华为ac配置radius认证服务器_常用交换机802.1x配置步骤手册.doc

目录

一． H3C设备配置模板

二． 迈普交换机802.1X模板

三． 锐捷交换机802.1X模板

四． 思科交换机802.1X配置模板

五． 华为交换机802.1X配置模板

不同类型交换机配置步骤不同，以下提供交换机配置步骤，以供参考。

一． H3C设备配置模板

(1) CMWV3平台(S5600/ S3900/ S5100 EI/ S5100SI/ S3600 EI/S3600 SI/ S3100-52P/ S3100SI/ S3100EI/ S7500)模板参考如下：

dot1x //开启全局802.1X

dot1x authentication-method eap

dot1x dhcp-launch

undo dot1x handshake enable //关闭握手功能(握手功能仅支持配合H3C客户端，因此需要关闭)

dot1x re-authenticate

dot1x timer reauth-period 7200　//在全局配置重认证，该配置是否生效取决于端口下是否开启重认证

dot1x quiet-period //打开设备的静默定时器功能。该功能使得认证失败一定次数后(max-retry-value设置)，该端口在静默时间内不接收802.1x认证请求报文

dot1x timer quiet-period 10 //静默时间

dot1x retry max-retry-value 4

interface Gx/0/x //端口开启802.1X

dot1x

dot1x port-method portbased //默认是基于mac的认证

dot1x re-authenticate //需要在端口下打开重认证开关，使得全局的重认证配置生效

dot1x unicast-trigger //启用单播触发更新，该命令S3100SI系列交换机不支持

//AAA认证配置

radius scheme acs //配置登录用Radius Scheme，连接cisco acs

primary authentication ip_address 1645 key key

primary accounting ip_address 1646 key key //如果没有计费可以不用配置

secondary authentication ip_address 1645 key key

secondary accounting ip_address 1646 key key //如果没有计费可以不用配置

user-name-format without-domain

nas-ip source_ip_address //nas-ip 指发送AAA认证的源地址

radius scheme enforcer //配置802.1x认证Radius Scheme，连接LAN Enforcer服务器，此处不配置计费

primary authentication ip_address key key

secondary authentication ip_address key key

user-name-format without-domain

nas-ip source_ip_address //nas-ip 指发送AAA认证的源地址

timer response-timeout 5

retry 1 // 根据timeout*retry 计算公式，当5秒连接不到主用LAN ENFORCER，会切换到备用LAN Enforcer做认证

domain acs //配置AAA认证域

authentication login radius-scheme acs local

authorization login radius-scheme acs local

authentication lan-access radius-scheme enforcer

authorization lan-access radius-scheme enforcer

domain default enable acs //设置默认认证域

(2) CMWV5平台(S5500EI/ S7500E/ LS-5120-48P-EI-H3/ LS-5120-52C-PWR-EI/ MSR3011/MSR3011 E/MSR3011 F/ MSR3010/ MSR3016/ MSR2010/ MSR2011)模板参考如下：

dot1x //开启全局802.1X

dot1x re-authenticate

dot1x timer reauth-period 7200 //请根据要求设置重认证时长

dot1x authentication-method eap //配合赛门铁克的认证服务器使用

dot1x quiet-period //打开设备的静默定时器功能。该功能使得认证失败一定次数后(max-retry-value设置)，该端口在静默时间内不接收802.1x认证请求报文

dot1x timer quiet-period 10 //静默时间

dot1x retry max-retry-value 4

interface Gx/0/x //端口开启802.1X

dot1x

dot1x port-method portbased //默认是基于mac的认证

dot1x re-authenticate //请根据要求启用端口上的重认证开关

undo dot1x multicast-trigger //关闭组播触发

dot1x unicast-trigger //开启未知单播触发，MSR3011不支持该命令，无需配置

undo dot1x handshake enable //握手功能仅支持配合H3C客户端，因此需要关闭

//AAA认证配置

radius scheme acs //配置登录用Radius Scheme，连接cisco acs

primary authentication ip_address 1645 key key

primary accounting ip_address 1646 key key //如果没有计费可以不用配置

secondary authentication ip_address 1645 key key

secondary accounting ip_address 1646 key key //如果没有计费可以不用配置

user-name-format without-domain

nas-ip source_ip_address //nas-ip 指发送AAA认证的源地址

radius scheme enforcer //配置802.1x认证Radius Scheme，连接LAN Enforcer