iMC EIA 通用802.1X认证（IPv6）

典型配置举例

资料版本：5W108-20221110

产品版本：EIA 7.3 (E0623)

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

3.2.3 使用iNode PC客户端完成802.1X接入验证·· 13

1 介绍

通用802.1X认证，不包含任何接入控制和安全检查，仅进行身份验证。

2 特性使用指南

3 配置举例

3.1 组网需求

某公司计划启用802.1X认证，用户接入网络需要进行身份验证。具体组网如图1所示。IPv4地址为172.19.202.241，IPv6地址为2020::202:241，接入设备IPv6地址为2021:252::2。PC安装了Windows操作系统，并准备安装iNode客户端。

注：本案例中各部分使用的版本如下：

· EIA版本为EIA 7.3 (EIA E0623)

· 接入设备为H3C S7502E-XS Comware Software, Version 7.1.070, Release 7536P05

· iNode版本为iNode PC 7.3 (E0589)

图1 组网图

3.2 配置步骤

3.2.1 配置EIA服务器

配置EIA服务器时，需要配置以下功能：

· 启用EIA系统参数配置IPv6

· 接入设备

· 接入策略

· 接入服务

· 接入用户

1. 启用EIA系统参数配置IPv6

(1) 进入[用户>接入策略管理>业务参数配置>系统配置]页面，单击“系统参数配置”后面的<配置>按钮，进入系统参数配置页面，“启用IPv6”参数选择“是”，单击<确定>按钮，“如图2所示：

图2 启用IPv6

(2) 选择“用户”页签，单击左侧菜单栏的“接入策略管理 > 业务参数配置 > 系统配置”菜单项，进入系统配置页面。单击模板名称为“策略服务器参数配置”项对应“配置”列的配置图标，进入策略服务器参数配置页面。勾选“在IPv6网络启用策略服务器”项，如图3所示。

图3 策略服务器参数配置

2. 增加接入设备

增加接入设备是为了建立iMC服务器和接入设备之间的联动关系，增加接入设备的方法如下：

(1) 选择“用户”页签，单击左侧导航树中的[接入策略管理>接入设备管理>接入设备配置]菜单项，进入接入设备配置页面，如图4所示。

图4 接入设备配置页面

(2) 单击<增加>按钮，进入增加接入设备页面，如图5所示。

图5 增加接入设备

(3) 配置接入设备。

配置接入设备有两种方法：

¡ 在设备列表中单击<选择>按钮从iMC平台中选择设备。

¡ 在设备列表中单击<手工增加>按钮，手工配置接入设备。

无论采用哪种方式接入设备的IP地址都必须满意以下要求：

¡ 如果在接入设备上配置radius scheme时配置了nas-ip ipv6命令，则EIA中接入设备的IPv6地址必须与nas-ip ipv6的配置保持一致。

¡ 如果未配置nas-ip ipv6命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IPv6地址）。

从iMC平台中选择设备时，设备的IPv6地址无法修改。如果设备加入iMC平台时使用的IPv6地址不满足上述要求，则可以采用手工增加的方式增加IPv6接入设备。

本例采用从平台中选择设备的方式进行配置。

单击设备列表中的<选择>按钮，弹出选择设备或接口窗口。选择IPv6接入设备。单击<确定>按钮，返回增加接入设备页面。

(4) 配置公共参数。

公共参数的配置要求如下：

¡ 认证端口：EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812。

¡ 计费端口：EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813。

目前仅支持将EIA同时作为认证和计费服务器，即不支持将EIA作为认证服务器，而其他服务器作为计费服务器的场景。

¡ 业务类型：接入设备所承载的业务类型。

¡ 强制下线方式：在下拉框中选择强制用户下线的方式，包括断开用户连接和Down-Up端口。前者表示EIA服务器向NAS设备下发Disconnect Message(DM)强制用户下线；后者表示EIA服务器向NAS设备下发Change-of-Authorization(CoA)消息强制用户下线，NAS设备收到CoA消息后先Down掉连接用户的端口，然后再重新UP该端口。

