- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
02-802.1X命令
本章节下载： 02-802.1X命令 (160.19 KB)
display dot1x命令用来显示802.1X的相关信息，包括会话连接信息、相关统计信息和配置信息等。
display dot1x [ sessions | statistics ] [ interface interface-type interface-number ]
sessions：显示802.1X的会话连接信息。
statistics：显示802.1X的相关统计信息。
interface interface-type interface-number：显示指定端口的802.1X信息，interface-type interface-number为端口类型和端口编号。
如果不指定参数sessions或者statistics，则显示802.1X的所有信息，包括会话连接信息、相关统计信息和配置信息等。
# 显示802.1X的所有信息。
802.1X protocol is enabled globally
CHAP authentication is enabled
Configuration: Transmit Period 30 s, Handshake Period 15 s
Quiet Period 60 s, Quiet Timer is disabled
Supp Timeout 30 s, Server Timeout 100 s
Reauth Period 3600 s
Max attempts for sending an authentication request 2
Max number of 802.1X users is 2048 per slot
Current number of online 802.1X users is 1
Ten-GigabitEthernet1/1/5 is link-up
802.1X protocol is enabled
Handshake is disabled
802.1X unicast-trigger is enabled
Periodic reauthentication is disabled
The port is an authenticator
Authentication mode is Auto
Port access control type is MAC-based
802.1X multicast-trigger is enabled
Mandatory authentication domain: Not configured
Max online users is 2048
EAPOL Packets: Tx 1087, Rx 986
Sent EAP Request/Identity Packets : 943
EAP Request/Challenge Packets: 60
EAP Success Packets: 29, Fail Packets: 55
Received EAPOL Start Packets : 60
EAPOL LogOff Packets: 24
EAP Response/Identity Packets : 724
EAP Response/Challenge Packets: 54
Error Packets: 0
1. Authenticated user MAC address: 0015-e9a6-7cfe
Controlled Users: 1
表1-1 display dot1x命令显示信息描述表
|
全局802.1X的开启状态 |
|
|
802.1X系统的认证方法 · CHAP：启用EAP终结方式，并采用CHAP认证方法 · EAP：启用EAP中继方式，并支持所有EAP认证方法 · PAP：启用EAP终结方式，并采用PAP认证方法 |
|
|
端口上802.1X的开启状态 |
|
|
802.1X单播触发功能的开启状态 |
|
|
· Force-Authorized：强制授权状态 · Auto：自动识别状态 · Force-Unauthorized：强制非授权状态 |
|
|
· MAC-based：基于MAC地址对接入用户进行认证 · Port-based：基于端口对接入用户进行认证 |
|
|
802.1X组播触发功能的开启状态 |
|
|
Max online users is 2048 |
|
|
EAPOL报文数目。Tx表示发送的报文数目；Rx表示接受的报文数目 |
|
dot1x命令用来开启指定端口上或全局的802.1X。
undo dot1x命令用来关闭指定端口上或全局的802.1X。
所有端口以及全局的802.1X都处于关闭状态。
系统视图/二层以太网接口视图
只有同时开启全局和端口的802.1X后，802.1X的配置才能在端口上生效。
# 开启全局的802.1X。
[Sysname] dot1x
# 开启端口Ten-GigabitEthernet1/1/5上的802.1X。
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x
[Sysname-Ten-GigabitEthernet1/1/5] quit
dot1x authentication-method命令用来配置802.1X系统的认证方法。
