目  录

1 802.1X配置

1.1 802.1X简介

1.1.1 802.1X的体系结构

1.1.2 802.1X对端口的控制

1.1.3 802.1X认证报文的交互机制

1.1.4 EAP报文的封装

1.1.5 802.1X的认证触发方式

1.1.6 802.1X的认证过程

1.1.7 802.1X的接入控制方式

1.2 802.1X扩展功能

1.2.1 支持Tag/Untag VLAN下发

1.2.2 支持VLAN组下发

1.2.3 Guest VLAN

1.2.4 Auth-Fail VLAN

1.2.5 802.1X认证的Critical VLAN

1.2.6 支持ACL下发

1.3 802.1X配置任务简介

1.4 配置802.1X

1.4.1 配置准备

1.4.2 开启802.1X特性

1.4.3 配置802.1X系统的认证方法

1.4.4 配置端口的授权状态

1.4.5 配置端口接入控制方式

1.4.6 配置端口同时接入用户数的最大值

1.4.7 配置设备向接入用户发送认证请求报文的最大次数

1.4.8 配置802.1X认证超时定时器

1.4.9 配置在线用户握手功能

1.4.10 开启认证触发功能

1.4.11 配置端口的强制认证域

1.4.12 配置静默功能

1.4.13 配置重认证功能

1.4.14 配置MAC地址认证用户进行802.1X认证的最大尝试次数

1.4.15 配置VLAN组

1.4.16 配置Guest VLAN

1.4.17 配置Auth-Fail VLAN

1.4.18 配置Critical VLAN

1.4.19 配置Voice VLAN

1.4.20 配置802.1X支持的域名分隔符

1.4.21 配置端口发送802.1X协议报文不带Tag

1.4.22 配置802.1X认证的MAC地址绑定

1.5 802.1X显示和维护

1.6 802.1X典型配置举例

1.6.1 802.1X认证配置举例

1.6.2 802.1X认证配合Guest VLAN、VLAN下发配置举例

1.6.3 802.1X认证配合下发ACL配置举例

2 802.1X支持EAD快速部署配置

2.1 802.1X支持EAD快速部署简介

2.1.1 概述

2.1.2 实现机制

2.2 配置EAD快速部署

2.2.1 配置准备

2.2.2 配置Free IP

2.2.3 配置用户HTTP访问的重定向URL

2.2.4 配置EAD规则的老化时间

2.3 EAD快速部署显示和维护

2.4 EAD快速部署典型配置举例

2.5 常见配置错误举例

2.5.1 用户通过浏览器访问外部网络不能正确重定向

 

1 802.1X配置

 

1.1  802.1X简介

最初，IEEE802 LAN/WAN委员会为解决无线局域网的网络安全问题，提出了802.1X协议。后来，802.1X协议作为局域网的一个普通接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

802.1X协议是一种基于端口的网络接入控制协议，即在局域网接入设备的端口上对所接入的用户设备进行认证，以便用户设备控制对网络资源的访问。

1.1.1  802.1X的体系结构

802.1X系统中包括三个实体：客户端（Client）、设备端（Device）和认证服务器（Authenticaton server），如图1-1所示。

图1-1 802.1X体系结构图

 

·     客户端是请求接入局域网的用户终端设备，它由局域网中的设备端对其进行认证。客户端上必须安装支持802.1X认证的客户端软件。

·     设备端是局域网中控制客户端接入的网络设备，位于客户端和认证服务器之间，为客户端提供接入局域网的端口（物理端口或逻辑端口），并通过与服务器的交互来对所连接的客户端进行认证。

·     认证服务器用于对客户端进行认证、授权和计费，通常为RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器。认证服务器根据设备端发送来的客户端认证信息来验证客户端的合法性，并将验证结果通知给设备端，由设备端决定是否允许客户端接入。在一些规模较小的网络环境中，认证服务器的角色也可以由设备端来代替，即由设备端对客户端进行本地认证、授权和计费。

1.1.2  802.1X对端口的控制

1. 受控/非受控端口

设备端为客户端提供接入局域网的端口被划分为两个逻辑端口：受控端口和非受控端口。任何到达该端口的帧，在受控端口与非受控端口上均可见。

·     非受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，保证客户端始终能够发出或接收认证报文。

·     受控端口在授权状态下处于双向连通状态，用于传递业务报文；在非授权状态下禁止从客户端接收任何报文。

1. 授权/非授权状态

设备端利用认证服务器对需要接入局域网的客户端进行认证，并根据认证结果（Accept或Reject）对受控端口的授权状态进行相应地控制。

图1-2显示了受控端口上不同的授权状态对通过该端口报文的影响。图中对比了两个802.1X认证系统的端口状态。系统1的受控端口处于非授权状态，不允许报文通过；系统2的受控端口处于授权状态，允许报文通过。

图1-2 受控端口上授权状态的影响

2. 受控方向

在非授权状态下，受控端口可以处于单向受控或双向受控状态。

·     处于双向受控状态时，禁止帧的发送和接收；

·     处于单向受控状态时，禁止从客户端接收帧，但允许向客户端发送帧。

 

1.1.3  802.1X认证报文的交互机制

802.1X系统使用EAP（Extensible Authentication Protocol，可扩展认证协议）来实现客户端、设备端和认证服务器之间认证信息的交互。EAP是一种C/S模式的认证框架，它可以支持多种认证方法，例如MD5-Challenge、EAP-TLS、PEAP等。在客户端与设备端之间，EAP报文使用EAPOL（Extensible Authentication Protocol over LAN，局域网上的可扩展认证协议）封装格式承载于数据帧中传递。在设备端与RADIUS服务器之间，EAP报文的交互有以下两种处理机制。

1. EAP中继

设备对收到的EAP报文进行中继，使用EAPOR（EAP over RADIUS）封装格式将其承载于RADIUS报文中发送给RADIUS服务器进行认证。

图1-3 EAP中继原理示意图

 

该处理机制下，EAP认证过程在客户端和RADIUS服务器之间进行，RADIUS服务器作为EAP服务器来处理客户端的EAP认证请求，设备相当于一个代理，仅对EAP报文做中转，因此设备处理简单，并能够支持EAP的各种认证方法，但要求RADIUS服务器支持相应的EAP认证方法。

2. EAP终结

设备对EAP认证过程进行终结，将收到的EAP报文中的客户端认证信息封装在标准的RADIUS报文中，与服务器之间采用PAP（Password Authentication Protocol，密码验证协议）或CHAP（Challenge Handshake Authentication Protocol，质询握手验证协议）方法进行认证。

图1-4 EAP终结原理示意图

 

该处理机制下，由于现有的RADIUS服务器基本均可支持PAP认证和CHAP认证，因此对服务器无特殊要求，但设备处理较为复杂，它需要作为EAP服务器来解析与处理客户端的EAP报文，且目前仅能支持MD5-Challenge类型的EAP认证以及iNode 802.1X客户端发起的“用户名+密码”方式的EAP认证。

 

1.1.4  EAP报文的封装

1. EAPOL数据帧的封装

(1)     EAPOL数据帧的格式

EAPOL是802.1X协议定义的一种承载EAP报文的封装协议，主要用于在局域网中传送客户端和设备端之间的EAP协议报文。EAPOL数据包的格式如图1-5所示。

图1-5 EAPOL数据包格式

 

·     PAE Ethernet Type：表示协议类型。EAPOL的协议类型为0x888E。

·     Protocol Version：表示EAPOL数据帧的发送方所支持的EAPOL协议版本号。

·     Type：表示EAPOL数据帧类型。目前设备上支持的EAPOL数据帧类型见表1-1。

表1-1 EAPOL数据帧类型

类型值	数据帧类型	说明
0x00	EAP-Packet	认证信息帧，用于承载客户端和设备端之间的EAP报文。 ·     在终结方式下，该帧中的客户端认证信息会被设备端重新封装并承载于RADIUS报文中发送给认证服务器 ·     在中继方式下，该帧承载的EAP报文会被设备端直接封装在RADIUS报文的EAP属性中发送给认证服务器
0x01	EAPOL-Start	认证发起帧，用于客户端向设备端发起认证请求
0x02	EAPOL-Logoff	退出请求帧，用于客户端向设备端发起下线请求

 

·     Length：表示数据域的长度，也就是Packet Body字段的长度，单位为字节。当EAPOL数据帧的类型为EAPOL-Start或EAPOL-Logoff时，该字段值为0，表示后面没有Packet Body字段。

·     Packet Body：数据域的内容。

(2)     EAP报文的格式

当EAPOL数据帧的类型为EAP-Packet时，Packet Body字段的内容就是一个EAP报文，格式如图1-6所示。

图1-6 EAP报文格式

 

