devbox
我家自动化
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

企业网络802.1X认证配置_802.1x 交换机配置

作者：我家自动化 | 2024-06-19 19:56:20

赞

踩

802.1x 交换机配置

全局配置

交换机配置 版本H3C S5120-v5

  1. #配置 radius 服务器信息
  2. [H3C]radius scheme feilian_rd        #创建radius方案并进入其视图
  3. [H3C-radius-feilian_rd]primary authentication 10.10.69.116 2812                  #配置主认证服务器ip地址与端口
  4. [H3C-radius-feilian_rd]key authentication xxxx               #配置认证共享秘钥
  5. [H3C-radius-feilian_rd]primary accounting 10.10.69.116 2813                #配置主计费服务器IP与端口
  6. [H3C-radius-feilian_rd]key accounting xxxx               #配置计费共享秘钥
  7. [H3C-radius-feilian_rd]timer realtime-accounting 3                #配置计费周期
  8. [H3C-radius-feilian_rd]user-name-format without-domain                                 #发送给服务器的用户名不带域名
  9. [H3C-radius-feilian_rd]secondary authentication 10.10.69.117 2812                  #配置备认证服务器ip地址与端口
  10. [H3C-radius-feilian_rd]secondary accounting 10.10.69.117 2813                #配置备计费服务器IP与端口
  11. [H3C-radius-feilian_rd]quit
  12.  
  13. #配置 ISP 域：
  14. [H3C]domain feilian_ad                                                #创建域并进入视图
  15. [H3C-isp-feilian_ad]authentication lan-access radius-scheme feilian_rd            #配置802.1x用户使用radius方案进行认证，授权
  16. [H3C-isp-feilian_ad]authorization lan-access radius-scheme feilian_rd
  17. [H3C-isp-feilian_ad]accounting lan-access radius-scheme feilian_rd                        #配置计费方案为feilian_radius
  18. [H3C-isp-feilian_ad]quit
  19.  
  20. #全局开启802.1x
  21. [H3C]dot1x                        #开启全局 802.1x特性
  22. [H3C]dot1x authentication-method eap                                #开启eap中继模式
  23. #端口下配置802.1x
  24. [H3C]interface Ethernet 1/0/1                        #进入指定端口视图
  25. [H3C-Ethernet1/0/1]port link-type hybrid                #建议使用 hybrid 端口类型以支持动态 vlan
  26. [H3C-Ethernet1/0/1]mac-vlan enable
  27. [H3C-Ethernet1/0/1]dot1x                #端口开启1x认证
  28. [H3C-Ethernet1/0/1]dot1x port-method macbased                #端口模式使用 mac-based 以支持多终端接入
  29. [H3C-Ethernet1/0/1]undo dot1x handshake                #建议开启，避免终端频繁握手重连
  30. [H3C-Ethernet1/0/1]undo dot1x multicast-trigger                #建议开启，避免终端频繁认证
  31. [H3C-Ethernet1/0/1]dot1x unicast-trigger                #建议开启，缩短1x认证触发时间
  32. [H3C-Ethernet1/0/1]dot1x mandatory-domain feilian_ad                 #配置端口强制使用的认证域，如果不配则使用全局默认域
  33. [H3C-Ethernet1/0/1]quit
  34.  
  35. #端口下配置基于MAC地址的接入控制
  36. [H3C]mac-authentication                        #开启全局 mac 认证特性
  37. [H3C]interface Ethernet 1/0/1
  38. [H3C-Ethernet1/0/1]mac-authentication  #开启此端口MAC地址认证
  39. [H3C-Ethernet1/0/1]mac-authentication domain feilian_ad   #配置mac认证时强制使用的认证域，如果不配则使用全局默认域
  40. [H3C-Ethernet1/0/1]quit
  41.  
  42. [H3C]interface Ethernet 1/0/1
  43. [H3C-Ethernet1/0/1]mac-authentication parallel-with-dot1x #配置 mac 认证与 802.1x 认证同步
  44. [H3C-Ethernet1/0/1]quit
  45.  
  46. #端口开启逃生vlan
  47. [H3C]interface Ethernet 1/0/1
  48. [H3C-Ethernet1/0/1]port hybrid vlan 85 untagged
  49. [H3C-Ethernet1/0/1]dot1x critical vlan 85
  50. [H3C-Ethernet1/0/1]quit
  51.  
  52. #开启 coa 
  53. [H3C]radius dynamic-author server
  54. [H3C]client ip 10.10.69.116  key simple xxxx
  55. [H3C]client ip 10.10.69.117  key simple xxxx