undo dot1x authentication-method命令用来恢复缺省情况。
dot1x authentication-method { chap | eap | pap }
undo dot1x authentication-method
设备启用EAP终结方式，并采用CHAP认证方法。
chap：启用EAP终结方式，并支持与RADIUS服务器之间采用CHAP类型的认证方法。
eap：启用EAP中继方式，并支持客户端与RADIUS服务器之间所有类型的EAP认证方法。
pap：启用EAP终结方式，并支持与RADIUS服务器之间采用PAP类型的认证方法。
(1) EAP终结：设备将收到的客户端EAP报文中的用户认证信息重新封装在标准的RADIUS报文中，然后采用PAP或CHAP认证方法与RADIUS服务器完成认证交互。该认证方式的优点是，现有的RADIUS服务器基本均可支持PAP和CHAP认证，无需升级服务器，但设备处理较为复杂，且目前仅能支持MD5-Challenge类型的EAP认证以及iNode 802.1X客户端发起的“用户名+密码”方式的EAP认证。
· PAP（Password Authentication Protocol，密码验证协议）通过用户名和口令来对用户进行验证，其特点是在网络上以明文方式传送用户名和口令，仅适用于对网络安全要求相对较低的环境。目前，H3C iNode 802.1X客户端支持此认证方法。
· CHAP（Challenge Handshake Authentication Protocol，质询握手验证协议）采用客户端与服务器端交互挑战信息的方式来验证用户身份，其特点是在网络上以明文方式传送用户名，以密文方式传输口令。与PAP相比，CHAP认证保密性较好，更为安全可靠。
(2) EAP中继：设备将收到的客户端EAP报文直接封装到RADIUS报文的属性字段中，发送给RADIUS服务器完成认证。该认证方式的优点是，设备处理简单，且可支持多种类型的EAP认证方法，例如MD5-Challenge、EAP-TLS、PEAP等，但要求服务器端支持相应的EAP认证方法。
· 采用远程RADIUS认证时，PAP、CHAP、EAP认证的最终实现，需要RADIUS服务器支持相应的PAP、CHAP、EAP认证方法。
· 若采用EAP认证方法，则RADIUS方案下的user-name-format配置无效，user-name-format的介绍请参见“安全命令参考”中的“AAA”。
# 启用EAP终结方式，并支持与RADIUS服务器之间采用PAP类型的认证方法。
[Sysname] dot1x authentication-method pap
dot1x handshake命令用于开启在线用户握手功能。
undo dot1x handshake命令用于关闭在线用户握手功能。
开启设备的在线用户握手功能后，设备会定期（时间间隔通过命令dot1x timer handshake-period设置）向通过802.1X认证的在线用户发送握手报文，以定期检测用户的在线情况。如果设备连续多次（通过命令dot1x retry设置）没有收到客户端的响应报文，则会将用户置为下线状态。
# 在端口Ten-GigabitEthernet1/1/5上开启在线用户握手功能。
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x handshake
· dot1x timer handshake-period
dot1x mandatory-domain命令用来指定端口上802.1X用户使用的强制认证域。
undo dot1x mandatory-domain命令用来删除该端口上为802.1X用户指定的强制认证域。
dot1x mandatory-domain domain-name
未指定802.1X用户使用的强制认证域。
domain-name：ISP域名，为1～24个字符的字符串，不区分大小写。
从指定端口上接入的802.1X用户将按照如下先后顺序选择认证域：端口上指定的强制ISP域-->用户名中指定的ISP域-->系统缺省的ISP域。
# 指定端口Ten-GigabitEthernet1/1/5上802.1X用户使用的强制认证域为my-domain。
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x mandatory-domain my-domain
dot1x max-user命令用来配置端口上最多允许同时接入的802.1X用户数。当接入此端口的802.1X用户数超过最大值后，新接入的用户将被拒绝。
undo dot1x max-user命令用来恢复缺省情况。
端口上最多允许同时接入的802.1X用户数为2048。
user-number：端口允许同时接入的802.1X用户数的最大值，取值范围为1～2048。
由于系统资源有限，如果当前端口上接入的用户过多，接入用户之间会发生资源的争用，因此适当地配置该值可以使属于当前端口的用户获得可靠的性能保障。
# 配置端口Ten-GigabitEthernet1/1/5上最多允许同时接入32个802.1X用户。
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x max-user 32
dot1x multicast-trigger命令用来开启802.1X的组播触发功能。
