目  录

1 802.1X

1.1 802.1X配置命令

1.1.1 display dot1x

1.1.2 display dot1x connection

1.1.3 dot1x

1.1.4 dot1x access-user log enable

1.1.5 dot1x after-mac-auth max-attempt

1.1.6 dot1x authentication-method

1.1.7 dot1x handshake

1.1.8 dot1x handshake reply enable

1.1.9 dot1x handshake secure

1.1.10 dot1x max-user

1.1.11 dot1x offline-detect enable

1.1.12 dot1x port-control

1.1.13 dot1x port-method

1.1.14 dot1x timer

1.1.15 reset dot1x access-user

1.1.16 reset dot1x statistics

 

1 802.1X

1.1  802.1X配置命令

1.1.1  display dot1x

display dot1x命令用来显示802.1X的相关信息。

【命令】

display dot1x [ sessions | statistics ] [ interface interface-type interface-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

sessions：显示802.1X的会话连接信息。

statistics：显示802.1X的相关统计信息。

interface interface-type interface-number：显示指定端口的802.1X信息。interface-type interface-number为端口类型和端口编号。

【使用指导】

如果不指定参数sessions或者statistics，则显示802.1X的所有信息，包括会话连接信息、相关统计信息和配置信息等。

如果不指定interface参数，则显示所有端口上的802.1X信息。

【举例】

# 显示802.1X的所有信息。

<Sysname> display dot1x

 Global 802.1X parameters:

   802.1X authentication                      : Enabled

   M-LAG member configuration conflict        : Unknown

   EAP authentication                         : Enabled

   Max-tx period                              : 30 s

   Handshake period                           : 15 s

   Offline detect period                      : 300 s

   Quiet timer                                : Disabled

         Quiet period                         : 60 s

   Supp timeout                               : 30 s

   Server timeout                             : 100 s

   Reauth period                              : 3600 s

   Max auth requests                          : 2

   User aging period for Auth-Fail VLAN       : 1000 s

   User aging period for critical VLAN        : 1000 s

   User aging period for guest VLAN           : 1000 s

   EAD assistant function                     : Disabled

       URL                                    : http://www.dwsoft.com

       Free IP                                : 6.6.6.0         255.255.255.0

       EAD timeout                            : 30 min

   Domain delimiter                           : @

   Max EAP-TLS fragment (to-server)           : 400 bytes

 Online 802.1X wired users                    : 1

 

 HundredGigE1/0/1  is link-up

   802.1X authentication                : Enabled

   Handshake                            : Enabled

   Handshake reply                      : Disabled

   Handshake security                   : Disabled

   Offline detection                    : Disabled

   Unicast trigger                      : Disabled

   Periodic reauth                      : Enabled

       Reauth period                    : 80 s

   Port role                            : Authenticator

   Authorization mode                   : Auto

   Port access control                  : MAC-based

   Multicast trigger                    : Enabled

   Mandatory auth domain                : Not configured

   Guest VLAN                           : 3

   Auth-Fail VLAN                       : Not configured

   Critical VLAN                        : Not configured

   Critical voice VLAN                  : Disabled

   Add Guest VLAN delay                 : Disabled

   Re-auth server-unreachable           : Logoff

   Max online users                     : 4294967295

   User IP freezing                     : Disabled

   Send Packets Without Tag             : Disabled

   Max Attempts Fail Number             : 0

   User aging                           : Enabled

   Server-recovery online-user-sync     : Enabled

   Auth-Fail EAPOL                      : Disabled

   Critical EAPOL                       : Disabled

   Discard duplicate EAPOL-Start        : No

 