¡ 接入设备类型：在下拉框中选择接入设备的厂商和类型。下拉框中包含了Standard、EIA系统预定义和管理员自定义的厂商和类型。支持标准RADIUS协议的设备都可以选择Standard。系统预定义的厂商和类型有以下几种，包H3C(General)、3COM(General)、HUAWEI(General)、CISCO(General)、RG(General)、HP(MSM)、HP(Comware)、MICROSOFT(General)、JUNIPER(General)和HP(ProCurve)。

¡ 业务分组：在下拉框中选择接入设备所属的业务分组。将接入设备加入不同的业务分组以便进行分权管理。

¡ 共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果[用户>接入策略管理>业务参数配置>系统配置>系统参数配置]中的密钥显示方式设置为明文时，只需输入一次共享密钥即可。

¡ 其他参数保持默认。

本例中公共参数只需要输入共享密钥\确认共享密钥“movie”，其他保持默认即可，如图6所示。

图6 公共参数配置

(5) 单击<确定>按钮，增加接入设备完毕，进入结果显示页面。点击“返回接入设备列表”链接，返回接入设备配置页面，可在接入设备列表中查看新增的接入设备，如图7所示。

图7 查看新增的IPv6接入设备

3. 增加接入策略

配置一个不进行任何接入控制的接入策略，增加接入策略的方法如下：

(1) 选择“用户”页签，单击导航树中的[接入策略管理>接入策略管理]菜单项，进入接入策略管理页面，如图8所示。

图8 进入接入策略列表

(2) 单击<增加>按钮，进入增加接入策略页面，如图9所示。由于不进行任何接入控制，因此只需输入接入策略名，其他参数均保持为空即可。

图9 增加接入策略页面

授权下发需要设备支持对应属性，认证绑定需要设备在RADIUS属性中上传对应信息。本例不对设备进行任何下发，因此保持默认。

(3) 单击<确定>按钮，接入策略增加完毕。返回接入策略管理页面，可在接入策略列表中查看新增的接入策略，如图10所示。

图10 查看增加的接入策略

4. 增加接入服务

接入服务是对用户进行认证授权的各种策略的集合。本例不对用户进行任何接入控制，因此只需增加一个简单的接入服务即可。

增加接入服务的方法如下：

(1) 选择“用户”页签，单击导航树中的[接入策略管理>接入服务管理]菜单项，进入接入服务管理页面，如图11所示。

图11 进入接入服务列表

(2) 单击<增加>按钮，进入增加接入服务页面，如图12所示。

图12 增加接入服务页面

配置服务的各个参数：

¡ 服务名：输入服务名称，在EIA中必须唯一。

¡ 服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表1。

¡ 业务分组：用于分权管理，使特定的人只能管理特性的业务，既职责分明，也不会互相越权。配置该服务所属的业务分组，用于该服务的分权管理。只有拥有该业务分组权限的管理员/维护员才能配置该业务分组。

¡ 缺省接入策略：选择之前新增的接入策略。

¡ 缺省安全策略：接入用户的接入场景与服务中的接入场景均不匹配时，会根据该安全策略指定的安全方案对用户的上网的计算机进行安全检查和监控，从而实现网络的自动防御。该选项只有安装了EAD安全策略组件后才会出现。

¡ 缺省内网外连策略：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省内网外连策略的控制。

¡ 缺省单帐号最大绑定终端数：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单帐号最大绑定终端数的控制。该参数只有在部署了EIP组件后才会显示。

¡ 缺省单帐号在线数量限制：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单帐号在线数量限制的控制。

¡ 单日累计在线最长时间（分钟）：每天允许帐号使用该服务接入网络的总时长，达到该时长后，帐号将被强制下线，且当日不能再次接入。该参数单位是分钟，只支持输入整数，最小值是0，表示不限制每天在线时长，最大值是1440。

¡ 其他参数保持默认。

表1 iMC中服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	iMC中服务的后缀
X@Y	Y	user-name-format with-domain	Y
X@Y	Y	user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
X	[Default Domain] 设备上指定的缺省域	user-name-format without-domain	无后缀