交换机配置 S5500-28C-EI-V5.2

  1. #配置 radius 服务器信息
  2. [H3C]radius scheme feilian_rd        #创建radius方案并进入其视图
  3. [H3C-radius-feilian_rd]primary authentication 10.10.69.116 2812                  #配置主认证服务器ip地址与端口
  4. [H3C-radius-feilian_rd]key authentication xxxx                #配置认证共享秘钥
  5. [H3C-radius-feilian_rd]primary accounting 10.10.69.116 2813                #配置主计费服务器IP与端口
  6. [H3C-radius-feilian_rd]key accounting xxxx               #配置计费共享秘钥
  7. [H3C-radius-feilian_rd]timer realtime-accounting 3                #配置计费周期
  8. [H3C-radius-feilian_rd]user-name-format without-domain                                 #发送给服务器的用户名不带域名
  9. [H3C-radius-feilian_rd]secondary authentication 10.10.69.117 2812                  #配置备认证服务器ip地址与端口
  10. [H3C-radius-feilian_rd]secondary accounting 10.10.69.117 2813                #配置备计费服务器IP与端口
  11. [H3C-radius-feilian_rd]quit
  12.  
  13. #配置 ISP 域：
  14. [H3C]domain feilian_ad                                                #创建域并进入视图
  15. [H3C-isp-feilian_ad]authentication lan-access radius-scheme feilian_rd            #配置802.1x用户使用radius方案进行认证，授权
  16. [H3C-isp-feilian_ad]authorization lan-access radius-scheme feilian_rd
  17. [H3C-isp-feilian_ad]accounting lan-access radius-scheme feilian_rd                        #配置计费方案为feilian_radius
  18. [H3C-isp-feilian_ad]quit
  19.  
  20. #全局开启802.1x
  21. [H3C]dot1x                        #开启全局 802.1x特性
  22. [H3C]dot1x authentication-method eap                                #开启eap中继模式
  23. #端口下配置802.1x
  24. [H3C]interface Ethernet 1/0/1                        #进入指定端口视图
  25. [H3C-Ethernet1/0/1]port link-type hybrid                #建议使用 hybrid 端口类型以支持动态 vlan
  26. [H3C-Ethernet1/0/1]mac-vlan enable
  27. [H3C-Ethernet1/0/1]dot1x                #端口开启1x认证
  28. [H3C-Ethernet1/0/1]dot1x port-method macbased                #端口模式使用 mac-based 以支持多终端接入
  29. [H3C-Ethernet1/0/1]undo dot1x handshake                #建议开启，避免终端频繁握手重连
  30. [H3C-Ethernet1/0/1]undo dot1x multicast-trigger                #建议开启，避免终端频繁认证
  31. [H3C-Ethernet1/0/1]dot1x unicast-trigger                #建议开启，缩短1x认证触发时间
  32. [H3C-Ethernet1/0/1]dot1x mandatory-domain feilian_ad                 #配置端口强制使用的认证域，如果不配则使用全局默认域
  33. [H3C-Ethernet1/0/1]quit
  34.  
  35. #端口下配置基于MAC地址的接入控制
  36. [H3C]mac-authentication                        #开启全局 mac 认证特性
  37. [H3C]interface Ethernet 1/0/1
  38. [H3C-Ethernet1/0/1]mac-authentication  #开启此端口MAC地址认证
  39. [H3C-Ethernet1/0/1]mac-authentication domain feilian_ad   #配置mac认证时强制使用的认证域，如果不配则使用全局默认域
  40. [H3C-Ethernet1/0/1]quit
  41.  
  42. [H3C]interface Ethernet 1/0/1
  43. [H3C-Ethernet1/0/1]mac-authentication parallel-with-dot1x #配置 mac 认证与 802.1x 认证同步
  44. [H3C-Ethernet1/0/1]quit
  45.  
  46. #端口开启逃生vlan
  47. [H3C]interface Ethernet 1/0/1
  48. [H3C-Ethernet1/0/1]port hybrid vlan 85 untagged
  49. [H3C-Ethernet1/0/1]dot1x critical vlan 85
  50. [H3C-Ethernet1/0/1]quit
  51.  
  52.  
  1. #全局配置
  2. switch#config terminal
  3. switch(config)#aaa new-model                                        #启用aaa认证
  4. switch(config)#dot1x system-auth-control   #全局启用dot1x认证
  5.  
  6. #配置 aaa group
  7. switch(config)#aaa group server radius feilian_rg
  8. Switch(config-sg-radius)#server 10.10.69.116 auth-port 2812 acct-port 2813