   EAPOL packets: Tx 3, Rx 3

   Sent EAP Request/Identity packets : 1

        EAP Request/Challenge packets: 1

        EAP Success packets: 1

        EAP Failure packets: 0

   Received EAPOL Start packets : 1

            EAPOL LogOff packets: 1

            EAP Response/Identity packets : 1

            EAP Response/Challenge packets: 1

            Error packets: 0

   Online 802.1X users: 1

          MAC address         Auth state

          0001-0000-0000      Authenticated

表1-1 display dot1x命令显示信息描述表

字段	描述
Global 802.1X parameters	全局802.1X参数配置信息
802.1X authentication	全局802.1X的开启状态
M-LAG member configuration conflict	两台M-LAG设备配置检查结果 ·     Conflicted：两台M-LAG设备上的配置不匹配 ·     Not conflicted：两台M-LAG设备上配置的相匹配 ·     Unknown：无法检测两台M-LAG设备上的配置是否匹配
CHAP authentication	启用EAP终结方式，并采用CHAP认证方法
EAP authentication	启用EAP中继方式，并支持所有EAP认证方法
PAP authentication	启用EAP终结方式，并采用PAP认证方法
Max-tx period	用户名请求超时定时器的值
Handshake period	握手定时器的值
Offline detect period	下线检测定时器的值
Quiet timer	（暂不支持）静默定时器的开启状态
Quiet period	（暂不支持）静默定时器的值
Supp timeout	客户端认证超时定时器的值
Server  timeout	认证服务器超时定时器的值
Reauth period	（暂不支持）重认证定时器的值
Max auth requests	（暂不支持）设备向接入用户发送认证请求报文的最大次数
User aging period for Auth-Fail VLAN	（暂不支持）Auth-Fail VLAN中用户的老化时间
User aging period for critical VLAN	（暂不支持）Critical VLAN中用户的老化时间
User aging period for guest VLAN	（暂不支持）Guest VLAN中用户的老化时间
EAD assistant function	（暂不支持）EAD快速部署辅助功能的开启状态
URL	用户HTTP访问的重定向URL
Free IP	用户通过认证之前可访问的网段
EAD timeout	（暂不支持）EAD老化定时器超时时间
Domain delimiter	（暂不支持）域名分隔符
Max EAP-TLS fragment (to-server)	（暂不支持）向认证服务器发送的认证报文中携带的EAP-TLS分片报文最大长度 若未配置EAP-TLS分片报文最大长度，则显示为N/A
Online 802.1X wired users	在线802.1X有线用户和正在发起认证的802.1X有线用户的总数
HundredGigE1/0/1 is link-up	端口HundredGigE1/0/1的链路状态
802.1X authentication	端口上802.1X的开启状态
Handshake	在线用户握手功能的开启状态
Handshake reply	在线用户握手回应功能的开启状态
Handshake security	安全握手功能的开启状态
Offline detection	802.1X认证下线检测的开启状态 ·     Enabled：处于开启且已生效状态 ·     Disabled：处于关闭状态 ·     Enabled(NOT effective)：处于开启但未生效状态。在使能了下线检测功能的情况下，修改端口接入控制方式为Port-based时，显示此状态
Unicast trigger	（暂不支持）802.1X单播触发功能的开启状态
Periodic reauth	（暂不支持）周期性重认证功能的开启状态
Reauth period	（暂不支持）端口上802.1X周期性重认证定时器的值。若周期性重认证功能处于关闭状态，则不显示本字段；若未在端口上配置重认证周期定时器的值，则显示为N/A
Port role	该端口担当认证端的作用，目前仅支持作为认证端
Authorization mode	端口的授权状态 ·     Force-Authorized：强制授权状态 ·     Auto：自动识别状态 ·     Force-Unauthorized：强制非授权状态
Port access control	端口接入控制方式 ·     MAC-based：基于MAC地址对接入用户进行认证 ·     Port-based：基于端口对接入用户进行认证
Multicast trigger	（暂不支持）802.1X组播触发功能的开启状态
Mandatory auth domain	（暂不支持）端口上的接入用户使用的强制认证域
Guest VLAN	（暂不支持）端口配置的Guest VLAN，若此功能未配置则显示Not configured
Auth-fail VLAN	（暂不支持）端口配置的Auth-Fail VLAN，若此功能未配置则显示Not configured
Critical VLAN	（暂不支持）端口配置的Critical VLAN，若此功能未配置则显示Not configured
Critical voice VLAN	（暂不支持）端口配置802.1X认证的Critical Voice VLAN功能的开启状态，包括如下取值： ·     Enabled：打开 ·     Disabled：关闭
Add Guest VLAN delay	（暂不支持）端口延迟加入Guest VLAN功能的状态和触发原因： ·     EAPOL：802.1X协议报文触发端口延迟加入802.1X Guest VLAN ·     NewMac：源MAC地址未知的报文触发端口延迟加入802.1X Guest VLAN ·     ALL：802.1X协议报文或源MAC地址未知的报文触发端口延迟加入802.1X Guest VLAN ·     Disabled：端口延迟加入802.1X Guest VLAN功能处于关闭状态
Re-auth server-unreachable	（暂不支持）重认证时服务器不可达对802.1X在线用户采取的动作
Max online users	本端口最多可容纳的接入用户数
User IP freezing	（暂不支持）802.1X用户IP地址冻结功能的开启状态 ·     Enabled：打开 ·     Disabled：关闭
Send Packets Without Tag	（暂不支持）端口发送802.1X协议报文不携带VLAN Tag的开启状态： ·     Enabled：打开 ·     Disabled：关闭
Max Attempts Fail Number	（暂不支持）MAC地址认证成功的用户进行802.1X认证的最大尝试次数
User aging	（暂不支持）非认证成功VLAN中802.1X用户老化功能的开启状态 ·     Enabled：处于开启状态 ·     Disabled：处于关闭状态
Server-recovery online-user-sync	（暂不支持）RADIUS服务器从不可达状态恢复为可达时，设备同步802.1X在线用户信息到RADIUS服务器功能的开启状态： ·     Enabled：处于开启状态 ·     Disabled：处于关闭状态
Auth-Fail EAPOL	（暂不支持）当802.1X用户加入到Auth-Fail VLAN后，设备端向客户端发送EAP-Success报文功能的开启状态： ·     Enabled：处于开启状态 ·     Disabled：处于关闭状态
Critical EAPOL	（暂不支持）当802.1X用户加入到Critical VLAN后，设备端向客户端发送EAP-Success报文功能的开启状态： ·     Enabled：处于开启状态 ·     Disabled：处于关闭状态
Discard duplicate EAPOL-Start	（暂不支持）在802.1X用户认证过程中，设备是否丢弃重复的EAPOL-Start报文： ·     Yes：丢弃 ·     No：不丢弃
EAPOL packets	EAPOL报文数目。Tx表示发送的报文数目；Rx表示接受的报文数目
Sent EAP Request/Identity packets	发送的EAP Request/Identity报文数
EAP Request/Challenge packets	发送的EAP Request/Challenge报文数
EAP Success packets	发送的EAP Success报文数
EAP Fail packets	发送的EAP Failure报文数
Received EAPOL Start packets	接收的EAPOL Start报文数
EAPOL LogOff packets	接收的EAPOL LogOff报文数
EAP Response/Identity packets	接收的EAP Response/Identity报文数
EAP Response/Challenge packets	接收的EAP Response/Challenge报文数
Error packets	接收的错误报文数
Online 802.1X users	端口上的在线802.1X用户和正在发起认证的802.1X用户的总数
MAC address	802.1X用户的MAC地址
Auth state	802.1X用户的认证状态

