目  录

第1章 802.1x配置

1.1 802.1x简介

1.1.1 802.1x的体系结构

1.1.2 802.1x的工作机制

1.1.3 EAPOL消息的封装

1.1.4 EAP属性的封装

1.1.5 802.1x的认证过程

1.1.6 802.1x的定时器

1.1.7 802.1x在设备中的实现

1.1.8 和802.1x配合使用的特性

1.2 配置802.1x

1.2.1 配置准备

1.2.2 配置全局802.1x

1.2.3 配置端口的802.1x

1.3 配置Guest VLAN

1.3.1 配置准备

1.3.2 配置Guest VLAN

1.4 802.1x显示和维护

1.5 802.1x典型配置举例

1.6 Guest VLAN的典型配置举例

1.7 下发ACL典型配置举例

第2章 EAD快速部署配置

2.1 EAD快速部署简介

2.1.1 概述

2.1.2 实现机制

2.2 配置EAD快速部署

2.2.1 配置准备

2.2.2 配置用户可访问的受限网段

2.2.3 配置用户HTTP访问的重定向URL

2.2.4 配置EAD规则的老化超时时间

2.3 EAD快速部署显示和维护

2.4 EAD快速部署典型配置举例

2.5 常见配置错误举例

2.5.1 用户通过浏览器访问外部网络不能正确重定向

第3章 MAC地址认证配置

3.1 MAC地址认证简介

3.1.1 RADIUS服务器认证方式进行MAC地址认证

3.1.2 本地认证方式进行MAC地址认证

3.2 相关概念

3.2.1 MAC地址认证定时器

3.2.2 静默MAC

3.2.3 下发VLAN

3.2.4 下发ACL

3.3 配置MAC地址认证

3.3.1 配置准备

3.3.2 配置过程

3.4 MAC地址认证的显示和维护

3.5 MAC地址认证典型配置举例

3.5.1 MAC地址本地认证

3.5.2 MAC地址RADIUS认证

3.5.3 下发ACL典型配置举例

第1章  802.1x配置

1.1  802.1x简介

IEEE802 LAN/WAN委员会为解决无线局域网网络安全问题，提出了802.1x协议。后来，802.1x协议作为局域网端口的一个普通接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

802.1x协议是一种基于端口的网络接入控制协议（Port Based Network Access Control）。“基于端口的网络接入控制”是指在局域网接入设备的端口这一级对所接入的用户设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源。

1.1.1  802.1x的体系结构

使用802.1x的系统为典型的Client/Server体系结构，包括三个实体，如图1-1所示分别为：Supplicant system（客户端）、Authenticator system（设备端）以及Authentication server system（认证服务器）。

图1-1 802.1x认证系统的体系结构

l              客户端是位于局域网段一端的一个实体，由该链路另一端的设备端对其进行认证。客户端一般为一个用户终端设备，用户通过启动客户端软件发起802.1x认证。客户端必须支持EAPOL（Extensible Authentication Protocol over LAN，局域网上的可扩展认证协议）。

l              设备端是位于局域网段一端的另一个实体，对所连接的客户端进行认证。设备端通常为支持802.1x协议的网络设备，它为客户端提供接入局域网的端口，该端口可以是物理端口，也可以是逻辑端口。

l              认证服务器是为设备端提供认证服务的实体。认证服务器用于实现对用户进行认证、授权和计费，通常为RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器。该服务器可以存储有关用户的信息。包括用户名、密码以及其它参数，例如用户所属的VLAN、CAR参数、优先级、用户的访问控制列表等。

三个实体涉及如下三个基本概念：端口PAE、受控端口和受控方向。

1. PAE

PAE（Port Access Entity，端口访问实体）是802.1x认证机制中负责执行算法和协议操作的实体。

l              设备端PAE利用认证服务器对需要接入局域网的客户端执行认证，并根据认证结果对受控端口的授权/非授权状态进行相应地控制。授权状态是指允许客户端所有报文通过端口，用户可正常访问网络资源；非授权状态是指仅允许EAPOL报文通过端口，不允许用户访问网络资源。

l              客户端PAE负责响应设备端的认证请求，向设备端提交用户的认证信息。客户端PAE也可以主动向设备端发送认证请求和下线请求。

2. 受控/非受控端口

设备端为客户端提供接入局域网的端口，这个端口被划分为两个逻辑端口：受控端口和非受控端口。

l              非受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，保证客户端始终能够发出或接收认证报文。

l              受控端口在授权状态下处于双向连通状态，用于传递业务报文；在非授权状态下禁止从客户端接收任何报文。

l              受控端口和非受控端口是同一端口的两个部分；任何到达该端口的帧，在受控端口与非受控端口上均可见。

3. 受控方向

在非授权状态下，受控端口可以被设置成单向受控和双向受控。

l              实行双向受控时，禁止帧的发送和接收；

l              实行单向受控时，禁止从客户端接收帧，但允许向客户端发送帧。

1.1.2  802.1x的工作机制

IEEE 802.1x认证系统使用EAP（Extensible Authentication Protocol，可扩展认证协议），来实现客户端、设备端和认证服务器之间认证信息的交换。

图1-2 802.1x认证系统的工作机制

l              在客户端PAE与设备端PAE之间，EAP协议报文使用EAPOL封装格式，直接承载于LAN环境中。

l              在设备端PAE与RADIUS服务器之间，可以使用两种方式来交换信息。一种是EAP协议报文使用EAPOR（EAP over RADIUS）封装格式承载于RADIUS协议中；另一种是EAP协议报文由设备端PAE进行终结，采用包含PAP（Password Authentication Protocol，密码验证协议）或CHAP（Challenge Handshake Authentication Protocal，质询握手验证协议）属性的报文与RADIUS服务器进行认证交互。

l              当用户通过认证后，认证服务器会把用户的相关信息传递给设备端，设备端PAE根据RADIUS服务器的指示（Accept或Reject）决定受控端口的授权/非授权状态。

