H3C 通用802.1X认证

典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W128-20250519

产品版本：EIA (E6604)

 

目  录

1 介绍··· 1

2 使用指南··· 1

2.1 使用场合·· 1

2.2 配置前提·· 1

3 配置举例··· 2

3.1 组网需求·· 2

3.2 配置步骤·· 3

3.2.1 配置EIA服务器·· 3

3.2.2 配置接入设备·· 13

3.3 配置验证·· 14

3.3.1 使用iNode PC客户端完成802.1X接入验证·· 14

 

1  介绍

EIA 通用802.1X认证是指通过802.1X协议进行用户身份验证，不包含任何接入控制和安全检查，仅进行身份验证。以下是有关EIA通用802.1X认证的一些关键点：

·     身份验证重点：EIA通用802.1X认证专注于身份验证过程，而不包含其他的接入控制和安全检查。这意味着，它的主要功能是验证用户或设备的身份，以确认其可被允许访问网络资源。

·     适用场景：这种认证方式适用于那些不需要严格接入控制和安全检查的网络环境，比如某些企业网或校园网。这样，尽管网络上可能存在多种设备和用户，认证过程仍能简化并专注于确认身份。

·     协议基础：802.1X是一种基于网络的访问控制协议，通常使用EAP（可扩展认证协议）进行认证。在这个框架中，客户端（称为“请求者”）、接入设备（通常是交换机或无线接入点，称为“验证者”）和身份验证服务器之间进行协作，以完成身份验证过程。

·     简化管理：由于不涉及复杂的安全策略和接入控制，EIA通用802.1X认证可以简化管理和配置过程，使网络管理人员更容易维护和运行认证系统。

2  使用指南

2.1  使用场合

EIA通用802.1X认证通常适用于那些需要身份验证但对接入控制和安全检查要求不高的网络环境。以下是一些典型的使用场景：

·     校园网：在大学或学校的网络中，EIA通用802.1X认证可以用于验证学生和教职工身份，使其能快速连接到校园网，而不需要复杂的安全检查。

·     中小型企业网：对于中小型企业，EIA通用802.1X认证可以为员工提供简化的网络访问验证，减少管理复杂性，同时满足基本的身份验证需求。

·     公开网络访问区域：例如在图书馆、公共机构或咖啡馆的Wi-Fi网络中，使用EIA通用802.1X认证可以在提供用户访问便利的同时进行基本身份确认。

·     访客网络：适用于不对访客网络施加严格接入控制的场所，提供基础的身份验证以便控制网络资源的使用。

这些场景的共同特点是网络环境相对开放，对安全检查的要求较低，但仍需要保证用户或设备的基本身份确认，以确保网络资源的合理使用和管理。

2.2  配置前提

接入设备需支持802.1X协议。

3  配置举例

3.1  组网需求

某公司计划启用802.1X认证，用户接入网络时需要进行身份验证。具体的组网如图2所示。EIA服务器IP地址为192.168.7.196，接入设备IP地址为172.19.254.101。PC安装了Windows操作系统，并准备安装iNode客户端。

注：本案例中各部分使用的版本如下：

·     EIA版本为EIA (E6604)，EIA服务器IP地址查看方式如下：

 

a.     打开浏览器输入https://<ip_address>:8443/matrix/ui，打开matrix页面。其中，ip_address为北向业务虚IP或节点IP。

b.     选择“部署”页签，单击“集群”菜单项，切换至“集群参数”页签，进入集群参数页面。

c.     该页面中的北向业务虚IP即为EIA服务器的IP地址，如图1所示。

图1 查看EIA服务器IP地址

 

·     接入设备为H3C S7502E-XS Comware Software, Version 7.1.070, Release 7536P05

·     iNode版本为iNode PC 7.3 (E0585)

图2 组网图

 

3.2  配置步骤

3.2.1  配置EIA服务器

配置EIA服务器时，需要配置以下功能：

·     接入设备

·     接入策略

·     接入服务

·     接入用户

1. 增加接入设备

增加接入设备是为了建立EIA服务器和接入设备之间的联动关系。

增加接入设备的方法如下：

(1)     选择“自动化”页签，单击导航树中的[用户业务>接入服务>接入设备]菜单项，进入接入设备配置页面，如图3所示。

图3 进入接入设备列表

 

