思科模拟器搭建立校園網絡

Question

思科模拟器搭建包含Wireless AP、AC controller、switch、Radius server、Portal authentication server和NDR，當中能分辨老師學生同訪客。
求大神教學😭，小女子感激

Answer 1

晚上好🌙🌙🌙
本答案参考通义千问

在思科模拟器（如 Cisco Packet Tracer 或 GNS3）中搭建一个包含 Wireless AP、AC Controller、Switch、Radius Server、Portal Authentication Server 和 NDR（Network Device Registration，即网络设备注册） 的校园网络，并能区分 教师、学生和访客，是一个较为复杂的项目。以下是详细的步骤和解决方案。

---

一、项目目标

• 搭建一个支持 无线认证（802.1X） 的校园网络。
• 网络中包含 Wireless AP、AC Controller、Switch、Radius Server、Portal Authentication Server、NDR。
• 实现 教师、学生、访客三类用户 的不同权限和访问控制。

---

二、所需设备与软件

| 设备 | 数量 | 说明 | |------|------|------| | Wireless AP | 1~2台 | 支持802.1X认证 | | AC Controller | 1台 | 控制AP的配置和认证 | | Switch | 1~2台 | 连接终端设备和服务器 | | Radius Server | 1台 | 用于用户认证 | | Portal Authentication Server | 1台 | 提供网页认证页面 | | NDR（Network Device Registration） | 1台 | 注册网络设备信息 | | PC（教师/学生/访客） | 各1台 | 模拟用户终端 |

---

三、网络拓扑结构（简要）

[教师PC] --[Switch]-- [AC Controller] --[Wireless AP]
          |                  |
          |                  |
[学生PC] --[Switch]-- [Radius Server] --[Portal Auth Server]
          |                  |
          |                  |
[访客PC] --[Switch]-- [NDR Server]

---

四、详细步骤

1. 配置Radius Server（如 FreeRADIUS）

重点： Radius Server 是认证的核心，需要配置用户组和权限。

步骤：

• 安装 FreeRADIUS（可使用 Ubuntu 虚拟机或 Windows 上的工具）。
• 修改 users 文件，添加用户组：

# 用户组定义
Group Teacher {
    Service-Type = Administrative-User
}

Group Student {
    Service-Type = User-Group
}

Group Guest {
    Service-Type = Guest-User
}

• 在 clients.conf 中配置 AC Controller 的 IP 地址作为客户端。

• 在 radiusd.conf 中启用 EAP-MD5 或 PEAP（根据 AP 支持情况）。

注意： 如果使用 Cisco AC Controller，需确保其与 Radius Server 的共享密钥一致。

---

2. 配置 Portal Authentication Server（如 Cisco ISE 或自定义 Web 服务）

重点： Portal Server 提供用户登录页面，进行身份验证。

步骤：

• 使用 Apache 或 Nginx 搭建 Web 服务器。
• 创建登录页面，提交用户名和密码到 Radius Server。
• 使用 PHP 或 Python 编写后端脚本，调用 Radius 认证接口。

示例代码（Python + pyrad）：

from pyrad.client import Client
from pyrad.dictionary import Dictionary

client = Client(server="192.168.1.100", secret="your_radius_secret", dict=Dictionary("dictionary"))
request = client.CreateAuthPacket(
    username="teacher",
    password="password",
    user_name="teacher"
)
reply = client.SendPacket(request)

if reply.code == 4:
    print("认证通过")
else:
    print("认证失败")

---

3. 配置 AC Controller（如 Cisco WLC）

重点： AC Controller 控制无线接入点（AP），并连接到 Radius Server。

步骤：

• 在 Cisco WLC 中创建 SSID 并设置为 802.1X 认证模式。
• 配置 AAA 服务器组，指向 Radius Server。
• 设置 本地用户数据库 或从 Radius 获取用户信息。
• 为不同用户组（Teacher, Student, Guest）分配不同的 VLAN。

建议： 使用 CISCO ISE 作为更高级的认证管理平台。

---

4. 配置 Switch（如 Cisco Catalyst 2960）

重点： Switch 需要支持 802.1X 和 VLAN 分割。

步骤：

• 启用 Dot1X 协议。
• 配置 Port Security 和 VLAN 分配。
• 为不同用户组分配不同 VLAN。

示例命令（Cisco CLI）：

dot1x system-auth-control
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
!
interface FastEthernet0/1
 switchport mode access
 switchport port-security
 dot1x port-control auto

---

5. 配置 NDR（Network Device Registration）

重点： NDR 用于注册设备信息，防止未授权设备接入网络。

步骤：

• 使用 Cisco ISE 或其他 NDR 工具。
• 配置 Device Registration Policy，限制非授权设备接入。
• 将 NDR 与 Radius Server 关联，实现设备认证。

---

6. 测试与验证

重点： 确保三类用户（教师、学生、访客）都能正常登录并访问资源。

测试步骤：

1. 教师使用特定账号登录，进入教学区。
2. 学生使用学号登录，进入学习区。
3. 访客使用临时账号登录，仅允许访问公共区域。

建议： 使用 Wireshark 抓包分析 802.1X 认证过程是否成功。

---

五、总结

以下是搭建该网络的关键步骤列表：

1. 配置 Radius Server：定义用户组和认证方式。
2. 搭建 Portal Authentication Server：提供网页认证界面。
3. 配置 AC Controller：连接 Radius Server，设置 SSID 和 VLAN。
4. 配置 Switch：支持 802.1X 和 VLAN 分割。
5. 配置 NDR：限制未授权设备接入。
6. 测试与验证：确保各类用户能正确访问资源。

---

六、推荐工具与资源

• 思科模拟器：Cisco Packet Tracer / GNS3
• Radius Server：FreeRADIUS（开源）
• Portal Server：Apache + PHP / 自定义 Web 服务
• NDR：Cisco ISE（推荐）

---

如果你需要具体的配置文件或代码片段，可以告诉我你使用的具体设备型号（如 Cisco WLC 8500、Cisco ISE 等），我可以为你提供更详细的配置示例。

希望这个教程对你有帮助！如果还有问题，欢迎继续提问 😊