1.1.3  EAPOL消息的封装

1. EAPOL数据包的格式

EAPOL是802.1x协议定义的一种报文封装格式，主要用于在客户端和设备端之间传送EAP协议报文，以允许EAP协议报文在LAN上传送。EAPOL数据包的格式如图1-3所示。

图1-3 EAPOL数据包格式

PAE Ethernet Type：表示协议类型，为0x888E。

Protocol Version：表示EAPOL帧的发送方所支持的协议版本号。

Type：表示EAPOL数据帧类型，目前设备上支持的数据类型见表1-1。

表1-1 EAPOL数据类型

Length：表示数据长度，也就是“Packet Body”字段的长度，单位为字节。如果为0，则表示没有后面的数据域。

Packet Body：表示数据内容，根据不同的Type有不同的格式。

2. EAP数据包的格式

当EAPOL数据包格式Type域为EAP-Packet时，Packet Body为EAP数据包结构，如图1-4所示。

图1-4 EAP数据包格式

Code：指明EAP包的类型，共有4种：Request、Response、Success、Failure。

l              Success和Failure类型的包没有Data域，相应的Length域的值为4。

l              Request和Response类型数据包的Data域的格式如图1-5所示。Type为EAP的认证类型，Type data的内容由类型决定。例如，Type值为1时代表Identity，用来查询对方的身份；Type值为4时，代表MD5-Challenge，类似于PPP CHAP协议，包含质询消息。

图1-5 Request和Response类型数据包的Data域的格式

Identifier：辅助进行Request和Response消息的匹配。

Length：EAP包的长度，包含Code、Identifier、Length和Data域，单位为字节。

Data：EAP包的内容，由Code类型决定。

1.1.4  EAP属性的封装

RADIUS为支持EAP认证增加了两个属性：EAP-Message（EAP消息）和Message-Authenticator（消息认证码）。RADIUS协议的报文格式请参见 “AAA-RADIUS-HWTACACS操作”的RADIUS协议简介部分。

1. EAP-Message

如图1-6所示，这个属性用来封装EAP数据包，类型代码为79，String域最长253字节，如果EAP数据包长度大于253字节，可以对其进行分片，依次封装在多个EAP-Message属性中。

图1-6 EAP-Message属性封装

2. Message-Authenticator

如图1-7所示，这个属性用于在使用EAP、CHAP等认证方法的过程中，避免接入请求包被窃听。在含有EAP-Message属性的数据包中，必须同时也包含Message-Authenticator，否则该数据包会被认为无效而被丢弃。

图1-7 Message-Authenticator属性

1.1.5  802.1x的认证过程

认证过程可以由客户端主动发起，也可以由设备端发起。一方面设备会主动向客户端发送EAP-Request/Identity报文，发起认证；另一方面客户端可以通过客户端软件向设备端发送EAPOL-Start报文，发起认证。

802.1x系统支持EAP中继方式和EAP终结方式与远端RADIUS服务器交互完成认证。以下关于两种认证方式的过程描述，都以客户端主动发起认证为例。

1. EAP中继方式

这种方式是IEEE 802.1x标准规定的，将EAP（扩展认证协议）承载在其它高层协议中，如EAP over RADIUS，以便扩展认证协议报文穿越复杂的网络到达认证服务器。一般来说，EAP中继方式需要RADIUS服务器支持EAP属性：EAP-Message和Message-Authenticator。

目前设备所支持的EAP中继方法有四种：EAP-MD5、EAP-TLS（Transport Layer Security，传输层安全）、EAP-TTLS（Tunneled Transport Layer Security，隧道传输层安全）和PEAP（Protected Extensible Authentication Protocol，受保护的扩展认证协议）。

l              EAP-MD5：验证客户端的身份，RADIUS服务器发送MD5加密字（EAP-Request/MD5 Challenge报文）给客户端，客户端用该加密字对口令部分进行加密处理。

l              EAP-TLS：客户端和RADIUS服务器端通过EAP-TLS认证方法检查彼此的安全证书，验证对方身份，保证通信目的端的正确性，防止网络数据被窃听。

l              EAP-TTLS：是对EAP-TLS的一种扩展。在EAP-TLS中，实现对客户端和认证服务器的双向认证。EAP-TTLS扩展了这种实现，它使用TLS建立起来的安全隧道传递信息。

l              PEAP：首先创建和使用TLS安全通道来进行完整性保护，然后进行新的EAP协商，从而完成对客户端的身份验证。

下面以EAP-MD5方式为例介绍基本业务流程，如图1-8所示。

图1-8 IEEE 802.1x认证系统的EAP中继方式业务流程

认证过程如下：

(1)        当用户有访问网络需求时打开802.1x客户端程序，输入已经申请、登记过的用户名和密码，发起连接请求（EAPOL-Start报文）。此时，客户端程序将发出请求认证的报文给设备端，开始启动一次认证过程。

(2)        设备端收到请求认证的数据帧后，将发出一个请求帧（EAP-Request/Identity报文）要求用户的客户端程序发送输入的用户名。

(3)        客户端程序响应设备端发出的请求，将用户名信息通过数据帧（EAP-Response/Identity报文）发送给设备端。设备端将客户端发送的数据帧经过封包处理后（RADIUS Access-Request报文）送给认证服务器进行处理。

(4)        RADIUS服务器收到设备端转发的用户名信息后，将该信息与数据库中的用户名表对比，找到该用户名对应的密码信息，用随机生成的一个加密字对它进行加密处理，同时也将此加密字通过RADIUS Access-Challenge报文发送给设备端，由设备端转发给客户端程序。

(5)        客户端程序收到由设备端传来的加密字（EAP-Request/MD5 Challenge报文）后，用该加密字对密码部分进行加密处理（此种加密算法通常是不可逆的，生成EAP-Response/MD5 Challenge报文），并通过设备端传给认证服务器。

