- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
03-MAC地址认证配置
本章节下载： 03-MAC地址认证配置 (349.46 KB)
目 录
MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法，无需安装客户端软件。设备在启动了MAC地址认证的端口上首次检测到用户的MAC地址以后，启动对该用户的认证操作。认证过程中，不需要用户手动输入用户名或密码。若该用户认证成功，则允许其通过端口访问网络资源，否则该用户的MAC地址就被设置为静默MAC。在静默时间内，来自此MAC地址的用户报文到达时，设备直接做丢弃处理，以防止非法MAC短时间内的重复认证。
MAC地址认证用户使用的账号格式分为两种：
· MAC地址账号：设备使用源MAC地址作为用户认证时的用户名和密码，或者使用MAC地址作为用户名，并配置密码。以使用源MAC地址作为用户认证时的用户名和密码为例，如图1-1所示。
· 固定用户名账号：所有MAC地址认证用户均使用设备上指定的一个固定用户名和密码替代用户的MAC地址作为身份信息进行认证，如图1-2所示。由于同一个端口下可以有多个用户进行认证，因此这种情况下端口上的所有MAC地址认证用户均使用同一个固定用户名进行认证，服务器端仅需要配置一个用户账户即可满足所有认证用户的认证需求，适用于接入客户端比较可信的网络环境。
图1-1 MAC地址账号的MAC地址认证示意图
图1-2 固定用户名账号的MAC地址认证示意图
目前设备支持两种方式的MAC地址认证，通过RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器进行远程认证和在接入设备上进行本地认证。有关远程RADIUS认证和本地认证的详细介绍请参见“用户接入与认证配置指导”中的“AAA”。
当选用RADIUS服务器认证方式进行MAC地址认证时，设备作为RADIUS客户端，与RADIUS服务器配合完成MAC地址认证操作：
· 若采用MAC地址账号，如果未配置密码，则设备将检测到的用户MAC地址作为用户名和密码发送给RADIUS服务器进行验证。如果配置了密码，则设备将检测到的用户MAC地址作为用户名，配置的密码作为密码发送给RADIUS服务器进行验证。
· 若采用固定用户名账号，则设备将一个已经在本地指定的MAC地址认证用户使用的固定用户名和对应的密码作为待认证用户的用户名和密码，发送给RADIUS服务器进行验证。
RADIUS服务器完成对该用户的认证后，认证通过的用户可以访问网络。
设备与服务器之间采用PAP（Password Authentication Protocol，密码认证协议）或CHAP（Challenge Handshake Authentication Protocol，质询握手认证协议）方法进行认证。
当选用本地认证方式进行MAC地址认证时，直接在设备上完成对用户的认证。需要在设备上配置本地用户名和密码：
· 若采用MAC地址账号，如果未配置密码，则设备将检测到的用户MAC地址作为待认证用户的用户名和密码与配置的本地用户名和密码进行匹配。如果配置了密码，则设备将检测到的用户MAC地址作为用户名，配置的密码作为密码与配置的本地用户名和密码进行匹配。
· 若采用固定用户名账号，则设备将一个已经在本地指定的MAC地址认证用户使用的固定用户名和对应的密码作为待认证用户的用户名和密码与配置的本地用户名和密码进行匹配。
用户名和密码匹配成功后，用户可以访问网络。
由远程AAA服务器/接入设备下发给用户的ACL被称为授权ACL，它为用户访问网络提供了良好的过滤条件设置功能。当用户通过MAC地址认证后，如果远程AAA服务器/接入设备上为用户指定了授权ACL，则设备会根据下发的授权ACL对用户所在端口的数据流进行控制，与授权ACL规则匹配的流量，将按照规则中指定的permit或deny动作进行处理。为使下发的授权ACL生效，需要提前在设备上配置相应的ACL规则。而且在用户访问网络的过程中，可以通过改变远程AAA服务器/设备本地的授权ACL设置来改变用户的访问权限。
MAC地址认证可成功授权的ACL类型为基本ACL（ACL编号为2000～2999）、高级ACL（ACL编号为3000～3999）和二层ACL（ACL编号为4000～4999）。但当下发的ACL不存在、未配置ACL规则或ACL规则配置了counting、established、fragment、source-mac或logging参数时，授权ACL不生效。有关ACL规则的具体介绍，请参见“ACL和QoS配置指导”中的“ACL”。
MAC地址认证支持CAR属性下发后，设备可以对MAC地址认证上线用户访问网络资源的流量与速率进行控制。当用户通过MAC地址认证后，如果RADIUS服务器通过扩展属性字段下发授权CAR属性给该用户，则设备会根据服务器下发的授权CAR属性对用户所在端口的数据流进行限速。RADIUS扩展属性的详细介绍请参见“用户接入与认证配置指导”中的“AAA”。
