- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
23-H3C MSR系列路由器 802.1X结合Radius服务器典型配置举例
本章节下载 (358.00 KB)
H3C MSR系列路由器
802.1X结合RADIUS服务器配置举例
Copyright © 2022-2023 新华三技术有限公司 版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
本文档中的信息可能变动，恕不另行通知。
目 录
本文档介绍MSR系列路由器802.1X通过RADIUS服务器进行身份认证对用户实施接入控制的典型配置举例。
本文档适用于使用Comware V7软件版本的MSR系列路由器，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解AAA和802.1X特性。
如图1所示，用户通过Router的端口GigabitEthernet1/0/1接入网络，iMC作为RADIUS认证服务器，要求通过RADIUS服务器对该端口接入的用户进行802.1X认证以控制其访问Internet。具体要求如下：
· Router向RADIUS服务器发送的用户名不携带域名；
· Host用户认证使用的用户名为localuser；
· 在Router上配置本地认证作为备份认证方式，当RADIUS服务器无响应时，采用本地认证；
· 配置基于端口的接入控制方式，并采用强制认证域bbb认证802.1X用户。
图1 通过RADIUS服务器对用户进行802.1X认证配置组网图
本举例是在R6728版本上进行配置和验证的。
· 本例仅在安装了二层交换卡和有固定二层接口的设备上才能实现。
· Router和RADIUS服务器的参数（如共享密钥、认证与计费端口号等）配置要一致。
登录进入iMC管理平台，选择“用户”页签，单击左侧导航树中的“接入策略管理 > 接入设备管理 > 接入设备配置”菜单项，进入“接入设备配置”页面；在该页面中单击“增加”按钮，进入“增加接入设备”页面。
(1) 设置认证端口和计费端口分别为“1812”和“1813”；
(2) 选择接入设备类型为“H3C（General）”；
(3) 设置与Device交互报文时的共享密钥为“name”，并确认该共享密钥；
(4) 选择或手工增加接入设备，添加IP地址为192.168.100.2的接入设备。
(5) 其它参数采用缺省值，单击<确定>按钮完成操作。
图2 增加接入设备
# 增加服务配置。
选择“用户”页签，单击导航树中的“接入策略管理 > 接入服务管理”菜单项，进入“接入服务管理”页面，在该页面中单击“增加”按钮，进入“增加接入服务”页面。
(1) 输入服务名“dot1x auth”；
(2) 其它参数采用缺省值，并单击<确定>按钮完成操作。
图3 增加服务配置
选择“用户”页签，单击导航树中的“接入用户管理 > 接入用户”菜单项，进入“接入用户”列表页面，在该页面中单击<增加>按钮，进入“增加接入用户”页面。
(1) 点击<增加用户>按钮，把接入用户关联到平台用户上。本例假设关联到平台用户test上；
(2) 输入账号名“localuser”和密码“localpass”；
(4) 单击<确定>按钮完成操作。
图4 增加接入用户
# 配置虚接口Vlan-interface1的IP地址。
[Router] interface vlan-interface 1
[Router-Vlan-interface1] ip address 192.168.200.1 255.255.255.0
[Router-Vlan-interface1] quit
# 配置接口GigabitEthernet1/0/2的IP地址。
[Router] interface gigabitethernet 1/0/2
[Router-GigabitEthernet1/0/2] ip address 192.168.100.2 255.255.255.0
[Router-GigabitEthernet1/0/2] quit
# 配置本地接入类用户localuser和密码。
[Router] local-user localuser class network
[Router-luser-network-localuser] password simple localpass
[Router-luser-network-localuser] service-type lan-access
[Router-luser-network-localuser] quit
# 创建RADIUS方案radius1。
[Router] radius scheme radius1
# 配置主认证RADIUS服务器的IP地址为192.168.100.250，端口号为1812,密码为name。
[Router-radius-radius1] primary authentication 192.168.100.250 1812 key simple name
# 配置主计费RADIUS服务器的IP地址为192.168.100.250，端口号为1813,密码为name。
[Router-radius-radius1] primary accounting 192.168.100.250 1813 key simple name
# 配置发送给RADIUS服务器的用户名不携带域名。
[Router-radius-radius1] user-name-format without-domain
[Router-radius-radius1] quit
# 配置ISP域。
[Router-isp-bbb] authentication lan-access radius-scheme radius1 local
[Router-isp-bbb] authorization lan-access radius-scheme radius1 local
[Router-isp-bbb] accounting lan-access radius-scheme radius1 local
[Router-isp-bbb] quit
# 配置端口GigabitEthernet1/0/1的802.1X功能。
[Router] interface gigabitethernet 1/0/1
[Router-GigabitEthernet1/0/1] dot1x