(6)        RADIUS服务器将收到的已加密的密码信息（RADIUS Access-Request报文）和本地经过加密运算后的密码信息进行对比，如果相同，则认为该用户为合法用户，反馈认证通过的消息（RADIUS Access-Accept报文和EAP-Success报文）。

(7)        设备收到认证通过消息后将端口改为授权状态，允许用户通过端口访问网络。在此期间，设备端会通过向客户端定期发送握手报文的方法，对用户的在线情况进行监测。缺省情况下，两次握手请求报文都得不到客户端应答，设备端就会让用户下线，防止用户因为异常原因下线而设备无法感知。

(8)        客户端也可以发送EAPOL-Logoff报文给设备端，主动要求下线，设备端把端口状态从授权状态改变成未授权状态，并向客户端发送EAP-Failure报文。

2. EAP终结方式

这种方式将EAP报文在设备端终结并映射到RADIUS报文中，利用标准RADIUS协议完成认证、授权和计费。设备端与RADIUS服务器之间可以采用PAP或者CHAP认证方法。以下以CHAP认证方法为例介绍基本业务流程，如图1-9所示。

图1-9 IEEE 802.1x认证系统的EAP终结方式业务流程

EAP终结方式与EAP中继方式的认证流程相比，不同之处在于用来对用户密码信息进行加密处理的随机加密字由设备端生成，之后设备端会把用户名、随机加密字和客户端加密后的密码信息一起送给RADIUS服务器，进行相关的认证处理。

1.1.6  802.1x的定时器

802.1x认证过程中会启动多个定时器以控制接入用户、设备以及RADIUS服务器之间进行合理、有序的交互。802.1x的定时器主要有以下几种：

l              用户名请求超时定时器（tx-period）：该定时器定义了两个时间间隔。其一，当设备端向客户端发送EAP-Request/Identity请求报文后，设备端启动该定时器，若在tx-period设置的时间间隔内，设备端没有收到客户端的响应，则设备端将重发认证请求报文；其二，为了兼容不主动发送EAPOL-Start连接请求报文的客户端，设备会定期组播EAP-Request/Identity请求报文来检测客户端。tx-period定义了该组播报文的发送时间间隔。

l              客户端认证超时定时器（supp-timeout）：当设备端向客户端发送了EAP-Request/MD5 Challenge请求报文后，设备端启动此定时器，若在该定时器设置的时长内，设备端没有收到客户端的响应，设备端将重发该报文。

l              认证服务器超时定时器（server-timeout）：当设备端向认证服务器发送了RADIUS Access-Request请求报文后，设备端启动server-timeout定时器，若在该定时器设置的时长内，设备端没有收到认证服务器的响应，设备端将重发认证请求报文。

l              握手定时器（handshake-period）：此定时器是在用户认证成功后启动的，设备端以此间隔为周期发送握手请求报文，以定期检测用户的在线情况。如果配置发送次数为N，则当设备端连续N次没有收到客户端的响应报文，就认为用户已经下线。

l              静默定时器（quiet-period）：对用户认证失败以后，设备端需要静默一段时间（该时间由静默定时器设置），在静默期间，设备端不处理该用户的认证请求。

1.1.7  802.1x在设备中的实现

设备在802.1x的EAP中继方式和EAP终结方式的实现中，不仅支持协议所规定的端口接入认证方式，还对其进行了扩展、优化：

l              支持一个物理端口下挂接多个用户的应用场合；

l              接入控制方式（即对用户的认证方式）可以采用基于MAC和基于端口两种方式。当采用基于MAC方式时，该端口下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。当采用基于端口方式时，只要该端口下的第一个用户认证成功后，其它接入用户无须认证就可使用网络资源，但是当第一个用户下线后，其它用户也会被拒绝使用网络。

1.1.8  和802.1x配合使用的特性

1. VLAN下发

802.1x用户在服务器上通过认证时，服务器会把授权信息传送给设备端。如果服务器上配置了下发VLAN功能，则授权信息中含有授权下发的VLAN信息，设备根据用户认证上线的端口链路类型，按以下三种情况将端口加入下发VLAN中。

l              端口的链路类型为Access，当前Access端口离开用户配置的VLAN并加入授权下发的VLAN中。

l              端口的链路类型为Trunk，设备允许授权下发的VLAN通过当前Trunk端口，并且端口的缺省VLAN ID为下发VLAN的VLAN ID。

l              端口的链路类型为Hybrid，设备允许授权下发的VLAN以不携带Tag的方式通过当前Hybrid端口，并且端口的缺省VLAN ID为下发VLAN的VLAN ID。

授权下发的VLAN并不改变端口的配置，也不影响端口的配置。但是，授权下发的VLAN的优先级高于用户配置的VLAN，即通过认证后起作用的VLAN是授权下发的VLAN，用户配置的VLAN在用户下线后生效。

关于不同端口链路类型下VLAN的具体配置请参见“VLAN操作”。

2. Guest VLAN

Guest VLAN功能用来允许未认证用户访问某些特定资源。

用户认证端口在通过802.1x认证之前属于一个缺省VLAN（即Guest VLAN），用户访问该VLAN内的资源不需要认证，但此时不能够访问其他网络资源；认证成功后，端口离开Guest VLAN，用户可以访问其他的网络资源。

用户在Guest VLAN中可以获取802.1x客户端软件，升级客户端，或执行其他一些用户升级程序。如果因为没有专用的认证客户端或者客户端版本过低等原因，导致在一定的时间内（默认45秒）端口上无客户端认证成功，接入设备会把该端口加入到Guest VLAN。