undo dot1x multicast-trigger命令用来关闭802.1X的组播触发功能。
802.1X的组播触发功能处于开启状态。
开启了802.1X的组播触发功能的端口会定期（间隔时间通过命令dot1x timer tx-period设置）向客户端组播发送EAP-Request/Identity报文来检测客户端并触发认证。该功能用于支持不能主动发送EAPOL-Start报文来发起认证的客户端。
# 在端口Ten-GigabitEthernet1/1/5上开启802.1X的组播触发功能。
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x multicast-trigger
dot1x port-control命令用来设置端口的授权状态。
undo dot1x port-control命令用来恢复缺省情况。
dot1x port-control { authorized-force | auto | unauthorized-force }
authorized-force：强制授权状态，表示端口始终处于授权状态，允许用户不经认证授权即可访问网络资源。
auto：自动识别状态，表示端口初始状态为非授权状态，仅允许EAPOL报文收发，不允许用户访问网络资源；如果用户认证通过，则端口切换到授权状态，允许用户访问网络资源。这也是最常用的一种状态。
unauthorized-force：强制非授权状态，表示端口始终处于非授权状态，不允许用户访问网络资源。
通过配置端口的授权状态，可以控制端口上接入的用户是否需要通过认证才能访问网络资源。
# 指定端口Ten-GigabitEthernet1/1/5处于强制非授权状态。
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x port-control unauthorized-force
dot1x port-method命令用来配置端口的接入控制方式。
undo dot1x port-method命令用来恢复缺省情况。
dot1x port-method { macbased | portbased }
macbased：表示基于MAC地址对接入用户进行认证，即该端口下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。
portbased：表示基于端口对接入用户进行认证，即只要该端口下的第一个用户认证成功后，其他接入用户无须认证就可使用网络资源，当第一个用户下线后，其它用户也会被拒绝使用网络。
在要求所有接入用户都单独认证的情况下，选择基于MAC的控制方式，可提高网络接入的安全性。否则，可采用基于端口的接入控制方式。
# 在端口Ten-GigabitEthernet1/1/5上配置对接入用户进行基于端口的802.1X认证。
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x port-method portbased
dot1x quiet-period命令用来开启静默定时器功能。
undo dot1x quiet-period命令用来关闭静默定时器功能。
在静默定时器功能处于开启状态的情况下，设备将在一段时间之内不对802.1X认证失败的用户进行802.1X认证处理，该时间由802.1X静默定时器控制，可通过dot1x timer quiet-period命令配置。
# 开启静默定时器功能，并配置静默定时器的值为100秒。
[Sysname] dot1x quiet-period
[Sysname] dot1x timer quiet-period 100
dot1x re-authenticate命令用来开启周期性重认证功能。
undo dot1x re-authenticate命令用来关闭周期性重认证功能。
端口启动了802.1X的周期性重认证功能后，设备会根据周期性重认证定时器（dot1x timer reauth-period）设定的时间间隔定期启动对该端口在线802.1X用户的认证，以检测用户连接状态的变化，更新服务器下发的授权属性。
# 在端口Ten-GigabitEthernet1/1/5上开启802.1X重认证功能，并配置周期性重认证时间间隔为1800秒。
[Sysname] dot1x timer reauth-period 1800
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x re-authenticate
dot1x retry命令用来设置设备向接入用户发送认证请求报文的最大次数。
undo dot1x retry命令用来恢复缺省情况。
max-retry-value：向接入用户发送认证请求报文的最大尝试次数，取值范围为1～10。
如果设备向用户发送认证请求报文后，在规定的时间里没有收到用户的响应，则设备将向用户重发该认证请求报文，若设备累计发送认证请求报文的次数达到配置的最大值后，仍然没有得到用户响应，则停止发送认证请求。对于EAP-Request/Identity报文，该时间由dot1x timer tx-period设置；对于EAP-Request/MD5 Challenge报文，该时间由dot1x timer supp-timeout设置。
# 配置设备最多向接入用户发送9次认证请求报文。
[Sysname] dot1x retry 9