 

1.1.2  display dot1x connection

display dot1x connection命令用来显示当前802.1X在线用户的详细信息。

【命令】

display dot1x connection [ open ] [ [ m-lag [ local | peer ] ] interface interface-type interface-number | [ m-lag [ local | peer ] ] slot slot-number | user-mac mac-address | [ m-lag [ local | peer ] ] user-name name-string ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

open：只显示在开放认证模式下使用不存在的用户名或者错误的密码接入的802.1X用户信息。若不指定本参数，则显示设备上所有802.1X在线用户的信息。

m-lag [ local | peer ]：显示M-LAG组网中，M-LAG接口上802.1X在线用户的信息。如果不指定该参数，则显示设备上所有802.1X在线用户的信息。如果不指定local和peer参数，则显示本端M-LAG设备和对端M-LAG设备上802.1X在线用户的信息

·     local：显示本端M-LAG设备上802.1X在线用户的信息。

·     peer：显示对端M-LAG设备上802.1X在线用户的信息。

interface interface-type interface-number：显示指定端口的802.1X在线用户信息。其中interface-type interface-number表示端口类型和端口编号。若不指定本参数，则显示设备上所有802.1X在线用户的信息。

slot slot-number：指定设备编号，取值只能为1。

user-mac mac-address：显示指定MAC地址的802.1X在线用户信息。其中mac-address表示用户的MAC地址，格式为H-H-H。若不指定本参数，则显示设备上所有802.1X在线用户的信息。

user-name name-string：显示指定用户名的802.1X在线用户信息。其中name-string表示用户名，为1～253个字符的字符串，区分大小写。若不指定本参数，则显示设备上所有802.1X在线用户的信息。

【举例】

# 显示所有802.1X在线用户信息。

<Sysname> display dot1x connection

Total connections: 2

 

Slot ID: 1

User MAC address: 0015-e9a6-7cfe

Access interface: HundredGigE1/0/1

Username: ias

User access state: Successful

Authentication domain: aaa

IPv4 address: 192.168.1.1

IPv6 address: 2000:0:0:0:1:2345:6789:abcd

Authentication method: CHAP

Initial VLAN: 1

Authorization untagged VLAN: 6

Authorization tagged VLAN list: 1 to 5 7 9 11 13 15 17 19 21 23 25 27 29 31 33 29 31 33

                                35 37 40 to 100

Authorization microsegment ID: N/A

Authorization ACL number/name: 3001

Authorization user profile: N/A

Authorization CAR：

  Average input rate: 102400

  Peak input rate: 204800

  Average output rate: 102400

  Peak output rate: 204800

Authorization URL: N/A

Termination action: Default

Session timeout period: 2 s

Online from: 2020/01/02  13:14:15

Online duration: 0h 2m 15s

 

