在VMware Workstation上从零部署Agile Controller-Campus（Windows Server 2012 + SQL Server 2008 R2）

在VMware虚拟化环境中构建企业级网络准入控制系统全指南

当企业网络规模不断扩大，如何确保只有授权用户和设备能够接入内部资源成为安全团队的头等大事。传统基于IP或MAC地址的访问控制早已力不从心，这正是Agile Controller-Campus这类网络准入控制系统大显身手的舞台。本文将带您从零开始，在VMware Workstation的虚拟实验室中完整部署一套包含业务管理器（SM）、业务控制器（SC）的AC系统，并基于Windows Server 2012和SQL Server 2008 R2构建坚实的运行基础。

1. 实验环境规划与准备

在按下安装按钮之前，合理的环境规划能避免后续80%的配置问题。我们建议采用"三明治"架构：底层是VMware虚拟化平台，中间层运行Windows Server 2012操作系统，上层部署SQL Server数据库和AC组件。这种分层设计不仅便于故障隔离，也最接近真实生产环境。

必备软件清单：

• VMware Workstation Pro 15+（建议16.2最新稳定版）
• Windows Server 2012 R2 ISO镜像（cn_windows_server_2012_r2_x64_dvd_2707961）
• SQL Server 2008 R2 Enterprise（cn_sql_server_2008_r2_enterprise_x86_x64_ia64_dvd_522233）
• Agile Controller-Campus安装包（含SM/SC组件）

提示：所有安装路径必须使用纯英文，包括虚拟机存储位置。中文路径可能导致服务启动异常。

虚拟机资源配置需要特别注意：

• CPU：至少2核（推荐4核）
• 内存：最低4GB（8GB更佳）
• 磁盘：系统盘60GB，数据盘单独100GB
• 网络适配器：桥接模式（Bridged）模拟真实网络环境

# 查看虚拟机网络配置示例 vim /etc/vmware/vmnet1/nat.conf # 确保包含以下配置 bridgeInterface = eth0

2. Windows Server 2012 R2深度配置

操作系统的正确配置是AC稳定运行的基石。在完成基础安装后，这些关键步骤不容忽视：

2.1 系统基础服务调优

1. 远程桌面服务：启用并限制仅允许网络级别认证
2. 防火墙策略：放行3389（RDP）、1433（SQL）、8443（AC Web）端口
3. 电源管理：设置为"高性能"模式避免CPU节流
4. 时间同步：配置NTP服务器确保证书验证正常

# PowerShell配置NTP服务器示例 w32tm /config /syncfromflags:manual /manualpeerlist:"pool.ntp.org" w32tm /config /update Restart-Service w32time

2.2 .NET Framework 3.5安装技巧

AC系统依赖的.NET 3.5在Server 2012上需要特殊处理。除了常规的"添加角色和功能"向导，更可靠的方式是：

1. 挂载Windows Server 2012安装ISO
2. 指定备用源路径为D:\sources\sxs（假设D:为光驱）
3. 通过DISM命令离线安装：

dism /online /enable-feature /featurename:NetFX3 /All /Source:D:\sources\sxs /LimitAccess

注意：若遇到0x800f0906错误，需检查组策略"指定组件安装和修复的设置"是否禁用Windows Update访问。

3. SQL Server 2008 R2企业版精要配置

数据库是AC系统的核心数据仓库，这些配置项将直接影响系统性能：

3.1 安装关键选项

• 实例配置：选择默认实例（MSSQLSERVER）
• 服务账户：使用NT AUTHORITY\SYSTEM获得必要权限
• 身份验证模式：必须选择"混合模式"
• 排序规则：Chinese_PRC_CI_AS（支持中文数据）

3.2 性能优化参数

安装完成后立即调整这些关键参数：

-- 内存配置示例 EXEC sp_configure 'show advanced options', 1; RECONFIGURE; EXEC sp_configure 'max server memory', 6144; -- 6GB RECONFIGURE;

4. Agile Controller-Campus部署实战

当基础环境就绪后，AC系统的安装反而相对简单，但以下细节决定成败：

4.1 组件选择策略

• 业务管理器（SM）：必选，提供Web管理界面
• 业务控制器（SC）：必选，处理认证请求
• 客户端组件：仅测试时安装，生产环境单独部署

4.2 网络配置黄金法则

1. 管理IP：建议使用静态IP（如192.168.1.100/24）
2. 业务IP：可与管理IP相同，大规模部署时分离
3. 端口规划：
   • 8443：Web管理（必须开放）
   • 1812/1813：RADIUS认证/计费
   • 8080：Portal重定向

<!-- 端口修改示例（安装后配置文件） --> <Service> <Web> <Port>8443</Port> <SSLPort>443</SSLPort> </Web> </Service>

4.3 数据库连接测试失败排查

当遇到数据库连接测试失败时，按此流程排查：

1. 确认SQL Server服务正在运行
2. 检查TCP/IP协议已启用（SQL Server配置管理器）
3. 验证混合模式认证已开启
4. 测试telnet 1433端口是否通畅
5. 检查Windows防火墙入站规则

5. 网络设备联动配置精要

AC系统的价值在于与网络设备的协同工作，以华为交换机为例：

5.1 交换机基础配置模板

# RADIUS服务器模板配置 radius-server template AC radius-server shared-key cipher YourStrongPassword radius-server authentication 192.168.1.100 1812 weight 80 radius-server accounting 192.168.1.100 1813 weight 80 # AAA认证方案 aaa authentication-scheme radius authentication-mode radius accounting-scheme radius accounting-mode radius domain default authentication-scheme radius accounting-scheme radius

5.2 802.1X接口配置

interface GigabitEthernet0/0/1 dot1x enable dot1x authentication-method eap stp edged-port enable

6. 典型故障排除手册

即使按照指南操作，仍可能遇到这些问题：

6.1 服务启动失败

• 现象：SM或SC服务无法启动
• 排查：
  1. 检查C:\Program Files\Agile Controller\logs下的日志文件
  2. 验证数据库连接字符串是否正确
  3. 确认443/8443端口未被占用

6.2 用户认证超时

• 现象：终端认证过程超时失败
• 解决方案：
  1. 检查AC与交换机之间的网络连通性
  2. 验证RADIUS共享密钥是否一致
  3. 抓包分析EAP交互过程

# 关键过滤条件： eap || radius || tcp.port == 1812 || tcp.port == 1813

6.3 Web界面访问异常

• 现象：无法打开https://IP:8443
• 快速修复：
  1. 重启IIS服务：iisreset /restart
  2. 检查证书是否过期
  3. 清除浏览器SSL状态

在实验室环境中完成这套部署后，您已经掌握了企业级网络准入控制系统的核心部署技能。接下来可以尝试配置更复杂的业务随行策略，或者将环境扩展为分布式部署架构。