开启802.1x特性并正确配置Guest VLAN后，当设备从某一端口发送触发认证报文（EAP-Request/Identity）超过设定的最大次数而没有收到客户端的任何回应报文时，与VLAN下发类似，该端口将按照各自的链路类型情况被加入到Guest VLAN内。此时Guest VLAN中端口下的用户发起认证，如果认证失败，该端口将会仍然处在Guest VLAN内；如果认证成功，分为以下两种情况：

l              认证服务器下发一个VLAN，这时端口离开Guest VLAN，加入下发的VLAN中。用户下线后，端口会回到配置的VLAN中（加入Guest VLAN之前所在的VLAN，即“初始VLAN”）。

l              认证服务器不下发VLAN，这时端口离开Guest VLAN，加入配置的VLAN中。用户下线后，端口仍在配置的VLAN中。

3. ACL下发

ACL（Access Control List，访问控制列表）提供了控制用户访问网络资源和限制用户访问权限的功能。当用户上线时，如果RADIUS服务器上配置了授权ACL，则设备会根据服务器下发的授权ACL对用户所在端口的数据流进行控制；而且，在用户访问网络的过程中，可以通过改变服务器的授权ACL设置来改变用户的访问权限。

1.2  配置802.1x

802.1x本身的各项配置除了“全局及端口下开启802.1x特性”任务外，其余配置则是可选的，用户可以根据各自的具体需求决定是否进行这些配置。

1.2.1  配置准备

802.1x提供了一个用户身份认证的实现方案，但是仅仅依靠802.1x是不足以实现该方案的。接入设备的管理者选择使用RADIUS或本地认证方法，以配合802.1x完成用户的身份认证。因此，需要首先完成以下配置任务：

l              配置802.1x用户所属的ISP认证域及其使用的AAA方案，即本地认证方案或RADIUS方案。

l              如果需要通过RADIUS服务器进行认证，则应该在RADIUS服务器上配置相应的用户名和密码。

l              如果需要本地认证，则应该在设备上手动添加认证的用户名和密码。配置本地认证时，用户使用的服务类型必须设置为lan-access。

RADIUS客户端的具体配置请参见“AAA-RADIUS-HWTACACS操作”。

1.2.2  配置全局802.1x

表1-2 配置全局802.1x

1.2.3  配置端口的802.1x

1. 开启端口802.1x特性

表1-3 开启端口802.1x特性

2. 配置端口802.1x参数

表1-4 配置端口802.1x参数

1.3  配置Guest VLAN

1.3.1  配置准备

l              开启802.1x特性。

l              配置端口上进行接入控制的方式为portbased。

l              配置端口上进行接入控制的模式为auto。

l              已经创建需要配置为Guest VLAN的VLAN。

1.3.2  配置Guest VLAN

表1-5 配置Guest VLAN

1.4  802.1x显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后802.1x的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除802.1x的统计信息。

表1-6 802.1x配置的显示和维护

1.5  802.1x典型配置举例

1. 组网需求

l              要求在各端口上对接入用户进行认证，以控制其访问Internet；接入控制方式要求是基于MAC地址的接入控制。

l              所有接入用户都属于一个缺省的域：example.com，该域最多可容纳30个用户；认证时，先进行RADIUS认证，如果RADIUS服务器没有响应再转而进行本地认证；计费时，如果RADIUS计费失败则切断用户连接使其下线。

l              由两台RADIUS服务器组成的服务器组与交换机相连，其IP地址分别为10.1.1.1和10.1.1.2，要求使用前者作为主认证/备份计费服务器，使用后者作为备份认证/主计费服务器。

l              设置系统与认证RADIUS服务器交互报文时的共享密钥为name、与计费RADIUS服务器交互报文时的共享密钥为money。

l              设置系统在向RADIUS服务器发送报文后5秒种内如果没有得到响应就向其重新发送报文，发送报文的次数总共为5次，设置系统每15分钟就向RADIUS服务器发送一次实时计费报文。

l              设置系统从用户名中去除用户域名后再将之传给RADIUS服务器。

l              本地802.1x接入用户的用户名为localuser，密码为localpass，使用明文输入；闲置切断功能处于打开状态，正常连接时用户空闲时间超过20分钟，则切断其连接。