(2)     单击<增加>按钮，进入增加接入设备页面，如图4所示。

图4 增加接入设备页面

 

(3)     单击设备列表中的<增加IPv4设备>按钮，弹出增加接入设备窗口，如图5所示。填入接入设备信息，单击<确定>按钮，返回增加接入设备页面。其中，接入设备的IP地址都必须满足以下要求：

¡     如果在接入设备上配置RADIUS scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip的配置保持一致。

¡     如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）。

图5 手工增加接入设备

 

(4)     配置公共参数。

公共参数的配置要求如下：

¡     认证端口：EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812。

¡     计费端口：EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813。

 

¡     接入设备类型：在下拉框中选择接入设备的厂商和类型。下拉框中包含了Standard、EIA系统预定义和管理员自定义的厂商和类型。支持标准RADIUS协议的设备都可以选择Standard。系统预定义的厂商和类型有以下几种，包括H3C(General)、3COM(General)、HUAWEI(General)、CISCO(General)、RG(General)、HP(MSM)、HP(Comware)、MICROSOFT(General)、JUNIPER(General)、HP(ProCurve)和ARUBA(General)，本例以“H3C(General)”为例。

¡     业务类型：在下拉框中选择接入设备所属的业务分组。将接入设备加入不同的业务分组以便进行分权管理。

¡     共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果在[自动化>用户业务>业务参数>接入参数>系统配置>系统参数配置]中的“密钥显示方式”设置为明文时，只需输入一次共享密钥即可。

¡     接入位置分组：在下拉框中选择接入设备需要加入的接入位置分组。可选项包括EIA中已经存在的接入位置分组和“无”。接入位置分组是区分终端用户的接入条件之一。

图6 公共参数配置

 

(5)     单击<确定>按钮，增加接入设备完毕，可在接入设备列表中查看新增的接入设备，如图7所示。

图7 查看新增的接入设备

 

2. 增加接入策略

配置一个不进行任何接入控制的接入策略，增加接入策略的方法如下：

(1)     选择“自动化”页签，单击导航树中的[用户业务>接入服务>接入策略]菜单项，进入接入策略页面，如图8所示。

图8 进入接入策略列表

 

(2)     单击<增加>按钮，进入增加接入策略页面，如图9所示。由于不进行任何接入控制，因此只需输入接入策略名，本例以“Access Permit”为例，其他参数均保持为空即可。

参数说明：

¡     接入时段：选择了某一接入时段策略后，使用此规则的用户只能在接入时段策略中定制的时间段内允许接入。

¡     分配IP地址：是否下发用户IP地址。

¡     上行、下行速率：根据设定的上下行速率来限制用户使用该规则上网时的上传、下载速率。

¡     优先级：它的高低确定了在网络拥塞时转发报文的优先顺序，此参数应从设备支持的优先级中选取，数值越小优先级越高。配置错误可能导致用户无法上线。

¡     首选EAP类型/子类型：进行EAP认证时，RADIUS服务器优先下发给客户端的EAP类型。包括：EAP-MD5、EAP-TLS、EAP-TTLS和EAP-PEAP。当首选EAP类型为EAP-TTLS和EAP-PEAP时，还需要首选EAP-MSCHAPv2、EAP-MD5和EAP-GTC其中的一种子类型。

-     EAP-MD5：一种EAP认证方式，使用CHAP方式进行认证。

-     EAP-TLS：是一种基于证书的身份认证，它需要PKI的部署来管理证书。它推荐进行服务器和客户端之间双向认证，认证双方是用证书来标识自己的身份。在认证通过之后，TLS的认证双方会协商出一个共享密钥、SessionId以及整套的加密套件（加密，压缩和数据完整性校验），这样认证双方就建立了一个安全可靠的数据传输通道。EAP-TLS是客户端和AAA服务器借助接入设备的透传，通过TLS协议进行的身份认证。EAP-TLS可以利用SessionId进行快速重认证，简化认证流程，加快认证速度，还对较大的TLS报文进行了分片处理。

