目  录

1 MAC认证

1.1 概述

1.2 MAC地址认证配置任务简介

1.3 配置全局的MAC地址认证

1.4 配置端口的MAC地址认证

1.5 MAC地址认证典型配置举例

1.6 下发ACL典型配置举例

2 802.1X

2.1 概述

2.2 802.1X配置任务简介

2.3 配置全局的802.1X特性

2.4 配置端口的802.1X特性

2.5 802.1X典型配置举例

2.6 下发ACL典型配置举例

2.7 注意事项

3 端口安全

3.1 概述

3.2 端口安全配置任务简介

3.3 配置全局的端口安全

3.4 配置端口的基本控制功能

3.5 配置端口的安全MAC地址

3.6 配置端口的高级控制功能

3.7 配置授权OUI

3.8 基本控制模式典型配置举例

3.9 高级控制模式典型配置举例

4 AAA

4.1 概述

4.2 AAA配置任务简介

4.3 配置ISP域

4.4 配置ISP域的AAA认证方法

4.5 配置ISP域的AAA授权方法

4.6 配置ISP域的AAA计费方法

4.7 AAA典型配置举例

5 RADIUS

5.1 概述

5.2 RADIUS配置任务简介

5.3 配置RADIUS服务器

5.4 配置RADIUS参数

5.5 RADIUS典型配置举例

5.6 注意事项

6 用户

6.1 概述

6.2 配置本地用户

6.3 配置用户组

7 PKI

7.1 概述

7.2 PKI配置任务简介

7.3 新建PKI实体

7.4 新建PKI域

7.5 生成RSA密钥对

7.6 销毁RSA密钥对

7.7 获取证书

7.8 申请本地证书

7.9 获取和查看CRL

7.10 PKI典型配置举例

7.11 注意事项

1 MAC认证

1.1  概述

MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法，它不需要用户安装任何客户端软件。设备在启动了MAC地址认证的端口上首次检测到用户的MAC地址以后，即启动对该用户的认证操作。认证过程中，不需要用户手动输入用户名或者密码。若该用户认证成功，则允许其通过端口访问网络资源，否则该用户的MAC地址就被添加为静默MAC。在静默时间内（可通过静默定时器配置），来自此MAC地址的用户报文到达时，设备直接做丢弃处理，以防止非法MAC短时间内的重复认证。

1.2  MAC地址认证配置任务简介

通过使用MAC地址认证，可以对用户的网络访问权限进行控制。

·     关闭全局的端口安全功能。

·     创建并配置ISP域。

·     若采用本地认证方式，需要创建本地用户并设置其密码，且本地用户的服务类型应设置为LAN-Access。

·     若采用远程RADIUS认证方式，需要确保设备与RADIUS服务器之间的路由可达，并添加MAC地址认证用户账号。

MAC地址认证配置的推荐步骤如下表所示。

表1-1 MAC地址认证配置步骤

1.3  配置全局的MAC地址认证

(1)     在导航栏中选择“认证 > MAC认证”。

(2)     在“MAC地址认证设置”中单击展开“高级设置”前的扩展按钮，页面如下图所示。

图1-1 MAC认证

(3)     在“MAC地址认证设置”中可以显示和配置全局的MAC地址认证信息。配置全局MAC地址认证，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表1-2 全局MAC地址认证的详细配置

1.4  配置端口的MAC地址认证

(1)     在导航栏中选择“认证 > MAC认证”，页面如图1-1所示。

(2)     在“MAC地址认证启用端口”中显示的是已启用MAC地址认证的端口，单击<新建>按钮，进入如下图所示的页面。

图1-2 启用MAC地址认证

(3)     配置端口MAC地址认证，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表1-3 端口MAC地址认证的详细配置

1.5  MAC地址认证典型配置举例

1. 组网需求

如下图所示，某用户的工作站与交换机的端口GigabitEthernet2/01相连接。

·     管理者希望在交换机的各端口上对用户接入进行MAC地址认证，以控制其对Internet的访问。

·     要求设备每隔180秒就对用户是否下线进行检测；并且当用户认证失败时，需等待3分钟后才能对用户再次发起认证。

·     所有用户都属于域：example.com，认证时使用本地认证的方式。使用用户的源MAC地址做用户名和密码。

图1-3 MAC地址认证配置组网图

2. 配置步骤

(1)     配置本地接入用户，用户名和密码均为接入用户的MAC地址“00-e0-fc-12-34-56”，服务类型为“lan-access”（略）

(2)     创建ISP域

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：输入域名为“example.com”，如下图所示。

步骤3：单击<应用>按钮完成操作。

图1-4 创建ISP域

(3)     配置ISP域的AAA认证方案

步骤1：单击“认证”页签，进入AAA认证方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“example.com”。

·     选中“LAN-access认证”前的复选框，选择认证方式为“Local”。

步骤3：单击<应用>按钮，弹出配置进度对话框，如下图所示。

图1-5 配置ISP域的AAA认证方案

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图1-6 配置进度对话框

(4)     配置MAC地址认证

步骤1：在导航栏中选择“认证 > MAC认证”。

步骤2：在“MAC地址认证设置”中进行如下配置，如下图所示。

·     选中“启用MAC地址认证”前的复选框。

·     单击展开“高级设置”前的扩展按钮。

·     输入离线检测时间为“180”。

·     输入静默时间为“180”。

·     选择认证ISP域为“example.com”。

·     选择认证信息格式为“使用带连字符MAC”。

步骤3：单击<确定>按钮完成操作。

图1-7 配置全局的MAC地址认证

(5)     启用端口GigabitEthernet2/0/1的MAC地址认证。

步骤1：在“MAC认证启用端口”中单击<新建>按钮，进行如下配置，如下图所示。

步骤2：选择端口为“GigabitEthernet2/0/1”。

步骤3：单击<确定>按钮完成操作。

图1-8 启用端口GigabitEthernet2/0/1的MAC地址认证

1.6  下发ACL典型配置举例

1. 组网需求

如下图所示，主机Host通过MAC地址认证接入网络，认证服务器为RADIUS服务器。Internet网络中有一台FTP服务器，IP地址为10.0.0.1。

·     认证时使用用户的源MAC地址做用户名和密码。

·     在认证服务器上配置授权下发ACL 3000。

·     在Switch的GigabitEthernet2/0/1上开启MAC地址认证，并配置ACL 3000。

·     当用户认证成功上线，认证服务器下发ACL 3000。此时ACL 3000在GigabitEthernet2/0/1上生效，Host可以访问Internet，但不能访问FTP服务器。

图1-9 下发ACL典型配置组网图

2. 配置步骤

(1)     配置RADIUS方案system

步骤1：在导航栏中选择“认证 > RADIUS”，默认进入“RADIUS服务器配置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     选择服务类型为“认证服务器”。

·     输入主服务器IP地址为“10.1.1.1”。

·     输入主UDP端口为“1812”。

·     选择主服务器状态为“active”。

步骤3：单击<确定>按钮完成操作。

图1-10 配置RADIUS认证服务器

步骤4：进行如下配置，如下图所示。

·     如下图所示，选择服务类型为“计费服务器”。

·     输入主服务器IP地址为“10.1.1.2”。

·     输入主UDP端口为“1813”。

·     选择主服务器状态为“active”。

步骤5：单击<确定>按钮完成操作。

图1-11 配置RADIUS计费服务器

步骤6：单击“RADIUS参数设置”页签，进行如下配置，如下图所示。

步骤7：进行如下配置，如下图所示。

·     选择服务器类型为“extended”。

·     选中“认证服务器共享密钥”前的复选框，输入认证密钥为“abc”。

·     输入确认认证密钥为“abc”。

·     选中“计费服务器共享密钥”前的复选框，输入计费密钥为“abc”。

·     输入确认计费密钥为“abc”。

·     选择用户名格式为“without-domain”。

步骤8：单击<确定>按钮完成操作。

图1-12 配置RADIUS方案参数

(2)     创建ISP域

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：输入域名为“test”，如下图所示。

步骤3：单击<应用>按钮完成操作。

图1-13 创建ISP域

(3)     配置ISP域的AAA认证方案

步骤1：单击“认证”页签，进入AAA认证方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default认证”前的复选框，选择认证方式为“RADIUS”。