2. 组网图

图1-10 启动802.1x和RADIUS对接入用户进行AAA操作

3. 配置步骤

# 配置各接口的IP地址（略）。

# 添加本地接入用户，启动闲置切断功能并设置相关参数。

<Sysname> system-view

[Sysname] local-user localuser

[Sysname-luser-localuser] service-type lan-access

[Sysname-luser-localuser] password simple localpass

[Sysname-luser-localuser] attribute idle-cut 20

[Sysname-luser-localuser] quit

# 创建RADIUS方案radius1并进入其视图。

[Sysname] radius scheme radius1

# 设置主认证/计费RADIUS服务器的IP地址。

[Sysname-radius-radius1] primary authentication 10.1.1.1

[Sysname-radius-radius1] primary accounting 10.1.1.2

# 设置备份认证/计费RADIUS服务器的IP地址。

[Sysname-radius-radius1] secondary authentication 10.1.1.2

[Sysname-radius-radius1] secondary accounting 10.1.1.1

# 设置系统与认证RADIUS服务器交互报文时的共享密钥。

[Sysname-radius-radius1] key authentication name

# 设置系统与计费RADIUS服务器交互报文时的共享密钥。

[Sysname-radius-radius1] key accounting money

# 设置系统向RADIUS服务器重发报文的时间间隔与次数。

[Sysname-radius-radius1] timer response-timeout 5

[Sysname-radius-radius1] retry 5

# 设置系统向RADIUS服务器发送实时计费报文的时间间隔。

[Sysname-radius-radius1] timer realtime-accounting 15

# 指示系统从用户名中去除用户域名后再将之传给RADIUS服务器。

[Sysname-radius-radius1] user-name-format without-domain

[Sysname-radius-radius1] quit

# 创建域example.com并进入其视图。

[Sysname] domain example.com

# 指定radius1为该域用户的RADIUS方案，并采用local作为备选方案。

[Sysname-isp-example.com] authentication default radius-scheme radius1 local

[Sysname-isp-example.com] authorization default radius-scheme radius1 local

[Sysname-isp-example.com] accounting default radius-scheme radius1 local

# 设置该域最多可容纳30个用户。

[Sysname-isp-example.com] access-limit enable 30

# 启动闲置切断功能并设置相关参数。

[Sysname-isp-example.com] idle-cut enable 20

[Sysname-isp-example.com] quit

# 配置域example.com为缺省用户域。

[Sysname] domain default enable example.com

# 开启全局802.1x特性。

[Sysname] dot1x

# 开启指定端口Ethernet2/0/1的802.1x特性。

[Sysname] interface Ethernet 2/0/1

[Sysname-Ethernet2/0/1] dot1x

[Sysname-Ethernet2/0/1] quit

# 设置接入控制方式（该命令可以不配置，因为端口的接入控制在缺省情况下就是基于MAC地址的）。

[Sysname] dot1x port-method macbased interface Ethernet 2/0/1

1.6  Guest VLAN的典型配置举例

1. 组网需求

如图1-11所示，一台主机通过802.1x认证接入网络，认证服务器为RADIUS服务器。Supplicant接入交换机的端口Ethernet2/0/1在VLAN1内；认证服务器在VLAN2内；Update Server是用于客户端软件下载和升级的服务器，在VLAN10内；交换机连接Internet网络的端口Ethernet2/0/2在VLAN5内。

图1-11 GuestVlan典型组网图

如图1-12所示，在Ethernet2/0/1上开启802.1x特性并设置VLAN10为端口的Guest VLAN，当设备从端口发送触发认证报文（EAP-Request/Identity）超过设定的最大次数而没有收到任何回应报文后，Ethernet2/0/1被加入Guest VLAN中，此时Supplicant和Update Server都在VLAN10内，Supplicant可以访问Update Server并下载802.1x客户端。

图1-12 使能GuestVlan

如图1-13所示，当用户认证成功上线，认证服务器下发VLAN5。此时Supplicant和Ethernet2/0/2都在VLAN5内，Supplicant可以访问Internet。

图1-13 用户上线，VLAN下发

2. 配置步骤

# 配置RADIUS方案2000。

<Sysname> system-view

[Sysname] radius scheme 2000

[Sysname-radius-2000] primary authentication 10.11.1.1 1812

[Sysname-radius-2000] primary accouting 10.11.1.1 1813

[Sysname-radius-2000] key authentication abc

[Sysname-radius-2000] key accouting abc

[Sysname-radius-2000] user-name-format without-domain

[Sysname-radius-2000] quit

# 配置domain，该domain使用刚才配置好的RADIUS方案2000。

[Sysname] domaim system

[Sysname-isp-system] authentication default radius-scheme 2000

[Sysname-isp-system] authorization  default radius-scheme 2000

[Sysname-isp-system] accounting default radius-scheme 2000

[Sysname-isp-system] quit

# 开启全局802.1x特性。

[Sysname] dot1x

# 开启指定端口的802.1x特性。

[Sysname] interface Ethernet 2/0/1

[Sysname-Ethernet2/0/1] dot1x

# 配置端口上进行接入控制的方式为portbased。

[Sysname-Ethernet2/0/1] dot1x port-method portbased

# 配置端口上进行接入控制的模式为auto。

[Sysname-Ethernet2/0/1] dot1x port-control auto

[Sysname-Ethernet2/0/1] quit

# 创建VLAN10。

[Sysname] vlan 10

[Sysname-vlan10] quit

# 配置指定端口的Guest VLAN。

[Sysname] dot1x guest-vlan 10 interface Ethernet 2/0/1

通过命令display current-configuration或者display interface Ethernet 2/0/1可以查看Guest VLAN配置情况。在没有用户上线、用户认证失败或用户成功下线等情况下发送触发认证报文（EAP-Request/Identity）超过设定的最大次数时，通过命令display vlan 10可以查看端口配置的Guest VLAN是否生效。

1.7  下发ACL典型配置举例

1. 组网需求

如图1-14所示，主机Host通过802.1x认证接入网络，认证服务器为RADIUS服务器。Internet网络中有一台FTP服务器，IP地址为10.0.0.1。

l              在认证服务器上配置授权下发ACL 3000。

l              在Switch的Ethernet2/0/1上开启802.1x认证，并配置ACL 3000。

当用户认证成功上线，认证服务器下发ACL 3000。此时ACL 3000在Ethernet2/0/1上生效，Host可以访问Internet，但不能访问FTP服务器。

2. 组网图

图1-14 下发ACL典型组网图

3. 配置步骤

(1)        在Switch上配置ACL下发

# 配置各接口的IP地址（略）。

# 配置RADIUS方案。

<Sysname> system-view

[Sysname] radius scheme 2000

[Sysname-radius-2000] primary authentication 10.1.1.1 1812

[Sysname-radius-2000] primary accounting 10.1.1.2 1813

[Sysname-radius-2000] key authentication abc

[Sysname-radius-2000] key accounting abc

[Sysname-radius-2000] user-name-format without-domain

[Sysname-radius-2000] quit

# 配置ISP域的AAA方案。

[Sysname] domaim 2000

[Sysname-isp-2000] authentication default radius-scheme 2000

[Sysname-isp-2000] authorization  default radius-scheme 2000

[Sysname-isp-2000] accounting default radius-scheme 2000

[Sysname-isp-2000] quit

# 配置ACL 3000，拒绝目的IP地址为10.0.0.1的报文通过。

[Sysname] acl number 3000

[Sysname-acl-adv-3000] rule 0 deny ip destination 10.0.0.1 0

# 开启全局802.1x特性。

[Sysname] dot1x

# 开启指定端口的802.1x特性。

[Sysname] interface Ethernet 2/0/1

[Sysname-Ethernet2/0/1] dot1x

(2)        验证配置结果

通过命令ping可以验证认证服务器下发的ACL 3000是否生效。

[Sysname] ping 10.0.0.1

  PING 10.0.0.1: 56  data bytes, press CTRL_C to break

    Request time out

    Request time out

    Request time out

    Request time out

    Request time out

  --- 10.0.0.1 ping statistics ---

    5 packet(s) transmitted

    0 packet(s) received

    100.00% packet loss

第2章  EAD快速部署配置

2.1  EAD快速部署简介

2.1.1  概述

EAD（Endpoint Admission Defense，端点准入防御）方案作为一个整合方案，提升了网络的整体防御能力。但是在实际的应用过程中EAD客户端的部署工作量很大，带来了操作上的不便。