dot1x timer命令用来配置802.1X的定时器参数。
undo dot1x timer命令用来将指定的定时器恢复为缺省情况。
握手定时器的值为15秒，静默定时器的值为60秒，周期性重认证定时器的值为3600秒，认证服务器超时定时器的值为100秒，客户端认证超时定时器的值为30秒，用户名请求超时定时器的值为30秒。
handshake-period handshake-period-value：握手定时器的值，取值范围为5～1024，单位为秒。
quiet-period quiet-period-value：静默定时器的值，取值范围为10～120，单位为秒。
reauth-period reauth-period-value：周期性重认证定时器的值，取值范围为60～7200，单位为秒。
server-timeout server-timeout-value：认证服务器超时定时器的值，取值范围为100～300，单位为秒。
supp-timeout supp-timeout-value：客户端认证超时定时器的值，取值范围为1～120，单位为秒。
tx-period tx-period-value：用户名请求超时定时器的值，取值范围为10～120，单位为秒。
802.1X认证过程受以下定时器的控制：
· 握手定时器（handshake-period）：此定时器是在用户认证成功后启动的，设备端以此间隔为周期发送握手请求报文，以定期检测用户的在线情况。如果配置发送次数为N，则当设备端连续N次没有收到客户端的响应报文，就认为用户已经下线。
· 静默定时器（quiet-period）：对用户认证失败以后，设备端需要静默一段时间（该时间由静默定时器设置），在静默期间，设备端不对802.1X认证失败的用户进行802.1X认证处理。
· 周期性重认证定时器（reauth-period）：端口下开启了周期性重认证功能（通过命令dot1x re-authenticate）后，设备端以此间隔为周期对端口上的在线用户发起重认证。对于已在线的802.1X用户，要等当前重认证周期结束并且认证通过后才会按新配置的周期进行后续的重认证。
· 认证服务器超时定时器（server-timeout）：当设备端向认证服务器发送了RADIUS Access-Request请求报文后，设备端启动server-timeout定时器，若在该定时器设置的时长内，设备端没有收到认证服务器的响应，设备端将重发认证请求报文。
· 客户端认证超时定时器（supp-timeout）：当设备端向客户端发送了EAP-Request/MD5 Challenge请求报文后，设备端启动此定时器，若在该定时器设置的时长内，设备端没有收到客户端的响应，设备端将重发该报文。
· 用户名请求超时定时器（tx-period）：当设备端向客户端发送EAP-Request/Identity请求报文后，设备端启动该定时器，若在该定时器设置的时长内，设备端没有收到客户端的响应，则设备端将重发认证请求报文。另外，为了兼容不主动发送EAPOL-Start连接请求报文的客户端，设备会定期组播EAP-Request/Identity请求报文来检测客户端。tx-period定义了该组播报文的发送时间间隔。
需要注意的是，一般情况下，用户无需修改定时器的值，除非在一些特殊或恶劣的网络环境下，可以使用该命令调节交互进程。修改后的定时器值，可立即生效。
# 设置认证服务器的超时定时器时长为150秒。
[Sysname] dot1x timer server-timeout 150
dot1x unicast-trigger命令用来开启端口上的802.1X的单播触发功能。
undo dot1x unicast-trigger命令用来关闭802.1X的单播触发功能。
802.1X的单播触发功能处于关闭状态。
单播触发功能开启后，当端口收到源MAC未知的报文时，主动向该MAC地址发送单播认证报文来触发认证。若设备端在设置的客户端认证超时时间内（该时间由dot1x timer supp-timeout设置）没有收到客户端的响应，则重发该报文（重发次数由dot1x retry设置）。
# 在端口Ten-GigabitEthernet1/1/5上开启802.1X的单播触发功能。
[Sysname] interface ten-gigabitethernet 1/1/5
[Sysname-Ten-GigabitEthernet1/1/5] dot1x unicast-trigger
reset dot1x statistics命令用来清除802.1X的统计信息。
reset dot1x statistics [ interface interface-type interface-number ]
interface interface-type interface-number：清除指定端口上的802.1X统计信息，interface-type interface-number为端口类型和端口编号。
如果不指定端口类型和端口号，则清除设备上的全局及所有端口的802.1X统计信息。
# 清除端口Ten-GigabitEthernet1/1/5上的802.1X统计信息。
<Sysname> reset dot1x statistics interface ten-gigabitethernet 1/1/5
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