·     选择认证方案名称为“system”。

图1-14 配置ISP域的AAA认证方案

步骤3：单击<应用>按钮，弹出配置进度对话框，如下图所示。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图1-15 配置进度对话框

(4)     配置ISP域的AAA授权方案

步骤1：单击“授权”页签，进入AAA授权方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default授权”前的复选框，选择授权方式为“RADIUS”。

·     选择授权方案名称为“system”。

步骤3：单击<应用>按钮弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图1-16 配置ISP域的AAA授权方案

(5)     配置ISP域的AAA计费方案

步骤1：单击“计费”页签，进入AAA计费方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default计费”前的复选框，选择计费方式为“RADIUS”。

·     选择计费方案名称为“system”。

步骤3：单击<应用>按钮弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图1-17 配置ISP域的AAA计费方案

(6)     配置ACL

步骤1：在导航栏中选择“QoS > ACL IPv4”。

步骤2：单击“创建”页签，进入创建ACL的配置页面。

步骤3：输入访问控制列表ID为“3000”，如下图所示。

步骤4：单击<应用>按钮完成操作。

图1-18 创建ACL 3000

步骤5：单击“高级配置”页签，进入ACL的高级配置页面。

步骤6：进行如下配置，如下图所示。

·     选择访问控制列表为“3000”。

·     选中“规则ID”前的复选框，输入规则ID为“0”。

·     选择操作为“禁止”。

·     选中“目的IP地址”前的复选框，输入目的IP地址为“10.0.0.1”。

·     输入目的地址通配符为“0.0.0.0”。

步骤7：单击<添加>按钮完成操作。

图1-19 配置ACL规则拒绝目的IP地址为10.0.0.1的报文通过

(7)     配置MAC地址认证

步骤1：在导航栏中选择“认证 > MAC认证”。

步骤2：在“MAC地址认证设置”中进行如下配置，如下图所示。

·     选中“启用MAC地址认证”前的复选框。

·     单击展开“高级设置”前的扩展按钮。

·     选择认证ISP域为“test”。

·     选择认证信息格式为“使用不带连字符MAC”。

步骤3：单击<确定>按钮完成操作。

图1-20 配置全局的MAC地址认证

步骤4：在“MAC认证启用端口”中单击<新建>按钮，进入启用MAC地址认证的配置页面。

步骤5：选择端口为“GigabitEthernet2/0/1”，如下图所示。

步骤6：单击<确定>按钮完成操作。

图1-21 启用端口GigabitEthernet2/0/1的MAC地址认证

3. 配置结果验证

用户Host认证成功后，通过ping FTP服务器，可以验证认证服务器下发的ACL 3000是否生效。

C:\>ping 10.0.0.1

Pinging 10.0.0.1 with 32 bytes of data:

Request timed out.

Request timed out.

Request timed out.

Request timed out.

Ping statistics for 10.0.0.1:

Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

2 802.1X

2.1  概述

最初，IEEE 802 LAN/WAN委员会为解决无线局域网网络安全问题，提出了802.1X协议。后来，802.1X协议作为局域网的一个普通接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

802.1X协议是一种基于端口的网络接入控制协议，即在局域网接入设备的端口上对所接入的用户设备进行认证，以便用户设备控制对网络资源的访问。

图2-1 802.1X体系结构

如上图所示，802.1X系统中包括以下三个实体：

·     客户端（Client）：是请求接入局域网的用户终端设备，由局域网中的设备端对其进行认证。客户端上必须安装支持802.1X认证的客户端软件。

·     设备端（Device）：是局域网中控制客户端接入的网络设备，位于客户端和认证服务器之间，为客户端提供接入局域网的端口（物理端口或逻辑端口），并通过与服务器的交互来对所连接的客户端进行认证。

·     认证服务器（Authenticaton server）：用于对客户端进行认证、授权和计费，通常为RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器。认证服务器根据设备端发送来的客户端认证信息来验证客户端的合法性，并将验证结果通知给设备端，由设备端决定是否允许客户端接入。在一些规模较小的网络环境中，认证服务器的角色也可以由设备端来代替，即由设备端对客户端进行本地认证、授权和计费。

2.2  802.1X配置任务简介

802.1X提供了一个用户身份认证的实现方案，但是仅仅依靠802.1X是不足以实现该方案的。接入设备的管理者选择使用RADIUS或本地认证方法，以配合802.1X完成用户的身份认证。因此，需要首先完成以下配置任务：

·     配置802.1X用户所属的ISP认证域及及其使用的AAA方案，即本地认证方案或RADIUS方案。

·     如果需要通过RADIUS服务器进行认证，则应该在RADIUS服务器上配置相应的用户名和密码。

·     如果需要本地认证，则应该在设备上手动添加认证的用户名和密码。配置本地认证时，用户使用的服务类型必须为LAN-Access。

802.1X配置的推荐步骤如下表所示。

表2-1 802.1X配置步骤

2.3  配置全局的802.1X特性

(1)     在导航栏中选择“认证 > 802.1X”，进入802.1X的配置页面。

(2)     单击“高级设置”前的扩展按钮，进入如下图所示页面。

图2-2 802.1X

(3)     在“802.1X认证设置”中可以显示和配置全局的802.1X特性。配置全局802.1X特性，详细配置如下表所示。

表2-2 全局802.1X特性的详细配置

2.4  配置端口的802.1X特性

(1)     在导航栏中选择“认证 > 802.1X”，进入802.1X的配置页面。

(2)     单击“高级设置”前的扩展按钮，进入如下图所示页面。

(3)     在“802.1X认证启用端口”中显示的是端口802.1X特性的配置信息。单击<新建>按钮，进入新启用端口802.1X认证的配置页面，如下图所示。

图2-3 新启用802.1X认证

(4)     配置端口802.1X特性，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表2-3 端口802.1X特性的详细配置

2.5  802.1X典型配置举例

1. 组网需求

·     要求在端口GigabitEthernet1/0/1上对接入用户进行认证，以控制其访问Internet；接入控制方式要求是基于MAC地址的接入控制；对在线用户启用周期性重认证，以便定时更新服务器对用户的授权信息。

·     所有接入用户都属于一个缺省的域：test。认证时，采用RADIUS认证方式；计费时，如果RADIUS计费失败则切断用户连接使其下线。RADIUS服务器使用CAMS/iMC服务器。

·     由两台RADIUS服务器组成的服务器组与Switch相连，其IP地址分别为10.1.1.1和10.1.1.2，使用前者作为主认证/备份计费服务器，使用后者作为备份认证/主计费服务器。

·     设置系统与认证RADIUS服务器交互报文时的共享密钥为name、与计费RADIUS服务器交互报文时的共享密钥为money。

·     设置系统在向RADIUS服务器发送报文后5秒种内如果没有得到响应就向其重新发送报文，发送报文的次数总共为5次；设置系统每15分钟就向RADIUS服务器发送一次实时计费报文。