User MAC address: 0015-e9a6-abcd

M-LAG NAS-IP type: Local

M-LAG user state: Active

Access interface: Bridge-Aggregation1

Username: luser

User access state: Successful

Authentication domain: aaa

IPv4 address: 192.168.1.1

IPv6 address: 2000:0:0:0:1:2345:6789:abcd

Authentication method: CHAP

Initial VLAN: 1

Authorization untagged VLAN: 6

Authorization tagged VLAN list: 1 to 5 7 9 11 13 15 17 19 21 23 25 27 29 31 33 29 31 33

                                35 37 40 to 100

Authorization VSI: N/A

Authorization microsegment ID: N/A

Authorization ACL number/name: 3001

Authorization user profile: N/A

Authorization CAR:

  Average input rate: 102400

  Peak input rate: 204800

  Average output rate: 102400

  Peak output rate: 204800

Authorization URL: N/A

Termination action: Default

Session timeout period: 2 s

Online from: 2020/12/02  13:14:15

Online duration: 0h 7m 15s

表1-2 display dot1x connection 命令显示信息描述表

字段	描述
Total connections	在线802.1X认证用户个数
User MAC address	用户的MAC地址
M-LAG NAS-IP type	M-LAG组网中，M-LAG接口上的用户认证时采用的NAS-IP地址类型 ·     Local：本地NAS-IP地址，即使用本端M-LAG设备上的IP地址作为发送RADIUS报文使用的源IP地址 ·     Peer：对端NAS-IP地址，使用对端M-LAG设备上的IP地址作为发送RADIUS报文使用的源IP地址
M-LAG user state	M-LAG组网中，M-LAG接口上的用户状态 ·     Active：激活状态，此时由本端M-LAG设备与AAA服务器交互用户认证信息 ·     Inactive：未激活状态，此时由对端M-LAG设备与AAA服务器交互用户认证信息
Access interface	用户的接入接口名称
Username	用户名
Anonymous username	匿名用户的用户名，若未配置匿名用户名，则显示为N/A
User access state	用户的接入状态 ·     Successful：802.1X认证成功并接入 ·     Open：使用不存在的用户名或者错误的密码进行开放认证并接入
Authentication domain	认证时使用的ISP域的名称
IPv4 address	用户IP地址 若未获取到用户的IP地址，则不显示该字段
IPv6 address	用户IPv6地址 若未获取到用户的IP地址，则不显示该字段
Authentication method	802.1X系统的认证方法 ·     CHAP：启用EAP终结方式，并采用CHAP认证方法 ·     EAP：启用EAP中继方式，并支持所有EAP认证方法 ·     PAP：启用EAP终结方式，并采用PAP认证方法
Initial VLAN	初始的VLAN
Authorization untagged VLAN	授权的untagged VLAN
Authorization tagged VLAN list	授权的tagged VLAN列表
Authorization ACL number/name	授权ACL的编号或名称。若未授权ACL，则显示N/A；若未授权成功，则在ACL编号后显示“(NOT effective)”
Authorization user profile	（暂不支持）授权用户的User profile名称
Authorization CAR	当服务器未授权用户CAR属性时，该字段显示为N/A。 当服务器授权用户CAR属性，将分为以下四个字段： ·     Average input rate ：上行平均速率，单位为bps ·     Peak input rate：上行峰值速率，单位为bps ·     Average output rate：下行平均速率，单位为bps ·     Peak output rate：下行峰值速率，单位为bps 若未授权成功，则显示为(NOT effective) 若只下发上、下行平均速率，则该上、下行峰值速率默认与其平均速率相同。目前不支持服务器单独授权上、下行峰值速率
Authorization URL	授权的重定向URL
Authorization IPv6 URL	授权的IPv6重定向URL
Termination action	（暂不支持）服务器下发的终止动作类型： ·     Default：会话超时时长到达后，强制用户下线。但是，如果设备上开启了周期性重认证功能，且设备上配置的重认证定时器值小于用户会话超时时长，则端口会以重认证定时器的值为周期向该端口在线802.1X用户发起重认证，而不会强制用户下线 ·     Radius-Request：会话超时时长到达后，要求802.1X用户进行重认证 用户采用本地认证时，该字段显示为Default
Session timeout period	服务器下发的会话超时时长，该时间到达之后，用户所在的会话将会被删除，之后，对该用户所采取的动作，由Termination action字段的取值决定
Online from	用户的上线时间
Online duration	用户的在线时长

 