CAR属性具体分为如下几种：
· Input-Peak-Rate：上行峰值速率，单位bps。用于限制端口上接收报文的峰值速率。
· Input-Average-Rate：上行平均速率，单位bps。用于限制该端口上接收报文的平均速率。
· Output-Peak-Rate：下行峰值速率，单位bps。用于限制端口上发送报文的峰值速率。
· Output-Average-Rate：下行平均速率，单位bps。用于限制该端口上发送报文的平均速率。
如果未授权Input-Peak-Rate或Output-Peak-Rate，则表示对用户报文进行单速率流量监管，否则进行双速率流量监管。流量监管的详细介绍请参见“ACL和QoS配置指导”中的“QoS”。
用户通过MAC地址认证后，如果收到服务器通过COA报文授权当前用户MAC地址为黑洞MAC，设备将强制该MAC地址认证用户下线，并添加该用户为静默用户（可通过display mac-authentication查看），静默时间固定为10分钟。在静默时间内，设备不对来自该MAC地址用户的报文进行认证处理，直接丢弃。静默期后，如果设备再次收到该用户的报文，则可以对其进行认证处理。
· 当端口上配置的MAC地址认证的Guest VLAN、Critical VLAN中存在用户时，不允许切换该端口的链路类型。
· 目前仅二层以太网接口和二层聚合接口支持配置MAC地址认证功能。
· 二层以太网接口加入聚合组后，在该接口上配置的MAC地址认证功能不生效。
· 在二层聚合接口上有MAC地址认证用户在线的情况下，请不要删除该二层聚合接口。
· 不能在加入业务环回组的端口上开启MAC地址认证功能。
· 若配置的静态MAC或者当前认证通过的MAC地址与静默MAC相同，则MAC地址认证失败后的MAC静默功能将会失效。
· M-LAG场景下，在设备上开启RADIUS DAE服务后，设备不支持通过COA请求报文关闭/重启MAC地址认证用户的接入端口或重认证用户。关于RADIUS DAE服务的详细信息请参见“用户接入与认证配置指导”中的“AAA”。
MAC地址认证配置任务如下：
(1) 开启MAC地址认证
(2) 配置MAC地址认证基本功能
¡ （可选）配置MAC地址认证定时器
(3) （可选）配置MAC地址认证其它功能
· 配置MAC地址认证之前，请保证端口安全功能关闭，具体配置请参见“用户接入与认证配置指导”中的“端口安全”。
· 配置MAC地址认证之前，需完成配置ISP域和认证方式，具体配置请参见“用户接入与认证配置指导”中的“AAA”。
¡ 若采用本地认证方式，还需创建本地用户并设置其密码，且本地用户的服务类型应设置为lan-access。
¡ 若采用远程RADIUS认证方式，需要确保设备与RADIUS服务器之间的路由可达，并添加MAC地址认证用户账号。
只有全局和端口的MAC地址认证均开启后，MAC地址认证配置才能在端口上生效。
如果设备上ACL资源全部被占用，则进行如下操作时，对应接口上的MAC地址认证功能不能生效：
· 系统视图下使能了MAC地址认证时，二层以太网接口或二层聚合接口下的MAC地址认证由未使能改为使能。
· 二层以太网接口或二层聚合接口下使能了MAC地址认证时，系统视图下的MAC地址认证由未使能改为使能。
(1) 进入系统视图。
system-view
(2) 开启全局MAC地址认证。
mac-authentication
缺省情况下，全局的MAC地址认证处于关闭状态。
(3) 进入接口视图。
interface interface-type interface-number
(4) 开启端口MAC地址认证。
mac-authentication
缺省情况下，端口的MAC地址认证处于关闭状态。
当通过RADIUS服务器进行MAC地址认证时，MAC地址认证支持两种类型的认证方法：
· PAP认证方法通过用户名和密码来对用户进行验证，其特点是在网络上以明文方式传送用户名和密码，仅适用于对网络安全要求相对较低的环境。
· CHAP认证方法使用客户端与服务器端交互挑战信息的方式来验证用户身份，其特点是在网络上以明文方式传送用户名，以密文方式传输密码。与PAP相比，CHAP认证保密性较好，更为安全可靠。
设备上配置的认证方法必须和RADIUS服务器上采用的认证方法保持一致。
(1) 进入系统视图。
system-view
(2) 配置MAC地址认证采用的认证方法。
mac-authentication authentication-method { chap | pap }
缺省情况下，设备采用PAP认证方法进行MAC地址认证。
为了便于接入设备的管理员更为灵活地部署用户的接入策略，设备支持指定MAC地址认证用户使用的认证域，可以通过以下两种配置实现：
· 在系统视图下指定一个认证域，该认证域对所有开启了MAC地址认证的端口生效。
· 在接口视图下指定该端口的认证域，不同的端口可以指定不同的认证域。
端口上接入的MAC地址认证用户将按照如下顺序选择认证域：端口上指定的认证域 > 系统视图下指定的认证域 > 系统缺省的认证域。关于认证域的相关介绍请参见“用户接入与认证配置指导”中的“AAA”。
