本指南详细介绍了在Aruba无线控制器上配置基于MAC地址认证的网络安全策略的方法和步骤，适用于企业级网络管理员。
### Aruba无线控制器配置——基于MAC地址认证的网络
#### 一、Aruba无线控制器配置概述
Aruba无线控制器是企业级网络管理的核心组件之一，它提供了强大的功能来支持复杂多变的企业网络环境。其中，基于MAC地址的认证是一种常用的接入控制方法，它通过检查设备的MAC地址来确定其是否具有访问网络资源的权限。本段落将详细介绍如何在Aruba无线控制器上配置基于MAC地址认证的网络。
#### 二、关键配置步骤详解
##### 1. AAA Profile定义
**AAA（Authentication, Authorization, Accounting）Profile**是Aruba无线控制器中用于定义认证、授权及计费策略的配置对象。为了实现基于MAC地址的认证，需要定义特定的AAA Profile。
- **命令示例：**
```shell
aaa authentication mac abc-mac
case upper
delimiter dash
! 定义认证请求中的MAC地址格式
aaaprofile abc-mac-aaa-profile
initial-role abc-logon
Authentication-mac abc-mac
mac-server-group abc-mac-sg
mac-default-role abc-staff
! 配置MAC认证的AAA Profile
aaaserver-group abc-mac-sg
auth-server internal
! 定义MAC认证服务器组
```
- **解释说明：**
- `aaa authentication mac abc-mac`: 定义MAC认证使用的格式为`abc-mac`。
- `case upper`: 设置MAC地址的大小写为大写。
- `delimiter dash`: 设置MAC地址之间的分隔符为短横线（-）。
- `initial-role abc-logon`: 未通过MAC认证的用户将获得`abc-logon`角色。
- `mac-server-group abc-mac-sg`: 指定用于MAC认证的服务器组名称为`abc-mac-sg`。
- `mac-default-role abc-staff`: 通过MAC认证的用户将获得`abc-staff`角色。
- `auth-server internal`: 使用控制器内置数据库进行认证。
##### 2. SSID Profile定义
SSID Profile定义了无线局域网的服务集标识（Service Set Identifier, SSID），以及与之相关的安全策略等参数。
- **命令示例：**
```shell
wlan ssid-profile abc-mac-ssid-profile
clone default essid abc-mac
g-basic-rates 6 9 12 24
g-tx-rates 6 9 12 18 24 36 48 54
hide-ssid
deny-bcast
! 配置SSID Profile
```
- **解释说明：**
- `clone default essid abc-mac`: 克隆默认的SSID配置，并命名为`abc-mac`。
- `g-basic-rates 6 9 12 24`: 设置2.4GHz频段的基本关联速率。
- `g-tx-rates 6 9 12 18 24 36 48 54`: 设置2.4GHz频段的传输速率。
- `hide-ssid`: 隐藏SSID，防止未经授权的设备连接网络。
- `deny-bcast`: 禁止广播通信。
##### 3. 定义MAC地址格式
定义MAC地址的具体格式和分隔符规则以确保认证过程中的正确匹配。
- **命令示例：**
```shell
aaa authentication mac abc-mac case lower delimiter colon
```
- **解释说明**：
- `case lower`: 设置MAC地址为小写。
- `delimiter colon`: 使用冒号（:）作为分隔符。
##### 4. 定义服务器组
创建用于认证的服务器组，并指定使用控制器内置数据库进行验证。
- **命令示例：**
```shell
aaaserver-group abc-mac-sg auth-server internal
```
- **解释说明**：
- `auth-server internal`: 使用控制器内部存储库作为认证源，确保所有MAC地址都在本地管理中。
##### 5. 定义用户角色
为通过和未通过MAC验证的设备定义不同的初始访问权限。
- **命令示例：**
```shell
aaa authentication mac abc-mac initial-role lab-logon default-role lab-mac
```
- **解释说明**：
- `initial-role lab-logon`: 未能认证成功的用户将获得`lab-logon`角色。
- `default-role lab-mac`: 认证成功后，设备将转换为具有更高权限的`lab-mac`角色。
##### 6. 在控制器内置数据库中添加MAC帐号
为了实现基于MAC地址的身份验证，在Aruba无线控制器内部存储库中预定义每个用户的MAC地址及其对应的认证信息。
- **命令示例：**
```shell
Local-user db add username password
```
5星
