802.1X认证+PC绑定

典型配置举例

资料版本：5W109-20230706

产品版本：EIA 7.3 (E0630)

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 介绍

PC绑定主要指将接入帐号与终端计算机名、IP地址、域用户等身份信息绑定。该功能用于增强用户认证的安全性，防止接入帐号盗用和非法接入。

2 特性使用指南

2.1 使用场合

适用于要求接入帐号绑定设备或终端等信息的企业网或校园网。

2.2 配置前提

终端用户必须使用iNode客户端连接网络。

3 配置举例

3.1 组网需求

本案例以802.1X认证为例，介绍接入帐号绑定终端IP地址和MAC地址的配置过程。

EIA服务器IP地址为192.168.40.139，接入设备IP地址为192.168.30.100。PC使用的是Windows操作系统，并安装了iNode客户端。

注：本案例中各部分使用的版本如下：

· EIA版本为iMC EIA 7.3 (E0630）

· 接入设备为H3C S3600V2-28TP-EI Comware Software, Version 5.20, Release 2103

· iNode版本为iNode PC 7.3 (E0585)

图1 PC绑定认证

3.2 配置步骤

3.2.1 配置EIA服务器

配置EIA服务器时，需要配置以下功能：

1. 接入设备

增加接入设备是为了建立iMC服务器和接入设备之间的联动关系。

增加接入设备的方法如下：

(1) 选择“用户”页签。

(2) 单击导航树中的“接入策略管理 > 接入设备管理 > 接入设备配置”菜单项，进入接入设备配置页面，如图2所示。

图2 接入设备配置页面

(3) 单击<增加>按钮，进入增加接入设备页面，如图3所示。

图3 增加接入设备页面

(4) 配置接入设备。

配置接入设备有两种方法：

¡ 在设备列表中单击<选择>按钮从iMC平台中选择设备

¡ 在设备列表中单击<手工增加>按钮，手工配置接入设备。

无论采用哪种方式接入设备的IP地址都必须满意以下要求：

¡ 如果在接入设备上配置radius scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip的配置保持一致。

¡ 如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）。

从iMC平台中选择设备时，设备的IP地址无法修改。因此如果设备加入iMC平台时使用的IP地址不满足上述要求，则可以采用手工增加的方式增加接入设备。本例采用手工增加的方式进行说明。

单击设备列表中的<手工增加>按钮，弹出手工增加接入设备窗口，如图4所示。输入接入设备的IP地址，单击<确定>按钮，返回增加接入设备页面。

图4 手工输入接入设备的IP地址

(5) 配置公共参数。

公共参数的配置要求如下：

· 认证端口：EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812。

· 计费端口：EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813。

目前仅支持将EIA同时作为认证和计费服务器，即不支持将EIA作为认证服务器，而其他服务器作为计费服务器的场景。

· 共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果[用户>接入策略管理>业务参数配置>业务参数配置]系统参数中的“密钥显示方式”设置为明文时，只需输入一次共享密钥即可，本例配置为“fine”。

¡ 其他参数：保持默认。

本例只需要配置共享密钥，其他参数采用系统默认值。增加接入设备的配置结果如图5所示。

图5 增加接入设备配置信息

(6) 单击<确定>按钮，增加接入设备完毕，进入结果显示页面。单击“返回接入设备列表”链接，返回接入设备配置页面，可在接入设备列表中查看新增的接入设备，如图6所示。

图6 查看新增的接入设备

2. 接入策略

在接入策略中配置用户的PC认证绑定信息。

PC绑定包括绑定用户IP地址、绑定用户MAC地址、绑定计算机名等，本案例以绑定用户IP地址和绑定用户MAC地址为例说明PC绑定的配置过程。

增加接入策略的方法如下：

(1) 选择“用户”页签，单击导航树中的“接入策略管理 > 接入策略管理”菜单项，进入接入策略管理页面，如图7所示。

图7 进入接入策略列表

(2) 单击<增加>按钮，进入增加接入策略页面，如图8所示。

¡ 接入策略名：输入接入策略的名称。

¡ 认证绑定信息：勾选“绑定用户IP地址”选项和“绑定用户MAC地址”选项。

¡ 其它参数使用系统默认值。

图8 增加接入策略页面

(3) 单击<确定>按钮，接入策略增加完毕。返回接入策略管理页面，可在接入策略列表中查看新增的接入策略，如图9所示。

图9 查看增加的接入策略

3. 接入服务

接入服务是对用户进行认证授权的各种策略的集合。由于本案例对用户只进行PC绑定接入控制，因此只需要增加一条简单的接入服务即可。

增加接入服务的方法如下：

(1) 选择“用户”页签，单击导航树中的“接入策略管理 > 接入服务管理”菜单项，进入接入服务管理页面，如图10所示。

图10 接入服务列表

(2) 单击<增加>按钮，进入增加接入服务页面，如图11所示。配置服务的基本参数。

¡ 服务名：输入服务名称，在EIA中必须唯一。

¡ 服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表1。

¡ 缺省接入策略：选择之前新增的接入策略。

¡ 其他参数：保持缺省值。

表1 iMC中服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	iMC中服务的后缀
X@Y	Y	user-name-format with-domain	Y
X@Y	Y	user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
X	[Default Domain] 设备上指定的缺省域	user-name-format without-domain	无后缀