设备上通过802.1x认证支持EAD客户端的强制下发功能，实现了EAD客户端的快速部署。

2.1.2  实现机制

H3C系列以太网交换机利用以下两个功能实现EAD客户端的强制下发功能，解决目前EAD推广中的客户端部署难题。

1. 用户受限访问

802.1x认证成功之前（包括认证失败），终端用户只能访问一个特定的IP地址段。该IP地址段中可以配置一个或多个特定服务器，用于提供EAD客户端的下载升级或者动态地址分配等服务。

2. 用户HTTP访问URL重定向

终端用户在802.1x认证成功之前（包括认证失败），如果使用浏览器访问网络，设备会将用户访问的URL重定向到已配置的URL（例如，重定向到EAD客户端下载界面），这样只要用户打开浏览器，就必须进入管理员预设的界面。

通过以上两个功能结合使用，EAD部署时可以实现所有接入网络的终端用户到指定的服务器上下载EAD客户端，并进行安装，解决了EAD客户端部署困难和工作量大的难题。

2.2  配置EAD快速部署

2.2.1  配置准备

l              全局使能802.1x特性

l              指定端口使能802.1x特性，接入控制模式为auto

2.2.2  配置用户可访问的受限网段

受限网段是指802.1x认证成功之前（包括认证失败），终端用户可以访问的IP地址段，也称为Free IP。

配置Free IP网段之后，EAD的快速部署功能将立即处于使能状态。

表2-1 配置用户可访问的受限网段

2.2.3  配置用户HTTP访问的重定向URL

表2-2 配置用户HTTP访问的重定向URL

2.2.4  配置EAD规则的老化超时时间

EAD快速部署功能通过制订EAD规则（通常为ACL）来给予未通过认证的终端用户受限制的网络访问权限，在用户认证成功后，所占用的ACL将被释放。由于设备支持的ACL数量有限，当大量用户同时上线时，ACL资源将迅速被占用，如果没有用户认证成功，将出现ACL数量不足的情况，这样会导致一部分新接入的用户无法上线。

管理员可以通过配置EAD规则老化超时时间来控制用户对ACL资源的占用，当用户访问网络时该定时器即开始计时，如果该用户在超时时间内没有下载客户端并进行认证，则删除其所占用的ACL资源，使其它用户可以进行接入。在接入用户数量较多时，可以将超时时间适当缩短，以提高ACL的使用效率。

表2-3 配置EAD规则老化超时时间

2.3  EAD快速部署显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后EAD快速部署的运行情况，通过查看显示信息验证配置的效果。

表2-4 EAD快速部署配置的显示和维护

2.4  EAD快速部署典型配置举例

1. 组网需求

用户主机Host接入Switch，Switch与Free IP网段、外部网络相连。

l              认证成功之前，Host通过浏览器访问外部网络会被重定向至WEB服务器，进行802.1x客户端的下载及安装。

l              认证成功之后，Host可直接访问网络。

2. 组网图

图2-1 EAD快速部署典型配置组网图

3. 配置步骤

(1)        配置WEB服务器

用户在使用EAD快速部署功能之前首先必须配置好WEB服务器，即用户接入设备后用于下载802.1x客户端的重定向服务器。

(2)        配置Switch支持EAD快速部署

# 配置各接口的IP地址（略）。

# 配置Free IP。

<Sysname> system-view

[Sysname] dot1x free-ip 192.168.1.0 24

# 配置HTTP访问的重定向URL。

[Sysname] dot1x url http://192.168.1.3

# 开启全局802.1x特性。

[Sysname] dot1x

# 开启指定端口的802.1x特性。

[Sysname] interface ethernet 2/0/1

[Sysname-Ethernet2/0/1] dot1x

(3)        验证配置结果

在主机上执行ping Free IP网段中的地址，验证用户在802.1x认证成功之前可以访问受限网段。

C:\>ping 192.168.1.3

Pinging 192.168.1.3 with 32 bytes of data:

Reply from 192.168.1.3: bytes=32 time<1ms TTL=128

Reply from 192.168.1.3: bytes=32 time<1ms TTL=128

Reply from 192.168.1.3: bytes=32 time<1ms TTL=128

Reply from 192.168.1.3: bytes=32 time<1ms TTL=128

Ping statistics for 192.168.1.3:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 0ms, Average = 0ms

而且，用户在802.1x认证成功之前，通过浏览器访问任何外部网站都会被重定向到WEB server页面，此页面提供客户端的下载服务。

2.5  常见配置错误举例

2.5.1  用户通过浏览器访问外部网络不能正确重定向

1. 故障现象

用户在浏览器中输入地址，但该HTTP访问不能被正确重定向到指定的URL服务器。

2. 故障分析

l              用户在浏览器地址栏内输入了字符串类型的地址。由于用户主机使用的操作系统首先会将这个字符串地址作为名字进行网络地址解析，如果解析不成功通常会以非X.X.X.X形式的网络地址发送ARP请求，这样的请求不能进行重定向；

l              用户在IE地址栏内输入了Free IP网段内的任意地址。设备会认为用户试图访问Free IP网段内的某台主机，而不对其进行重定向，即使这台主机不存在；

l              用户在配置和组网时没有将服务器加入Free IP网段，或者配置的URL为不存在的地址，或者该URL指向的服务器没有提供WEB服务。

3. 处理过程

l              地址栏内输入的地址应该为X.X.X.X（点分十进制格式）的非免费IP网段地址才有效。

l              确保设备及服务器上的配置正确且有效。

第3章  MAC地址认证配置

3.1  MAC地址认证简介

MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法，它不需要用户安装任何客户端软件。设备在首次检测到用户的MAC地址以后，即启动对该用户的认证操作。认证过程中，也不需要用户手动输入用户名或者密码。

