802.1x

按照如下案例，檢查對應配置。並且核對交換機設備上是否存在其他安全方麵的限製。

802.1X支持Guest VLAN、授權VLAN下發配置舉例

1. 組網需求

如圖2-2所示，一台主機通過802.1X認證接入網絡，認證服務器為RADIUS服務器。Host接入Device的端口GigabitEthernet1/0/2在VLAN 1內；認證服務器在VLAN 2內；Update Server是用於客戶端軟件下載和升級的服務器，在VLAN 10內；Device連接Internet網絡的端口GigabitEthernet1/0/3在VLAN 5內。現有如下組網需求：

·     在端口上配置完Guest VLAN，則立即將該端口GigabitEthernet1/0/2加入Guest VLAN（VLAN 10）中，此時Host和Update Server都在VLAN 10內，Host可以訪問Update Server並下載802.1X客戶端。

·     用戶認證成功上線後，認證服務器下發VLAN 5，此時Host和連接Internet網絡的端口GigabitEthernet1/0/3都在VLAN 5內，Host可以訪問Internet。

2. 組網圖

圖2-2 Guest VLAN及VLAN下發組網圖

‌

3. 配置步驟

(1)     配置RADIUS服務器，添加用戶帳戶，指定要授權下發的VLAN（本例中為VLAN 5），並保證用戶的認證/授權/計費功能正常運行（略）

(2)     創建VLAN並將端口加入對應VLAN（端口GigabitEthernet1/0/2缺省在VLAN 1內）

<Device> system-view

[Device] vlan 10

[Device-vlan10] port gigabitethernet 1/0/1

[Device-vlan10] quit

[Device] vlan 2

[Device-vlan2] port gigabitethernet 1/0/4

[Device-vlan2] quit

[Device] vlan 5

[Device-vlan5] port gigabitethernet 1/0/3

[Device-vlan5] quit

(3)     配置RADIUS方案

# 創建RADIUS方案2000並進入其視圖。

[Device] radius scheme 2000

# 配置主認證/計費RADIUS服務器及其共享密鑰。

[Device-radius-2000] primary authentication 10.11.1.1 1812

[Device-radius-2000] primary accounting 10.11.1.1 1813

[Device-radius-2000] key authentication simple abc

[Device-radius-2000] key accounting simple abc

# 配置發送給RADIUS服務器的用戶名不攜帶域名。

[Device-radius-2000] user-name-format without-domain

[Device-radius-2000] quit

(4)     配置ISP域

# 創建域bbb並進入其視圖。

[Device] domain bbb

# 配置802.1X用戶使用RADIUS方案2000進行認證、授權、計費。

[Device-isp-bbb] authentication lan-access radius-scheme 2000

[Device-isp-bbb] authorization lan-access radius-scheme 2000

[Device-isp-bbb] accounting lan-access radius-scheme 2000

[Device-isp-bbb] quit

(5)     配置802.1X

# 開啟端口GigabitEthernet1/0/2的802.1X。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] dot1x

# 配置端口的802.1X接入控製的方式為Port-based。

[Device-GigabitEthernet1/0/2] dot1x port-method portbased

# 配置端口的802.1X授權狀態為auto。（此配置可選，端口的授權狀態缺省為auto）

[Device-GigabitEthernet1/0/2] dot1x port-control auto

# 配置端口的 802.1X Guest VLAN為VLAN10。

[Device-GigabitEthernet1/0/2] dot1x guest-vlan 10

[Device-GigabitEthernet1/0/2] quit

# 開啟全局802.1X。

[Device] dot1x

(6)     配置802.1X客戶端，並保證接入端口加入Guest VLAN或授權VLAN之後，802.1X客戶端能夠及時更新IP地址，以實現與相應網絡資源的互通（略）

4. 驗證配置結果

可以通過命令display dot1x interface查看端口GigabitEthernet1/0/2上Guest VLAN的配置情況。

在端口上配置完Guest VLAN，則該端口會被立即加入其所屬的Guest VLAN，通過命令display vlan 10可以查看到端口GigabitEthernet1/0/2加入了配置的Guest VLAN（VLAN 10）。

在用戶認證成功之後，通過命令display interface可以看到用戶接入的端口GigabitEthernet1/0/2加入了認證服務器下發的VLAN 5中。