- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
04-MAC地址认证配置
本章节下载： 04-MAC地址认证配置 (218.40 KB)
MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法，它不需要用户安装任何客户端软件。设备在启动了MAC地址认证的端口上首次检测到用户的MAC地址以后，即启动对该用户的认证操作。认证过程中，不需要用户手动输入用户名或者密码。若该用户认证成功，则允许其通过端口访问网络资源，否则该用户的MAC地址就被设置为静默MAC。在静默时间内（可通过静默定时器配置），来自此MAC地址的用户报文到达时，设备直接做丢弃处理，以防止非法MAC短时间内的重复认证。
若配置的静态MAC或者当前认证通过的MAC地址与静默MAC相同，则MAC地址认证失败后的MAC静默功能将会失效。
目前设备支持两种方式的MAC地址认证，通过RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器进行远程认证和在接入设备上进行本地认证。有关远程RADIUS认证和本地认证的详细介绍请参见“安全配置指导”中的“AAA”。
根据设备最终用于验证用户身份的用户名格式和内容的不同，可以将MAC地址认证使用的用户帐户格式分为两种类型：
· MAC地址用户名格式：使用用户的MAC地址作为认证时的用户名和密码。
· 固定用户名格式：不论用户的MAC地址为何值，所有用户均使用设备上指定的一个固定用户名和密码替代用户的MAC地址作为身份信息进行认证。由于同一个端口下可以有多个用户进行认证，因此这种情况下端口上的所有MAC地址认证用户均使用同一个固定用户名进行认证，服务器端仅需要配置一个用户帐户即可满足所有认证用户的认证需求，适用于接入客户端比较可信的网络环境。
图1-1 不同用户名格式下的MAC地址认证示意图
当选用RADIUS服务器认证方式进行MAC地址认证时，设备作为RADIUS客户端，与RADIUS服务器配合完成MAC地址认证操作：
· 若采用MAC地址用户名格式，则设备将检测到的用户MAC地址作为用户名和密码发送给RADIUS服务器进行验证。
· 若采用固定用户名格式，则设备将一个已经在本地指定的MAC地址认证用户使用的固定用户名和对应的密码作为待认证用户的用户名和密码，发送给RADIUS服务器进行验证。
RADIUS服务器完成对该用户的认证后，认证通过的用户可以访问网络。
当选用本地认证方式进行MAC地址认证时，直接在设备上完成对用户的认证。需要在设备上配置本地用户名和密码：
· 若采用MAC地址用户名格式，则设备将检测到的用户MAC地址作为待认证用户的用户名和密码与配置的本地用户名和密码进行匹配。
· 若采用固定用户名，则设备将一个已经在本地指定的MAC地址认证用户使用的固定用户名和对应的密码作为待认证用户的用户名和密码与配置的本地用户名和密码进行匹配。
用户名和密码匹配成功后，用户可以访问网络。
为了将受限的网络资源与未认证用户隔离，通常将受限的网络资源和未认证的用户划分到不同的VLAN。MAC地址认证支持远程AAA服务器/接入设备下发授权VLAN，即当用户通过MAC地址认证后，远程AAA服务器/接入设备将指定的受限网络资源所在的VLAN作为授权VLAN下发到用户进行认证的端口。该端口被加入到授权VLAN中后，用户便可以访问这些受限的网络资源。
需要注意的是，仅远程AAA服务器支持下发携带Tag的VLAN。
设备根据用户接入的端口链路类型和授权的VLAN是否携带Tag，按如下情况将端口加入到下发的授权VLAN中。
· 授权VLAN未携带Tag的情况下：
¡ 若用户从Access类型的端口接入，则端口离开当前VLAN并加入第一个通过认证的用户的授权VLAN中。
¡ 若用户从Trunk类型的端口接入，则设备允许下发的授权VLAN通过该端口，并且修改该端口的缺省VLAN为第一个通过认证的用户的授权VLAN。
¡ 若用户从Hybrid类型的端口接入，则设备允许授权下发的VLAN以不携带Tag的方式通过该端口，并且修改该端口的缺省VLAN为第一个通过认证的用户的授权VLAN。需要注意的是，若该端口上使能了MAC VLAN功能，则设备将根据认证服务器/接入设备下发的授权VLAN动态地创建基于用户MAC地址的VLAN，而端口的缺省VLAN并不改变。
· 授权VLAN携带Tag的情况下：
¡ 若用户从Access类型的端口接入，则端口不支持携带Tag的授权VLAN。
¡ 若用户从Trunk类型的端口接入，则设备允许授权下发的VLAN以携带Tag的方式通过该端口，但是不会修改该端口的缺省VLAN。
¡ 若用户从Hybrid类型的端口接入，则设备允许授权下发的VLAN以携带Tag的方式通过该端口，但是不会修改该端口的缺省VLAN。
· 在授权VLAN未携带Tag的情况下，只有开启了MAC VLAN功能的端口上才允许给不同的用户MAC授权不同的VLAN。如果没有开启MAC VLAN功能，授权给所有用户的VLAN必须相同，否则仅第一个通过认证的用户可以成功上线。