·     设置系统从用户名中去除用户域名后再将之传给RADIUS服务器。

图2-4 802.1X配置组网图

2. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置802.1X

步骤1：在导航栏中选择“认证 > 802.1X”。

步骤2：进行如下配置，如下图所示。

·     选中“启用802.1X认证”前的复选框。

·     选择认证方法“CHAP”。

步骤3：单击<确定>按钮完成操作。

图2-5 配置全局的802.1X特性

步骤4：在“802.1X认证启用端口”中单击<新建>按钮，进入新启用802.1X认证的配置页面。

步骤5：进行如下配置，如下图所示。

·     选择端口为“GigabitEthernet1/0/1”。

·     选中“启用周期性重认证”前的复选框。

步骤6：单击<确定>按钮完成操作。

图2-6 配置端口GigabitEthernet1/0/1的802.1X特性

(3)     配置RADIUS方案system

步骤1：在导航栏中选择“认证 > RADIUS”，默认进入“RADIUS服务器配置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     选择服务类型为“认证服务器”。

·     输入主服务器IP地址为“10.1.1.1”。

·     选择主服务器状态为“active”。

·     输入备份服务器IP地址为“10.1.1.2”。

·     选择备份服务器状态为“active”。

·     单击<确定>按钮完成操作。

图2-7 配置RADIUS认证服务器的信息

步骤3：配置RADIUS计费服务器的信息，如下图所示。

·     如下图所示，选择服务类型为“计费服务器”。

·     输入主服务器IP地址为“10.1.1.2”。

·     选择主服务器状态为“active”。

·     输入备份服务器IP地址为“10.1.1.1”。

·     选择备份服务器状态为“active”。

步骤4：单击<确定>按钮完成操作。

图2-8 配置RADIUS计费服务器的信息

步骤5：单击“RADIUS参数设置”页签，进行如下配置，如下图所示。

·     选择服务器类型为“extended”。

·     选中“认证服务器共享密钥”前的复选框，输入认证密钥为“name”。

·     输入确认认证密钥为“name”。

·     选中“计费服务器共享密钥”前的复选框，输入计费密钥为“money”。

·     输入确认计费密钥为“money”。

·     输入超时时间为“5”。

·     输入超时重发次数为“5”。

·     输入实时计费间隔为“15”。

步骤6：单击<确定>按钮完成操作。

图2-9 配置与RADIUS服务器交互的方案

(4)     创建ISP域

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     输入域名为“test”。

·     选择缺省域为“Enable”。

步骤3：单击<应用>按钮完成操作。

图2-10 创建ISP域

(5)     配置ISP域的AAA认证方案

步骤1：单击“认证”页签，进入AAA认证方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default认证”前的复选框，选择认证方式为“RADIUS”。

·     选择认证方案名称为“system”。

图2-11 配置ISP域的AAA认证方案

步骤3：单击<应用>按钮，弹出配置进度对话框，如下图所示。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-12 配置进度对话框

(6)     配置ISP域的AAA授权方案

步骤1：单击“授权”页签，进入AAA授权方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default授权”前的复选框，选择授权方式为“RADIUS”。

·     选择授权方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-13 配置ISP域的AAA授权方案

(7)     配置ISP域的AAA计费方案

步骤1：单击“计费”页签，进入AAA计费方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default计费”前的复选框，选择计费方式为“RADIUS”。

·     选择计费方案名称为“system”。

步骤3：单击<应用>按钮完成操作，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-14 配置ISP域的AAA计费方案

2.6  下发ACL典型配置举例

1. 组网需求

如下图所示，主机Host通过802.1X认证接入网络，认证服务器为RADIUS服务器（使用CAMS/iMC服务器）。Internet网络中有一台FTP服务器，IP地址为10.0.0.1。

·     在认证服务器上配置授权下发ACL 3000。

·     在Switch的GigabitEthernet1/0/1上开启802.1X认证，并配置ACL 3000。

当用户认证成功上线，认证服务器下发ACL 3000。此时ACL 3000在GigabitEthernet1/0/1上生效，Host可以访问Internet，但不能访问FTP服务器。

图2-15 下发ACL配置组网图

2. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置RADIUS方案system

步骤1：在导航栏中选择“认证 > RADIUS”，默认进入“RADIUS服务器配置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     输入主服务器IP地址为“10.1.1.1”。

·     输入主UDP端口为“1812”。

·     选择主服务器状态为“active”。

·     单击<确定>按钮完成操作。

图2-16 配置RADIUS认证服务器

步骤3：配置RADIUS计费服务器。

·     如下图所示，选择服务类型为“认证服务器”。

·     选择服务类型为“计费服务器”。

·     输入主服务器IP地址为“10.1.1.2”。

·     输入主UDP端口为“1813”。

·     选择主服务器状态为“active”。

·     单击<确定>按钮完成操作。

图2-17 配置RADIUS计费服务器

步骤4：单击“RADIUS参数设置”页签。

步骤5：进行如下配置，如下图所示。

·     选择服务器类型为“extended”。

·     选中“认证服务器共享密钥”前的复选框，输入认证密钥为“abc”。

·     输入确认认证密钥为“abc”。

·     选中“计费服务器共享密钥”前的复选框，输入计费密钥为“abc”。

·     输入确认计费密钥为“abc”。

·     选择用户名格式为“without-domain”。

步骤6：单击<确定>按钮完成操作。

图2-18 配置设备与RADIUS服务器交互的方案

(3)     创建ISP域

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     输入域名为“test”。

·     选择缺省域为“Enable”。

步骤3：单击<应用>按钮完成操作。

图2-19 创建ISP域

(4)     配置ISP域的AAA认证方案

步骤1：单击“认证”页签，进入AAA认证方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default认证”前的复选框，选择认证方式为“RADIUS”。

·     选择认证方案名称为“system”。

图2-20 配置ISP域的AAA认证方案

步骤3：单击<应用>按钮，弹出配置进度对话框，如下图所示。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-21 配置进度对话框

(5)     配置ISP域的AAA授权方案

步骤1：单击“授权”页签，进入AAA授权方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default授权”前的复选框，选择授权方式为“RADIUS”。

·     选择授权方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-22 配置ISP域的AAA授权方案

(6)     配置ISP域的AAA计费方案

步骤1：单击“计费”页签，进入AAA计费方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“计费可选开关”前的复选框，选择“Enable”。

·     选中“Default计费”前的复选框，选择计费方式为“RADIUS”。

·     选择计费方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图2-23 配置ISP域的AAA计费方案