(1) 进入系统视图。
system-view
(2) 指定MAC地址认证用户使用的认证域。
¡ 配置全局MAC地址认证用户使用的认证域。
mac-authentication domain domain-name
¡ 配置接口上MAC地址认证用户使用的认证域。
interface interface-type interface-number
mac-authentication domain domain-name
缺省情况下，未指定MAC地址认证用户使用的认证域，使用系统缺省的认证域。
mac-authentication mac-range-account命令的优先级高于mac-authentication user-name-format命令。
(1) 进入系统视图。
system-view
(2) 配置MAC地址认证用户的账号格式。
¡ 配置MAC地址账号。
mac-authentication user-name-format mac-address [ { with-hyphen [ six-section | three-section ] | without-hyphen } [ lowercase | uppercase ] ] [ password { cipher | simple } string ]
¡ 配置固定用户名账号。
mac-authentication user-name-format fixed [ account name ] [ password { cipher | simple } string ]
缺省情况下，使用用户的MAC地址作为用户名与密码，其中字母为小写，且不带连字符“-”。
(3) 配置指定MAC地址范围的MAC地址认证用户名和密码。
mac-authentication mac-range-account mac-address mac-address mask { mask | mask-length } account name password { cipher | simple } string
缺省情况下，未对指定MAC地址范围的MAC地址认证用户设置用户名和密码，MAC地址认证用户采用mac-authentication user-name-format命令设置的用户名和密码接入设备。
可配置的MAC地址认证定时器包括以下几种：
· 下线检测定时器（offline-detect）：用来设置用户空闲超时的时间间隔。若设备在一个下线检测定时器间隔之内，没有收到某在线用户的报文，将切断该用户的连接，同时通知RADIUS服务器停止对其计费。配置offline-detect时，需要将MAC地址老化时间配成相同时间，否则会导致用户异常下线。
· 服务器超时定时器（server-timeout）：用来设置设备同RADIUS服务器的连接超时时间。在用户的认证过程中，如果到服务器超时定时器超时时设备一直没有收到RADIUS服务器的应答，则MAC地址认证失败。
建议将server-timeout的值设定为小于或等于设备发送RADIUS报文的最大尝试次数（retry）与RADIUS服务器响应超时时间（timer response-timeout）之积。如果server-timeout的值大于retry与timer response-timeout之积，则可能在server-timeout设定的服务器超时时间到达前，用户被强制下线。
关于发送RADIUS报文的最大尝试次数、RADIUS服务器响应超时时间的具体配置请参见“用户接入与认证配置指导”中的“AAA”。
(1) 进入系统视图。
system-view
(2) 配置MAC地址认证定时器。
mac-authentication timer { offline-detect offline-detect-value | server-timeout server-timeout-value }
缺省情况下，下线检测定时器为300秒，服务器超时定时器取值为100秒。
开启端口的MAC地址认证下线检测功能后，若设备在一个下线检测定时器间隔之内，未收到此端口下某在线用户的报文，则将切断该用户的连接，同时通知RADIUS服务器停止对此用户进行计费。
关闭端口的MAC地址认证下线检测功能后，设备将不会对在线用户的状态进行检测。
设备缺省开启端口的MAC地址认证的下线检测，且缺省已配置下线检测定时器。通过配置指定MAC地址用户下线检测功能可以单独设置端口上某些用户的检查参数，或者设置不对某些用户进行下线检测：
· 对指定MAC地址用户设置下线检测定时器后，若设备在一个下线检测周期之内，未收到该在线用户的报文，或设备不存在该MAC地址对应的ARP Snooping或ND Snooping表项，则切断该用户的连接，同时通知RADIUS服务器停止对此用户进行计费。
· 关闭指定MAC地址用户下线检测的功能应用于哑终端的认证，避免哑终端用户因为MAC地址认证的下线检测功能开启导致哑终端下线后不能再次上线的问题，保证哑终端用户长期在线。