  9. Switch(config-sg-radius)#server 10.10.69.117 auth-port 2812 acct-port 2813
  10. Switch(config-radius-server)#exit
  11.  
  12. #配置radius-server模板
  13. switch(config)#radius-server host 10.10.69.116 auth-port 2812 acct-port 2813 key xxxx
  14. switch(config)#radius-server host 10.10.69.117 auth-port 2812 acct-port 2813 key xxxx
  15. Switch(config-radius-server)#exit 
  16.  
  17. #配置aaa认证方案
  18. switch(config)#aaa authentication dot1x default group feilian_rg                  #配置802.1x认证使用radius服务器数据库
  19. switch(config)#aaa authorization network default group feilian_rg                 #配置802.1x网络授权使用radius服务器。
  20. switch(config)#aaa accounting update periodic 3                 
  21. #配置启用计费更新报文发送
  22. #配置启用 radius 计费con
  23. switch(config)#aaa accounting dot1x default start-stop group feilian_rg
  24. switch(config)#aaa accounting network default start-stop group feilian_rg
  25. switch(config)#radius-server attribute 8 include-in-access-req                         #配置交换机携带终端 IP 地址
  26.  
  27. #配置端口
  28. switch(config)#int g1/0/1                                                 #进入需要开启802.1x认证的端口，如果需要进入多个端口，可以用指令：int range g1/0/1 - 3，表示进入端口1-3
  29. switch(config-if)#switchport mode access                                         #设置端口模式为访问模式
  30. switch(config-if)#authentication port-control auto                         #部分思科ios没有该命令，用dot1x pae authenticator代替
  31. switch(config-if)#dot1x port-control auto                                         #端口开启dot1x认证
  32. switch(config-if)#authentication host-mode multi-auth        #设置端口接入模式为多认证模式，此时允许多个用户分别接入认证
  33. switch(config-if)#exit
  34.  
  35. #开启MAB认证
  36. switch(config)#int g1/0/1
  37. switch(config-if)#mab      #开启MAB认证
  38. switch(config-if)#dot1x timeout tx-period 10         #配置超时进行mab认证的时间 注意:这里如果配置10秒则进行mab认证时间为 10 * 3
  39. switch(config-if)#dot1x max-reauth-req 2
  40. switch(config-if)#exit
  41.  
  42. #开启逃生vlanau
  43. switch(config)#int g1/0/1
  44. switch(config-if)#authentication event server dead action reinitialize vlan 85
  45. switch(config-if)#exit
  46.  
  47. #开启 coa
  48. switch(config)#aaa server radius dynamic-author
  49. switch(config-locsvr-da-radius)#client 10.10.69.116 server-key xxxx
  50. switch(config-locsvr-da-radius)#client 10.10.69.117 server-key xxxx
  51. switch(config-locsvr-da-radius)#exit
  52.

端口配置

H3C交换机 端口配置

  1. [8F-C2_23U-JR_PoE-68.40]interface GigabitEthernet 1/0/31      
  2. [8F-C2_23U-JR_PoE-68.40-GigabitEthernet1/0/31]display this 
  3. #
  4.  port link-type hybrid
  5.  port hybrid vlan 1 80 85 untagged
  6.  port hybrid pvid vlan 80
  7.  mac-vlan enable
  8.  poe enable
  9.  stp edged-port enable
  10.  mac-authentication
  11.  mac-authentication domain feilian_ad
  12.  dot1x critical vlan 85
  13.  undo dot1x handshake
  14.  dot1x mandatory-domain feilian_ad
  15.  undo dot1x multicast-trigger
  16.  dot1x
  17.  dot1x unicast-trigger

思科交换机 端口配置 

  1. interface GigabitEthernet0/14
  2.  
  3.  switchport access vlan 80
  4.  switchport mode access
  5.  authentication host-mode multi-host
  6.  authentication port-control auto
  7.  mab
  8.  dot1x pae authenticator
  9.  dot1x timeout tx-period 10

声明：本文内容由网友自发贡献，转载请注明出处：【wpsshop】
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号