(7)     配置ACL

步骤1：在导航栏中选择“QoS > ACL IPv4”。

步骤2：单击“创建”页签，进入创建ACL的配置页面。，

步骤3：输入访问控制列表ID为“3000”，如下图所示。

步骤4：单击<应用>按钮完成操作。

图2-24 创建ACL 3000

步骤5：单击“高级配置”页签，进入ACL的高级配置页面。

步骤6：进行如下配置，如下图所示。

·     选择访问控制列表为“3000”。

·     选中“规则ID”前的复选框，输入规则ID为“0”。

·     选择操作为“禁止”。

·     选中“目的IP地址”前的复选框，输入目的IP地址为“10.0.0.1”。

·     输入目的地址通配符为“0.0.0.0”。

步骤7：单击<添加>按钮完成操作。

图2-25 配置ACL规则

(8)     配置802.1X

步骤1：在导航栏中选择“认证 > 802.1X”，进入802.1X的配置页面。

步骤2：进行如下配置，如下图所示。

·     选中“启用802.1X认证”前的复选框。

·     选择认证方法“CHAP”。

步骤3：单击<确定>按钮完成操作。

图2-26 配置全局的802.1x特性

步骤4：在“802.1X认证启用端口”中单击<新建>按钮，进入新启用802.1X认证的配置页面。

步骤5：选择端口为“GigabitEthernet1/0/1”，如下图所示。

步骤6：单击<确定>按钮完成操作。

图2-27 配置端口GigabitEthernet1/0/1的802.1X特性

3. 配置结果验证

当用户认证成功上线后，通过Ping操作可以验证认证服务器下发的ACL 3000是否生效。

步骤1：在导航栏中选择“网络 > 诊断工具”，默认进入“Ping”页签的页面。

步骤2：输入目的IP地址为“10.0.0.1”。

步骤3：单击<开始>按钮，执行Ping操作。

在概要信息栏中看到如下图所示的信息。

图2-28 Ping操作结果

2.7  注意事项

配置802.1X时需要注意如下事项：

只有同时开启全局和端口的802.1X特性后，802.1X的配置才能在端口上生效。

一般情况下，用户无需改变全局802.1X特性中的定时器的相关参数值，除非在一些特殊或恶劣的网络环境下，可以改变定时器值来调节交互进程。

如果端口启动了802.1X，则不能配置该端口加入聚合组。反之，如果该端口已经加入到某个聚合组中，则禁止在该端口上启动802.1X。

对于802.1X用户，如果采用EAP认证方式，则设备会把客户端输入的内容直接封装后发给服务器，这种情况下设备对用户名格式的设置无效，关于用户名格式的配置请参见RADIUS。

在用户端设备发送不携带Tag数据流的情况下，接入端口的Voice VLAN功能与802.1X功能互斥。

3 端口安全

3.1  概述

端口安全是一种基于MAC地址对网络接入进行控制的安全机制，是对已有的802.1X认证和MAC地址认证的扩充。这种机制通过检测端口收到的数据帧中的源MAC地址来控制非授权设备对网络的访问，通过检测从端口发出的数据帧中的目的MAC地址来控制对非授权设备的访问。

端口安全的主要功能是通过定义各种端口安全模式，让设备学习到合法的源MAC地址，以达到相应的网络管理效果。启动了端口安全功能之后，当发现非法报文时，系统将触发相应特性，并按照预先指定的方式进行处理，既方便用户的管理又提高了系统的安全性。这里的非法报文是指：

·     MAC地址未被端口学习到的用户报文；

·     未通过认证的用户报文。

3.2  端口安全配置任务简介

1. 基本控制模式

基本控制模式端口安全配置的推荐步骤如下表所示。

表3-1 基本控制模式的端口安全配置步骤

2. 高级控制模式

高级控制模式端口安全配置的推荐步骤如下表所示。

表3-2 高级控制模式的端口安全配置步骤

3.3  配置全局的端口安全

(1)     在导航栏中选择“认证 > 端口安全”，进入如下图所示的页面。

图3-1 端口安全

(2)     “端口安全设置”中可以显示和配置全局端口安全功能的启用状态，单击“高级设置”前的扩展按钮可以显示和配置全局端口安全的高级参数信息，如下图所示。

图3-2 端口安全设置

(3)     配置全局端口安全，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表3-3 全局端口安全的详细配置

3.4  配置端口的基本控制功能

(1)     在导航栏中选择“认证 > 端口安全”，进入如图3-1所示的页面。

(2)     “配置端口安全功能和安全MAC表项”中的上半部分显示端口安全功能的信息，如下图所示。

图3-3 配置端口安全功能和安全MAC表项

(3)     单击<新建>按钮，进入新启用端口安全功能的配置页面，如下图所示。

图3-4 新启用端口安全功能

(4)     配置端口的安全功能，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表3-4 端口的安全功能的详细配置

3.5  配置端口的安全MAC地址

(1)     在导航栏中选择“认证 > 端口安全”，进入如图3-1所示的页面。

(2)     在“配置端口安全功能和安全MAC表项”中单击“安全MAC列表”前的扩展按钮，展开如下图所示的页面，显示所有自动学习到的和手动配置的安全MAC地址。

图3-5 安全MAC列表

(3)     单击<新建>按钮，进入新建安全MAC表项的配置页面，如下图所示。

图3-6 新建安全MAC表项

(4)     配置安全MAC表项，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表3-5 安全MAC表项的详细配置

3.6  配置端口的高级控制功能

(1)     在导航栏中选择“认证 > 端口安全”，进入如图3-1所示的页面。

(2)     在“高级控制设置”中单击“高级控制端口”前的扩展按钮，展开如下图所示的页面，显示高级控制端口的信息。

图3-7 高级控制端口

(3)     单击<新建>按钮，进入新启用高级控制端口的配置页面，如下图所示。

图3-8 新启用高级控制端口

(4)     配置高级控制端口，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表3-6 高级控制端口的详细配置

3.7  配置授权OUI

(1)     在导航栏中选择“认证 > 端口安全”，进入如图3-1所示的页面。

(2)     在“高级控制设置”中单击“授权OUI列表”前的扩展按钮，展开如下图所示的页面，显示授权OUI的信息。

图3-9 授权OUI列表

(3)     配置授权OUI时，在“OUI值”文本框中输入格式为H-H-H的48位MAC地址。

(4)     单击<添加>按钮完成操作，系统会自动取输入的前24位做为OUI值，忽略后24位。

3.8  基本控制模式典型配置举例

1. 组网需求

在交换机的端口GigabitEthernet1/0/1上对接入用户做如下的限制：

·     允许3个用户自由接入，不进行认证，将学习到的用户MAC地址添加为安全MAC地址。

·     当安全MAC地址数量达到3后，停止学习；当再有新的MAC地址接入时，触发入侵检测，并将此端口关闭30秒。

图3-10 端口安全基本控制模式配置组网图

2. 配置步骤

步骤1：在导航栏中选择“认证 > 端口安全”，进入端口安全的配置页面。

步骤2：在“端口安全设置”中进行如下配置，如下图所示。

·     选中“启用端口安全”前的复选框。

·     单击“高级设置”前的扩展按钮。

·     输入暂时关闭端口时间为“30”秒。

·     选中Trap信息发送“报文入侵”前的复选框。

步骤3：单击<确定>按钮完成操作。

图3-11 端口安全设置

步骤4：单击“配置端口安全功能和安全MAC表项”中端口安全功能列表下面的<新建>按钮，进入对应的配置页面。

步骤5：进行如下配置，如下图所示。

·     选择端口为“GigabitEthernet1/0/1”。

·     输入最大安全MAC数为“3”。

·     选中“启用报文入侵控制”前的复选框，选择控制方式为“暂时关闭端口”。

步骤6：单击<确定>按钮完成操作。

图3-12 新启用端口安全功能

3. 配置结果验证

配置完成后，在Web上可以查看学习到的MAC地址。如学习到3个，那么存储的安全MAC地址数就为3，在端口安全页面的“配置端口安全功能和安全MAC表项”中单击“安全MAC列表”前的扩展按钮，查看到如下图所示的信息。

图3-13 安全MAC列表

当学习到的MAC地址数达到3后，再有新的MAC地址到达将触发入侵保护，可以通过在导航栏中选择“设备 > 端口管理”，单击“详情”页签，选中端口GigabitEthernet1/0/1，看到端口安全使此端口不可用，如下图所示。

图3-14 端口管理——端口关闭

30秒后再次选中端口GigabitEthernet1/0/1刷新页面，可以看到端口恢复为可用，如下图所示。

图3-15 端口管理——端口恢复

此时，如手动删除几条安全MAC地址后，可以继续学习MAC地址。

3.9  高级控制模式典型配置举例

1. 组网需求

客户端通过端口GigabitEthernet1/0/1连接到交换机上，交换机通过RADIUS服务器对客户端进行身份认证，如果认证成功，客户端被授权允许访问Internet资源。