1.1.3  dot1x

dot1x命令用来开启端口上或全局的802.1X。

undo dot1x命令用来关闭端口上或全局的802.1X。

【命令】

dot1x

undo dot1x

【缺省情况】

所有端口以及全局的802.1X都处于关闭状态。

【视图】

系统视图

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【使用指导】

只有同时开启全局和端口的802.1X后，802.1X的配置才能在端口上生效。

【举例】

# 开启全局的802.1X。

<Sysname> system-view

[Sysname] dot1x

# 开启端口HundredGigE1/0/1上的802.1X。

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] dot1x

[Sysname-HundredGigE1/0/1] quit

【相关命令】

·     display dot1x

1.1.4  dot1x access-user log enable

dot1x access-user log enable命令用来开启802.1X接入用户日志信息功能。

undo dot1x access-user log enable命令用来关闭802.1X接入用户日志信息功能。

【命令】

dot1x access-user log enable [ abnormal-logoff | failed-login | normal-logoff | successful-login ] *

undo dot1x access-user log enable [ abnormal-logoff | failed-login | normal-logoff | successful-login ] *

【缺省情况】

802.1X接入用户日志信息功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

abnormal-logoff：802.1X接入用户异常下线（例如实时计费失败下线，重认证失败下线等）的日志信息。

failed-login：802.1X接入用户上线失败的日志信息。

normal-logoff：802.1X接入用户正常下线的日志信息。

successful-login：802.1X接入用户上线成功时的日志信息

【使用指导】

为了防止设备输出过多的802.1X接入用户日志信息，一般情况下建议关闭此功能。

配置本命令时，如果未指定任何参数，将同时开启或关闭本命令所有参数对应的日志功能。

【举例】

# 开启802.1X接入用户上线失败的日志信息。

<Sysname> system-view

[Sysname] dot1x access-user log enable failed-login

【相关命令】

·     info-center source dot1x logfile deny（设备管理命令参考/信息中心）

1.1.5  dot1x after-mac-auth max-attempt

dot1x after-mac-auth max-attempt命令用来配置MAC地址认证成功的用户进行802.1X认证的最大尝试次数。

undo dot1x after-mac-auth max-attempt命令用来恢复缺省情况。

【命令】

dot1x after-mac-auth max-attempt max-attemps

undo dot1x after-mac-auth max-attempt

【缺省情况】

不限制MAC地址认证成功的用户进行802.1X认证的最大尝试次数。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【参数】

max-attemps：表示认证的最大尝试次数，取值范围为1～50。

【使用指导】

在端口上配置此功能后，MAC地址认证成功的用户进行802.1X认证时，如果用户进行802.1X认证的尝试次数超过配置的最大次数，则设备将不再允许此用户进行802.1X认证。

如果MAC地址认证用户下线或设备重启，则此用户进行802.1X认证的尝试次数会重新从零计数。

在M-LAG组网中，MAC地址认证成功的用户在本端M-LAG设备进行802.1X认证的次数达到配置的最大值后，若peer-link链路故障，用户报文切换到对端M-LAG设备处理，则此用户在对端M-LAG设备上进行802.1X认证的尝试次数会重新从零计数。

【举例】

# 在端口HundredGigE1/0/1上配置MAC地址认证用户进行802.1X认证的最大尝试次数为10次。

<Sysname> system-view

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] dot1x after-mac-auth max-attempt 10

【相关命令】

·     display dot1x

1.1.6  dot1x authentication-method

dot1x authentication-method命令用来配置802.1X系统的认证方法。

undo dot1x authentication-method命令用来恢复缺省情况。

【命令】

dot1x authentication-method { chap | eap | pap }

undo dot1x authentication-method

【缺省情况】

设备启用EAP终结方式，并采用CHAP认证方法。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

chap：启用EAP终结方式，并支持与RADIUS服务器之间采用CHAP类型的认证方法。

eap：启用EAP中继方式，并支持客户端与RADIUS服务器之间所有类型的EAP认证方法。

pap：启用EAP终结方式，并支持与RADIUS服务器之间采用PAP类型的认证方法。

【使用指导】

在EAP终结方式下：设备将收到的客户端EAP报文中的用户认证信息重新封装在标准的RADIUS报文中，然后采用PAP或CHAP认证方法与RADIUS服务器完成认证交互。该方式的优点是，现有的RADIUS服务器基本均可支持PAP和CHAP认证，无需升级服务器，但设备处理较为复杂，且目前仅能支持MD5-Challenge类型的EAP认证以及iNode 802.1X客户端发起的“用户名+密码”方式的EAP认证。有关PAP和CHAP两种认证方法的详细介绍如下：

·     PAP（Password Authentication Protocol，密码验证协议）通过用户名和口令来对用户进行验证，其特点是在网络上以明文方式传送用户名和口令，仅适用于对网络安全要求相对较低的环境。目前，H3C iNode 802.1X客户端支持此认证方法。

·     CHAP（Challenge Handshake Authentication Protocol，质询握手验证协议）采用客户端与服务器端交互挑战信息的方式来验证用户身份，其特点是在网络上以明文方式传送用户名，以密文方式传输口令。与PAP相比，CHAP认证保密性较好，更为安全可靠。

