下载本文档
版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
1、1 功能需求及组网说明配置环境参数1. 交换机vlan10包含端口E0/1-E0/10接口地址10.10.1.1/242. 交换机vlan20包含端口E0/11-E0/20接口地址10.10.2.1/243. 交换机vlan100包含端口G1/1接口地址192.168.0.1/244. RADIUS server地址为19
2、2.168.0.100/245. 本例中交换机为三层交换机组网需求1. PC1和PC2能够通过交换机本地认证上网2. PC1和PC2能够通过RADIUS认证上网2 数据配置步骤802.1X本地认证流程用户输入用户名和密码,报文送达交换机端口,此时交换机相应端口对于此用户来说是非授权状态,报文打上相应端口的PVID,然后根据用户名所带域名送到相应域中进行认证,如果没有带域名
3、就送到缺省域中进行认证,如果存在相应的用户名和密码,就返回认证成功消息,此时端口对此用户变为授权状态,如果用户名不存在或者密码错误等,就返回认证不成功消息,端口仍然为非授权状态。【SwitchA相关配置】1. 创建(进入)vlan10SwitchAvlan 102. 将E0/1-E0/10加入到vlan10SwitchA-vlan10port Ethernet 0/1 to Ethernet 0/103. 创建(进入)vlan10的虚接口Swit
4、chAinterface Vlan-interface 104. 给vlan10的虚接口配置IP地址SwitchA-Vlan-interface10ip address 10.10.1.1 255.255.255.05. 创建(进入)vlan20SwitchA-vlan10vlan 206. 将E0/11-E0/20加入到vlan20SwitchA-vlan20port Ethernet 0/11 to Ethernet 0/207.
5、 创建(进入)vlan20虚接口SwitchAinterface Vlan-interface 208. 给vlan20虚接口配置IP地址SwitchA-Vlan-interface20ip address 10.10.2.1 255.255.255.09. 创建(进入)vlan100SwitchAvlan 10010. 将G1/1加入到vlan100SwitchA-vlan100port GigabitEthernet 1/111.&
6、#160; 创建进入vlan100虚接口SwitchAinterface Vlan-interface 10012. 给vlan100虚接口配置IP地址SwitchA-Vlan-interface100ip address 192.168.0.1 255.255.255.0【802.1X本地认证缺省域相关配置】1. 在系统视图下开启802.1X功能,默认为基于MAC的认证方式SwitchAdot1x2. 在E0/1-E0/10端口上开启802
7、.1X功能,如果dot1x interface后面不加具体的端口,就是指所有的端口都开启802.1XSwitchAdot1x interface eth 0/1 to eth 0/103. 这里采用缺省域system,并且缺省域引用缺省radius方案system。SwitchAlocal-user test4. 设置该用户密码(明文)SwitchA-user-testpassword simple test5. 设置该用户接入类型为802.1X
8、SwitchA-user-testservice-type lan-access6. 激活该用户SwitchA-user-teststate active【802.1X本地认证自建域相关配置】1. 在系统视图下开启802.1X功能,默认为基于MAC的认证方式SwitchAdot1x2. 在E0/1-E0/10端口上开启802.1X功能,如果dot1x interface后面不加具体的端口,就是指所有的端口都开启802.1XSwitchAdot1x
9、 interface eth 0/1 to eth 0/103. 设置认证方式为radiusSwitchAradius scheme radius14. 设置主认证服务器为本地,端口号1645SwitchA-radius-radius1primary authentication 127.0.0.1 16455. 设置主计费服务器为本地,端口号1646SwitchA-radius-radius1primary account
10、ing 127.0.0.1 16466. 这里本地用户认证采用自建域huaweiSwitchAdomain Huawei7. 在域中引用认证方案radius1SwitchA-isp-huaweiradius-scheme radius18. 设置本地用户名testhuaweiSwitchAlocal-user testhuawei9. 设置用户密码(明文)SwitchA-user-testhuaw
11、eipassword simple test10. 设置用户接入类型为802.1XSwitchA-user-testhuaweiservice-type lan-access11. 激活该用户SwitchA-user-testhuaweistate active802.1X RADIUS认证流程用户输入用户名和密码,报文送达交换机端口,此时交换机相应端口对于此用户来说是非授权状态,报文打上相应端口的PVID,然后根据用户名所带域名送到相应域中进行认证,如果该域配置了radius认证方式,那么交换机就把该报文转为radius报文送给相应的认证和计费服务
12、器,认证和计费服务器如果存在相应的用户名和密码,就返回认证成功消息给交换机,此时端口对此用户变为授权状态,如果用户名不存在或者密码错误等,就返回认证不成功消息给交换机,端口仍然为非授权状态。【802.1X RADIUS认证相关配置】1. 在系统视图下开启802.1X功能,默认为基于MAC的方式SwitchAdot1x2. 在E0/1-E0/10端口上开启802.1X功能,如果dot1x interface后面不加具体的端口,就是指所有的端口都开启802.1XSwitchAdot1x interf
13、ace eth 0/1 to eth 0/103. 设置认证方式为radius,radius认证不成功取本地认证SwitchAradius scheme radius14. 设置主认证服务器SwitchA-radius-radius1primary authentication 192.168.0.1005. 设置主计费服务器SwitchA-radius-radius1primary accounting 192.168.0
14、.1006. 设置交换机与认证服务器的密钥,二者应保持一致SwitchA-radius-radius1key authentication test7. 设置交换机与计费服务器的密钥,二者应保持一致SwitchA-radius-radius1key accounting test8. 交换机送给radius的报文不带域名SwitchA-radius-radius1user-name-format without-domain9.
