H3C8021x典型配置举例Word格式.docx
- 文档编号:22180419
- 上传时间:2023-02-02
- 格式:DOCX
- 页数:18
- 大小:342.76KB
H3C8021x典型配置举例Word格式.docx
《H3C8021x典型配置举例Word格式.docx》由会员分享,可在线阅读,更多相关《H3C8021x典型配置举例Word格式.docx(18页珍藏版)》请在冰豆网上搜索。
开启端口dot1x
配置GuestVLAN功能
配置端口允许的最大用户数
端口接入控制方式(基于端口或基于MAC)
端口接入控制模式(强制授权、非强制授权、自动)
客户端版本检测
代理检测
1.2.3
注意事项
只有全局开启dot1x特性后,dot1x的配置才会生效。
在启用dot1x功能前,可以配置设备或以太网端口的dot1x相关参数,但这些配置并不生效;
启用dot1x功能后,提前配置的dot1x相关参数将生效。
关闭dot1x功能后,交换机上配置的dot1x相关参数仍被保留;
当dot1x功能重新启动后,以前所做的这些dot1x相关配置依然生效。
第2章
配置命令介绍
2.1
802.1x相关功能配置命令
要实现802.1x功能,需要对接入用户、交换机、认证/授权服务器三个部分进行正确配置。
接入用户端:
保证用户PC使用正确的客户端。
交换机:
需要进行802.1x配置和AAA相关配置。
认证/授权服务器:
需要进行正确的配置。
下面仅介绍交换机上所需的802.1x相关配置命令,其他配置请参见相关设备手册。
表2-1802.1x相关功能配置命令
功能
命令
说明
开启全局的802.1x特性
dot1x
必选
缺省情况下,全局的802.1x特性为关闭状态
开启端口的802.1x特性
系统视图下
dot1x[interfaceinterface-list]
缺省情况下,端口的802.1x特性均为关闭状态,只有端口和全局802.1x特性均开启,802.1x的相应配置才能生效
端口视图下
设置端口接入控制方式
dot1xport-method{macbased|portbased}[interfaceinterface-list]
可选
缺省情况下,802.1x在端口上进行接入控制方式为macbased。
使用GuestVLAN功能时必须保持portbased的接入控制方式
开启GuestVLAN功能
dot1xguest-vlanvlan-id[interfaceinterface-list]
缺省情况下,GuestVLAN功能处于关闭状态。
配置为GuestVLAN的vlan-id必需事先已经创建
第3章
典型企业网络接入认证应用
不同型号的设备,配置的细节或显示信息会稍有差异,这里以H3CS3600系列交换机(软件版本为Release1510)为例。
3.1
网络应用分析
某企业网的管理者希望在交换机各端口上对用户接入进行认证,以控制用户对相应资源的访问,详细网络应用需求分析如表3-1所示。
表3-1网络应用分析
网络需求
相关设备所需配置
接入用户受控,必须通过认证才能访问网络
启动802.1x特性
用户未通过认证时,只能受限访问网络VLAN10
启用GuestVLAN功能。
用户通过认证后,可以访问网络VLAN100
动态VLAN下发配置
计费方式为50元包月,其访问网络的带宽为2M
在RADIUSServer上设置计费策略、带宽限制策略
用户上线后将IP与Mac进行绑定
MAC+IP绑定功能设置
在线闲置20分钟后,服务器强制切断用户连接
启用闲置用户切断功能
设备无预警重启后,在线用户可以重新认证并成功
配置设备重启用户再认证功能
3.2
组网图
图3-1典型企业网应用组网图
3.3
配置步骤
3.3.1
交换机上的配置
#设置RADIUS方案cams,设置主备服务器。
<
H3C>
system-view
[H3C]radiusschemecams
[H3C-radius-cams]primaryauthentication192.168.1.19
[H3C-radius-cams]primaryaccounting192.168.1.19
[H3C-radius-cams]secondaryauthentication192.168.1.20
[H3C-radius-cams]secondaryaccounting192.168.1.20
#设置系统与认证Radius服务器交互报文时加密密码为expert,与计费Radius服务器交互报文的加密密码为expert。
[H3C-radius-cams]keyauthenticationexpert
[H3C-radius-cams]keyaccountingexpert
#设置用户名为带域名格式。
[H3C-radius-cams]user-name-formatwith-domain
#服务类型为extended。
[H3C-radius-cams]server-typeextended
#配置设备重启用户再认证功能。
[H3C-radius-cams]accounting-onenable
#定义ISP域abc,并配置认证采用RADIUS方案cams。
[H3C]domainabc
[H3C-isp-abc]radius-schemecams
[H3C-isp-abc]quit
#将ISP域abc设置为缺省ISP域。
[H3C]domaindefaultenableabc
#动态VLAN下发模式
[H3C-isp-abc]vlan-assignment-modeinteger