在EAP中继方式下：设备将收到的客户端EAP报文直接封装到RADIUS报文的属性字段中，发送给RADIUS服务器完成认证。该方式的优点是，设备处理简单，且可支持多种类型的EAP认证方法，例如MD5-Challenge、EAP-TLS、PEAP等，但要求服务器端支持相应的EAP认证方法。

采用远程RADIUS认证时，PAP、CHAP、EAP认证的最终实现，需要RADIUS服务器支持相应的PAP、CHAP、EAP认证方法。

若采用EAP认证方法，则RADIUS方案下的user-name-format配置无效，user-name-format的介绍请参见“用户接入与认证命令参考”中的“AAA”。

【举例】

# 启用EAP终结方式，并支持与RADIUS服务器之间采用PAP类型的认证方法。

<Sysname> system-view

[Sysname] dot1x authentication-method pap

【相关命令】

·     display dot1x

1.1.7  dot1x handshake

dot1x handshake命令用于开启在线用户握手功能。

undo dot1x handshake命令用于关闭在线用户握手功能。

【命令】

dot1x handshake

undo dot1x handshake

【缺省情况】

在线用户握手功能处于开启状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【使用指导】

开启设备的在线用户握手功能后，设备会定期（时间间隔通过命令dot1x timer handshake-period设置）向通过802.1X认证的在线用户发送握手报文，以定期检测用户的在线情况。如果设备连续多次（通过命令dot1x retry设置）没有收到客户端的响应报文，则会将用户置为下线状态。

【举例】

# 在端口HundredGigE1/0/1上开启在线用户握手功能。

<Sysname> system-view

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] dot1x handshake

【相关命令】

·     display dot1x

·     dot1x timer handshake-period

·     dot1x retry

1.1.8  dot1x handshake reply enable

dot1x handshake reply enable命令用来开启端口发送在线握手成功报文功能。

undo dot1x handshake reply enable命令用来关闭端口发送在线握手成功报文功能。

【命令】

dot1x handshake reply enable

undo dot1x handshake reply enable

【缺省情况】

端口发送在线握手成功报文功能处于关闭状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【使用指导】

端口上开启在线用户握手功能后，缺省情况下，设备收到该端口上802.1X在线用户的在线握手应答报文（EAP-Response/Identity报文）后，则认为该用户在线，并不给客户端回应在线握手成功报文（EAP-Success报文）。但是，有些802.1X客户端如果没有收到设备回应的在线握手成功报文（EAP-Success报文），就会自动下线。为了避免这种情况发生，需要在端口上开启发送在线握手成功报文功能。

只有当802.1X客户端需要收到在线握手成功报文时，才需要开启此功能。

【举例】

# 在端口HundredGigE1/0/1上开启的发送在线握手成功报文功能。

<Sysname> system-view

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] dot1x handshake reply enable

【相关命令】

·     dot1x handshake

1.1.9  dot1x handshake secure

dot1x handshake secure命令用来开启在线用户握手安全功能。

undo dot1x handshake secure命令用来关闭在线用户握手安全功能。

【命令】

dot1x handshake secure

undo dot1x handshake secure

【缺省情况】

在线用户握手安全功能处于关闭状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【使用指导】

开启在线用户握手安全功能后，可以防止在线的802.1X认证用户使用非法的客户端与设备进行握手报文的交互，而逃过代理检测、双网卡检测等iNode客户端的安全检查功能。

只有设备上的在线用户握手功能处于开启状态时，安全握手功能才会生效。

本功能仅能在iNode客户端和iMC服务器配合使用的组网环境中生效。

【举例】

# 在端口HundredGigE1/0/1上开启在线用户握手安全功能。

<Sysname> system-view

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] dot1x handshake secure

【相关命令】

·     display dot1x

·     dot1x handshake

1.1.10  dot1x max-user

dot1x max-user命令用来配置端口上最多允许同时接入的802.1X用户数。

undo dot1x max-user命令用来恢复缺省情况。

【命令】

dot1x max-user max-number

undo dot1x max-user

【缺省情况】

端口上最多允许同时接入的802.1X用户数为4294967295。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【参数】

max-number：端口允许同时接入的802.1X用户数的最大值，取值范围为1～4294967295。

【使用指导】

由于系统资源有限，如果当前端口上接入的用户过多，接入用户之间会发生资源的争用，因此适当地配置该值可以使属于当前端口的用户获得可靠的性能保障。当接入此端口的802.1X用户数超过最大值后，新接入的用户将被拒绝。