对指定MAC地址用户进行下线检测设置的优先级由高到低依次为：设备配置的指定MAC地址用户的下线检测设置、RADIUS服务器下发的下线检测设置、端口上的下线检测设置。其中，RADIUS服务器通过RADIUS属性为用户下发下线检测时间、是否检查ARP Snooping或ND Snooping表项，或是否进行下线检测。
如果关闭端口的MAC地址认证下线检测功能，则不会对端口上的MAC地址认证用户进行下线检测，此时配置指定MAC地址用户的下线检测功能不生效。
指定MAC地址用户的下线检测功能对在线用户立即生效。
在二层聚合接口上开启下线检测功能后，用户实际下线的时间会相对定时器设定的时间有所延迟。
(1) 进入系统视图。
system-view
(2) （可选）配置指定MAC地址用户的下线检测功能。
mac-authentication offline-detect mac-address mac-address { ignore | timer offline-detect-value [ check-arp-or-nd-snooping ] }
(3) 进入接口视图。
interface interface-type interface-number
(4) 开启端口的MAC地址认证下线检测功能。
mac-authentication offline-detect enable
缺省情况下，端口的MAC地址认证下线检测功能处于开启状态。
由于系统资源有限，如果当前端口下接入的用户过多，接入用户之间会发生资源的争用，因此适当地配置该值可以使端口上已经接入的用户获得可靠的性能保障。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置端口上最多允许同时接入的MAC地址认证用户数。
mac-authentication max-user max-number
缺省情况下，端口上最多允许同时接入的MAC地址认证用户数为4294967295。
在终端用户采用静态IP地址方式接入的组网环境中，如果终端用户擅自修改自己的IP地址，则整个网络环境中可能会出现IP地址冲突等问题。
为了解决以上问题，管理员可以在端口上开启MAC地址认证请求中携带用户IP地址的功能，用户在进行MAC地址认证时，设备会把用户的IP地址上传到iMC服务器。然后iMC服务器会把认证用户的IP地址和MAC地址与服务器上已经存在的IP与MAC的绑定表项进行匹配，如果匹配成功，则该用户MAC地址认证成功；否则，MAC地址认证失败。
配置本功能后，当有用户接入时，设备会检查用户报文中的IP地址是否合法，并进行相应处理：
· 当用户的IP地址合法时，设备携带用户IP地址向服务器发起MAC地址认证请求；
· 当用户报文未携带IP地址或用户的IP地址不合法时，设备不对用户进行MAC地址认证。
· 收到源IP为0.0.0.0的DHCP报文时，设备会向服务器发起MAC地址认证请求，但认证报文中不携带IP地址。认证是否通过取决于认证服务器侧的配置。
H3C的iMC服务器上IP与MAC地址信息绑定表项的生成方式如下：
· 如果在iMC服务器上创建用户时手工指定了用户的IP地址和MAC地址信息，则服务器使用手工指定的IP和MAC信息生成该用户的IP与MAC地址的绑定表项。
· 如果在iMC服务器上创建用户时未手工指定用户的IP地址和MAC地址信息，则服务器使用用户初次进行MAC地址认证时使用的IP地址和MAC地址生成该用户的IP与MAC地址的绑定表项。
终端用户采用静态IP地址接入时，实际组网应用中会出现用户报文中携带的IP地址并非用户实际IP地址的情况，例如在IPv4静态地址组网中，用户报文携带的IP地址为以fe80开头的IPv6链路本地地址。配置本功能后，设备会携带非用户实际的IP地址向服务器发起MAC地址认证请求，此种情况会导致服务器为用户绑定错误的IP地址或IP地址与MAC地址匹配失败。为避免上述情况发生，可以在配置本功能时指定exclude-ip acl参数，不允许ACL中指定网段（上述举例中需指定fe80网段）的用户进行MAC地址认证。
在开启了MAC地址认证的端口上，不建议将本命令与mac-authentication guest-vlan命令同时配置；否则，加入Guest VLAN的用户无法再次发起MAC地址认证，用户会一直停留在Guest VLAN中。
配置exclude-ip acl时，仅支持配置基本ACL，且仅根据规则中配置的源IP地址进行过滤。建议ACL中配置deny规则来拒绝指定网段的用户进行MAC地址认证。如果ACL中仅配置了permit规则，则表示允许指定网段的用户进行MAC地址认证，这样的配置并没有实际意义。如果希望只允许某个网段用户进行MAC地址认证，可在ACL中同时配置一条指定网段的permit规则和一条deny all规则来实现。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置MAC地址认证请求中携带用户IP地址。