·     Code：EAP报文的类型，包括Request（1）、Response（2）、Success（3）和Failure（4）。

·     Identifier：用于匹配Request消息和Response消息的标识符。

·     Length：EAP报文的长度，包含Code、Identifier、Length和Data域，单位为字节。

·     Data：EAP报文的内容，该字段仅在EAP报文的类型为Request和Response时存在，它由类型域和类型数据两部分组成，例如，类型域为1表示Identity类型，类型域为4表示MD5 challenge类型。

2. EAP报文在RADIUS中的封装

RADIUS为支持EAP认证增加了两个属性：EAP-Message（EAP消息）和Message-Authenticator（消息认证码）。在含有EAP-Message属性的数据包中，必须同时包含Message-Authenticator属性。关于RADIUS报文格式的介绍请参见“安全配置指导”中的“AAA”的RADIUS协议简介部分。

(1)     EAP-Message

如图1-7所示，EAP-Message属性用来封装EAP报文，Value域最长253字节，如果EAP报文长度大于253字节，可以对其进行分片，依次封装在多个EAP-Message属性中。

图1-7 EAP-Message属性封装

 

(2)     Message-Authenticator

如图1-8所示，Message-Authenticator属性用于在EAP认证过程中验证携带了EAP-Message属性的RADIUS报文的完整性，避免报文被窜改。如果接收端对接收到的RADIUS报文计算出的完整性校验值与报文中携带的Message-Authenticator属性的Value值不一致，该报文会被认为无效而丢弃。

图1-8 Message-Authenticator属性封装

 

1.1.5  802.1X的认证触发方式

802.1X的认证过程可以由客户端主动发起，也可以由设备端发起。

1. 客户端主动触发方式

·     组播触发：客户端主动向设备端发送EAPOL-Start报文来触发认证，该报文目的地址为组播MAC地址01-80-C2-00-00-03。

·     广播触发：客户端主动向设备端发送EAPOL-Start报文来触发认证，该报文的目的地址为广播MAC地址。该方式可解决由于网络中有些设备不支持上述的组播报文，而造成认证设备无法收到客户端认证请求的问题。

 

2. 设备端主动触发方式

设备端主动触发方式用于支持不能主动发送EAPOL-Start报文的客户端，例如Windows XP自带的802.1X客户端。设备主动触发认证的方式分为以下两种：

·     组播触发：设备每隔N秒（缺省为30秒）主动向客户端组播发送Identity类型的EAP-Request帧来触发认证。

·     单播触发：当设备收到源MAC地址未知的报文时，主动向该MAC地址单播发送Identity类型的EAP-Request帧来触发认证。若设备端在设置的时长内没有收到客户端的响应，则重发该报文。

1.1.6  802.1X的认证过程

802.1X系统支持采用EAP中继方式或EAP终结方式与远端RADIUS服务器交互。以下关于两种认证方式的过程描述，都以客户端主动发起认证为例。

1. EAP中继方式

这种方式是IEEE 802.1X标准规定的，将EAP承载在其它高层协议中，如EAP over RADIUS，以便扩展认证协议报文穿越复杂的网络到达认证服务器。一般来说，需要RADIUS服务器支持EAP属性：EAP-Message和Message-Authenticator，分别用来封装EAP报文及对携带EAP-Message的RADIUS报文进行保护。

下面以MD5-Challenge认证方法为例介绍基本业务流程，认证过程如图1-9所示。

图1-9 IEEE 802.1X认证系统的EAP中继方式业务流程

 

(1)     当用户需要访问外部网络时打开802.1X客户端程序，输入已经申请、登记过的用户名和密码，发起连接请求。此时，客户端程序将向设备端发出认证请求帧（EAPOL-Start），开始启动一次认证过程。

(2)     设备端收到认证请求帧后，将发出一个Identity类型的请求帧（EAP-Request/Identity）要求用户的客户端程序发送输入的用户名。

(3)     客户端程序响应设备端发出的请求，将用户名信息通过Identity类型的响应帧（EAP-Response/Identity）发送给设备端。

(4)     设备端将客户端发送的响应帧中的EAP报文封装在RADIUS报文（RADIUS Access-Request）中发送给认证服务器进行处理。

(5)     RADIUS服务器收到设备端转发的用户名信息后，将该信息与数据库中的用户名列表中对比，找到该用户名对应的密码信息，用随机生成的一个MD5 Challenge对密码进行加密处理，同时将此MD5 Challenge通过RADIUS Access-Challenge报文发送给设备端。

(6)     设备端将RADIUS服务器发送的MD5 Challenge转发给客户端。

(7)     客户端收到由设备端传来的MD5 Challenge后，用该Challenge对密码部分进行加密处理，生成EAP-Response/MD5 Challenge报文，并发送给设备端。

(8)     设备端将此EAP-Response/MD5 Challenge报文封装在RADIUS报文（RADIUS Access-Request）中发送给RADIUS服务器。

(9)     RADIUS服务器将收到的已加密的密码信息和本地经过加密运算后的密码信息进行对比，如果相同，则认为该用户为合法用户，并向设备端发送认证通过报文（RADIUS Access-Accept）。

(10)     设备收到认证通过报文后向客户端发送认证成功帧（EAP-Success），并将端口改为授权状态，允许用户通过端口访问网络。

(11)     用户在线期间，设备端会通过向客户端定期发送握手报文的方法，对用户的在线情况进行监测。

(12)     客户端收到握手报文后，向设备发送应答报文，表示用户仍然在线。缺省情况下，若设备端发送的两次握手请求报文都未得到客户端应答，设备端就会让用户下线，防止用户因为异常原因下线而设备无法感知。

(13)     客户端可以发送EAPOL-Logoff帧给设备端，主动要求下线。

(14)     设备端把端口状态从授权状态改变成未授权状态，并向客户端发送EAP-Failure报文。

 

2. EAP终结方式

这种方式将EAP报文在设备端终结并映射到RADIUS报文中，利用标准RADIUS协议完成认证、授权和计费。设备端与RADIUS服务器之间可以采用PAP或者CHAP认证方法。下面以CHAP认证方法为例介绍基本业务流程，如图1-10所示。

图1-10 IEEE 802.1X认证系统的EAP终结方式业务流程

 

 

EAP终结方式与EAP中继方式的认证流程相比，不同之处在于步骤(4)中用来对用户密码信息进行加密处理的MD5 challenge由设备端生成，之后设备端会把用户名、MD5 challenge和客户端加密后的密码信息一起送给RADIUS服务器，进行相关的认证处理。

1.1.7  802.1X的接入控制方式

设备不仅支持协议所规定的基于端口的接入认证方式（Port-based），还对其进行了扩展、优化，支持基于MAC的接入控制方式（MAC-based）。

·     当采用基于端口的接入控制方式时，只要该端口下的第一个用户认证成功后，其它接入用户无须认证就可使用网络资源，但是当第一个用户下线后，其它用户也会被拒绝使用网络。

·     采用基于MAC的接入控制方式时，该端口下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。

1.2  802.1X扩展功能

1.2.1  支持Tag/Untag VLAN下发

802.1X用户在服务器上通过认证时，服务器会把授权信息传送给设备端。如果服务器上指定了授权给该用户的VLAN以及该VLAN的下发方式（Tag或Untag），则服务器发送给设备的授权信息中将含有下发的VLAN信息，设备根据用户认证上线的端口链路类型，按以下三种情况将端口加入下发VLAN中。

表1-2 不同类型的端口加入下发的VLAN

接入控制方式	Access端口	Trunk端口	Hybrid端口
Port-based	端口离开用户配置的VLAN，加入下发的VLAN （该VLAN必须为Untag下发的VLAN）	端口允许下发的VLAN通过，并且将缺省VLAN修改为Untag下发的VLAN	端口允许下发的VLAN通过，并且将缺省VLAN修改为Untag下发的VLAN
MAC-based	端口离开用户配置的VLAN，加入第一个通过认证的用户的下发VLAN （该VLAN必须为Untag下发的VLAN）	端口允许下发的VLAN通过，并且将缺省VLAN修改为第一个通过认证的用户的Untag下发VLAN	端口允许下发的VLAN通过 ·     若端口上开启了MAC VLAN功能，则根据下发的VLAN动态地创建基于用户MAC的VLAN，而端口的缺省VLAN ID并不改变 ·     若端口上未开启MAC VLAN功能，则端口的缺省VLAN ID修改为第一个通过认证的用户的Untag下发VLAN的VLAN ID
	说明：只有开启了MAC VLAN功能的端口上才允许给不同的用户MAC下发不同的VLAN。其它情况下，下发给所有用户的VLAN必须相同，否则仅第一个通过认证的用户的可以认证成功。

 

下发的VLAN并不影响端口的配置。但是，下发的VLAN的优先级高于用户配置的VLAN，即通过认证后起作用的VLAN是下发的VLAN，用户配置的VLAN在用户下线后生效。

 

