- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
17-802.1x典型配置指导
本章节下载 (164.29 KB)
目 录
& 说明：
下述各配置步骤包含了大部分AAA与RADIUS协议配置命令，对这些命令的介绍，请参见“AAA操作手册”中的配置部分。此外，客户端和RADIUS服务器上的配置略。
通过配置802.1x接入控制可以实现基于端口的网络接入控制，即在局域网接入控制设备的端口这一级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源。
图1-1 802.1x接入控制组网示意图
l 要求在端口Ethernet 1/0/1上对用户接入进行认证，以控制其访问Internet；接入控制模式要求是基于MAC地址的接入控制,即该端口下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。
l 所有接入用户都属于一个缺省的域：example.com，该域最多可容纳30个用户；认证时，先进行RADIUS认证，如果RADIUS服务器没有响应再转而进行本地认证；计费时，如果RADIUS计费失败则切断用户连接使其下线；此外，接入时在用户名后不添加域名，正常连接时如果用户有超过20分钟流量持续小于2000Bytes的情况则切断其连接。
l 由两台RADIUS服务器组成的服务器组与交换机相连，其IP地址分别为10.11.1.1和10.11.1.2，前者作为主认证/备份计费服务器，后者作为备份认证/主计费服务器；设置系统与认证RADIUS服务器交互报文时的加密密码为“name”、与计费RADIUS服务器交互报文时的加密密码“money”，设置系统在向RADIUS服务器发送报文后5秒种内如果没有得到响应就向其重新发送报文，重复发送报文的次数总共为5次，设置系统每15分钟就向RADIUS服务器发送一次实时计费报文，指示系统从用户名中去除用户域名后再将之传给RADIUS服务器。
l 本地802.1x接入用户的用户名为localuser，密码为localpass，使用明文输入，闲置切断功能处于打开状态。
表1-1 配置适用的产品与软硬件版本关系
|
产品 |
软件版本 |
硬件版本 |
|
S5600系列 |
Release 1510、Release 1602软件版本 |
全系列硬件版本 |
|
S5100-SI/EI系列 |
Release2200、Release 2201软件版本 |
全系列硬件版本 |
|
S3600-SI/EI系列 |
Release 1510、Release 1602软件版本 |
全系列硬件版本 |
|
S3100-EI系列 |
Release 2104、Release 2107软件版本 |
全系列硬件版本 |
|
S3100-C-SI系列 S3100-T-SI系列 |
Release 0011、Release 2102、Release 2107软件版本 |
全系列硬件版本 |
|
S3100-TP-SI系列 |
Release 2102、Release 2107软件版本 |
全系列硬件版本 （除S3100-52TP-SI） |
|
S3100-52TP-SI |
Release 2106、Release 2107软件版本 |
S3100-52TP-SI |
|
S3100-52P |
Release 1500、Release 1602软件版本 |
S3100-52P |
|
S2126-EI |
Release 2102、Release 2106、Release 2107软件版本 |
S2126-EI |
|
S2000-EA系列 |
Release 2107软件版本 |
全系列硬件版本 |
|
E352&E328 |
Release 1510、Release 1602软件版本 |
E352&E328 |
|
E152 |
Release 1500、Release 1602软件版本 |
E152 |
|
E126 |
Release 0011、Release 2102、Release 2107软件版本 |
E126 |
|
E126A |
Release 2104、Release 2107 |
E126A |
# 开启全局802.1x特性
<Sysname> system-view
[Sysname] dot1x
# 开启指定端口Ethernet 1/0/1的802.1x特性。
[Sysname] dot1x interface Ethernet 1/0/1
# 设置接入控制方式（该命令可以不配置，因为端口的接入控制在缺省情况下就是基于MAC地址的）。
[Sysname] dot1x port-method macbased interface Ethernet 1/0/1
# 创建RADIUS方案radius1并进入其视图。
[Sysname] radius scheme radius1
# 设置主认证/计费RADIUS服务器的IP地址。
[Sysname-radius-radius1] primary authentication 10.11.1.1
[Sysname-radius-radius1] primary accounting 10.11.1.2
# 设置备份认证/计费RADIUS服务器的IP地址。
[Sysname-radius-radius1] secondary authentication 10.11.1.2
[Sysname-radius-radius1] secondary accounting 10.11.1.1
# 设置系统与认证RADIUS服务器交互报文时的加密密码。
[Sysname -radius-radius1] key authentication name
# 设置系统与计费RADIUS服务器交互报文时的加密密码。
[Sysname-radius-radius1] key accounting money
# 设置系统向RADIUS服务器重发报文的时间间隔与次数。
[Sysname-radius-radius1] timer 5
[Sysname-radius-radius1] retry 5
# 设置系统向RADIUS服务器发送实时计费报文的时间间隔。
[Sysname-radius-radius1] timer realtime-accounting 15
# 指示系统从用户名中去除用户域名后再将之传给RADIUS服务器。
[Sysname-radius-radius1] user-name-format without-domain
[Sysname-radius-radius1] quit
# 创建域example.com并进入其视图。
[Sysname] domain example.com
# 指定radius1为该域用户的RADIUS方案，若RADIUS服务器无效，则使用本地认证方案。
[Sysname-isp-example.com] scheme radius-scheme radius1 local