目前设备支持两种方式的MAC地址认证：

l              通过RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器认证。

l              本地认证。

有关远程RADIUS认证和本地认证的详细介绍请参见“AAA-RADIUS-HWTACACS操作”。

认证方式确定后，可根据需求选择MAC认证用户名的类型，包括以下两种方式：

l              MAC地址用户名：使用用户的MAC地址作为认证时的用户名和密码；

l              固定用户名：不论用户的MAC地址为何值，所有用户均使用在设备上预先配置的本地用户名和密码进行认证。

3.1.1  RADIUS服务器认证方式进行MAC地址认证

当选用RADIUS服务器认证方式进行MAC地址认证时，设备作为RADIUS客户端，与RADIUS服务器配合完成MAC地址认证操作：

l              采用MAC地址用户名时，设备将检测到的用户MAC地址作为用户名和密码发送给RADIUS服务器。

l              采用固定用户名时，设备将已经在本地配置的用户名和密码作为待认证用户的用户名和密码，发送给RADIUS服务器。

RADIUS服务器完成对该用户的认证后，认证通过的用户可以访问网络。

3.1.2  本地认证方式进行MAC地址认证

当选用本地认证方式进行MAC地址认证时，直接在设备上完成对用户的认证。需要在设备上配置本地用户名和密码：

l              采用MAC地址用户名时，需要配置的本地用户名为接入用户的MAC地址。

l              采用固定用户名时，所有用户MAC地址将自动匹配到已配置的本地用户名和密码。

3.2  相关概念

3.2.1  MAC地址认证定时器

MAC地址认证过程受以下定时器的控制：

l              下线检测定时器（offline-detect）：用来设置设备检查用户是否已经下线的时间间隔。当检测到用户下线后，设备立即通知RADIUS服务器，停止对该用户的计费。

l              静默定时器（quiet）：用来设置用户认证失败以后，设备需要等待的时间间隔。在静默期间，设备不处理该用户的认证功能，静默之后设备再重新对用户发起认证。

l              服务器超时定时器（server-timeout）：用来设置设备同RADIUS服务器的连接超时时间。在用户的认证过程中，如果服务器超时定时器超时，设备将在相应的端口上禁止此用户访问网络。

3.2.2  静默MAC

当一个MAC地址认证失败后，此MAC就被添加为静默MAC，在静默时间内，来自此MAC地址的数据报文到达时，设备直接做丢弃处理。静默MAC的功能主要是防止非法MAC短时间内的重复认证。

3.2.3  下发VLAN

为了将受限的网络资源与用户隔离，通常将受限的网络资源和用户划分到不同的VLAN。当用户通过身份认证后，受限的网络资源所在的VLAN会作为授权VLAN从授权服务器上下发。同时用户所在的端口被加入到此授权VLAN中，用户可以访问这些受限的网络资源。

3.2.4  下发ACL

从授权服务器下发的ACL被称为授权ACL，它为用户访问网络提供了良好的过滤条件设置功能。当用户上线时，如果RADIUS服务器上配置了授权ACL，则设备会根据服务器下发的授权ACL对用户所在端口的数据流进行控制。而且在用户访问网络的过程中，可以通过改变服务器的授权ACL设置来改变用户的访问权限。

3.3  配置MAC地址认证

通过使用MAC地址认证，可以对用户的网络访问权限进行控制。

3.3.1  配置准备

l              创建并配置ISP域。

l              若采用本地认证方式，需建立本地用户并设置其密码。

l              若采用远程RADIUS认证方式，需要确保设备与RADIUS服务器之间的路由可达。

3.3.2  配置过程

表3-1 MAC地址认证配置过程

3.4  MAC地址认证的显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后MAC地址认证的运行情况，通过查看显示信息验证配置的效果。

表3-2 MAC地址认证的显示和维护

3.5  MAC地址认证典型配置举例

3.5.1  MAC地址本地认证

1. 组网需求

如图3-1所示，某用户的工作站与以太网设备的端口GigabitEthernet2/0/1相连接。

l              设备的管理者希望在各端口上对用户接入进行MAC地址认证，以控制其对Internet的访问。

l              要求设备每隔180秒就对用户是否下线进行检测；并且当用户认证失败时，需等待3分钟后才能对用户再次发起认证。

l              所有用户都属于域：example.com，认证时使用本地认证的方式。用户名为aaa，密码为123456。

2. 组网图

图3-1 启动MAC地址认证对接入用户进行本地认证

3. 配置步骤

(1)        在交换机上配置MAC地址认证

# 添加本地接入用户。

<Device> system-view

[Device] local-user aaa

[Device-luser-aaa] password simple 123456

[Device-luser-aaa] service-type lan-access

[Device-luser-aaa] quit

# 配置ISP域，使用本地认证方式。

[Device] domain example.com

[Device-isp-example.com] authentication lan-access local

[Device-isp-example.com] quit

# 开启全局MAC地址认证特性。

[Device] mac-authentication

# 开启端口GigabitEthernet2/0/1的MAC地址认证特性。

[Device] mac-authentication interface gigabitEthernet 2/0/1

# 配置MAC地址认证用户所使用的ISP域。

[Device] mac-authentication domain example.com

# 配置MAC地址认证的定时器。

[Device] mac-authentication timer offline-detect 180

[Device] mac-authentication timer quiet 180

[Device] mac-authentication user-name-format fixed account aaa password simple 123456

(2)        验证配置结果

# 显示全局MAC地址配置信息。

<Device> display mac-authentication

MAC address authentication is Enabled.

