07-安全命令参考

display mac-authentication [ interface interface-list ] [ | { begin | exclude | include } regular-expression ]

2：系统级

interface interface-list：端口列表，表示多个端口，表示方式为interface-list ＝ { interface-type interface-number [ to interface-type interface-number ] }&<1-10>。其中，interface-type为端口类型，interface-number为端口号。&<1-10>表示前面的参数最多可以输入10次。起始端口类型必须和终止端口类型一致，并且终止端口号必须大于起始端口号。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

display mac-authentication命令用来显示MAC地址认证的相关信息，主要包括全局及端口的配置信息、认证报文统计信息以及认证用户信息。

· 如果指定参数interface interface-list，则显示全局及指定端口上的MAC地址认证信息。

· 如果不指定任何参数，则显示全局及所有端口上的MAC地址认证信息。

<Sysname> display mac-authentication

# 显示MAC地址认证信息。

MAC address authentication is enabled.

User name format is MAC address in lowercase, like xxxxxxxxxxxx

Fixed username:mac

Fixed password:not configured

Offline detect period is 300s

Quiet period is 60s.

Server response timeout value is 100s

The max allowed user number is 1024 per slot

Current user number amounts to 0

Current domain: not configured, use default domain

Silent Mac User info:

MAC Addr From Port Port Index

GigabitEthernet1/0/1 is link-up

MAC address authentication is enabled

Authenticate success: 0, failed: 0

Max number of on-line users is 128

Current online user number is 0

MAC Addr Authenticate state Auth Index

……（略）

表1-1 display mac-authentication命令显示信息描述表

字段	描述
MAC address authentication is enabled	MAC地址认证特性已经开启
User name format is MAC address in lowercase, like xxxxxxxxxxxx	本字段用于显示MAC地址认证使用的用户名格式，有以下两种情况： · 若采用MAC地址形式，则显示具体的用户名格式以及是否带连字符、字母是否大小写，例如本例中“User name format is MAC address in lowercase, like xxxxxxxxxxxx”，它表示用户名格式为不带连字符的MAC地址，其中字母为小写。 · 若采用固定用户名格式，则显示“User name format is fixed account”。
Fixed username:	固定用户名 · 采用MAC地址格式时，该值显示为“mac”，无实际意义，仅表示采用MAC地址作为用户名和密码。 · 采用固定用户名格式时，该值为配置的用户名（缺省为mac）。
Fixed password:	固定用户名的密码 · 采用MAC地址格式，或采用固定用户名格式但未配置密码时，显示为“not configured”。 · 采用固定用户名格式且配置密码时，显示为“******”。
Offline detect period	下线检测定时器的时间间隔
Quiet period	静默定时器的时间间隔
Server response timeout value	服务器连接超时定时器的值
The max allowed user number	设备最大支持的MAC地址认证用户数设备最大支持的MAC地址认证用户数与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍
Current user number amounts	当前用户数
Current domain: not configured, use default domain	当前认证域没有配置，使用缺省域
Silent Mac User info	静默用户信息
GigabitEthernet1/0/1 is link-up	端口GigabitEthernet1/0/1链路处于UP状态
MAC address authentication is enabled	端口GigabitEthernet1/0/1MAC地址认证特性已开启
Authenticate success: 0, failed: 0	端口上MAC地址认证的统计信息，包括认证通过和认证失败的数目
Max number of on-line users	端口最多可容纳的接入用户数如果端口没有开启MAC地址认证，则显示0
Current online user number	端口当前的接入用户数
MAC Addr	MAC地址
Authenticate state	端口接入用户的状态，共有四种： · MAC_AUTHENTICATOR_CONNECT：正在连接 · MAC_AUTHENTICATOR_SUCCESS：认证通过 · MAC_AUTHENTICATOR_FAIL：认证失败 · MAC_AUTHENTICATOR_LOGOFF：已下线
AuthIndex	认证体索引号

1.1.2 mac-authentication accounting-delay

mac-authentication accounting-delay [ logoff | time time ] *

undo mac-authentication accounting-delay

2：系统级

logoff：表示如果设备在指定的延时时间内没有获取到用户IP地址，则不发送计费请求报文，用户将因计费失败而上线失败。若不指定该参数，则表示设备在指定的计费延时时间到达后，将会发送计费请求报文，用户可继续后续的上线流程。

time time：计费延时的时长，取值范围为1～600，单位为秒，缺省值为10。如果在指定的计费延时时间之内设备没有获取到用户的IP地址，则根据配置的计费延时动作来决定用户能否继续后续的计费流程。

mac-authentication accounting-delay命令用来开启计费延时功能，设备仅在获取到用户IP地址后才向计费服务器发送用户的计费请求报文。undo mac-authentication accounting-delay命令用来恢复缺省情况。

缺省情况下，计费延时功能处于关闭状态，用户认证成功后设备无论能否获取到用户的IP地址，都会立即向计费服务器发起计费请求。

建议根据用户获取IP地址的时长来配置计费延时的时长，若网络环境较差，用户需要较长的时间获取到IP地址，则可适当增大该值。

# 在接口WLAN-ESS 1上开启mac-authentication的计费延时功能，并配置计费延时时间为15秒，如果延时后还没有获取到用户的IP地址，采取的动作为logoff，即不发送计费请求报文，用户将因计费失败而上线失败。

[Sysname] interface wlan-ess 1

[Sysname-WLAN-ESS1] mac-authentication accounting-delay logoff time 15

1.1.3 mac-authentication

mac-authentication [ interface interface-list ]