mac-authentication carry user-ip [ exclude-ip acl acl-number ]
缺省情况下，MAC地址认证请求中不携带用户IP地址。
强制MAC地址认证用户下线后，设备会删除对应的用户信息，用户再次上线时，需要重新进行MAC地址认证。
请在用户视图下执行本命令，强制MAC地址认证用户下线。
reset mac-authentication access-user [ interface interface-type interface-number | mac mac-address | username username | vlan vlan-id ]
MAC地址认证接入用户日志信息是为了满足网络管理员维护的需要，对MAC地址认证用户的接入信息进行记录。设备生成的MAC地址认证接入用户日志信息会交给信息中心模块处理，信息中心模块的配置将决定日志信息的发送规则和发送方向。关于信息中心的详细描述请参见“设备管理配置指导”中的“信息中心”。
为了防止设备输出过多的MAC地址认证接入用户日志信息，一般情况下建议关闭此功能。
(1) 进入系统视图。
system-view
(2) 开启MAC地址认证接入用户日志信息功能。
mac-authentication access-user log enable [ failed-login | logoff | successful-login ] *
缺省情况下，MAC地址认证接入用户日志信息功能处于关闭状态。
配置本命令时，如果未指定任何参数，将同时开启所有参数对应的日志功能。
可在任意视图下执行以下命令：
· 显示MAC地址认证的相关信息。
display mac-authentication [ interface interface-type interface-number ]
· 显示MAC地址认证连接信息。
display mac-authentication connection [ open ] [ [ m-lag [ local | peer ] ] interface interface-type interface-number | [ m-lag [ local | peer ] ] slot slot-number | user-mac mac-addr | [ m-lag [ local | peer ] ] user-name user-name ]
请在用户视图下执行以下命令：
· 清除MAC地址认证的统计信息。
reset mac-authentication statistics [ interface interface-type interface-number ]
如图1-3所示，用户主机Host通过端口HundredGigE1/0/1连接到设备上，设备通过RADIUS服务器对用户进行认证、授权和计费，Internet网络中有一台FTP服务器，IP地址为10.0.0.1。现有如下组网需求：
· 在端口HundredGigE1/0/1上对用户接入进行MAC地址认证，以控制其对Internet的访问。认证时使用用户的源MAC地址做用户名和密码，其中MAC地址带连字符、字母小写。
· 当用户认证成功上线后，允许用户访问除FTP服务器之外的Internet资源。
图1-3 下发ACL典型配置组网图
配置RADIUS服务器，添加接入用户账户（用户名为08-00-27-12-34-56，密码为08-00-27-12-34-56），指定要授权下发的ACL 3000，并保证用户的认证/授权/计费功能正常运行。
(1) 配置授权ACL
# 配置ACL 3000，拒绝目的IP地址为10.0.0.1的报文通过。
<Device> system-view
[Device] acl advanced 3000
[Device-acl-ipv4-adv-3000] rule 0 deny ip destination 10.0.0.1 0
[Device-acl-ipv4-adv-3000] quit
(2) 配置使用RADIUS服务器进行MAC地址认证
# 配置RADIUS方案。
[Device] radius scheme 2000
[Device-radius-2000] primary authentication 10.1.1.1 1812
[Device-radius-2000] primary accounting 10.1.1.2 1813
[Device-radius-2000] key authentication simple abc
[Device-radius-2000] key accounting simple abc
[Device-radius-2000] user-name-format without-domain
[Device-radius-2000] quit
# 配置ISP域的AAA方法。
[Device] domain bbb