1.2.2  支持VLAN组下发

802.1X用户在服务器上通过认证时，服务器会把授权信息传送给设备端。如果服务器上指定了授权给该用户的下发VLAN，则服务器发送给设备的授权信息中将含有下发的VLAN信息，设备将用户认证上线的端口加入到下发的VLAN中。

支持VLAN下发功能下发的是VLAN ID或VLAN 名，仅支持下发特定的VLAN。而支持VLAN组下发功能可以在设备上配置VLAN组，认证服务器下发VLAN组名，认证服务器下发VLAN组名后，接入设备选择该VLAN组中的一个VLAN ID作为授权VLAN。

接入设备从VLAN组中选择授权VLAN ID的原则：

(1)     优先选择VLAN下成员用户少的VLAN做当前用户的授权VLAN；

(2)     如果VLAN下成员用户一样多，首先查询到的VLAN（按VLAN ID从小到大的查询顺序）作为当前用户的授权VLAN。

举例如下：VLAN组内包括VLAN2、VLAN3两个VLAN ID，如果已有3个用户认证成功后授权VLAN 3，有2个用户认证成功后授权VLAN 2，那么接下来认证成功的用户，则授权VLAN 2。

通过下发VLAN组，可以均衡每个VLAN下的用户数，用于减少VLAN内广播报文，提高效率。

1.2.3  Guest VLAN

Guest VLAN功能允许用户在未认证的情况下，访问某一特定VLAN中的资源。这个特定的VLAN称之为Guest VLAN，该VLAN内通常放置一些用于用户下载客户端软件或其他升级程序的服务器。

根据端口的接入控制方式不同，Guest VLAN的生效情况有所不同。

(1)     端口的接入控制方式为Port-based

在接入控制方式为Port-based的端口上配置Guest VLAN后，若在一定的时间内（默认90秒），该端口上无客户端进行认证，则该端口将被加入Guest VLAN，所有在该端口接入的用户将被授权访问Guest VLAN里的资源。不同链路类型的端口加入Guest VLAN的情况有所不同，具体情况与端口加入服务器下发的VLAN类似，请参见“1.2.1  支持Tag/Untag VLAN下发”。

当端口上处于Guest VLAN中的用户发起认证且失败时：如果端口配置了Auth-Fail VLAN，则该端口会被加入Auth-Fail VLAN；如果端口未配置Auth-Fail VLAN，则该端口仍然处于Guest VLAN内。关于Auth-Fail VLAN的具体介绍请参见“1.2.4  Auth-Fail VLAN”。

当端口上处于Guest VLAN中的用户发起认证且成功时，端口会离开Guest VLAN，之后端口加入VLAN情况与认证服务器是否下发VLAN有关，具体如下：

·     若认证服务器下发VLAN，则端口加入下发的VLAN中。用户下线后，端口离开下发的VLAN回到初始VLAN中，该初始VLAN为端口加入Guest VLAN之前所在的VLAN。

·     若认证服务器未下发VLAN，则端口回到初始VLAN中。用户下线后，端口仍在该初始VLAN中。

(2)     端口的接入控制方式为MAC-based

在接入控制方式为MAC-based的端口上配置Guest VLAN后，端口上未认证的用户被授权访问Guest VLAN里的资源。

当端口上处于Guest VLAN中的用户发起认证且失败时，如果端口配置了Auth-Fail VLAN，则认证失败的用户将被加入Auth-Fail VLAN；如果端口未配置Auth-Fail VLAN，则该用户将仍然处于Guest VLAN内。

当端口上处于Guest VLAN中的用户发起认证且成功时，设备会根据认证服务器是否下发VLAN决定将该用户加入到下发的VLAN中，或回到加入Guest VLAN之前端口所在的初始VLAN。

1.2.4  Auth-Fail VLAN

Auth-Fail VLAN功能允许用户在认证失败的情况下访问某一特定VLAN中的资源，这个VLAN称之为Auth-Fail VLAN。需要注意的是，这里的认证失败是认证服务器因某种原因明确拒绝用户认证通过，比如用户密码错误，而不是认证超时或网络连接等原因造成的认证失败。

根据端口的接入控制方式不同，Auth-Fail VLAN的生效情况有所不同。

(1)     端口的接入控制方式为Port-based

在接入控制方式为Port-based的端口上配置Auth-Fail VLAN后，若该端口上有用户认证失败，则该端口会被加入到Auth-Fail VLAN，所有在该端口接入的用户将被授权访问Auth-Fail VLAN里的资源。端口加入Auth-Fail VLAN的情况与加入授权下发VLAN相同，与端口链路类型有关。

当加入Auth-Fail VLAN的端口上有用户发起认证并失败，则该端口将会仍然处于Auth-Fail VLAN内；如果认证成功，则该端口会离开Auth-Fail VLAN，之后端口加入VLAN情况与认证服务器是否下发VLAN有关，具体如下：

·     若认证服务器下发VLAN，则端口加入下发的VLAN中。用户下线后，端口会离开下发的VLAN回到初始VLAN中，该初始VLAN为端口加入Auth-Fail VLAN之前所在的VLAN。

·     若认证服务器未下发VLAN，则端口回到初始VLAN中。用户下线后，端口仍在该初始VLAN中。

(2)     端口的接入控制方式为MAC-based

在接入控制方式为MAC-based的端口上配置Auth-Fail VLAN后，该端口上认证失败的用户将被授权访问Auth-Fail VLAN里的资源。

当Auth-Fail VLAN中的用户再次发起认证时，如果认证成功，则设备会根据认证服务器是否下发VLAN决定将该用户加入到下发的VLAN中，或回到加入Auth-Fail VLAN之前端口所在的初始VLAN；如果认证失败，则该用户仍然留在该VLAN中。

1.2.5  802.1X认证的Critical VLAN

802.1X认证的Critical VLAN功能允许用户在进行802.1X认证时，当所有认证服务器都不可达的情况下访问某一特定VLAN中的资源，这个VLAN称之为802.1X认证的Critical VLAN。

1. 端口加入802.1X认证的Critical VLAN

根据端口的接入控制方式不同，Critical VLAN的生效情况有所不同。

(1)     端口的接入控制方式为Port-based

在接入控制方式为Port-based的端口上配置Critical VLAN后，若该端口上有用户认证时，所有认证服务器都不可达，则该端口会被加入到Critical VLAN，之后所有在该端口接入的用户将被授权访问Critical VLAN里的资源。端口加入Critical VLAN的情况与加入授权下发VLAN相同，与端口链路类型有关。

(2)     端口的接入控制方式为MAC-based

在接入控制方式为MAC-based的端口上配置Critical VLAN后，若该端口上有用户认证时，所有认证服务器都不可达，则端口将允许Critical VLAN通过，用户将被授权访问Critical VLAN里的资源。

2. 端口退出802.1X认证的Critical VLAN

RADIUS服务器真实可达后，已经加入Critical VLAN的端口将会离开Critical VLAN。

RADIUS服务器真实可达的因素：

·     认证用户的ISP域中新增认证服务器。

·     配置了RADIUS认证服务器探测功能，且探测结果表示某认证服务器可达。

·     收到RADIUS服务器回应报文。

如果服务器可达且认证失败，且端口配置了Auth-Fail VLAN，则该端口将会加入Auth-Fail VLAN；如果服务器可达且认证成功，则该端口加入VLAN的情况与认证服务器是否下发VLAN有关，具体如下：

·     若认证服务器下发VLAN，则端口加入下发的VLAN中。用户下线后，端口会离开下发的VLAN回到初始VLAN中，该初始VLAN为端口加入Critical VLAN之前所在的VLAN。

·     若认证服务器未下发VLAN，则端口回到初始VLAN中。用户下线后，端口仍在该初始VLAN中。

 

1.2.6  支持ACL下发

802.1X支持ACL（Access Control List，访问控制列表）下发功能提供了对上线用户访问网络资源的过滤与控制功能。当用户上线时，如果RADIUS服务器上指定了要下发给该用户的授权ACL，则设备会根据服务器下发的授权ACL对用户所在端口的数据流进行过滤，仅允许ACL规则中允许的数据流通过该端口。由于服务器上指定的是授权ACL的编号，因此还需要在设备上创建该ACL并配置该对应的ACL规则。管理员可以通过改变服务器的授权ACL设置或设备上对应的ACL规则来改变用户的访问权限。