# 设置该域最多可容纳30个用户。
[Sysname-isp-example.com] access-limit enable 30
# 启动闲置切断功能并设置相关参数。
[Sysname-isp-example.com] idle-cut enable 20 2000
[Sysname-isp-example.com] quit
# 配置域example.com为缺省用户域。
[Sysname] domain default enable example.com
# 添加本地接入用户。
[Sysname] local-user localuser
[Sysname-luser-localuser] service-type lan-access
[Sysname-luser-localuser] password simple localpass
#
domain default enable example.com
#
dot1x
#
interface Ethernet1/0/1
dot1x
#
radius scheme system
radius scheme radius1
server-type standard
primary authentication 10.11.1.1
primary accounting 10.11.1.2
secondary authentication 10.11.1.2
secondary accounting 10.11.1.1
key authentication name
key accounting money
timer realtime-accounting 15
timer response-timeout 5
retry 5
user-name-format without-domain
#
domain example.com
scheme radius-scheme radius1 local
access-limit enable 30
idle-cut enable 20 2000
domain system
#
local-user localuser
password simple localpass
service-type lan-access
#
l 如果端口启动了802.1x，则不能配置该端口的最大MAC地址学习个数；反之，如果端口配置了最大MAC地址学习个数，则禁止在该端口上启动802.1x。
l 如果端口启动了802.1x，则不能配置该端口加入汇聚组。反之，如果该端口已经加入到某个汇聚组中，则禁止在该端口上启动802.1x。
l 当采用基于MAC地址的接入控制时，该端口下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络；当采用基于端口的接入控制时，只要该端口下的第一个用户认证成功后，其他接入用户无须认证就可使用网络资源，但是当第一个用户下线后，其他用户也会被拒绝使用网络。
l 802.1x用户在线时，如果通过dot1x port-method命令更改端口接入控制方式，则在线用户会被强制下线。
l 握手报文的发送需要H3C私有客户端的支持，用以探测用户是否在线。
EAD（Endpoint Admission Defense，端点准入防御）方案作为一个整合方案，提升了网络的整体防御能力。但是在实际的应用过程中EAD客户端的部署工作量很大，带来不便。
通过802.1x认证支持用户快速重定向到EAD客户端下载服务器，实现了EAD客户端的快速部署。
图1-2 802.1x接入控制组网示意图
用户直接和交换机相连，交换机和Web服务器、外部网络相连。
用户在未通过认证前，IE访问外部网络会被重定向至Web服务器，下载认证客户端，升级软件等。
通过认证后，PC可以访问网络。
|
产品 |
软件版本 |
硬件版本 |
|
S5600系列 |
Release 1510、Release 1602软件版本 |
全系列硬件版本 |
|
S5100-SI/EI系列 |
Release2200、Release 2201软件版本 |
全系列硬件版本 |
|
S3600-SI/EI系列 |
Release 1510、Release 1602软件版本 |
全系列硬件版本 |
|
S3100-EI系列 |
Release 2104、Release 2107软件版本 |
全系列硬件版本 |
|
S3100-52P |
Release 1500、Release 1602软件版本 |
S3100-52P |
|
S2000-EA系列 |
Release 2107软件版本 |
全系列硬件版本 |
|
E352&E328 |
Release 1510、Release 1602软件版本 |
E352&E328 |
|
E152 |
Release 1500、Release 1602软件版本 |
E152 |
|
E126 |
Release 0011、Release 2102、Release 2107软件版本 |
E126 |
|
E126A |
Release 2104、Release 2107软件版本 |
E126A |
# 用户在使用EAD快速部署功能之前首先必须配置好Web服务器，也就是用户接入设备后，能够下载客户端的重定向服务器。
# 用户的PC的默认网关配置为与其直连的交换机VLAN所对应的IP地址。
# 配置重定向URL。
<Sysname> system-view
[Sysname] dot1x url http://192.168.0.111
# 配置一条免费IP网段。
[Sysname] dot1x free-ip 192.168.0.111 24
# 配置ACL定时器超时时间为10分钟。
[Sysname] dot1x timer acl-timeout 10
# 启动全局dot1x。
[Sysname] dot1x
# 启动端口dot1x。
[Sysname] dot1x interface Ethernet 1/0/1
#
dot1x
dot1x url http://192.168.0.111
dot1x free-ip 192.168.0.0 255.255.255.0
dot1x timer acl-timeout 10
#
interface Ethernet1/0/1
dot1x
#
l 在配置免费IP网段时必须先配置重定向的URL，此URL必须以“http://”开头。URL所在网段必须处于免费IP网段，否则不能重定向。
l 配置免费IP网段时不能开启802.1x特性的dhcp-launch功能。
l EAD快速部署功能只对接入控制的模式为auto（通过dot1x port-control命令配置）的端口才有效。
l 目前的EAD支持快速部署特性只是基于802.1x认证方式实现，其他接入方式暂不支持。
l 目前的EAD快速部署特性不支持端口安全，在使能端口安全的情况下，配置的受限IP网段功能失效。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