·     IP地址为192.168.1.2的RADIUS服务器作为主认证/主计费服务器。认证共享密钥为name，计费共享密钥为money。

·     所有接入用户都使用ISP域system的缺省认证/授权/计费方案。

·     系统向RADIUS服务器发送的用户名不带域名。

交换机的管理者希望对接入用户的端口GigabitEthernet1/0/1做如下限制：

·     允许一个802.1x用户上线。

·     还允许端口上有一个与OUI值匹配的MAC地址用户通过。

图3-16 端口安全高级控制模式配置组网图

2. 配置步骤

(1)     配置RADIUS方案system

步骤1：在导航栏中选择“认证 > RADIUS”，默认进入“RADIUS服务器配置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     选择服务类型为“认证服务器”。

·     输入主服务器IP地址为“192.168.1.2”。

·     输入主UDP端口为“1812”。

·     选择主服务器状态为“active”。

步骤3：单击<确定>按钮完成操作。

图3-17 配置RADIUS认证服务器

步骤4：配置RADIUS认证服务器

·     如下图所示，选择服务类型为“计费服务器”。

·     输入主服务器IP地址为“192.168.1.2”。

·     输入主UDP端口为“1813”。

·     选择主服务器状态为“active”。

·     单击<确定>按钮完成操作。

图3-18 配置RADIUS计费服务器

步骤5：单击“RADIUS参数设置”页签，进入“RADIUS参数设置”页签的页面。

步骤6：进行如下配置，如下图所示。

·     选择服务器类型为“extended”。

·     选中“认证服务器共享密钥”前的复选框，输入认证密钥为“name”。

·     输入确认认证密钥为“name”。

·     选中“计费服务器共享密钥”前的复选框，输入计费密钥为“money”。

·     输入确认计费密钥为“money”。

·     选择用户名格式为“without-domain”。

步骤7：单击<确定>按钮完成操作。

图3-19 配置RADIUS方案参数

(2)     配置ISP域的AAA认证方案

步骤1：在导航栏中选择“认证 > AAA”。

步骤2：单击“认证”页签，进入AAA认证方案的配置页面方案。

步骤3：进行如下配置，如下图所示。

·     选择域名为“system”。

·     选中“Default认证”前的复选框，选择认证方式为“RADIUS”。

·     选择认证方案名称为“system”。

图3-20 配置缺省ISP域system的AAA认证方案

步骤4：单击<应用>按钮，弹出配置进度对话框，如下图所示。

步骤5：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图3-21 配置进度对话框

(3)     配置ISP域的AAA授权方案

步骤1：单击“授权”页签，进入AAA授权方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“system”。

·     选中“Default授权”前的复选框，选择授权方式为“RADIUS”。

·     选择授权方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图3-22 配置缺省ISP域system的AAA授权方案

(4)     配置ISP域的AAA计费方案

步骤1：单击“计费”页签，进入AAA计费方案的配置页面。

步骤2：进行如下配置，如下图所示。

·     选择域名为“system”。

·     选中“Default计费”前的复选框，选择计费方式为“RADIUS”。

·     选择计费方案名称为“system”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图3-23 配置缺省ISP域system的AAA计费方案

(5)     配置端口安全

步骤1：在导航栏中选择“认证 > 端口安全” ，进入端口安全的配置页面。

步骤2：在“端口安全设置”中选中“启用端口安全”前的复选框，如下图所示。

步骤3：单击<确定>按钮完成操作。

图3-24 配置全局的端口安全

步骤4：在“高级控制设置”中单击“高级控制端口”前的扩展按钮。

步骤5：单击展开的列表下的<新建>按钮，进入新启用高级控制端口的配置页面。

步骤6：进行如下配置，如下图所示。

·     选择端口为“GigabitEthernet1/0/1”。

·     选择安全模式为“802.1X MAC Based Or OUI”。

步骤7：单击<确定>按钮完成操作。

图3-25 配置端口GigabitEthernet1/0/1的高级控制功能

步骤8：在“高级控制设置”中单击“授权OUI列表”前的扩展按钮。

步骤9：输入OUI值为“1234-0100-0000”，如下图所示。

步骤10：单击<添加>按钮完成操作。

图3-26 配置授权OUI

步骤11：在“高级控制设置”中单击“授权OUI列表”前的扩展按钮。

步骤12：输入OUI值为“1234-0200-0000”。

步骤13：单击<添加>按钮完成操作。

步骤14：在“高级控制设置”中单击“授权OUI列表”前的扩展按钮。

步骤15：输入OUI值为“1234-0300-0000”。

步骤16：单击<添加>按钮完成操作。

4 AAA

4.1  概述

Web页面提供了配置ISP（Internet Service Provider，Internet服务提供者）域，以及配置ISP域的AAA认证、授权、计费方法的功能。

AAA是Authentication、Authorization、Accounting（认证、授权、计费）的简称，是网络安全的一种管理机制，提供了认证、授权、计费三种安全功能。

·     认证：确认远端访问用户的身份，判断访问者是否为合法的网络用户。

·     授权：对不同用户赋予不同的权限，限制用户可以使用的服务。例如用户成功登录服务器后，管理员可以授权用户对服务器中的文件进行访问和打印操作。

·     计费：记录用户使用网络服务中的所有操作，包括使用的服务类型、起始时间、数据流量等，它不仅是一种计费手段，也对网络安全起到了监视作用。

AAA一般采用客户机/服务器结构，客户端运行于NAS（Network Access Server，网络接入服务器）上，服务器上则集中管理用户信息。NAS对于用户来讲是服务器端，对于服务器来说是客户端。AAA的基本组网结构如下图所示。

图4-1 AAA基本组网结构示意图

AAA可以通过多种协议来实现，目前设备支持基于RADIUS协议来实现AAA，在实际应用中，RADIUS协议也是最常使用的。RADIUS的详细介绍请参见RADIUS。

4.2  AAA配置任务简介

·     进行本地认证时，需要配置本地用户，具体配置请参见用户。

·     进行远端认证、授权或计费时，需要已经创建RADIUS方案，通过引用已配置的RADIUS方案来实现认证、授权、计费。有关RADIUS方案的配置请参见RADIUS。