1.3  802.1X配置任务简介

表1-3 802.1X配置任务简介

配置任务	说明	详细配置
开启802.1X特性	必选	1.4.2
配置802.1X系统的认证方法	若采用EAP中继模式，则必选 若采用EAP终结模式，则可选	1.4.3
配置端口的授权状态	可选	1.4.4
配置端口接入控制方式	可选	1.4.5
配置端口同时接入用户数的最大值	可选	1.4.6
配置设备向接入用户发送认证请求报文的最大次数	可选	1.4.7
配置802.1X认证超时定时器	可选	1.4.8
配置在线用户握手功能	可选	1.4.9
开启认证触发功能	可选	1.4.10
配置端口的强制认证域	可选	1.4.11
配置静默功能	可选	1.4.12
配置重认证功能	可选	1.4.13
配置MAC地址认证用户进行802.1X认证的最大尝试次数	可选	1.4.14
配置VLAN组	可选	1.4.15
配置Guest VLAN	可选	1.4.16
配置Auth-Fail VLAN	可选	1.4.17
配置Critical VLAN	可选	1.4.18
配置Voice VLAN	可选	1.4.19
配置802.1X支持的域名分隔符	可选	1.4.20
配置端口发送802.1X协议报文不带Tag	可选	1.4.21  1.4.21
配置802.1X认证的MAC地址绑定	可选	1.4.22  1.4.22

 

1.4  配置802.1X

1.4.1  配置准备

802.1X需要AAA的配合才能实现对用户的身份认证。因此，需要首先完成以下配置任务：

·     配置802.1X用户所属的ISP认证域及其使用的AAA方案，即本地认证方案或RADIUS方案。

·     如果需要通过RADIUS服务器进行认证，则应该在RADIUS服务器上配置相应的用户名和密码。

·     如果需要本地认证，则应该在设备上手动添加认证的用户名和密码。配置本地认证时，用户使用的服务类型必须设置为lan-access。

1.4.2  开启802.1X特性

 

只有同时开启全局和端口的802.1X特性后，802.1X的配置才能在端口上生效。

表1-4 开启802.1X特性

配置步骤		命令	说明
进入系统视图		system-view	-
开启全局的802.1X特性		dot1x	必选 缺省情况下，全局的802.1X特性为关闭状态
开启端口的802.1X特性	在系统视图下	dot1x interface interface-list	二者必选其一 缺省情况下，端口的802.1X特性为关闭状态
	在以太网端口视图下	interface interface-type interface-number
		dot1x

 

 

1.4.3  配置802.1X系统的认证方法

设备上的802.1X系统采用的认证方法与设备对于EAP报文的处理机制有关，具体如下：

·     EAP中继方式下，设备端对客户端发送的EAP报文进行中继处理，设备上需指定authentication-method为eap来启用EAP中继方式，并支持客户端与RADIUS服务器之间所有类型的EAP认证方法。

·     EAP终结方式下，设备端对客户端发送的EAP报文进行本地终结，设备上需指定authentication-method为chap或pap来启用EAP终结方式，并支持与RADIUS服务器之间采用CHAP或PAP类型的认证方法。

表1-5 配置802.1X系统的认证方法

配置步骤	命令	说明
进入系统视图	system-view	-
配置802.1X系统的认证方法	dot1x authentication-method { chap | eap | pap }	可选 缺省情况下，设备启用EAP终结方式，并采用CHAP认证方法

 

 

1.4.4  配置端口的授权状态

通过配置端口的授权状态，可以控制端口上接入的用户是否需要经过认证来访问网络资源。端口支持以下三种授权状态：

·     强制授权（authorized-force）：表示端口始终处于授权状态，允许用户不经认证即可访问网络资源。

·     强制非授权（unauthorized-force）：表示端口始终处于非授权状态，不允许用户进行认证。设备端不为通过该端口接入的客户端提供认证服务。

·     自动识别（auto）：表示端口初始状态为非授权状态，仅允许EAPOL报文收发，不允许用户访问网络资源；如果认证通过，则端口切换到授权状态，允许用户访问网络资源。这也是最常见的情况。

在系统视图和以太网端口视图下均可进行端口授权状态的配置，前者可针对多个端口，后者仅针对当前端口。若在不同视图下先后对同一个端口的授权状态进行了配置，则最后执行的配置生效。

表1-6 配置端口的授权状态

配置步骤		命令	说明
进入系统视图		system-view	-
配置端口的授权状态	在系统视图下	dot1x port-control { authorized-force | auto | unauthorized-force } [ interface interface-list ]	二者可选其一 缺省情况下，端口的授权状态为auto
	在以太网端口视图下	interface interface-type interface-number
		dot1x port-control { authorized-force | auto | unauthorized-force }

 

1.4.5  配置端口接入控制方式

设备支持两种端口接入控制方式：基于端口控制（portbased）和基于MAC控制（macbased）。

在系统视图和以太网端口视图下均可进行端口接入控制方式的配置，前者可针对多个端口，后者仅针对当前端口。若在不同视图下先后对同一个端口的接入控制方式进行了配置，则最后执行的配置生效。

表1-7 配置端口接入控制方式

配置步骤		命令	说明
进入系统视图		system-view	-
配置端口接入控制方式	在系统视图下	dot1x port-method { macbased | portbased } [ interface interface-list ]	二者可选其一 缺省情况下，802.1X在端口上进行接入控制方式为macbased
	在以太网端口视图下	interface interface-type interface-number
		dot1x port-method { macbased | portbased }

 

 

1.4.6  配置端口同时接入用户数的最大值

在系统视图和以太网端口视图下均可进行端口接入用户数最大值的配置，前者可针对多个端口，后者仅针对当前端口。若在不同视图下先后对同一个端口的最大接入用户数进行了配置，则最后执行的配置生效。

表1-8 配置端口同时接入用户数的最大值

配置步骤		命令	说明
进入系统视图		system-view	-
配置端口同时接入用户数的最大值	在系统视图下	dot1x max-user user-number [ interface interface-list ]	二者可选其一 缺省情况下，端口同时接入用户数的最大值为256
	在以太网端口视图下	interface interface-type interface-number
		dot1x max-user user-number

 

1.4.7  配置设备向接入用户发送认证请求报文的最大次数

如果设备向用户发送认证请求报文后，在规定的时间里（可通过命令dot1x timer tx-period或者dot1x timer supp-timeout设定）没有收到用户的响应，则设备将向用户重发该认证请求报文，若设备累计发送认证请求报文的次数达到配置的最大值后，仍然没有得到用户响应，则停止发送认证请求。

表1-9 配置设备向接入用户发送认证请求报文的最大次数

配置步骤	命令	说明
进入系统视图	system-view	-
配置设备向接入用户发送认证请求报文的最大次数	dot1x retry max-retry-value	可选 缺省情况下，设备最多可向接入用户发送2次认证请求报文

 

1.4.8  配置802.1X认证超时定时器

802.1X认证过程中会启动多个定时器以控制接入用户、设备以及RADIUS服务器之间进行合理、有序的交互。可配置的802.1X认证定时器包括以下两种：

·     客户端认证超时定时器：当设备端向客户端发送了EAP-Request/MD5 Challenge请求报文后，设备端启动此定时器，若在该定时器设置的时长内，设备端没有收到客户端的响应，设备端将重发该报文。

·     认证服务器超时定时器：当设备端向认证服务器发送了RADIUS Access-Request请求报文后，设备端启动该定时器，若在该定时器设置的时长内，设备端没有收到认证服务器的响应，设备端将重发认证请求报文。

表1-10 配置802.1X定时器参数

配置步骤	命令	说明
进入系统视图	system-view	-
配置客户端认证超时定时器	dot1x timer supp-timeout supp-timeout-value	可选 缺省情况下，客户端认证超时定时器的值为30秒
配置认证服务器超时定时器	dot1x timer server-timeout server-timeout-value	可选 缺省情况下，认证服务器超时定时器的值为100秒

 

 

1.4.9  配置在线用户握手功能

开启设备的在线用户握手功能后，设备会定期（时间间隔通过命令dot1x timer handshake-period设置）向通过802.1X认证的在线用户发送握手报文，以定期检测用户的在线情况。如果设备连续多次（通过命令dot1x retry设置）没有收到客户端的响应报文，则会将用户置为下线状态。

在线用户握手功能处于开启状态的前提下，还可以通过开启在线用户握手安全功能，来防止在线的802.1X认证用户使用非法的客户端与设备进行握手报文的交互，而逃过代理检测、双网卡检测等iNode客户端的安全检查功能。开启了在线用户握手安全功能的设备通过检验客户端上传的握手报文中携带的验证信息，来确认用户是否使用iNode客户端进行握手报文的交互。如果握手检验不通过，则会将用户置为下线状态。

需要注意的是：在线用户握手安全功能的实现依赖于在线用户握手功能。为使在线用户握手安全功能生效，请保证在线用户握手功能处于开启状态。

表1-11 配置在线用户握手功能

配置步骤	命令	说明
进入系统视图	system-view	-
配置握手定时器	dot1x timer handshake-period handshake-period-value	可选 缺省情况下，握手定时器的值为15秒
进入以太网端口视图	interface interface-type interface-number	-
开启在线用户握手功能	dot1x handshake	可选 缺省情况下，在线用户握手功能处于开启状态
开启在线用户握手功能的安全功能	dot1x handshake secure	可选 缺省情况下，在线用户握手安全功能处于关闭状态