【举例】

# 配置端口HundredGigE1/0/1上最多允许同时接入32个802.1X用户。

<Sysname> system-view

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] dot1x max-user 32

【相关命令】

·     display dot1x

1.1.11  dot1x offline-detect enable

dot1x offline-detect enable命令用来开启端口的802.1X认证下线检测功能。

undo dot1x offline-detect enable命令用来关闭端口的802.1X认证下线检测功能。

【命令】

dot1x offline-detect enable

undo dot1x offline-detect enable

【缺省情况】

端口的802.1X认证下线检测功能处于关闭状态。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【使用指导】

开启端口的802.1X认证下线检测功能后，若设备在一个下线检测定时器间隔之内，未收到此端口下某802.1X在线用户的报文，则将切断该用户的连接，同时通知RADIUS服务器停止对此用户进行计费。

只有当端口接入控制方式为MAC-based方式时，下线检测功能才能生效。在下线检测为使能状态时，修改端口接入控制方式为Port-based会导致下线检测功能失效。

【举例】

# 关闭端口HundredGigE1/0/1的802.1X认证下线检测功能。

<Sysname> system-view

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] undo dot1x offline-detect enable

【相关命令】

·     display dot1x

·     dot1x port-method

·     dot1x timer

1.1.12  dot1x port-control

dot1x port-control命令用来设置端口的授权状态。

undo dot1x port-control命令用来恢复缺省情况。

【命令】

dot1x port-control { authorized-force | auto | unauthorized-force }

undo dot1x port-control

【缺省情况】

端口的授权状态为auto。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【参数】

authorized-force：强制授权状态，表示端口始终处于授权状态，允许用户不经认证授权即可访问网络资源。

auto：自动识别状态，表示端口初始状态为非授权状态，仅允许EAPOL报文收发，不允许用户访问网络资源；如果用户认证通过，则端口切换到授权状态，允许用户访问网络资源。这也是最常用的一种状态。

unauthorized-force：强制非授权状态，表示端口始终处于非授权状态，不允许用户访问网络资源。

【使用指导】

通过配置端口的授权状态，可以控制端口上接入的用户是否需要通过认证才能访问网络资源。

【举例】

# 指定端口HundredGigE1/0/1处于强制非授权状态。

<Sysname> system-view

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] dot1x port-control unauthorized-force

【相关命令】

·     display dot1x

1.1.13  dot1x port-method

dot1x port-method命令用来配置端口的接入控制方式。

undo dot1x port-method命令用来恢复缺省情况。

【命令】

dot1x port-method { macbased | portbased }

undo dot1x port-method

【缺省情况】

端口的接入控制方式为macbased。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【参数】

macbased：表示基于MAC地址对接入用户进行认证，即该端口上的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。

portbased：表示基于端口对接入用户进行认证，即只要该端口上的第一个用户认证成功后，其他接入用户无须认证就可使用网络资源，当第一个用户下线后，其它用户也会被拒绝使用网络。

【使用指导】

端口存在802.1X在线用户时，切换接入控制方式会导致在线用户立刻下线。

【举例】

# 在端口HundredGigE1/0/1上配置对接入用户进行基于端口的802.1X认证。

<Sysname> system-view

[Sysname] interface hundredgige 1/0/1

[Sysname-HundredGigE1/0/1] dot1x port-method portbased

【相关命令】

·     display dot1x

1.1.14  dot1x timer

dot1x timer命令用来配置802.1X的定时器参数。

undo dot1x timer命令用来将指定的定时器恢复为缺省情况。

【命令】

dot1x timer { handshake-period handshake-period-value | offline-detect offline-detect-value | server-timeout server-timeout-value | supp-timeout supp-timeout-value | tx-period tx-period-value }

undo dot1x timer { handshake-period | offline-detect | server-timeout | supp-timeout | tx-period }

【缺省情况】

握手定时器的值为15秒，下线检测定时器的值为300秒，认证服务器超时定时器的值为100秒，客户端认证超时定时器的值为30秒，用户名请求超时定时器的值为30秒。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

handshake-period handshake-period-value：握手定时器的值，取值范围为5～1024，单位为秒。

offline-detect offline-detect-value：下线检测定时器的值，取值范围为60～2147483647，单位为秒。

server-timeout server-timeout-value：认证服务器超时定时器的值，取值范围为100～300，单位为秒。

supp-timeout supp-timeout-value：客户端认证超时定时器的值，取值范围为1～120，单位为秒。

tx-period tx-period-value：用户名请求超时定时器的值，取值范围为1～120，单位为秒。

【使用指导】

802.1X认证过程受以下定时器的控制：

·     握手定时器（handshake-period）：此定时器是在用户认证成功后启动的，设备端以此间隔为周期发送握手请求报文，以定期检测用户的在线情况。如果配置发送次数为N，则当设备端连续N次没有收到客户端的响应报文，就认为用户已经下线。