AAA配置的推荐步骤如下表所示。

表4-1 AAA配置步骤

4.3  配置ISP域

(1)     在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面，如下图所示。

图4-2 域设置

(2)     配置ISP域，详细配置如下表所示。

(3)     单击<应用>按钮完成操作。

表4-2 ISP域的详细配置

4.4  配置ISP域的AAA认证方法

(1)     在导航栏中选择“认证 > AAA”。

(2)     单击“认证”页签，进入如下图所示的页面。

图4-3 认证

(3)     配置ISP域AAA认证方法，详细配置如下表所示。

(4)     单击<应用>按钮完成操作。

表4-3 ISP域AAA认证方法的详细配置

4.5  配置ISP域的AAA授权方法

(1)     在导航栏中选择“认证 > AAA”。

(2)     单击“授权”页签，进入如下图所示的页面。

图4-4 授权

(3)     配置ISP域AAA授权方法，详细配置如下表所示。

(4)     单击<应用>按钮完成操作。

表4-4 ISP域AAA授权方法的详细配置

4.6  配置ISP域的AAA计费方法

(1)     在导航栏中选择“认证 > AAA”。

(2)     单击“计费”页签，进入如下图所示的页面。

图4-5 计费

(3)     配置ISP域AAA计费方法，详细配置如下表所示。

(4)     单击<应用>按钮完成操作。

表4-5 ISP域AAA计费方法的详细配置

4.7  AAA典型配置举例

1. 组网需求

如下图所示，配置Switch实现对登录Switch的Telnet用户进行本地认证、授权和计费。

图4-6 AAA配置组网图

2. 配置步骤

(1)     配置各接口的IP地址。（略）

(2)     配置本地用户。

步骤1：在导航栏中选择“设备 > 用户管理”。

步骤2：单击“创建用户”页签，进入创建用户的配置页面。

步骤3：进行如下配置，如下图所示。

·     输入用户名为“telnet”。

·     选择访问等级为“Management”。

·     输入密码为“abcd”。

·     输入确认密码为“abcd”。

·     选中服务类型“Telnet服务”前的复选框。

步骤4：单击<应用>按钮完成操作。

图4-7 创建用户

(3)     # 配置ISP域test。

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：输入域名为“test”，如下图所示。

步骤3：单击<应用>按钮完成操作。

图4-8 配置ISP域test

(4)     配置ISP域的AAA方案为本地认证。

步骤1：在导航栏中选择“认证 > AAA”。

步骤2：单击“认证”页签，进入AAA认证方案的配置页面。

步骤3：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Login认证”前的复选框，选择认证方法为“Local”。

图4-9 配置ISP域的AAA方案为本地认证

步骤4：单击<应用>按钮，弹出配置进度对话框，如下图所示。

步骤5：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图4-10 配置进度对话框

(5)     配置ISP域的AAA方案为本地授权。

步骤1：在导航栏中选择“认证 > AAA”。

步骤2：单击“授权”页签，进入AAA授权方案的配置页面。

步骤3：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Login授权”前的复选框，选择授权方法为“Local”。

步骤4：单击<应用>按钮，弹出配置进度对话框。

步骤5：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图4-11 配置ISP域的AAA方案为本地授权

(6)     配置ISP域的AAA方案为本地计费。

步骤1：在导航栏中选择“认证 > AAA”。

步骤2：单击“计费”页签，进入AAA计费方案的配置页面。

步骤3：进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Login计费”前的复选框，选择计费方法为“Local”。

步骤4：单击<应用>按钮，弹出配置进度对话框。

步骤5：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图4-12 配置ISP域的AAA方案为本地计费

使用Telnet登陆时输入用户名为telnet@test，以使用test域进行认证。

5 RADIUS

5.1  概述

RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）是一种用于实现AAA（Authentication, Authorization and Accounting，认证、授权和计费）的协议，是分布式的、客户端/服务器结构的信息交互协议，能保护网络不受未授权访问的干扰，常应用在既要求较高安全性、又允许远程用户访问的各种网络环境中。该协议定义了RADIUS的报文格式及其消息传输机制，并规定使用UDP作为封装RADIUS报文的传输层协议（UDP端口1812、1813分别作为认证、计费端口）。

RADIUS最初仅是针对拨号用户的AAA协议，后来随着用户接入方式的多样化发展，RADIUS也适应多种用户接入方式，如以太网接入、ADSL接入。它通过认证授权来提供接入服务，通过计费来收集、记录用户对网络资源的使用。

5.2  RADIUS配置任务简介

RADIUS配置的推荐步骤如下表所示。

表5-1 RADIUS配置步骤

5.3  配置RADIUS服务器

(1)     在导航栏中选择“认证 > RADIUS”，默认进入“RADIUS服务器配置”页签的页面，如下图所示。

图5-1 RADIUS服务器配置

(2)     配置RADIUS服务器，详细配置如下表所示。

(3)     单击<确定>按钮完成操作。

表5-2 RADIUS服务器的详细配置

5.4  配置RADIUS参数

(1)     在导航栏中选择“认证 > RADIUS”，单击“RADIUS参数设置”页签，进入如下图所示的页面。

图5-2 RADIUS参数设置

(2)     配置RADIUS参数，详细设置如下表所示。

(3)     单击<确定>按钮完成操作。

表5-3 设置RADIUS参数详细信息

5.5  RADIUS典型配置举例

1. 组网需求

如下图所示，配置Switch实现RADIUS服务器对登录设备的Telnet用户进行认证、计费（Telnet用户在线时长统计）。

RADIUS服务器使用CAMS/iMC服务器。在RADIUS服务器上已经添加了Telnet用户的用户名和密码，同时设置了与Switch交互报文时的共享密钥为“expert”。

根据以上情况，只需设置Switch与IP地址为10.110.91.146的RADIUS服务器（其担当认证、计费服务器的职责，采用缺省端口进行认证和计费）进行报文交互时的共享密钥为“expert”。同时可以设置Switch向RADIUS服务器发送用户名时不带域名。

图5-3 RADIUS配置组网图

2. 配置步骤

(1)     配置各接口IP地址（略）

(2)     配置RADIUS方案system

步骤1：在导航栏中选择“认证 > RADIUS”，默认进入“RADIUS服务器配置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     选择服务类型为“认证服务器”。

·     输入主服务器IP地址为“10.110.91.146”。

·     输入主UDP端口为“1812”。

·     选择主服务器状态为“active”。

步骤3：单击<确定>按钮完成操作。

图5-4 配置RADIUS认证服务器

步骤4：配置RADIUS计费服务器。

·     如下图所示，选择服务类型为“计费服务器”。

·     输入主服务器IP地址为“10.110.91.146”。

·     输入主UDP端口为“1813”。

·     选择主服务器状态为“active”。

步骤5：单击<确定>按钮完成操作。

图5-5 配置RADIUS计费服务器

步骤6：配置RADIUS方案参数。单击“RADIUS参数设置”页签，进行如下配置，如下图所示。

·     选择服务器类型为“extended”。

·     选中“认证服务器共享密钥”前的复选框，输入认证密钥为“abc”。

·     输入确认认证密钥为“abc”。

·     选中“计费服务器共享密钥”前的复选框，输入计费密钥为“abc”。

·     输入确认计费密钥为“abc”。

·     选择用户名格式为“without-domain”。

·     单击<确定>按钮完成操作。

图5-6 配置RADIUS方案参数

(3)     创建ISP域

步骤1：在导航栏中选择“认证 > AAA”，默认进入“域设置”页签的页面。

步骤2：进行如下配置，如下图所示。

·     输入域名为“test”。

·     选择缺省域为“Enable”。

步骤3：单击<应用>按钮完成操作。

图5-7 创建ISP域

(4)     配置ISP域的AAA认证方案

步骤1：单击“认证”页签，进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default认证”前的复选框，选择认证方式为“RADIUS”。

·     选择认证方案名称为“system”。

·     单击<应用>按钮，弹出配置进度对话框，如下图所示。

图5-8 配置ISP域的AAA认证方案

步骤2：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图5-9 配置进度对话框

(5)     配置ISP域的AAA授权方案

步骤1：单击“授权”页签，进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“Default授权”前的复选框，选择授权方式为“RADIUS”。

·     选择授权方案名称为“system”。

步骤2：单击<应用>按钮，弹出配置进度对话框。

步骤3：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图5-10 配置ISP域的AAA授权方案

(6)     配置ISP域的AAA计费方案

步骤1：单击“计费”页签，进行如下配置，如下图所示。

·     选择域名为“test”。

·     选中“计费可选开关”前的复选框，选择“Enable”。

·     选中“Default计费”前的复选框，选择计费方式为“RADIUS”。

·     选择计费方案名称为“system”。

步骤2：单击<应用>按钮，弹出配置进度对话框。

步骤3：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图5-11 配置ISP域的AAA计费方案

5.6  注意事项

配置RADIUS客户端时需要注意如下事项：

目前RADIUS不支持对FTP用户进行计费。

如果在线用户正在使用的计费服务器被删除，则设备将无法发送用户的实时计费请求和停止计费请求，且停止计费报文不会被缓存到本地。

RADIUS方案中各服务器的状态（active、block）决定了设备向哪个服务器发送请求报文，以及设备在与当前服务器通信中断的情况下，如何转而与另外一个服务器进行交互。在实际组网环境中，可指定一个主RADIUS服务器和多个从RADIUS服务器，由从服务器作为主服务器的备份。通常情况下，设备上主从服务器的切换遵从以下原则：