· 在授权VLAN携带Tag的情况下，无论是否开启了MAC VLAN功能，设备都会给不同的用户授权不同的VLAN，一个VLAN只能授权给一个用户。
MAC地址认证的Guest VLAN功能允许用户在认证失败的情况下访问某一特定VLAN中的资源，比如获取客户端软件，升级客户端或执行其他一些用户升级程序。这个VLAN称之为Guest VLAN。
需要注意的是，这里的认证失败是认证服务器因某种原因明确拒绝用户认证通过，比如用户密码错误，而不是认证超时或网络连接等原因造成的认证失败。
如果接入用户的端口上配置了Guest VLAN，则该端口上认证失败的用户会被加入Guest VLAN，且设备允许Guest VLAN以不携带Tag的方式通过该端口，即该用户被授权访问Guest VLAN里的资源。若Guest VLAN中的用户再次发起认证未成功，则该用户将仍然处于Guest VLAN内；若认证成功，则会根据AAA服务器/接入设备是否下发授权VLAN决定是否将用户加入到下发的授权VLAN中，在AAA服务器/接入设备未下发授权VLAN的情况下，用户回到缺省VLAN中。
表1-1 MAC地址认证配置任务简介
|
配置任务 |
说明 |
详细配置 |
|
开启MAC地址认证 |
必选 |
|
|
配置MAC地址认证用户使用的认证域 |
可选 |
|
|
配置MAC地址认证用户名格式 |
可选 |
|
|
配置MAC地址认证定时器 |
可选 |
|
|
配置端口上最多允许同时接入的MAC地址认证用户数 |
可选 |
|
|
配置接口工作在MAC地址认证的多VLAN模式 |
可选 |
|
|
配置MAC地址认证延迟功能 |
可选 |
|
|
配置MAC地址认证的Guest VLAN |
可选 |
|
|
配置MAC地址认证的重认证不可达动作 |
可选 |
|
|
配置MAC地址认证Guest VLAN中的用户进行重新认证的时间间隔 |
可选 |
(1) 缺省情况下，对端口上接入的用户进行MAC地址认证时，使用系统缺省的认证域（由命令domain default enable指定）。若需要使用非缺省的认证域进行MAC地址认证，则需指定MAC地址认证用户使用的认证域（参见“1.4 开启MAC地址认证”），并配置该认证域。认证域的具体配置请参见“安全配置指导”中的“AAA”。
· 若采用本地认证方式，还需创建本地用户并设置其密码，且本地用户的服务类型应设置为lan-access。
· 若采用远程RADIUS认证方式，需要确保设备与RADIUS服务器之间的路由可达，并添加MAC地址认证用户帐号。
端口上开启MAC地址认证之前，请保证端口未加入聚合组或业务环回组。
只有全局和端口的MAC地址认证均开启后，MAC地址认证配置才能在端口上生效。
表1-2 开启MAC地址认证
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
开启全局MAC地址认证 |
mac-authentication |
缺省情况下，全局的MAC地址认证处于关闭状态 |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
开启端口MAC地址认证 |
mac-authentication |
缺省情况下，端口的MAC地址认证处于关闭状态 |
为了便于接入设备的管理员更为灵活地部署用户的接入策略，设备支持指定MAC地址认证用户使用的认证域，可以通过以下两种配置实现：
· 在系统视图下指定一个认证域，该认证域对所有开启了MAC地址认证的端口生效。
· 在无线服务模板下指定一个认证域。
接入的MAC地址认证用户将按照如下顺序选择认证域：无线服务模板上指定的认证域-->系统视图下指定的认证域-->系统缺省的认证域。关于认证域的相关介绍请参见“安全配置指导”中的“AAA”。
表1-3 指定MAC地址认证用户使用的认证域
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
指定MAC地址认证用户使用的认证域 |
mac-authentication domain domain-name |
二者至少选其一 缺省情况下，未指定MAC地址认证用户使用的认证域，使用系统缺省的认证域 |
|
wlan service-template service-template-name mac-authentication domain domain-name |
表1-4 配置MAC地址认证用户名格式
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
配置MAC地址认证用户的用户名格式 |
MAC地址格式 |
mac-authentication user-name-format mac-address [ { with-hyphen [ six-section | three-section ] | without-hyphen } [ lowercase | uppercase ] ] |
二者选其一 缺省情况下，使用用户的MAC地址作为用户名与密码，其中字母为小写，且不带连字符“-” |
|
固定用户名格式 |