# 配置基于端口的接入控制方式（默认为基于MAC地址），并采用强制认证域bbb认证802.1X用户。
[Router-GigabitEthernet1/0/1] dot1x port-method portbased
[Router-GigabitEthernet1/0/1] dot1x mandatory-domain bbb
[Router-GigabitEthernet1/0/1] quit
# 开启全局802.1X。
<Router> system-view
[Router] dot1x
# 使用命令display dot1x interface可以查看端口GigabitEthernet1/0/1上的802.1X的配置情况。
[Router] display dot1x interface gigabitethernet 1/0/1
Global 802.1X parameters:
802.1X authentication : Enabled
CHAP authentication : Enabled
Max-tx period : 30 s
Handshake period : 15 s
Quiet timer : Disabled
Quiet period : 60 s
Supp timeout : 30 s
Server timeout : 100 s
Reauth period : 3600 s
Max auth requests : 2
SmartOn supp timeout : 30 s
SmartOn retry counts : 3
EAD assistant function : Disabled
EAD timeout : 30 min
Domain delimiter : @
Online 802.1X wired users : 0
GigabitEthernet1/0/1 is link-up
802.1X authentication : Enabled
Handshake : Enabled
Handshake reply : Disabled
Handshake security : Disabled
Unicast trigger : Disabled
Periodic reauth : Disabled
Port role : Authenticator
Authorization mode : Auto
Port access control : Port-based
Multicast trigger : Enabled
Mandatory auth domain : bbb
Guest VLAN : Not configured
Auth-Fail VLAN : Not configured
Critical VLAN : Not configured
Critical voice VLAN : Disabled
Re-auth server-unreachable : Logoff
Max online users : 4294967295
SmartOn : Disabled
EAPOL packets: Tx 39, Rx 2
Sent EAP Request/Identity packets : 39
EAP Request/Challenge packets: 0
EAP Success packets: 0
EAP Failure packets: 0
EAP Notification packets: 0
Received EAPOL Start packets : 1
EAPOL LogOff packets: 1
EAP Response/Identity packets : 0
EAP Response/Challenge packets: 0
Error packets: 0
Online 802.1X users: 0
# 当802.1X用户输入正确的用户名和密码成功上线后，可使用命令display dot1x sessions查看到上线用户的连接情况。
# 断开与RADIUS服务器的连接后，用户重新输入用户名和密码进行802.1X认证可以成功上线。
#
dot1x
#
interface Vlan-interface1
ip address 192.168.200.1 255.255.255.0
#
interface GigabitEthernet1/0/2
port link-mode route
ip address 192.168.100.2 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-mode bridge
dot1x mandatory-domain bbb
dot1x port-method portbased
dot1x
#
radius scheme radius1
primary authentication 192.168.100.250 key cipher $c$3$Ua8m/JVT48sS4hXncslGCkRa
VEbAbk
primary accounting 192.168.100.250 key cipher $c$3$x0HaZfI2XD6iXBE5E/zTEgEopD8C
eyI=
user-name-format without-domain
#
domain bbb
authentication lan-access radius-scheme radius1 local
authorization lan-access radius-scheme radius1 local
accounting lan-access radius-scheme radius1 local
#
local-user localuser class network
password cipher $c$3$TFxtbGxKPAxP3LUXfHeUuky7uuaBi9jAmoCnWA==
service-type lan-access
authorization-attribute user-role network-operator
#
· 《H3C MSR 系列路由器 配置指导(V7)》中的“安全配置指导”
· 《H3C MSR 系列路由器 命令参考(V7)》中的“安全命令参考”
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