-     EAP-TTLS：是一种基于证书的身份认证，利用TLS认证在客户端和AAA服务器之间建立起一个安全通道，在安全通道内部再承载子类型。它具有保护用户标识和EAP认证的协商过程的作用。隧道内的子类型可以是EAP类型，也可以是非EAP类型。目前EIA支持TTLS下三个EAP的子类型（EAP-MSCHAPv2、EAP-MD5、EAP-GTC）。EIA在配置接入策略指定首选EAP类型为EAP-TTLS时，也必须首选一种EAP的子类型。在实际认证过程中，如果终端采用非EAP的子类型，如PAP，则终端可以忽略EIA的配置，使用终端配置的子类型进行认证。

-     EAP-PEAP：是一种基于证书的身份认证，利用TLS认证在客户端和AAA服务器之间建立起一个安全通道，在安全通道上再发起EAP认证。它具有保护用户标识，保护EAP认证的协商过程的作用。目前EIA仅支持EAP-MSCHAPv2、EAP-MD5和EAP-GTC认证类型。

¡     EAP自协商：当客户端配置的EAP类型与EIA中配置的首选EAP类型不同时的处理方式。配置为“启用”时，EIA完全适应由客户端中配置的EAP认证方式，即无论客户端中配置什么类型的EAP认证，EIA都允许客户端继续认证。配置为“禁用”时，如果客户端配置的EAP类型与EIA中配置的首选EAP类型不同，则EIA拒绝其认证。

¡     单次最大在线时长（分钟）：使用该策略的接入账号认证成功后可在线的最长时间，单位为分钟。该参数默认值为空，表示不限制；最小值为1，最大值为1440。如果账号在线时间超过该参数值，EIA则强制该用户下线。

¡     下发地址池：输入地址池名称。EIA将地址池名称下发给接入设备，接入设备根据下发的地址池名称寻找设备上对应的地址池，然后给用户分配该地址池中的IP地址。只有下发设备上配置了对应的地址池，该功能才生效。

¡     下发VLAN：设置向用户下发的VLAN，当接入设备类型为H3C(General)、Huawei(General)、HP(Comware)、3Com(General)时，如果配置的VLAN为1～4094，接入业务以整型的VLAN ID下发给设备，设备上的VLAN分配模式应为整型；所有其他值都以字符型VLAN NAME下发给设备，设备上VLAN分配模式应为字符型。其他设备类型都以字符型VLAN NAME下发给设备，设备上VLAN分配模式应为字符型，用户认证通过后将只能访问该VLAN的内部资源。

¡     下发User Profile：将用户配置文件名称下发给设备，实现基于用户的QoS功能。只有下发设备上已经配置完成了User Profile，User Profile才生效。

¡     下发用户组：用户认证通过后向设备下发该用户所属的用户组，可以输入多个组，每个组以分号分隔。与ACG1000联动或与SSL VPN设备配合时，该属性才有效 。

¡     下发ACL：设置向用户下发的访问控制列表。ACL列表可以从以下两种方式选择：

-     手工输入。

-     接入ACL列表：其值可以在接入ACL策略管理配置。

¡     离线检查时长（小时）：哑终端认证通过后向设备下发该参数，设备以该参数作为时间间隔，周期性检测哑终端是否已离线。该参数为空时，表示不检测；时长必须为整数，范围为[0,596523]。该参数只适用于哑终端。

¡     认证绑定信息：目前接入策略管理与接入设备配合可对接入设备IP地址、端口、VLAN、QinQ双VLAN、接入设备序列号、用户IP地址、MAC地址、IMSI、IMEI、无线用户SSID和硬盘序列号进行绑定检查。iNode客户端与策略服务器配合可对用户IP地址、MAC地址、计算机名称、计算机域、用户登录域和硬盘序列号进行绑定检查。其中MAC地址绑定和IMSI绑定只能同时选择一个。当账号用户申请具有绑定策略的服务时，可以设置相关的绑定信息，如果不设置，绑定时将采用自学习策略。所谓自学习就是绑定用户首次上网时所使用的相关参数，比如用户使用的服务采用自学习绑定用户IP地址，用户首次使用该业务上网时的IP地址为10.100.10.10，则今后用户只能通过使用这个IP地址才能通过认证。