·     当主服务器状态为active时，设备首先尝试与主服务器通信，若主服务器不可达，设备更改主服务器的状态为block，并启动该服务器的静默定时器，然后按照从服务器的配置先后顺序依次查找状态为active的从服务器进行认证或者计费。如果状态为active的从服务器也不可达，则将该从服务器的状态置为block，同时启动该服务器的静默定时器，并继续查找状态为active的从服务器。当服务器的静默定时器超时，或者设备收到该服务器的认证/计费应答报文时，该服务器将恢复为active状态。在一次认证或计费过程中，如果设备在尝试与从服务器通信时，主服务器状态由block恢复为active，则设备并不会立即恢复与主服务器的通信，而是继续查找从服务器。如果所有已配置的服务器都不可达，则认为本次认证或计费失败。

·     一个用户的计费流程开始之后，设备就不会再与其它的计费服务器通信，即该用户的实时计费报文和停止计费报文只会发往当前使用的计费服务器。如果当前使用的计费服务器被删除，则实时计费和停止计费报文都将无法发送。

·     如果在认证或计费过程中删除了服务器，则设备在与当前服务器通信超时后，将会重新从主服务器开始依次查找状态为active的服务器进行通信。

·     当主/从服务器的状态均为block时，设备仅与主服务器通信，若主服务器可达，则主服务器状态变为active，否则保持不变。

·     只要存在状态为active的服务器，设备就仅与状态为active的服务器通信，即使该服务器不可达，设备也不会尝试与状态为block的服务器通信。

·     设备收到服务器的认证或计费应答报文后会将与报文源IP地址相同且状态为block的认证或计费服务器的状态更改为active。

实时计费间隔与用户量之间的推荐比例关系如下表所示。

表5-4 实时计费间隔与用户量之间的推荐比例关系

6 用户

6.1  概述

用户模块提供了本地用户、用户组的配置功能。

1. 本地用户

本地用户是本地设备上设置的一组用户属性的集合。该集合以用户名为用户的唯一标识，可配置多种属性，比如用户密码、用户类型、服务类型、授权属性等。为使某个请求网络服务的用户可以通过本地认证，需要在设备上的本地用户数据库中添加相应的表项。本地认证的详细介绍请参见AAA。

2. 用户组

用户组是一个本地用户属性的集合，某些需要集中管理的授权属性可在用户组中统一配置和管理，用户组内的所有本地用户都可以继承这些属性。

每个新增的本地用户都默认属于一个系统自动创建的用户组system，且继承该组的所有属性，但本地用户的属性比用户组的属性优先级高。

6.2  配置本地用户

(1)     在导航栏中选择“认证 > 用户”，默认进入“本地用户”页签的页面，页面显示的是所有本地用户和来宾用户，如下图所示。

图6-1 本地用户

(2)     单击<新建>按钮，进入新建本地用户的配置页面，如下图所示。

图6-2 新建本地用户

(3)     配置本地用户，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表6-1 本地用户的详细配置

6.3  配置用户组

(1)     在导航栏中选择“认证 > 用户”。

(2)     单击“用户组”页签，进入用户组的显示页面，如下图所示。

图6-3 用户组

(3)     单击<新建>按钮，进入新建用户组的配置页面，如下图所示。

图6-4 新建用户组

(4)     配置用户组，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表6-2 用户组的详细配置

7 PKI

7.1  概述

PKI（Public Key Infrastructure，公钥基础设施）是一个利用公共密钥理论和技术来实现并提供信息安全服务的具有通用性的安全基础设置。我司的PKI可为安全协议IPsec（IP security，IP安全）、SSL（Secure Sockets Layer，安全套接层）、WAPI（WLAN Authentication and Privacy Infrastructure，无线局域网鉴别与保密基础结构）提供证书管理机制。

公共密钥体制也称为非对称密钥体制，是目前应用最广泛的一种加密体制。这一体制使用一个非对称的密钥对，分别是一个公开的加密密钥（公钥）和一个保密的解密密钥（私钥），用公钥加密的信息只能用私钥解密，反之亦然。由于公钥是公开的，需要在网上传送，故公钥的管理问题就是公共密钥体制所需要解决的关键问题。

目前，PKI系统中引出的数字证书机制就是一个很好的解决方案。基于公共密钥技术的数字证书是一个用户的身份和他所持有的公钥的结合，是使用PKI系统的用户建立安全通信的信任基础。

基于数字证书的PKI系统，能够为网络通信和网络交易，特别是电子政务和电子商务业务，透明地提供一整套安全服务，主要包括身份认证、保密、数据完整性和不可否认性。

PKI技术的广泛应用能满足人们对网络交易安全保障的需求。作为一种基础设施，PKI的应用范围非常广泛，并且在不断发展之中，下面给出几个应用实例。

·     VPN：VPN（Virtual Private Network，虚拟专用网络）是一种构建在公用通信基础设施上的专用数据通信网络，利用网络层安全协议（如IPSec）和建立在PKI上的加密与数字签名技术来获得机密性保护。

·     安全电子邮件：电子邮件的安全也要求机密、完整、认证和不可否认，而这些都可以利用PKI技术来实现。目前发展很快的安全电子邮件协议S/MIME(Secure/Multipurpose Internet Mail Extensions，安全/多用途Internet邮件扩充协议)，是一个允许发送加密和有签名邮件的协议。该协议的实现需要依赖于PKI技术。

·     Web安全：为了透明地解决Web的安全问题，在两个实体进行通信之前，先要建立SSL连接，以此实现对应用层透明的安全通信。利用PKI技术，SSL协议允许在浏览器和服务器之间进行加密通信。此外，服务器端和浏览器端通信时双方可以通过数字证书确认对方的身份。

7.2  PKI配置任务简介

PKI证书的申请方式有两种：

·     手动申请证书方式：需要手工完成获取CA证书、生成密钥对、申请本地证书的工作。

·     自动申请证书方式：在没有本地证书时实体自动通过SCEP协议进行申请，而且在证书即将过期时自动申请新的证书并获取至本地。

证书申请的方式可在PKI域中进行配置。根据证书申请方式的不同，PKI的配置步骤也不同。

1. 手动申请证书方式

手动申请证书方式下PKI配置的推荐步骤如下表所示。

表7-1 PKI配置步骤（手动申请证书方式）

2. 自动申请证书方式

自动申请证书方式下PKI配置的推荐步骤如下表所示。

表7-2 PKI配置步骤（自动申请证书方式）

7.3  新建PKI实体

(1)     在导航栏中选择“认证 > PKI”，默认进入“PKI实体”页签的页面，如下图所示。

图7-1 PKI实体

(2)     单击<新建>按钮，进入新建PKI实体的配置页面，如下图所示。

图7-2 新建PKI实体

(3)     进行新建PKI实体的配置，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表7-3 新建PKI实体的详细配置