15、160; 这里用户认证采用自建域huaweiSwitchAdomain Huawei10. 在域中引用认证方案radius1SwitchA-isp-huaweiradius-scheme radius1【802.1X 代理检测相关配置】l 检测到用户使用代理强制用户下线SwitchAdot1x supp-proxy-check logoffl 在指定的端口上检测到用户使用代理强制用户下线Switch
16、Adot1x supp-proxy-check logoff inter eth 0/1 to eth 0/10l 检测到用户使用代理交换机输出trap信息SwitchAdot1x supp-proxy-check trap上述几个配置不要求全配,可以选择任意一个或者组合使用【二层交换机作isolate-user-vlan radius认证】l 由于交换机送往radius的报文要进行源地址替换,报文源地址被替换成相应的网关或者管理地址,本地认证
17、不存在此问题l 如果是三层交换机为例,配置了各个vlan的相应接口地址,由于交换机送往radius的报文要进行源地址替换,报文源地址被替换成相应的网关地址l 如果是二层交换机作isolate-user-vlan,那么要求isolate-user-vlan上配置IP地址,而且保证此地址能够与radius服务器互通l 如果是二层交换机开启802.1X,上行口作vlan透传,
18、远端接radius服务器,要求二层交换机配置管理IP地址,保证此地址能够与radius服务器互通【补充说明】l 一般情况下接入端用户名需要加上域,本例客户端认证的时候输入用户名时就需要加上域名;l 可以在系统视图下通过命令domain default enable domain-name 来指定缺省的域名,这样如果用户进行认证的时候没有输入域名,则采用缺省指定域名来进行认证和计费;l 新的版本也将支持多种认证方式(PAP、CHAP、EAP-MAD5),请在系统视图下通过命令dot1x authentication-method xxx来配置(如果命令行没有这条命令,这说明当前版本不支持多种认证方式,只支持缺省的CHAP认证方式。) 3 测试验证1. 本地认证缺省域用户上线,需要输入用户名test,密码test2.
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- 钻孔桩混凝土质量不达标导致断桩原因分析及处理措施
- 2024年家具机械行业分析:中国家具机械市场收入有望达到8716亿元
- 2024-2025学年小学科学三年级下册青岛版(六三制2024)教学设计合集
- 2024-2025学年高中地理选修1中图版教学设计合集
- 2024-2025学年初中信息技术(信息科技)九年级全一册赣科版教学设计合集
- 18岁成年礼父母感言
- 2024-2025学年小学劳动二年级上册人教版《劳动教育》教学设计合集
- 人教版七年级数学上册-第1章-有理数-1.2有理数-课后练习(含答案)
- 2024年3月上半年四川绵阳科技城新区招考聘用教师10人笔试历年典型考点解题思路附带答案详解
- 小学语文模拟试卷练习模拟考试
- 银行信用卡中心委外催收投标方案(技术方案)
- 1学习伴我成长(教学设计) 2024-2025学年统编版道德与法治三年级上册
- 课后服务课程设计
- 2024年新人教版部编本一年级上册美术教学工作计划及教学进度7
- 设备清洗服务合同模板
- 少儿英语培训行业深度研究及市场前景预测分析
- 十年(2015-2024)高考真题数学分项汇编(全国)专题15 函数及其基本性质(单调性、奇偶性、周期性、对称性)小题综合(学生卷)
- 房地产投资智慧:物业估值的深度解读
- 幼儿园班级学情分析报告
- 2024年时事政治必考题库及解析答案
- DZ∕T 0338.1-2020 固体矿产资源量估算规程 第1部分 通则(正式版)
评论
0/150
提交评论