 

 

1.4.10  开启认证触发功能

端口上开启认证触发功能后，设备会主动向该端口上的客户端发送认证请求来触发认证，以支持不能主动发送EAPOL-Start报文来发起认证的客户端。设备提供了以下两种类型的认证触发功能：

·     组播触发功能：启用了该功能的端口会定期（间隔时间通过命令dot1x timer tx-period设置）向客户端组播发送EAP-Request/Identity报文来检测客户端并触发认证。该功能用于支持不能主动发起认证的客户端。

·     单播触发功能：当启用了该功能的端口收到源MAC地址未知的报文时，会主动向该MAC地址单播发送EAP-Request/Identity报文，若端口在指定的时间内（通过命令dot1x timer tx-period设置）没有收到客户端的响应，则重发该报文（重发次数通过命令dot1x retry设置）。该功能适用于客户端不支持主动认证，且仅部分客户端需要进行认证的组网环境，可避免不希望认证或已认证的客户端收到多余的认证触发报文。

表1-12 开启认证触发功能

配置步骤	命令	说明
进入系统视图	system-view	-
配置用户名请求超时定时器	dot1x timer tx-period tx-period-value	可选 缺省情况下，用户名请求超时定时器的值为30秒
进入以太网端口视图	interface interface-type interface-number	-
开启认证触发功能	dot1x { multicast-trigger | unicast-trigger }	可选 缺省情况下，组播触发功能处于开启状态，单播触发功能处于关闭状态

 

 

1.4.11  配置端口的强制认证域

配置端口的强制认证域（mandatory domain）为802.1X接入提供了一种安全控制策略。所有从该端口接入的802.1X用户将被强制使用指定的认证域来进行认证、授权和计费，从而防止用户通过恶意假冒其它域账号从本端口接入网络。另外，管理员也可以通过配置强制认证域对不同端口接入的用户指定不同的认证域，从而增加了管理员部署802.1X接入策略的灵活性。

表1-13 配置端口的强制认证域

配置步骤	命令	说明
进入系统视图	system-view	-
进入以太网端口视图	interface interface-type interface-number	-
配置端口的强制认证域	dot1x mandatory-domain domain-name	必选 缺省情况下，未定义强制认证域

 

1.4.12  配置静默功能

当802.1X用户认证失败以后，设备需要静默一段时间（通过命令dot1x timer quiet-period设置）后再重新发起认证，在静默期间，设备不进行802.1X认证的相关处理。

表1-14 开启静默定时器功能

配置步骤	命令	说明
进入系统视图	system-view	-
配置静默定时器	dot1x timer quiet-period quiet-period-value	可选 缺省情况下，静默定时器的值为60秒
开启静默定时器功能	dot1x quiet-period	必选 缺省情况下，静默定时器功能处于关闭状态

 

 

1.4.13  配置重认证功能

端口启动了802.1X的周期性重认证功能后，设备会根据周期性重认证定时器设定的时间间隔（由命令dot1x timer reauth-period设置）定期向该端口在线802.1X用户发起重认证，以检测用户连接状态的变化、确保用户的正常在线，并及时更新服务器下发的授权属性（例如ACL、VLAN、User Profile）。

表1-15 配置重认证功能

配置步骤	命令	说明
进入系统视图	system-view	-
配置周期性重认证定时器	dot1x timer reauth-period reauth-period-value	可选 缺省情况下，周期性重认证定时器的值为3600秒
进入以太网端口视图	interface interface-type interface-number	-
开启周期性重认证功能	dot1x re-authenticate	必选 缺省情况下，周期性重认证功能处于关闭状态

 

 

1.4.14  配置MAC地址认证用户进行802.1X认证的最大尝试次数

当端口上开启了MAC地址认证和802.1X认证的情况下，若已经通过MAC地址认证的客户端向设备发送了EAP报文请求进行802.1X认证，缺省情况下，设备允许其进行802.1X认证。若该用户通过了802.1X认证，则以802.1X用户的身份上线；若该用户未通过802.1X认证，则后续可能还会进行多次802.1X认证尝试（取决于客户端配置）。若设备并不希望此类用户多次进行无意义的802.1X认证尝试，则可以通过本命令限制认证失败的次数。

表1-16 配置MAC地址认证用户进行802.1X认证的最大尝试次数

操作	命令	说明
进入系统视图	system-view	-
进入二层以太网端口视图	interface interface-type interface-number	-
配置MAC地址认证用户进行802.1X认证的最大尝试次数	dot1x attempts max-fail unsuccessful-attempts	必选

 

1.4.15  配置VLAN组

VLAN组由用户创建生成，用户可将多个VLAN ID加入同一个VLAN组中。

表1-17 配置VLAN组

操作	命令	说明
进入系统视图	system-view	-
创建VLAN组，并进入VLAN组视图	vlan-group group-name	必选 缺省情况下，不存在VLAN组
添加VLAN到指定VLAN组中	vlan-list vlan-list	必选 缺省情况下， VLAN组里没有VLAN成员

 

1.4.16  配置Guest VLAN

配置Guest VLAN之前，需要进行以下配置准备：

·     创建需要配置为Guest VLAN的VLAN。

·     在接入控制方式为Port-based的端口上，保证802.1X的组播触发功能处于开启状态。

·     在接入控制方式为MAC-based的端口上，保证端口类型为Hybrid，端口上的MAC VLAN功能处于使能状态，且不建议将指定的Guest VLAN修改为携带Tag的方式。MAC VLAN功能的具体配置请参考“二层技术-以太网交换配置指导”中的“VLAN”。

表1-18 配置Guest VLAN

配置步骤		命令	说明
进入系统视图		system-view	-
配置指定端口的Guest VLAN	在系统视图下	dot1x guest-vlan guest-vlan-id [ interface interface-list ]	二者必选其一 缺省情况下，端口没有配置Guest VLAN 不同的端口可以配置不同的Guest VLAN，但一个端口最多只能配置一个Guest VLAN
	在以太网端口视图下	interface interface-type interface-number
		dot1x guest-vlan guest-vlan-id

 

 

1.4.17  配置Auth-Fail VLAN

 

配置Auth-Fail VLAN之前，需要进行以下配置准备：

·     创建需要配置为Auth-Fail VLAN的VLAN。

·     在接入控制方式为Port-based的端口上，保证802.1X的组播触发功能处于开启状态。

·     在接入控制方式为MAC-based的端口上，保证端口类型为Hybrid，端口上的MAC VLAN功能处于使能状态，且不建议将指定的Auth-Fail VLAN修改为携带Tag的方式。MAC VLAN功能的具体配置请参考“二层技术-以太网交换配置指导”中的“VLAN”。

表1-19 配置Auth-Fail VLAN

配置步骤	命令	说明
进入系统视图	system-view	-
进入以太网端口视图	interface interface-type interface-number	-
配置指定端口的Auth-Fail VLAN	dot1x auth-fail vlan authfail-vlan-id	必选 缺省情况下，端口没有配置Auth-Fail VLAN 不同的端口可以配置不同的Auth-Fail VLAN，但一个端口最多只能配置一个Auth-Fail VLAN

 

 

1.4.18  配置Critical VLAN

 

配置Critical VLAN之前，需要进行以下配置准备：

·     创建需要配置为Critical VLAN的VLAN。

·     在接入控制方式为Port-based的端口上，保证802.1X的组播触发功能处于开启状态。

·     在接入控制方式为MAC-based的端口上，保证端口类型为Hybrid，端口上的MAC VLAN功能处于使能状态，且不建议将指定的Critical VLAN修改为携带Tag的方式。MAC VLAN功能的具体配置请参考“二层技术-以太网交换配置指导”中的“VLAN”。

当端口加入Critical VLAN后，如果发现有认证服务器可达，可通过配置端口的恢复动作为reinitialize来通知802.1X客户端进行认证。根据端口的接入控制方式不同，具体实现有所不同：

·     接入控制方式为MAC-based时，当发现有认证服务器可达后，处于Critical VLAN的端口会主动向已加入Critical VLAN的MAC地址发送单播报文触发其进行802.1X认证。

·     接入控制方式为Port-based时，当发现有认证服务器可达后，处于Critical VLAN的端口会主动发送组播报文，触发端口上的客户端进行802.1X认证。

表1-20 配置Critical VLAN

配置步骤	命令	说明
进入系统视图	system-view	-
进入二层以太网端口视图	interface interface-type interface-number	-
配置指定端口的Critical VLAN	dot1x critical vlan vlan-id	必选 缺省情况下，端口没有配置Critical VLAN 不同的端口可以配置不同的Critical VLAN，但一个端口最多只能配置一个Critical VLAN
配置指定端口的恢复动作	dot1x critical recovery-action reinitialize	可选 缺省情况下，设备检测到服务器恢复为可达状态后，端口仅仅离开Critical VLAN，不会对用户主动进行认证