[Device-isp-bbb] authentication default radius-scheme 2000
[Device-isp-bbb] authorization default radius-scheme 2000
[Device-isp-bbb] accounting default radius-scheme 2000
[Device-isp-bbb] quit
# 配置MAC地址认证用户所使用的ISP域。
[Device] mac-authentication domain bbb
# 配置MAC地址认证用户的账号格式：使用带连字符的MAC地址做用户名与密码，其中字母小写。
[Device] mac-authentication user-name-format mac-address with-hyphen lowercase
# 开启端口HundredGigE1/0/1上的MAC地址认证。
[Device] interface hundredgige 1/0/1
[Device-HundredGigE1/0/1] mac-authentication
[Device-HundredGigE1/0/1] quit
# 开启全局MAC地址认证。
[Device] mac-authentication
# 显示MAC地址认证配置信息。
[Device] display mac-authentication
Global MAC authentication parameters:
MAC authentication : Enable
Authentication method : PAP
M-LAG member configuration conflict : Unknown
Username format : MAC address in lowercase(xx-xx-xx-xx-xx-xx)
Username : mac
Password : Not configured
Offline detect period : 300 s
Quiet period : 60 s
Server timeout : 100 s
Reauth period : 3600 s
User aging period for critical VLAN : 1000 s
User aging period for guest VLAN : 1000 s
Authentication domain : bbb
Online MAC-auth wired users : 1
Silent MAC users:
MAC address VLAN ID From port Port index
HundredGigE1/0/1 is link-up
MAC authentication : Enabled
Carry User-IP : Disabled
Authentication domain : Not configured
Auth-delay timer : Disabled
Periodic reauth : Disabled
Re-auth server-unreachable : Logoff
Guest VLAN : Not configured
Guest VLAN reauthentication : Enabled
Guest VLAN auth-period : 30 s
Critical VLAN : Not configured
Critical voice VLAN : Disabled
Host mode : Single VLAN
Offline detection : Enabled
Authentication order : Default
User aging : Enabled
Server-recovery online-user-sync : Enabled
Auto-tag feature : Disabled
VLAN tag configuration ignoring : Disabled
Max online users : 4294967295
Authentication attempts : successful 1, failed 0
Current online users : 1
MAC address Auth state
0800-2712-3456 Authenticated
用户认证上线后，Ping FTP服务器，发现服务器不可达，说明认证服务器下发的ACL 3000已生效。
C:\>ping 10.0.0.1
Pinging 10.0.0.1 with 32 bytes of data:
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Ping statistics for 10.0.0.1:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