-     启用终端MAC地址控制：该设置启用后，使用该服务的接入用户上线时，用户使用的MAC地址属于允许接入的接入MAC地址范围则可以成功上线，否则不能成功上线。接入MAC地址的详细配置请参见终端MAC地址池。

-     启用终端硬盘序列号控制：该设置启用后，使用该服务的接入用户上线时，如果该用户的硬盘序列号在允许接入硬盘序列号列表中，则用户成功上线，否则用户不能上线。特殊的，如果无法获取硬盘序列号则认证通过。只有在使用iNode PC客户端认证时该功能才生效。

-     启用无线SSID控制：启用该功能后，使用该服务的接入用户采用无线方式上线时，如果无线SSID列表中的接入控制类型为“禁止接入”，则禁止终端通过无线SSID列表中的SSID接入网络；如果接入控制类型为“允许接入”，则只允许终端通过无线SSID列表中的SSID接入网络。该功能必须和iNode PC客户端配合使用，EIA一旦将无线SSID池下发给iNode客户端，iNode就会在终端上保存该配置。后续无论使用iNode客户端还是使用Windows自带客户端，不管是否到EIA中认证，该配置都一直生效。

-     启用终端主板序列号控制：启用该参数后，使用该服务的接入用户上线时，如果该用户的主板序列号在允许接入主板序列号列表中，则用户认证成功，否则认证失败。特殊情况下，如果无法获取到主板序列号则允许用户认证通过。只有在使用iNode PC客户端认证时该功能才生效。

 

图9 增加接入策略页面

 

(3)     单击<确定>按钮，接入策略增加完毕。返回接入策略页面，可在接入策略列表中查看新增的接入策略，如图10所示。

图10 查看增加的接入策略

 

3. 增加接入服务

接入服务是对用户进行认证授权的各种策略的集合。本例不对用户进行任何接入控制，因此只需增加一个简单的接入服务即可。

增加接入服务的方法如下：

(1)     选择“自动化”页签，单击导航树中的[用户业务>接入服务]菜单项，进入接入服务页面，如图11所示。

图11 进入接入服务列表

 

(2)     单击<增加>按钮，进入增加接入服务页面，配置服务名、服务后缀、缺省接入策略，其他参数保持默认，如图12所示。

图12 增加接入服务页面

 

配置服务的各个参数：

¡     服务名：输入服务名称，在EIA中必须唯一，本例以“802.1X Service”为例。

¡     服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表1，本例以“391”为例。

¡     缺省接入策略：选择之前新增的接入策略，本例以“Access Permit”为例。

¡     安全组：选择的安全组。

¡     安全子组：选择的安全子组。

¡     缺省私有属性下发策略：不受接入位置分组限制的用户上网时，EIA会根据本参数指定的策略将私有属性下发到此用户连接的接入设备上。

¡     缺省单账号最大绑定终端数：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单账号最大绑定终端数的控制。该参数只有在部署了EIP组件后才会显示。

-     匹配的接入场景：EIA检查该场景中用户已经绑定的终端数量是否已达到数量限制，如果已达到数量限制，则拒绝用户认证；

-     所有服务中包含的场景：检查用户申请的所有服务中（包括服务中的所有场景）已绑定的终端数量，如果用户绑定的所有终端数量已达到终端管理参数中定义的“单账号最大绑定终端数”数量限制，则EIA拒绝用户认证，否则允许用户继续认证。

¡     缺省单账号在线数量限制：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单账号在线数量限制的控制。

¡     单日累计在线最长时间（分钟）：每天允许账号使用该服务接入网络的总时长，达到该时长后，账号将被强制下线，且当日不能再次接入。该参数单位是分钟，只支持输入整数，最小值是0，表示不限制每天在线时长，最大值是1440。

¡     服务描述：针对该服务的简单描述，以方便操作员的日常维护。

表1 EIA中服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	EIA中服务的后缀
X@Y	Y	user-name-format with-domain	Y
		user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
		user-name-format without-domain	无后缀

 

(3)     单击<确定>按钮，接入服务增加完成。返回接入服务页面，可在接入服务列表中查看新增的接入服务，如图13所示。

图13 查看增加的接入服务

 