 

 

1.4.19  配置Voice VLAN

 

当语音终端（例如IP话机）进行802.1X认证时，如果认证成功，认证服务器根据OUI地址信息识别接入终端类型，并返回给设备一条携带有私有属性的报文告之其接入终端类型为语音终端，设备再根据当前接口下配置的802.1X认证的Voice VLAN功能，通过LLDP或者CDP报文将指定的Voice VLAN信息（指定Voice VLAN带Tag）通告给终端，使终端可以发送携带Voice VLAN Tag的数据流。若该终端下线后从另一接口接入并通过802.1X认证，设备再根据此接口上配置的802.1X认证的Voice VLAN功能，使终端可访问该Voice VLAN资源。

如果在不同接口上配置802.1X认证的Voice VLAN ID不同，可实现不同接口接入的同一个语音终端会被授权访问不同的Voice VLAN资源。

需要注意的是：

·     只有开启802.1X特性的情况下，802.1X认证的Voice VLAN功能才能生效。

·     由于802.1X认证的Voice VLAN是以带Tag的方式下发，因此需要配置接口类型为Hybrid或者为Trunk。关于接口类型的详细介绍请参见“二层技术-以太网交换配置指导”中的“VLAN”。

·     由于802.1X协议定义的EAPOL报文不带VLAN Tag，因此当配置了此功能，给语音终端下发带Tag的Voice VLAN时，需要在设备连接语音终端的接口上配置接口发送802.1X协议报文不带Tag（dot1x eapol untag）。dot1x eapol untag命令的详细介绍请参见“安全配置指导”中的“802.1X”。

·     如果服务器上配置了授权VLAN下发功能，设备会优先根据服务器配置的下发的VLAN属性为终端分配VLAN。在服务器上配置VLAN下发的详细介绍请参见请参见“安全配置指导”中的“802.1X”。

·     由于设备是通过LLDP或者CDP报文将指定的Voice VLAN信息（指定Voice VLAN带Tag）通告给终端，因此设备需要配置LLDP或者LLDP兼容CDP协议。有关LLDP和LLDP兼容CDP的详细信息，请参见“二层技术-以太网交换配置指导”中的“LLDP”。

·     此特性需要和认证服务器（例如FreeRadius）配合使用。H3C的IMC RADIUS服务器不支持此功能。

表1-21 802.1X认证的Voice VLAN配置

操作	命令	说明
进入系统视图	system-view	-
进入以太网接口视图	interface interface-type interface-number	-
配置802.1X认证的Voice VLAN	dot1x voice vlan vlan-id	必选 缺省情况下，没有配置802.1X认证的Voice VLAN

 

1.4.20  配置802.1X支持的域名分隔符

设备对用户的管理是基于ISP域的，每个接入用户都属于一个ISP域。用户所属的ISP域是由用户登录时提供的用户名决定的，若用户名中携带域名，则设备使用该域中的AAA配置对用户进行认证、授权和计费，否则使用系统中的缺省域；若设备指定了802.1X的强制认证域，则无论用户名中是否携带域名，设备均使用指定的强制认证域。因此，设备能够准确解析用户名中的纯用户名和域名对于为用户提供认证服务非常重要。由于不同的802.1X客户端所支持的用户名域名分隔符不同，为了更好地管理和控制不同用户名格式的802.1X用户接入，需要在设备上指定802.1X可支持的域名分隔符。

目前，802.1X支持的域名分隔符包括@、\和/，对应的用户名格式分别为username@domain-name， domain-name\username和username/domain-name，其中username为纯用户名、domain-name为域名。如果用户名中包含有多个域名分隔符字符，则设备仅将第一个出现的域名分隔符识别为实际使用的域名分隔符，其它字符都被认为是域名中的一部分，例如，用户输入的用户名为123/22\@abc，则认为纯用户名为123，域名分隔符为/，域名为22\@abc。

如果用户输入的用户名中不包含任何802.1X可支持的域名分隔符，则设备会认为该用户名并未携带域名，则使用系统中的强制认证域或缺省域对该用户进行认证。

表1-22 指定802.1X支持的域名分隔符

配置步骤	命令	说明
进入系统视图	system-view	-
指定802.1X支持的域名分隔符	dot1x domain-delimiter string	可选 缺省情况下，仅支持域名分隔符@

 

 

1.4.21  配置端口发送802.1X协议报文不带Tag

802.1X用户在服务器上通过认证后，服务器会把授权信息传送给设备端。如果服务器上指定了授权给该用户的VLAN以带Tag的方式下发，则设备与用户相连的端口将以带Tag的方式加入该授权VLAN，即，端口以带Tag的方式发送该VLAN的报文。

 

EAPOL是802.1X协议定义的一种承载EAP报文的封装协议，主要用于在局域网中传送客户端和设备端之间的EAP协议报文。由于EAPOL封装不带VLAN Tag，因此若服务器上指定了授权给用户的VLAN以带Tag的方式下发，为了保证802.1X协议报文在用户与设备之间正常交互，需要在设备连接用户的端口上配置端口发送802.1X协议报文不带Tag功能。

表1-23 配置端口发送802.1X协议报文不带Tag

配置步骤	命令	说明
进入系统视图	system-view	-
进入二层以太网端口视图	interface interface-type interface-number	-
配置端口发送802.1X协议报文不带Tag	dot1x eapol untag	可选 缺省情况下，端口发送的802.1X协议报文是否携带Tag由端口配置和动态授权VLAN决定

 

1.4.22  配置802.1X认证的MAC地址绑定

 

配置802.1X认证的MAC地址绑定功能后，系统会将通过802.1X认证上线用户的MAC地址与用户接入接口绑定，自动生成802.1X认证的MAC地址绑定表项；也可通过dot1x binding-mac mac-address命令来手工配置802.1X认证MAC地址绑定表项。这两种方式产生的802.1X认证MAC地址绑定表项都不会自动老化。

此功能受端口允许同时接入802.1X用户数的最大值（通过dot1x max-user命令配置）影响，当表项数等于端口允许同时接入802.1X用户最大用户数时，只有MAC地址绑定表项里的用户可以进行802.1X认证，其他用户认证失败；并且新的表项也不能被创建。

例如，如果开启了802.1X认证的MAC地址绑定功能，并且配置了端口允许同时接入802.1X用户数的最大值为1，此时只能有一个用户通过802.1X认证上线，并且此用户下线后其MAC地址表项不会老化，所以更换为其他MAC地址的用户进行认证会提示认证失败。

需要注意的是：

·     只有在802.1X认证采用基于MAC的接入控制方式时，802.1X认证的MAC地址绑定功能才生效。

·     只有在802.1X认证的MAC地址绑定功能处于开启状态，且接口为基于MAC的接入控制方式的情况下，手工配置802.1X认证的MAC地址绑定表项才能生效。

·     802.1X认证的MAC地址绑定表项不会自动老化，即使该用户下线后或设备保存配置重启后也不会删除此绑定表项。只能通过undo dot1x binding-mac mac-address命令手工删除表项。用户在线时，不允许删除此表项。

表1-24 802.1X认证的MAC地址绑定功能配置

操作	命令	说明
进入系统视图	system-view	-
进入二层以太网接口视图	interface interface-type interface-number	-
开启802.1X认证的MAC地址绑定功能	dot1x binding-mac enable	缺省情况下，802.1X认证的MAC地址绑定功能处于关闭状态
手工配置802.1X认证MAC地址绑定表项	dot1x binding-mac mac-address	可选 缺省情况下，接口没有配置802.1X认证的MAC地址绑定表项

 

1.5  802.1X显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后802.1X的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除802.1X的统计信息。

表1-25 802.1X显示和维护

操作	命令
显示802.1X的会话连接信息、相关统计信息或配置信息	display dot1x [ sessions | statistics ] [ interface interface-list ] [ | { begin | exclude | include } regular-expression ]
清除802.1X的统计信息	reset dot1x statistics [ interface interface-list ]

 

1.6  802.1X典型配置举例

1.6.1  802.1X认证配置举例

1. 组网需求

用户通过Device的端口Ethernet1/0/1接入网络，设备对该端口接入的用户进行802.1X认证以控制其访问Internet，具体要求如下：

·     由两台RADIUS服务器组成的服务器组与Device相连，其IP地址分别为10.1.1.1/24和10.1.1.2/24，使用前者作为主认证/计费服务器，使用后者作为备份认证/计费服务器。

·     端口Ethernet1/0/1下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。

·     认证时，首先进行RADIUS认证，如果RADIUS服务器没有响应则进行本地认证；计费时，如果RADIUS计费失败则切断用户连接使其下线。

·     所有接入用户都属于同一个ISP域example.com，该域中最多可容纳30个用户。

·     Device与RADIUS认证服务器交互报文时的共享密钥为name、与RADIUS计费服务器交互报文时的共享密钥为money。

2. 组网图

图1-11 802.1X认证组网图

 