在系统视图下：

undo mac-authentication [ interface interface-list ]

在以太网接口视图下：

mac-authentication

undo mac-authentication

【视图】

系统视图/以太网接口视图

【缺省级别】

2：系统级

【参数】

interface interface-list：以太网端口列表，表示多个以太网端口，表示方式为interface-list ＝ { interface-type interface-number [ to interface-type interface-number ] }&<1-10>。其中，interface-type为端口类型，interface-number为端口号。&<1-10>表示前面的参数最多可以输入10次。起始端口类型必须和终止端口类型一致，并且终止端口号必须大于起始端口号。

mac-authentication命令用来开启指定端口上或全局的MAC地址认证特性。undo mac-authentication命令用来关闭指定端口上或全局的MAC地址认证特性。

缺省情况下，所有端口及全局的MAC地址认证特性都处于关闭状态。

· 在系统视图下使用该命令时，如果不输入可选项interface interface-list，则表示开启全局的MAC地址认证特性；如果指定了interface interface-list，则表示开启指定端口的MAC地址认证特性。

· 只有全局和端口的MAC地址认证特性均开启后，MAC地址认证配置才能在端口上生效。

# 开启全局的MAC地址认证特性。

[Sysname] mac-authentication

Mac-auth is enabled globally.

# 开启以太网端口GigabitEthernet1/0/1上的MAC地址认证特性。

[Sysname] mac-authentication interface gigabitethernet 1/0/1

Mac-auth is enabled on port GigabitEthernet1/0/1.

或者

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] mac-authentication

Mac-auth is enabled on port GigabitEthernet1/0/1.

1.1.4 mac-authentication bypass-portal

【命令】

mac-authentication bypass-portal enable

undo mac-authentication bypass-portal enable

【视图】

WLAN-ESS接口视图

【缺省级别】

2：系统级

【描述】

mac-authentication bypass-portal enable命令用来开启MAC认证成功后忽略Portal认证功能。undo mac-authentication bypass-portal enable命令用来恢复缺省情况。

缺省情况下，接口上MAC认证成功后忽略Portal认证功能处于关闭状态。

【举例】

# 开启MAC认证成功后忽略Portal认证功能。

<Sysname> system-view

[Sysname] interface wlan-ess 1

[Sysname-WLAN-ESS1] mac-authentication bypass-portal enable

1.1.5 mac-authentication domain

mac-authentication domain domain-name

undo mac-authentication domain

【视图】

系统视图/二层以太网接口视图/WLAN-ESS接口视图

【缺省级别】

2：系统级

【参数】

domain-name：ISP域名，为1～24个字符的字符串，不区分大小写，且不能包括“/”、“:”、“*”、“?”、“<”、“>”以及“@”等特殊字符。

mac-authentication domain命令用来指定MAC地址认证用户使用的认证域。undo mac-authentication domain命令用来恢复为缺省情况。

缺省情况下，未指定MAC地址认证用户使用的认证域，使用系统缺省的认证域。缺省认证域的介绍请参见“安全命令参考/AAA”中的命令domain default enable。

· 接口视图下指定的认证域仅对本端口有效。不同的端口可以指定不同的认证域。

· 系统视图下指定的认证域对所有使能了MAC地址认证的端口生效。

· 端口上接入的MAC地址认证用户将按照如下先后顺序选择认证域：端口上指定的认证域-->系统视图下指定的认证域-->系统缺省的认证域。

# 在系统视图下指定MAC地址认证用户使用的认证域为domain1。

[Sysname] interface wlan-ess 1

[Sysname] mac-authentication domain domain1

# 指定端口WLAN-ESS1上接入的MAC地址认证用户使用的认证域为aabbcc。

[Sysname-WLAN-ESS1] mac-authentication domain aabbcc

1.1.6 mac-authentication guest-vlan

mac-authentication guest-vlan guest-vlan-id

undo mac-authentication guest-vlan

【视图】

WLAN-ESS接口视图

【缺省级别】

2：系统级

【参数】

guest-vlan-id：端口上指定的Guest VLAN ID，取值范围为1～4094。该VLAN必须已经创建。

mac-authentication guest-vlan命令用来配置MAC地址认证的Guest VLAN。如果配置生效，则所有经由该端口认证失败的用户，将被加入到指定的Guest VLAN。undo mac-authentication guest-vlan命令用来取消MAC地址认证的Guest VLAN配置。

缺省情况下，没有配置MAC地址认证的Guest VLAN。

· 只有开启MAC认证特性的情况下，Guest VLAN才能生效。

· 只有使能端口的MAC VLAN功能的情况下，Guest VLAN才生效。

· 禁止删除已被配置为Guest VLAN的VLAN，若要删除该VLAN，请先使用命令undo mac-authentication guest-vlan取消MAC地址认证的Guest VLAN配置。

相关配置可参考命令mac-authentication和“二层技术命令参考/VLAN”中的命令mac-vlan enable。

# 配置端口WLAN-ESS1的MAC地址认证的Guest VLAN为已经创建的VLAN 5。