·     下线检测定时器（offline-detect）：用来设置在线用户空闲超时的时间间隔。开启802.1X认证下线检测功能后，若设备在一个下线检测定时器间隔之内，没有收到某在线用户的报文，将切断该用户的连接，同时通知RADIUS服务器停止对其计费。只有当端口的802.1X认证下线检测功能处于开启状态时，该定时器生效。

·     认证服务器超时定时器（server-timeout）：当设备端向认证服务器发送了RADIUS Access-Request请求报文后，设备端启动server-timeout定时器，若在该定时器设置的时长内，设备端没有收到认证服务器的响应，则802.1X认证失败。

建议将server-timeout的值设定为小于或等于设备发送RADIUS报文的最大尝试次数（retry）与RADIUS服务器响应超时时间（timer response-timeout）之积。如果server-timeout的值大于retry与timer response-timeout之积，则可能在server-timeout设定的服务器超时时间到达前，用户被强制下线。关于发送RADIUS报文的最大尝试次数、RADIUS服务器响应超时时间的具体配置请参见“用户接入与认证配置指导”中的“AAA”。

·     客户端认证超时定时器（supp-timeout）：当设备端向客户端发送了EAP-Request/MD5 Challenge请求报文后，设备端启动此定时器，若在该定时器设置的时长内，设备端没有收到客户端的响应，设备端将重发该报文。

·     用户名请求超时定时器（tx-period）：当设备端向客户端发送EAP-Request/Identity请求报文后，设备端启动该定时器，若在该定时器设置的时长内，设备端没有收到客户端的响应，则设备端将重发认证请求报文。另外，为了兼容不主动发送EAPOL-Start连接请求报文的客户端，设备会定期组播EAP-Request/Identity请求报文来检测客户端。tx-period定义了该组播报文的发送时间间隔。

一般情况下，用户无需修改定时器的值，除非在一些特殊或恶劣的网络环境下，可以使用该命令调节交互进程。

定时器的值修改后可立即生效。

建议不要将握手定时器（handshake-period）设置为与下线检测定时器（offline-detect）相同的值，否则可能出现定时器超时后，设备实际处理与预期不符的情况。

【举例】

# 设置认证服务器的超时定时器时长为150秒。

<Sysname> system-view

[Sysname] dot1x timer server-timeout 150

【相关命令】

·     display dot1x

·     retry（用户接入与认证命令参考/AAA）

·     timer response-timeout (RADIUS scheme view)（用户接入与认证命令参考/AAA）

1.1.15  reset dot1x access-user

reset dot1x access-user命令用来强制802.1X用户下线。

【命令】

reset dot1x access-user [ interface interface-type interface-number | mac mac-address | username username | vlan vlan-id ]

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

interface interface-type interface-number：表示强制指定端口下的802.1X用户下线。interface-type interface-number为端口类型和端口编号。

mac mac-address：表示强制指定MAC地址的802.1X用户下线。mac-address表示802.1X用户的MAC地址，格式为H-H-H。

username username：表示强制指定名称的802.1X用户下线。username表示802.1X用户的名称，为1～253个字符的字符串，区分大小写。

vlan vlan-id：表示强制指定VLAN内的802.1X用户下线。vlan-id表示802.1X用户当前所在VLAN的VLAN ID（可通过display mac-address命令查看），取值范围为1～4094。

【使用指导】

reset dot1x access-user命令用来强制指定的802.1X用户下线。强制用户下线后，设备会删除对应的用户信息，用户再次上线时，需要重新进行802.1X认证。

指定vlan vlan-id参数时，设备会对如下几种802.1X用户进行下线处理：

·     对于已经认证成功且服务器已授权VLAN的用户，将服务器授权的VLAN为vlan-id的用户强制下线；

·     对于已认证成功且服务器未授权VLAN的用户，将设备上对用户生效的VLAN为vlan-id的用户强制下线；

·     对于正在认证中的用户，将初始VLAN为vlan-id的用户强制下线。

如果不指定任何参数，则强制设备上所有802.1X用户下线。

【举例】

# 强制端口HundredGigE1/0/1上的所有802.1X用户下线。

<Sysname> reset dot1x access-user interface hundredgige 1/0/1

【相关命令】

·     display dot1x connection

1.1.16  reset dot1x statistics

reset dot1x statistics命令用来清除802.1X的统计信息。

【命令】

reset dot1x statistics [ interface interface-type interface-number ]

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

interface interface-type interface-number：清除指定端口上的802.1X统计信息。interface-type interface-number为端口类型和端口编号。如果不指定本参数，则清除所有端口上的802.1X统计信息。

【举例】

# 清除端口HundredGigE1/0/1上的802.1X统计信息。

<Sysname> reset dot1x statistics interface hundredgige 1/0/1

【相关命令】

·     display dot1x