mac-authentication user-name-format fixed [ account name ] [ password { cipher | simple } password ] |
||
可配置的MAC地址认证定时器包括以下几种：
· 下线检测定时器（offline-detect）：用来设置用户空闲超时的时间间隔。若设备在一个下线检测定时器间隔之内，没有收到某在线用户的报文，将切断该用户的连接，同时通知RADIUS服务器停止对其计费。
· 静默定时器（quiet）：用来设置用户认证失败以后，设备停止对其提供认证服务的时间间隔。在静默期间，设备不对来自认证失败用户的报文进行认证处理，直接丢弃。静默期后，如果设备再次收到该用户的报文，则依然可以对其进行认证处理。
· 服务器超时定时器（server-timeout）：用来设置设备同RADIUS服务器的连接超时时间。在用户的认证过程中，如果到服务器超时定时器超时时设备一直没有收到RADIUS服务器的应答，则设备将在相应的端口上禁止此用户访问网络。
表1-5 配置MAC地址认证定时器
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
配置MAC地址认证定时器 |
mac-authentication timer { offline-detect offline-detect-value | quiet quiet-value | server-timeout server-timeout-value } |
缺省情况下，下线检测定时器为300秒，静默定时器为60秒，服务器超时定时器取值为100秒 |
由于系统资源有限，如果当前端口下接入的用户过多，接入用户之间会发生资源的争用，因此适当地配置该值可以使端口上已经接入的用户获得可靠的性能保障。
表1-6 配置端口上最多允许同时接入的MAC地址认证用户数
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
配置端口上最多允许同时接入的MAC地址认证用户数 |
mac-authentication max-user max-number |
缺省情况下，端口上最多允许同时接入的MAC地址认证用户数与设备的型号有关，请以设备的实际情况为准 |
端口工作在单VLAN模式下时，在用户已上线，且没有被下发授权VLAN情况下，如果此用户在属于不同VLAN的相同端口再次接入，则，设备将让原用户下线，使得该用户能够在新的VLAN内重新开始认证。如果已上线用户被下发了授权VLAN，则此用户在属于不同VLAN的相同端口再次接入时不会被强制下线。
端口工作在多VLAN模式下时，如果相同MAC地址的用户在属于不同VLAN的相同端口再次接入，设备将能够允许用户的流量在新的VLAN内通过，且允许该用户的报文无需重新认证而在多个VLAN中转发。
对于接入IP电话类用户的端口，指定端口工作在MAC地址认证的多VLAN模式或为IP电话类用户授权VLAN，可避免IP电话终端的报文所携带的VLAN tag发生变化后，因用户流量需要重新认证带来语音报文传输质量受干扰的问题。
配置端口工作在MAC地址认证的多VLAN模式
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
配置端口工作在MAC地址认证的多VLAN模式 |
mac-authentication host-mode multi-vlan |
缺省情况下，端口工作在MAC地址认证的单VLAN模式 |
端口同时开启了MAC地址认证和802.1X认证的情况下，某些组网环境中希望设备对用户报文先进行802.1X认证。例如，有些客户端在发送802.1X认证请求报文之前，就已经向设备发送了其它报文，比如DHCP报文，因而触发了并不期望的MAC地址认证。这种情况下，就可以开启端口的MAC地址认证延时功能。
开启端口的MAC地址认证延时功能之后，端口就不会在收到用户报文时立即触发MAC地址认证，而是会等待一定的延迟时间，若在此期间该用户一直未进行802.1X认证或未成功通过802.1X认证，则延迟时间超时后端口会对之前收到的用户报文进行MAC地址认证。
需要注意的是，开启了MAC地址认证延迟功能的接口上不建议同时配置端口安全的模式为mac-else-userlogin-secure或mac-else-userlogin-secure-ext，否则MAC地址认证延迟功能不生效。
表1-7 配置MAC地址认证延迟功能
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
开启MAC地址认证延迟功能，并指定延迟时间 |
mac-authentication timer auth-delay time |
缺省情况下，MAC地址认证延迟功能处于关闭状态 |
配置MAC地址认证的Guest VLAN之前，需要进行以下配置准备：
· 保证端口类型为Hybrid，端口上的MAC VLAN功能处于使能状态，且不建议将指定的Guest VLAN修改为携带Tag的方式。
· 创建需要配置为Guest VLAN的VLAN。