3. 配置步骤

 

(1)     配置各接口的IP地址（略）

(2)     配置本地用户

# 添加本地用户，用户名为localuser，密码为明文输入的localpass。（此处添加的本地用户的用户名和密码需要与服务器端配置的用户名和密码保持一致，本例中的localuser仅为示例，请根据实际情况配置）

<Device> system-view

[Device] local-user localuser

[Device-luser-localuser] service-type lan-access

[Device-luser-localuser] password simple localpass

# 启动闲置切断功能，并指定正常连接时用户空闲时间超过20分钟，则切断其连接。

[Device-luser-localuser] authorization-attribute idle-cut 20

[Device-luser-localuser] quit

(3)     配置RADIUS方案

# 创建RADIUS方案radius1并进入其视图。

[Device] radius scheme radius1

# 配置主认证/计费RADIUS服务器的IP地址。

[Device-radius-radius1] primary authentication 10.1.1.1

[Device-radius-radius1] primary accounting 10.1.1.1

# 配置备份认证/计费RADIUS服务器的IP地址。

[Device-radius-radius1] secondary authentication 10.1.1.2

[Device-radius-radius1] secondary accounting 10.1.1.2

# 配置Device与认证/计费RADIUS服务器交互报文时的共享密钥。

[Device-radius-radius1] key authentication name

[Device-radius-radius1] key accounting money

# 配置发送给RADIUS服务器的用户名不携带域名。

[Device-radius-radius1] user-name-format without-domain

[Device-radius-radius1] quit

 

(4)     配置ISP域

# 创建域example.com并进入其视图。

[Device] domain example.com

# 配置802.1X用户使用RADIUS方案radius1进行认证、授权、计费，并采用local作为备选方法。

[Device-isp-example.com] authentication lan-access radius-scheme radius1 local

[Device-isp-example.com] authorization lan-access radius-scheme radius1 local

[Device-isp-example.com] accounting lan-access radius-scheme radius1 local

# 配置该域最多可容纳30个用户。

[Device-isp-example.com] access-limit enable 30

# 启动闲置切断功能，并指定正常连接时用户空闲时间超过20分钟，则切断其连接。

[Device-isp-example.com] idle-cut enable 20

[Device-isp-example.com] quit

# 指定域example.com为缺省的ISP域。如果用户在登录时没有提供ISP域名，系统将把它归于该缺省的ISP域。

[Device] domain default enable example.com

(5)     配置802.1X

# 开启全局802.1X特性。

[Device] dot1x

# 开启指定端口Ethernet1/0/1的802.1X特性。

[Device] interface ethernet 1/0/1

[Device-Ethernet1/0/1] dot1x

[Device-Ethernet1/0/1] quit

# 配置基于MAC地址的接入控制方式（该配置可选，因为端口的接入控制在缺省情况下就是基于MAC地址的）。

[Device] dot1x port-method macbased interface ethernet 1/0/1

4. 验证配置结果

使用命令display dot1x interface ethernet 1/0/1可以查看802.1X的配置情况。当802.1X用户输入正确的用户名和密码成功通过RADIUS认证上线后，可使用命令display connetion查看到上线用户的连接情况。若RADIUS服务器无响应，则进行本地认证。

1.6.2  802.1X认证配合Guest VLAN、VLAN下发配置举例

1. 组网需求

如图1-12所示，一台主机通过802.1X认证接入网络，认证服务器为RADIUS服务器。Host接入Device的端口Ethernet1/0/2在VLAN 1内；认证服务器在VLAN 2内；Update Server是用于客户端软件下载和升级的服务器，在VLAN 10内；Device连接Internet网络的端口Ethernet1/0/3在VLAN 5内。现有如下组网需求：

·     若一定的时间内端口上无客户端进行认证，则将该端口Ethernet1/0/2加入Guest VLAN（VLAN 10）中，此时Host和Update Server都在VLAN 10内，Host可以访问Update Server并下载802.1X客户端。

·     用户认证成功上线后，认证服务器下发VLAN 5，此时Host和连接Internet网络的端口Ethernet1/0/3都在VLAN 5内，Host可以访问Internet。

2. 组网图

图1-12 Guest VLAN及VLAN下发组网图

 

3. 配置步骤

 

(1)     创建VLAN并将端口加入对应VLAN

<Device> system-view

[Device] vlan 1

[Device-vlan1] port ethernet 1/0/2

[Device-vlan1] quit

[Device] vlan 10

[Device-vlan10] port ethernet 1/0/1

[Device-vlan10] quit

[Device] vlan 2

[Device-vlan2] port ethernet 1/0/4

[Device-vlan2] quit

[Device] vlan 5

[Device-vlan5] port ethernet 1/0/3

[Device-vlan5] quit

(2)     配置RADIUS方案

# 创建RADIUS方案2000并进入其视图。

[Device] radius scheme 2000

# 配置主认证/计费RADIUS服务器及其共享密钥。

[Device-radius-2000] primary authentication 10.11.1.1 1812

[Device-radius-2000] primary accouting 10.11.1.1 1813

[Device-radius-2000] key authentication abc

[Device-radius-2000] key accouting abc

# 配置发送给RADIUS服务器的用户名不携带域名。

[Device-radius-2000] user-name-format without-domain

[Device-radius-2000] quit

(3)     配置ISP域

# 创建域bbb并进入其视图。

[Device] domaim bbb

# 配置802.1X用户使用RADIUS方案2000进行认证、授权、计费。

[Device-isp-bbb] authentication lan-access radius-scheme 2000

[Device-isp-bbb] authorization  lan-access radius-scheme 2000

[Device-isp-bbb] accounting lan-access radius-scheme 2000

[Device-isp-bbb] quit

(4)     配置802.1X

# 开启全局802.1X特性。

[Device] dot1x

# 开启指定端口的802.1X特性。

[Device] interface ethernet 1/0/2

[Device-Ethernet1/0/2] dot1x

# 配置端口上进行接入控制的方式为portbased。

[Device-Ethernet1/0/2] dot1x port-method portbased

# 配置端口的授权状态为auto。（此配置可选，端口的授权状态缺省为auto）

[Device-Ethernet1/0/2] dot1x port-control auto

[Device-Ethernet1/0/2] quit

# 配置指定端口的Guest VLAN。

[Device] dot1x guest-vlan 10 interface ethernet 1/0/2

4. 验证配置结果

通过命令display dot1x interface ethernet 1/0/2可以查看端口Ethernet1/0/2上Guest VLAN的配置情况。

若在指定的时间之内无客户端进行认证或者无客户端认证成功，则通过命令display vlan 10可以查看到端口Ethernet1/0/2加入了配置的Guest VLAN。

在用户认证成功之后，通过display interface ethernet 1/0/2可以看到用户接入的端口Ethernet1/0/2加入了认证服务器下发的VLAN 5中。

1.6.3  802.1X认证配合下发ACL配置举例

1. 组网需求

用户通过Device的端口Ethernet1/0/1接入网络，Device对该端口接入的用户进行802.1X认证以控制其访问Internet，具体要求如下：

·     使用RADIUS服务器10.1.1.1/24作为认证/授权服务器，RADIUS服务器10.1.1.2/24作为计费服务器；

·     通过认证服务器下发ACL，禁止上线的802.1X用户在工作日的工作时间（8:00～18:00）访问IP地址为10.0.0.1/24的FTP服务器。

2. 组网图

图1-13 下发ACL典型组网图

 

3. 配置步骤

 

# 配置各接口的IP地址（略）。

# 配置RADIUS方案。

<Device> system-view

[Device] radius scheme 2000

[Device-radius-2000] primary authentication 10.1.1.1 1812

[Device-radius-2000] primary accounting 10.1.1.2 1813

[Device-radius-2000] key authentication abc

[Device-radius-2000] key accounting abc

[Device-radius-2000] user-name-format without-domain

[Device-radius-2000] quit

# 配置ISP域的AAA方法。

[Device] domaim 2000

[Device-isp-2000] authentication default radius-scheme 2000

[Device-isp-2000] authorization  default radius-scheme 2000

[Device-isp-2000] accounting default radius-scheme 2000

[Device-isp-2000] quit

# 配置名为ftp的时间段，其时间范围为每周工作日的8点到18点。

[Device] time-range ftp 8:00 to 18:00 working-day

# 配置ACL 3000，拒绝用户在工作日的工作时间内访问FTP服务器10.0.0.1的报文通过。

[Device] acl number 3000

[Device-acl-adv-3000] rule 0 deny ip destination 10.0.0.1 0 time-range ftp

[Device-acl-adv-3000] quit

# 开启全局802.1X特性。

[Device] dot1x

# 开启指定端口的802.1X特性。

[Device] interface ethernet 1/0/1

[Device-Ethernet1/0/1] dot1x

4. 验证配置结果

当用户认证成功上线后，在工作日的工作时间Ping FTP服务器。

C:\>ping 10.0.0.1

 

Pinging 10.0.0.1 with 32 bytes of data:

 

Request timed out.