4. 增加接入用户

接入用户是用户接入网络时使用的身份证，包含账号名、密码和使用的服务等信息。

增加接入用户的方法如下：

(1)     选择“自动化”页签，单击导航树中的[用户业务>接入用户]菜单项，进入接入用户页面，如图14所示。

图14 接入用户页面

 

(2)     单击<增加>按钮，进入增加接入用户页面，如图15所示。

图15 增加接入用户页面

 

参数说明：

¡     用户姓名、证件号码：用户的姓名及证件号码。

¡     账号名：唯一标识账号用户的名称，用户使用该名称申请和使用服务，该名称不能与已有名称相同，不能包含如下特殊字符：#+/?%&=*'@\"[]()<>`和TAB键，且最大长度为200字符。

¡     密码/确认密码：输入两次相同的密码。

¡     接入服务：选择上一步增加的接入服务，本例为“802.1X Service”

¡     其他参数：保持缺省值。

(3)     单击<确定>按钮，接入用户增加完毕。返回接入用户页面，可在接入用户列表中查看新增的接入用户，如图16所示。

图16 查看新增的接入用户

 

3.2.2  配置接入设备

接入设备用于控制用户的接入。通过认证的用户可以接入网络，未通过认证的用户无法接入网络。

以下使用Windows的CLI窗口telnet到接入设备并进行配置，具体的命令及其说明如下：

<H3C>system-view

System View: return to User View with Ctrl+Z.

//创建RADIUS方案1xallpermit

[H3C]radius scheme 1xallpermit

New RADIUS scheme

//认证、计费服务器都指向EIA，认证、计费端口与3.2.1  1. 增加接入设备EIA中增加接入设备时的配置保持一致。

[H3C-radius-1xallpermit]primary authentication 192.168.7.196 1812

[H3C-radius-1xallpermit]primary accounting 192.168.7.196 1813

//认证、计费共享密钥与3.2.1  1. 增加接入设备EIA中增加接入设备时的配置保持一致。

[H3C-radius-1xallpermit]key authentication simple movie

[H3C-radius-1xallpermit]key accounting simple movie

//本地采用携带Domain的认证方式。EIA、设备中配置的搭配关系请参见表1。

[H3C-radius-1xallpermit]user-name-format with-domain

[H3C-radius-1xallpermit]quit

//创建域391，根据表1中的搭配，domain的名称必须与3.2.1  3. 增加接入服务EIA中服务的后缀保持一致。

[H3C]domain 391

//认证、授权、计费都采用之前配置的Radius scheme 1xallpermit。

[H3C-isp-391]authentication lan-access radius-scheme 1xallpermit

[H3C-isp-391]authorization lan-access radius-scheme 1xallpermit

[H3C-isp-391]accounting lan-access radius-scheme 1xallpermit

[H3C-isp-391]quit

//只有在全局和接口上都启用802.1X认证，802.1X认证才生效。

[H3C]dot1x

[H3C]interface Ten-GigabitEthernet 1/1/23

[H3C-Ten-GigabitEthernet 1/1/23]dot1x

[H3C-Ten-GigabitEthernet 1/1/23]quit

//802.1X的认证方式包括PAP、CHAP和EAP。如果进行证书认证，则必须设置为EAP。

[H3C]dot1x authentication-method chap

3.3  配置验证

3.3.1  使用iNode PC客户端完成802.1X接入验证

用户使用iNode PC客户端和配置的账号名、密码进行802.1X认证，最终用户通过认证，完成802.1X接入。

验证步骤如下：

1. 安装具有802.1X功能的iNode PC客户端

 

2. 进行802.1X认证连接

(1)     在iNode PC客户端主页面，选择“802.1X连接”，展开802.1X连接区域，如图17所示。

图17 iNode客户端主界面

 

(2)     输入用户名和密码后，单击<连接>按钮，如图18所示，开始认证。

图18 认证界面

 

认证成功的界面如图19所示，验证了本案例的配置正确。

图19 认证成功

 

3. 在EIA中查看在线用户

在EIA配置页面中，选择“监控”页签，单击导航树中的[监控列表>用户]菜单项，默认进入本地在线用户页签页面，可查看在线用户，如图20所示。

图20 在线用户