User name format is fixed account

 Fixed username:aaa

 Fixed password:123456

          Offline detect period is 180s

          Quiet period is 180s.

          Server response timeout value is 100s

          The max allowed user number is 2048 per slot

          Current user number amounts to 1

          Current domain is example.com

Silent Mac User info:

         MAC ADDR               From Port           Port Index

GigabitEthernet2/0/1 is link-up

  MAC address authentication is Enabled

  Authenticate success: 1, failed: 0

  Current online user number is 1

    MAC ADDR         Authenticate state           AuthIndex

    00e0-fc12-3456   MAC_AUTHENTICATOR_SUCCESS     29

3.5.2  MAC地址RADIUS认证

1. 组网需求

如图3-2所示，用户主机Host通过端口GigabitEthernet2/0/1连接到设备上，设备通过RADIUS服务器对用户进行身份认证。

l              设备的管理者希望在各端口上对用户接入进行MAC地址认证，以控制其对Internet的访问。

l              要求设备每隔180秒就对用户是否下线进行检测；并且当用户认证失败时，需等待3分钟后才能对用户再次发起认证。

2. 组网图

图3-2 启动MAC地址认证对接入用户进行RADIUS认证

3. 配置步骤

(1)        在Device上配置MAC地址认证

# 配置各接口的IP地址（略）。

# 配置RADIUS方案。

<Sysname> system-view

[Device] radius scheme 2000

[Device-radius-2000] primary authentication 10.1.1.1 1812

[Device-radius-2000] primary accounting 10.1.1.2 1813

[Device-radius-2000] key authentication abc

[Device-radius-2000] key accounting abc

[Device-radius-2000] user-name-format without-domain

[Device-radius-2000] quit

# 配置ISP域的AAA方案。

[Device] domaim 2000

[Device-isp-2000] authentication default radius-scheme 2000

[Device-isp-2000] authorization  default radius-scheme 2000

[Device-isp-2000] accounting default radius-scheme 2000

[Device-isp-2000] quit

# 开启全局MAC地址认证特性。

[Device] mac-authentication

# 开启端口GigabitEthernet2/0/1的MAC地址认证特性。

[Device] mac-authentication interface gigabitEthernet 2/0/1

# 配置MAC地址认证用户所使用的ISP域。

[Device] mac-authentication domain 2000

# 配置MAC地址认证的定时器。

[Device] mac-authentication timer offline-detect 180

[Device] mac-authentication timer quiet 180

[Device] mac-authentication user-name-format fixed account aaa password simple 123456

(2)        验证配置结果

# 显示全局MAC地址配置信息。

<Device> display mac-authentication

MAC address authentication is Enabled.

User name format is fixed account

 Fixed username:aaa

 Fixed password:123456

          Offline detect period is 180s

          Quiet period is 180s.

          Server response timeout value is 100s

          The max allowed user number is 2048 per slot

          Current user number amounts to 1

          Current domain is 2000

Silent Mac User info:

         MAC ADDR               From Port           Port Index

GigabitEthernet2/0/1 is link-up

  MAC address authentication is Enabled

  Authenticate success: 1, failed: 0

  Current online user number is 1

    MAC ADDR         Authenticate state           AuthIndex

    00e0-fc12-3456   MAC_AUTHENTICATOR_SUCCESS     29

3.5.3  下发ACL典型配置举例

1. 组网需求

如图3-3所示，主机Host通过MAC认证接入网络，认证服务器为RADIUS服务器。Internet网络中有一台FTP服务器，IP地址为10.0.0.1。

l              在认证服务器上配置授权下发ACL 3000。

l              在Switch的Ethernet2/0/1上开启MAC认证，并配置ACL 3000。

l              当用户认证成功上线，认证服务器下发ACL 3000。此时ACL 3000在Ethernet2/0/1上生效，Host可以访问Internet，但不能访问FTP服务器。

2. 组网图

图3-3 下发ACL典型配置组网图

3. 配置步骤

(1)        在Switch上配置ACL下发

# 配置各接口的IP地址（略）。

# 配置RADIUS方案。

<Sysname> system-view

[Sysname] radius scheme 2000

[Sysname-radius-2000] primary authentication 10.1.1.1 1812

[Sysname-radius-2000] primary accounting 10.1.1.2 1813

[Sysname-radius-2000] key authentication abc

[Sysname-radius-2000] key accounting abc

[Sysname-radius-2000] user-name-format without-domain

[Sysname-radius-2000] quit

# 配置ISP域的AAA方案。

[Sysname] domaim 2000

[Sysname-isp-2000] authentication default radius-scheme 2000

[Sysname-isp-2000] authorization  default radius-scheme 2000

[Sysname-isp-2000] accounting default radius-scheme 2000

[Sysname-isp-2000] quit

# 配置ACL 3000，拒绝目的IP地址为10.0.0.1的报文通过。

[Sysname] acl number 3000

[Sysname-acl-adv-3000] rule 0 deny ip destination 10.0.0.1 0

[Sysname-acl-adv-3000] quit

# 开启全局MAC地址认证特性。

[Sysname] mac-authentication

# 开启指定端口的MAC地址认证特性。

[Sysname] interface Ethernet 2/0/1

[Sysname-Ethernet2/0/1] mac-authentication

(2)        验证配置结果

# 通过命令ping可以验证认证服务器下发的ACL 3000是否生效。

[Sysname] ping 10.0.0.1

  PING 10.0.0.1: 56  data bytes, press CTRL_C to break

    Request time out

    Request time out

    Request time out

    Request time out

    Request time out

  --- 10.0.0.1 ping statistics ---

    5 packet(s) transmitted

    0 packet(s) received

    100.00% packet loss