff08;4&＃xff09;配置路由的连通
[LSW1]ospf 1
[LSW1-ospf-1]area 0
[LSW1-ospf-1-area-0.0.0.0]network 10.1.12.0 0.0.0.255
[LSW1-ospf-1-area-0.0.0.0]network 10.1.13.0 0.0.0.255
[LSW1-ospf-1-area-0.0.0.0]network 10.1.14.0 0.0.0.255
[LSW2]ospf 1
[LSW2-ospf-1]area 0
[LSW2-ospf-1-area-0.0.0.0]network 10.1.12.0 0.0.0.255
[LSW2-ospf-1-area-0.0.0.0]network 10.1.21.0 0.0.0.255
[LSW2-ospf-1-area-0.0.0.0]network 10.1.22.0 0.0.0.255
2.在LSW2上配置RADIUS认证参数
&＃xff08;1&＃xff09;配置radius认证模板
[LSW2]radius-server template abc1
[LSW2-radius-abc1]radius-server shared-key cipher ABCabc&＃64;123
[LSW2-radius-abc1]radius-server authentication 10.1.13.3 1812
[LSW2-radius-abc1]radius-server accounting 10.1.13.3 1813
[LSW2]radius-server authorization 10.1.13.3 shared-key cipher ABCabc&＃64;123
&＃xff08;2&＃xff09;在AAA模式下调佣radius模板
[LSW2]aaa
[LSW2-aaa]authentication-scheme abc1
[LSW2-aaa-authen-abc1]authentication-mode radius
[LSW2-aaa]accounting-scheme abc1
[LSW2-aaa-accounting-abc1]accounting-mode radius
[LSW2-aaa]domain default
[LSW2-aaa-domain-default]authentication-scheme abc1
[LSW2-aaa-domain-default]accounting-scheme abc1
[LSW2-aaa-domain-default]radius-server abc1
&＃xff08;3&＃xff09;接口下开启dot1X认证
[LSW2]dot1x enable interface GigabitEthernet 0/0/1
&＃xff08;4&＃xff09;允许认证前能够访问Agile Controller
[LSW2]dot1x free-ip 10.1.13.3 32
&＃xff08;5&＃xff09;检查radius和portal参数

3.配置Agile Controller
&＃xff08;1&＃xff09;添加接入控制设备
资源—设备—设备管理—增加&＃xff1a;名称LSW2&＃xff0c;IP地址为10.1.12.2&＃xff0c;认证计费秘钥和授权秘钥都是ABCabc&＃64;123。确定
测试LSW2与Agile Controller的联动&＃xff1a;
[LSW2]test-aaa user1 ABCabc&＃64;123 radius-template abc1 pap&＃xff0c;显示为succeed&＃xff0c;表示联动成功
&＃xff08;2&＃xff09;配置准入控制规则
策略—终端管理—安全策略—策略模板—增加&＃xff1a;名称为检查防病毒软件。—确定—是&＃xff1a;选择检查防病毒软件和检查屏保设置后面的对勾&＃xff0c;开启该功能并对其进行编辑&＃xff1a;在策略执行参数中选中在终端显示策略检查结果、出现严重违规则禁止接入网络、上报违规信息&＃xff0c;检查防病毒软件列表&＃xff0c;未安装或者运行要求的防病毒软件违规等级选择严重。
在检查屏保设置中&＃xff1a;选中在终端显示策略检查结果、自动修复、屏保设置密码保护、上报违规信息&＃xff0c;要求屏保时间设置不能高于10分钟&＃xff0c;违规等级一般。—保存
模板分配—用户组树—选择组PC1—确定
&＃xff08;3&＃xff09;创建动态ACL&＃xff0c;PC1通过认证的用户可以访问server1和外网
策略—准入控制—策略元素—动态ACL—增加&＃xff1a;为名称为PC1和PC2的组分别创建规则
策略—准入控制—认证授权—授权结果&＃xff1a;名称为PC1&＃xff0c;业务类型选择接入业务&＃xff0c;授权参数中动态ACL选择PC1—确定&＃xff1b;名称为PC2&＃xff0c;业务类型选择接入业务&＃xff0c;授权参数中动态ACL选择PC2—确定
&＃xff08;4&＃xff09;配置认证规则
策略—准入控制—认证授权—认证规则&＃xff1a;在增加认证规则中名称为PC1&＃xff0c;用户信息中用户组为PC1&＃xff0c;认证信息中全选请选择允许使用的认证协议&＃xff1b;在增加认证规则中名称为PC2&＃xff0c;用户信息中用户组为PC2&＃xff0c;认证信息中全选请选择允许使用的认证协议
&＃xff08;5&＃xff09;配置授权规则
策略—准入控制—认证授权—授权规则&＃xff1a;在增加授权规则中名称为PC1&＃xff0c;用户信息中用户组为PC1&＃xff0c;其他信息中勾AnyOffice安全检查结果&＃xff0c;安全检查结果中选择不做安全检查或安全检查通过&＃xff0c;授权结果选择PC1&＃xff1b;再增加授权规则中名称为PC1&＃xff0c;用户信息中用户组为PC1&＃xff0c;其他信息中勾AnyOffice安全检查结果&＃xff0c;安全检查结果中选择安全检查不通过&＃xff0c;授权结果选择拒绝接入。—确定
策略—准入控制—认证授权—授权规则&＃xff1a;在增加授权规则中名称为PC2&＃xff0c;用户信息中用户组为PC2&＃xff0c;其他信息中勾AnyOffice安全检查结果&＃xff0c;安全检查结果中选择不做安全检查或安全检查通过&＃xff0c;授权结果选择PC2。—确定
&＃xff08;6&＃xff09;配置公告管理
系统—公告配置—系统公告&＃xff1a;输入内容—确定—单击要下发的公告右侧的图标发布公告
4.结果验证
&＃xff08;1&＃xff09;在PC上使用账号认证
&＃xff08;2&＃xff09;在LSW2上查看Aglie Controller下发的权限结果
[LSW2]display access-user
[LSW2]display access-user user-id 号码
&＃xff08;3&＃xff09;在Aigle Controller上查看radius认证日志&＃xff1a;资源—用户—radius日志
&＃xff08;4&＃xff09;在Aigle Controller上查看用户在线管理&＃xff1a;资源—用户—用户在线管理