7.4  新建PKI域

(1)     在导航栏中选择“认证 > PKI”。

(2)     单击“PKI域”页签，进入PKI域的显示页面，如下图所示。

图7-3 PKI域

(3)     单击<新建>按钮，进入新建PKI域的配置页面，单击<显示高级>按钮，展开隐藏的高级配置项，如下图所示。

图7-4 新建PKI域

(4)     进行新建PKI域的配置，详细配置如下表所示。

(5)     单击<确定>按钮完成操作。

表7-4 新建PKI域的详细配置

7.5  生成RSA密钥对

(1)     在导航栏中选择“认证 > PKI”，单击“证书”页签，进入PKI证书的显示页面，如下图所示。

图7-5 证书

(2)     单击页面上的<创建密钥>按钮，进入生成RSA密钥对的配置页面，如下图所示。

图7-6 创建密钥

(3)     进行生成RSA密钥对的配置，详细配置如下表所示。

(4)     单击<确定>按钮完成操作。

表7-5 生成RSA密钥对的详细配置

7.6  销毁RSA密钥对

(1)     在导航栏中选择“认证 > PKI”。

(2)     单击“证书”页签，进入PKI证书的显示页面，如图7-5所示。

(3)     单击页面上的<销毁密钥>按钮，进入销毁RSA密钥对的配置页面，如下图所示。

(4)     单击<确定>按钮将销毁设备上已存在的RSA密钥对和对应的本地证书。

图7-7 销毁密钥

7.7  获取证书

用户通过此配置可以将已存在的CA证书或本地证书获取至本地。获取证书有两种方式：离线方式和在线方式。离线方式下获取证书需要通过带外方式（如FTP、磁盘、电子邮件等）取得证书，然后将其导入至本地。

(1)     在导航栏中选择“认证 > PKI”。

(2)     单击“证书”页签，进入PKI证书的显示页面，如图7-5所示。

(3)     单击页面上的<获取证书>按钮，进入获取PKI证书的配置页面，如下图所示。

图7-8 获取证书设置

(4)     进行获取PKI证书的配置，详细配置如下表所示。

表7-6 获取PKI证书的详细配置

(5)     获取证书后，可以在PKI证书的显示页面，单击指定证书对应的<查看证书>按钮，查看证书的详细信息，如下图所示，证书详细信息各字段的说明如下表所示。。

图7-9 查看证书的详细信息

表7-7 证书详细信息的说明

7.8  申请本地证书

(1)     在导航栏中选择“认证 > PKI”，单击“证书”页签。

(2)     进入PKI证书的显示页面，如图7-5所示。

(3)     单击页面上的<申请证书>按钮，进入申请本地证书的配置页面，如下图所示。

图7-10 申请证书设置

(4)     进行申请本地证书的配置，详细配置如下表所示。

表7-8 申请本地证书的详细配置

(5)     若选择使用离线方式申请本地证书，在完成上述配置后，单击<确定>按钮，页面会显示离线申请证书的信息，如下图所示。将这些信息通过离线方式提交给CA以申请本地证书。

图7-11 离线申请证书的信息

7.9  获取和查看CRL

(1)     在导航栏中选择“认证 > PKI”。

(2)     单击“CRL”页签，进入CRL的显示页面，如下图所示。

图7-12 CRL

(3)     在列表中单击指定PKI域对应的操作列的<获取CRL>按钮，可将CRL获取到本地。

(4)     获取CRL后，在列表中单击指定PKI域对应的操作列的<查看CRL>按钮，可查看CRL的详细信息，如下图所示。CRL详细信息各字段的说明如下表所示。

图7-13 查看CRL的详细信息

表7-9 CRL详细信息的说明

7.10  PKI典型配置举例

1. 组网需求

在作为PKI实体的设备Switch上进行相关配置，实现以下需求：

·     Switch向CA服务器申请本地证书，CA服务器上采用RSA Keon软件。

·     获取CRL为证书验证做准备。

图7-14 PKI实体向CA申请证书组网图

2. 配置步骤

配置CA服务器

(1)     创建CA服务器myca。

在本例中，CA服务器上首先需要进行基本属性Nickname和Subject DN的配置。其它属性选择默认值。其中，Nickname为可信任的CA名称，Subject DN为CA的DN属性，包括CN、OU、O和C。

(2)     配置扩展属性。

基本属性配置完毕之后，还需要在生成的CA服务器管理页面上对“Jurisdiction Configuration”进行配置，主要内容包括：根据需要选择合适的扩展选项；启动自动颁发证书功能；添加可以自动颁发证书的地址范围。

(3)     配置CRL发布

CA服务器的基本配置完成之后，需要进行CRL的相关配置。

本例中选择CRL的发布方式为HTTP，自动生成CRL发布点的URL为http://4.4.4.133:447/myca.crl。

3. 配置Switch

(1)     新建PKI实体。

步骤1：在导航栏中选择“认证 > PKI”，默认进入“PKI实体”页签的页面。

步骤2：单击<新建>按钮，进入新建PKI实体的配置页面。

步骤3：进行如下配置，如下图所示。

·     输入PKI实体名称为“aaa”。

·     输入通用名为“ac”。

步骤4：单击<确定>按钮完成操作。

图7-15 新建PKI实体

(2)     新建PKI域。

步骤1：单击“PKI域”页签。

步骤2：单击<新建>按钮，进入新建PKI域的配置页面。

步骤3：进行如下配置，如下图所示。

·     输入PKI域名称为“torsa”。

·     输入CA标识符为“myca”。

·     选择本端实体为“aaa”。

·     选择注册机构为“CA”。

·     以“http://host:port/Issuing Jurisdiction ID”（其中的Issuing Jurisdiction ID为CA服务器上生成的16进制字符串）的格式输入证书申请URL为“http://4.4.4.133:446/c95e970f632d27be5e8cbf80e971d9c4a9a93337”。

·     选择证书申请方式为“Manual”。

·     单击“高级设置”前的扩展按钮。

·     选中“启用CRl查询”前的复选框。

·     输入获取CRL的URL为“http://4.4.4.133:447/myca.crl”。

步骤4：单击<确定>按钮，页面弹出对话框提示“未指定根证书指纹，在获取CA证书时将不对根证书指纹进行验证，确认要继续吗？”。

步骤5：单击<确定>按钮，关闭弹出的对话框，完成操作。

图7-16 新建PKI域

(3)     生成RSA密钥对。

步骤1：单击“证书”页签，进入证书的配置页面。

步骤2：单击<创建密钥>按钮。

步骤3：输入密钥长度为“1024”，如下图所示。

步骤3：单击<确定>按钮开始生成RSA密钥对。

图7-17 生成RSA密钥对

(4)     获取CA证书至本地。

步骤1：生成密钥对成功后，在“证书”页签的页面单击<获取证书>按钮。

步骤2：进行如下配置，如下图所示。

·     选择PKI域为“torsa”。

·     选择证书类型为“CA”。

步骤3：单击<确定>按钮开始获取CA证书。

图7-18 获取CA证书至本地

(5)     申请本地证书。

步骤1：获取CA证书成功后，在“证书”页签的页面单击<申请证书>按钮。

步骤1：进行如下配置，如下图所示。

·     选择PKI域为“torsa”。

·     选中“挑战码”前的单选按钮，输入挑战码为“challenge-word”。

步骤3：单击<确定>按钮开始申请本地证书，弹出“证书申请已提交”的提示框。

步骤4：单击提示框中的<确定>按钮完成操作。

图7-19 申请证书设置

(6)     获取CRL至本地。

步骤1：单击“CRL”页签。

步骤2：单击PKI域“torsa”对应的<获取CRL>按钮开始获取CRL，如下图所示。

图7-20 获取CRL至本地

4. 配置结果验证

完成上述配置后，可以在“证书”页签的页面中查看获取的CA证书和本地证书的详细信息；可以在“CRL”页签的页面中查看获取的CRL文件的详细信息。

7.11  注意事项