Request timed out.

Request timed out.

Request timed out.

 

Ping statistics for 10.0.0.1:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

由以上过程可知，用户无法ping通FTP服务器，说明认证服务器下发的ACL已对该用户生效。

2 802.1X支持EAD快速部署配置

 

2.1  802.1X支持EAD快速部署简介

2.1.1  概述

EAD（Endpoint Admission Defense，端点准入防御）作为一个网络端点接入控制方案，它通过安全客户端、安全策略服务器、接入设备以及第三方服务器的联动，加强了对用户的集中管理，提升了网络的整体防御能力。但是在实际的应用过程中EAD客户端的部署工作量很大，例如，需要网络管理员手动为每一个EAD客户端下载、升级客户端软件，这在EAD客户端数目较多的情况下给管理员带来了操作上的不便。

802.1X认证支持的EAD快速部署功能就可以解决以上问题，它允许未通过认证的802.1X用户访问一个特定的IP地址段，并可以将用户发起的HTTP访问请求重定向到该IP地址段中的一个指定的URL，实现用户自动下载并安装EAD客户端的目的。

2.1.2  实现机制

802.1X支持的EAD快速部署是通过以下两个功能配合实现的。

1. 未认证用户可访问免认证网段（Free IP）

802.1X终端用户在认证成功之前，可以访问一个免认证的IP地址段，也称为Free IP。该IP地址段中可以配置一个或多个特定服务器，用于提供EAD客户端的下载升级或者动态地址分配等服务。

2. 用户HTTP访问URL的重定向

802.1X终端用户在认证成功之前，如果使用浏览器访问网络，设备会将用户访问的URL重定向到已配置的URL（例如，重定向到EAD客户端下载界面），这样只要用户打开浏览器，就必须进入管理员预设的界面。提供重定向URL的服务器必须位于用户受限访问的特定网段内。

2.2  配置EAD快速部署

 

2.2.1  配置准备

·     开启全局802.1X特性

·     开启指定端口的802.1X特性，并指定端口的授权模式为auto

2.2.2  配置Free IP

配置Free IP之后，EAD的快速部署功能将立即处于使能状态。未通过认证的802.1X终端用户可以访问该IP地址段中的网络资源。

表2-1 配置用户可访问的免认证网段

配置步骤	命令	说明
进入系统视图	system-view	-
配置Free IP	dot1x free-ip ip-address { mask-address | mask-length }	必选 缺省情况下，未定义Free IP

 

 

2.2.3  配置用户HTTP访问的重定向URL

终端用户在802.1X认证成功之前（包括认证失败）发起的HTTP访问请求都会被设备重定向到本命令配置的URL。

表2-2 配置用户HTTP访问的重定向URL

配置步骤	命令	说明
进入系统视图	system-view	-
配置用户HTTP访问的重定向URL	dot1x url url-string	必选 缺省情况下，未定义重定向URL

 

 

2.2.4  配置EAD规则的老化时间

EAD快速部署功能通过制订EAD规则（通常为ACL规则）来给予未通过认证的终端用户受限制的网络访问权限，在用户认证成功后，所占用的ACL将被释放。由于设备支持的ACL数量有限，当大量用户同时上线时，ACL资源将迅速被占用，如果没有用户认证成功，将出现ACL数量不足的情况，这样会导致一部分新接入的用户无法上线。

管理员可以通过配置EAD规则的老化时间来控制用户对ACL资源的占用，当用户访问网络时该定时器即开始计时，在定时器超时或者用户下载客户端并成功通过认证之后，该用户所占用的ACL资源即被删除，这样那些在老化时间内未进行任何操作的用户所占用的ACL资源会及时得到释放。在接入用户数量较多时，可以将超时时间适当缩短，以提高ACL的使用效率。

表2-3 配置EAD规则老化超时时间

配置步骤	命令	说明
进入系统视图	system-view	-
配置EAD规则老化时间	dot1x timer ead-timeout ead-timeout-value	可选 缺省情况下，EAD规则老化时间为30分钟

 

2.3  EAD快速部署显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后EAD快速部署的运行情况，通过查看显示信息验证配置的效果。

表2-4 EAD快速部署显示和维护

操作	命令
显示802.1X的会话连接信息、相关统计信息或配置信息	display dot1x [ sessions | statistics ] [ interface interface-list ]

 

2.4  EAD快速部署典型配置举例

1. 组网需求

某公司用户主机通过Device接入Internet，并通过DHCP服务器动态获取IP地址。目前，公司部署EAD解决方案，要求所有用户主机通过802.1X认证上网，因此需要所有主机上安装配套的802.1X客户端。由于网络中的用户主机数量较大，为减轻网络管理员安装以及升级802.1X客户端的工作量，在192.168.2.0/24网段部署一台Web服务器专门提供客户端软件下载。具体要求如下：

·     未进行802.1X认证或者802.1X认证失败的用户，只能访问192.168.2.0/24网段。

·     未进行802.1X认证或者802.1X认证失败的用户通过浏览器访问非192.168.2.0/24网段的外部网络时，用户访问的页面均会被Device重定向至管理员预设的Web服务器页面，该Web服务器页面将提示用户进行802.1X客户端的下载。

·     用户成功通过802.1X认证之后，可正常访问网络。

2. 组网图

图2-1 EAD快速部署典型配置组网图

 

3. 配置步骤

 

(1)     配置各接口的IP地址（略）

(2)     配置DHCP服务器

# 使能DHCP服务。

<Device> system-view

[Device] dhcp enable

# 配置接口Vlan-interface2工作在DHCP服务器模式。

[Device] interface vlan-interface 2

[Device-Vlan-interface2] dhcp select server global-pool

[Device-Vlan-interface2] quit

# 配置DHCP地址池0的属性（网段、网关）。

[Device] dhcp server ip-pool 0

[Device-dhcp-pool-0] network 192.168.1.0 mask 255.255.255.0

[Device-dhcp-pool-0] gateway-list 192.168.1.1

[Device-dhcp-pool-0] quit

(3)     配置RADIUS方案和ISP域

请参见“1.6.1  802.1X认证配置举例”。

(4)     配置802.1X

# 配置Free IP。

[Device] dot1x free-ip 192.168.2.0 24

# 配置IE访问的重定向URL。

[Device] dot1x url http://192.168.2.3

# 开启全局802.1X特性。

[Device] dot1x

# 开启指定端口的802.1X特性。

[Device] interface ethernet 1/0/1

[Device-Ethernet1/0/1] dot1x

4. 验证配置结果

以上配置完成之后，执行命令display dot1x可以查看802.1X的配置情况。用户主机成功获得DHCP服务器分配的IP地址之后，在Windows XP操作系统的主机上执行ping Free IP中的地址，可验证在802.1X认证成功之前是否可以访问免认证网段192.168.2.0/24。

C:\>ping 192.168.2.3

 

Pinging 192.168.2.3 with 32 bytes of data:

 

Reply from 192.168.2.3: bytes=32 time<1ms TTL=128

Reply from 192.168.2.3: bytes=32 time<1ms TTL=128

Reply from 192.168.2.3: bytes=32 time<1ms TTL=128

Reply from 192.168.2.3: bytes=32 time<1ms TTL=128

 

Ping statistics for 192.168.2.3:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 0ms, Average = 0ms

用户在802.1X认证成功之前，通过浏览器访问任何非Free IP的外部网站地址时，都会被重定向到Web server页面，此页面提供802.1X客户端的下载服务。需要注意的是，地址栏内输入的地址应该为非Free IP地址才有效，例如3.3.3.3或者http://3.3.3.3。

2.5  常见配置错误举例

2.5.1  用户通过浏览器访问外部网络不能正确重定向

1. 故障现象

用户在浏览器中输入地址，但该HTTP访问不能被正确重定向到指定的URL服务器。

2. 故障分析

·     用户在浏览器地址栏内输入了字符串类型的地址。由于用户主机使用的操作系统首先会将这个字符串地址作为名字进行网络地址解析，如果解析不成功通常会以非X.X.X.X形式的网络地址发送ARP请求，这样的请求不能进行重定向；

·     用户在IE地址栏内输入了Free IP内的任意地址。设备会认为用户试图访问Free IP内的某台主机，而不对其进行重定向，即使这台主机不存在；

·     用户在配置和组网时没有将服务器加入Free IP，或者配置的URL为不存在的地址，或者该URL指向的服务器没有提供Web服务。

3. 处理过程

·     地址栏内输入的地址应该为X.X.X.X（点分十进制格式）的非Free IP地址才有效。

·     确保设备及服务器上的配置正确且有效。