需要注意的是，MAC地址认证Guest VLAN功能的优先级高于MAC地址认证的静默MAC功能，即认证失败的用户可访问指定的Guest VLAN中的资源，且该用户的MAC地址不会被加入静默MAC。
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
配置指定端口的MAC地址认证Guest VLAN |
mac-authentication guest-vlan guest-vlan-id |
缺省情况下，未配置MAC地址认证的Guest VLAN 不同的端口可以指定不同的MAC地址认证 Guest VLAN，一个端口最多只能指定一个MAC地址认证Guest VLAN |
是否对MAC地址在线用户进行周期性重认证由认证服务器决定。重认证的目的是检测用户连接状态的变化、确保用户的正常在线，并及时更新服务器下发的授权属性（例如ACL、VLAN、User Profile）。认证服务器通过下发RADIUS属性（session-timeout、terminal-action）来指定用户会话超时时长以及会话中止的动作类型，它们共同决定了如何对用户进行重认证。
· 当会话中止的动作类型为要求用户进行重认证时，端口会在用户会话超时时长到达后对该用户进行重认证；
· 当会话中止的动作类型为要求用户下线时，端口会在用户会话超时时长到达强制该用户下线；
· 当认证服务器未下发用户会话超时时长时，设备不会对用户进行重认证。
认证服务器上如何下发以上RADIUS属性的具体配置以及是否可以下发重认证周期的情况与服务器类型有关，请参考具体的认证服务器实现。需要注意的是：修改设备上配置的认证域或MAC地址认证用户的帐号格式，都不会影响在线用户的重认证，只对配置之后新上线的用户生效。
端口对用户进行重认证过程中，重认证服务器不可达时端口上的MAC地址认证用户状态由端口上的配置决定。在网络连通状况短时间内不良的情况下，合法用户是否会因为服务器不可达而被强制下线，需要结合实际的网络状态来调整。若配置为保持用户在线，当服务器在短时间内恢复可达，则可以避免用户频繁上下线；若配置为强制下线，当服务器可达性在短时间内不可恢复，则可避免用户在线状态长时间与实际不符。
表1-9 配置重认证服务器不可达时保持用户在线状态
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
配置重认证服务器不可达时端口上的MAC地址认证用户保持在线状态 |
mac-authentication re-authenticate server-unreachable keep-online |
缺省情况下，端口上的MAC地址在线用户重认证时，若认证服务器不可达，则用户会被强制下线 |
在MAC地址认证中，如果接入用户的端口上配置了Guest VLAN，则该端口上认证失败的用户会被加入此Guest VLAN。用户被加入Guest VLAN之后，设备将以指定的时间间隔对该用户发起重新认证，直到该用户认证成功。
表1-10 配置MAC地址认证中设备对Guest VLAN中的用户进行重新认证的时间间隔
|
配置步骤 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入接口视图 |
interface interface-type interface-number |
- |
|
配置MAC地址认证中设备对Guest VLAN中的用户进行重新认证的时间间隔 |
mac-authentication guest-vlan auth-period period-value |
缺省情况下，设备对Guest VLAN中的用户进行重新认证的时间间隔为30秒 |
在完成上述配置后，在任意视图下执行display命令可以显示配置后MAC地址认证的运行情况，通过查看显示信息验证配置的效果。
在用户视图下，执行reset命令可以清除相关统计信息。
表1-11 MAC地址认证的显示和维护
|
操作 |
命令 |
|
显示MAC地址认证的相关信息 |
display mac-authentication [ ap ap-name [ radio radio-id ] ] |
|
显示MAC地址认证连接信息 |
display mac-authentication connection [ ap ap-name [ radio radio-id ] | user-mac mac-addr | user-name user-name ] |
|
清除MAC地址认证的统计信息 |
reset mac-authentication statistics [ ap ap-name [ radio radio-id ] ] |
|
清除Guest VLAN内MAC地址认证用户 |
reset mac-authentication guest-vlan interface interface-type interface-number [ mac-address mac-address ] |
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
