一、 认证需求 1、 某高校和第三方厂商合作开发认证平台,使用radius进行认证计费,现在需要和深信服AC进行单点登陆的认证对接。认证流量不经过AC,也无法通过端口镜像将radius认证的流量镜像到深信服AC上。 2、 需求1,第三方认证平台会通过定时向深信服AC发送radius计费报文,深信服AC需要解析radius报文将用户上线。 3、 需求2,用户上线后,根据计费角色不同,对用户进行限速。教职工不限速,学生限速10Mbps。 二、 解决方案 1、 配置radius单点登陆策略,实现用户单点登陆到AC上 2、 和存储账号的数据直接做对接,同步用户名和计费角色(用户组)到AC上 3、根据AC的用户组进行流量限速。 三、配置详情 1、单点登陆配置 1)、认证平台直接发送radius计费报文给AC,在AC上配置radius单点登陆,需要注意的是此时AC相当于radius服务器,所以radius服务器列表里面填写的是AC的IP和端口,如下图 2)、认证策略配置单点登陆策略,填写认证范围 3)、认证方式选择单点登陆,单点登陆失败后不需要认证自动上线 4)、认证后将上线用户录入未分组里面,不进行流控。因为后面会同步用户到本地,之后用户单点上线后会以本地组上线。 5)、用户单点登陆上线 2、用户同步配置 1)、上网行为管理和认证平台的mysql数据库做对接,对接需要填写mysql数据库的IP地址、端口、编码、管理员账号和密码。 2)、将数据库用户和组织结构同步到AC本地,需要使用SQL语句读取用户 3、流控策略配置 1)、针对不通的用户组设置不通的限速策略,设置单用户限速10Mbps 2)、策略生效用户组为学生组 3)、限速测试效果 四、总结 本次项目与常规radius单点登陆不太一样,由radius服务器直接发计费报文给AC进行解析,一开始radius服务器填写的不是AC地址没有对接成功,后来发现AC才相当于radius服务器,小小的坑点。 |