中央 Web 身份验证

动态防火墙过滤器用于中央 Web 身份验证，使主机能够从 DHCP 服务器获取 IP 地址，从而允许主机访问网络。过滤器使用 RADIUS 属性在 AAA 服务器上定义，这些属性在 Access-Accept 消息中发送给验证器。您可以使用 瞻博网络交换过滤器属性（供应商特定属性 （VSA））或过滤器 ID 属性（IETF RADIUS 属性）来定义过滤器。

• 要将瞻博网络交换过滤器 VSA 用于中央 Web 身份验证，必须直接在 AAA 服务器上配置过滤器术语。过滤器必须包含一个术语，以便将 CWA 服务器的目标 IP 地址与操作 allow进行匹配。

  例如：

  注意：

  交换机无法解析重定向 URL 的 DNS 查询。您必须配置瞻博网络交换过滤器属性以允许 CWA 服务器的目标 IP 地址。

• 要将 Filter-ID 属性用于中央 Web 身份验证，请输入 JNPR_RSVD_FILTER_CWA 作为 AAA 服务器上的属性值。此属性的过滤器术语是为中央 Web 身份验证在内部定义的，因此不需要其他配置。

  例如：

有关在 AAA 服务器上配置动态防火墙过滤器的更多信息，请参阅 AAA 服务器的文档。

在中央 Web 身份验证中，验证方使用重定向 URL 将主机的 Web 浏览器请求重定向到 CWA 服务器。中央 Web 身份验证的重定向 URL 可以在 AAA 服务器上配置，也可以在主机接口上本地配置。

• 要在 AAA 服务器上配置重定向 URL，请使用 瞻博网络-CWA-重定向 VSA，它是瞻博网络 RADIUS 字典中的属性编号 50。URL 将从 AAA 服务器转发到交换机，其中包含包含动态防火墙过滤器的同一 RADIUS 访问接受消息。

  例如：

  注意：

  当特殊的过滤器 ID 属性JNPR_RSVD_FILTER_CWA用于动态防火墙过滤器时，重定向 URL 必须包含AAA服务器的 IP 地址，例如 https://10.10.10.10。

• 要在主机接口上本地配置重定向 URL，请使用以下 CLI 语句：

  例如：

当重定向 URL 和动态防火墙过滤器同时存在时，将在 MAC RADIUS 身份验证失败后触发中央 Web 身份验证。重定向 URL 和动态防火墙过滤器可配置为以下任一组合：

1. AAA 服务器会将 CWA 重定向 URL 和动态防火墙过滤器都发送到验证方。重定向 URL 使用 AAA-CWA-重定向 VSA 在 AAA 服务器上配置，动态防火墙过滤器使用 瞻博网络-交换-过滤器 VSA 在 AAA 服务器上配置。在这种情况下，必须将过滤器配置为允许 CWA 服务器的目标 IP 地址。

2. AAA 服务器将动态防火墙过滤器发送至验证方，并在主机端口上本地配置重定向 URL。重定向 URL 使用 CLI 语句在验证器 redirect-url 上配置，动态防火墙过滤器则使用 瞻博网络交换过滤器 VSA 在 AAA 服务器上配置。在这种情况下，必须将过滤器配置为允许 CWA 服务器的目标 IP 地址。

3. AAA 服务器会将 CWA 重定向 URL 和动态防火墙过滤器都发送到验证方。重定向 URL 在 AAA 服务器上使用 瞻博网络-CWA-重定向 VSA 配置，动态防火墙过滤器在 AAA 服务器上使用 Filter-ID 属性（值为 JNPR_RSVD_FILTER_CWA）。在这种情况下，重定向 URL 必须包含 CWA 服务器的 IP 地址。

4. AAA 服务器将动态防火墙过滤器发送至验证方，并在主机端口上本地配置重定向 URL。重定向 URL 使用 CLI 语句在验证器 redirect-url 上配置，动态防火墙过滤器通过使用值为 JNPR_RSVD_FILTER_CWA 的 Filter-ID 属性在AAA服务器上配置。在这种情况下，重定向 URL 必须包含 CWA 服务器的 IP 地址。

   注意：

   redirect-url仅当RADIUS服务器未在“瞻博网络-CWA-Redirect”VSA中发送重定向URL时，CLI中才需要命令语句。