#用户接入端口启用GuestVLAN功能
[H3C]vlan10
[H3C-Ethernet1/0/3]dot1xport-methodportbased
[H3C-Ehternet1/0/3]dot1xguest-vlan10
#启用802.1x
[H3C]dot1x
#端口视图下启用dot1x
[H3C-Ethernet1/0/3]dot1x
#使用display命令可以查看关于802.1x,AAA相关参数配置。
[H3C]displaydot1xinterfaceethernet1/0/3
Global802.1xprotocolisenabled
CHAPauthenticationisenabled
DHCP-launchisdisabled
Proxytrapcheckerisdisabled
Proxylogoffcheckerisdisabled
Configuration:
TransmitPeriod
30s,
HandshakePeriod
15s
ReAuthPeriod
3600s,
ReAuthMaxTimes
2
QuietPeriod
60s,
QuietPeriodTimerisdisabled
SuppTimeout
ServerTimeout
100s
Intervalbetweenversionrequestsis30s
Maximalrequesttimesforversioninformationis3
Themaximalretransmittingtimes
Totalmaximum802.1xuserresourcenumberis1024
Totalcurrentused802.1xresourcenumberis0
Ethernet1/0/3
islink-up
802.1xprotocolisenabled
Proxytrapcheckerisdisabled
Proxylogoffcheckerisdisabled
Version-Checkisdisabled
Theportisanauthenticator
AuthenticationModeisAuto
PortControlTypeisPort-based
ReAuthenticateisdisabled
Maxnumberofon-lineusersis256
AuthenticationSuccess:
0,Failed:
0
EAPOLPackets:
Tx0,Rx0
SentEAPRequest/IdentityPackets:
EAPRequest/ChallengePackets:
ReceivedEAPOLStartPackets:
EAPOLLogOffPackets:
EAPResponse/IdentityPackets:
EAPResponse/ChallengePackets:
ErrorPackets:
ControlledUser(s)amountto0
[H3C]displayradiusschemecams
SchemeName
=cams
Index=1
Type=extended
PrimaryAuthIP
=192.168.1.19
Port=1812
PrimaryAcctIP
Port=1813
Second
AuthIP
=192.168.1.20
AcctIP
AuthServerEncryptionKey=expert
AcctServerEncryptionKey=expert
Accountingmethod=required
Accounting-Onpacketenable,sendtimes=15,interval=3s
TimeOutValue(insecond)=3RetryTimes=3RealtimeACCT(inminute)=12
PermittedsendrealtimePKTfailedcounts
=5
Retrysendingtimesofnoresponseacct-stop-PKT=500
Quiet-interval(min)
Usernameformat
=with-domain
Dataflowunit
=Byte
Packetunit
=1
unit1:
PrimaryAuthState=active,
SecondAuthState=active
PrimaryAcc
State=active,
SecondAcc
State=active
[H3C]displaydomainabc
ThecontentsofDomainabc:
State=Active
RADIUSScheme=cams
Access-limit=Disable
Vlan-assignment-mode=Integer
DomainUserTemplate:
Idle-cut=Disable
Self-service=Disable
MessengerTime=Disable
3.3.2
RADIUSServer上的配置(以CAMS1.20标准版为例)
CAMS认证/授权、计费服务器的配置,主要由以下四个部分组成:
创建计费策略、创建服务类型、添加用户信息、接入网段及协议配置。
本文所述CAMS综合访问服务器的版本为V1.20(标准版)。
1.登陆CAMS服务器
(1)
在登陆页面输入正确的用户名、密码登陆CAMS服务器
图3-2CAMS登陆页面
(2)
登陆成功后页面如图所示:
图3-3CAMS首页面
2.创建计费策略
进入计费策略页面
登录CAMS服务器配置平台,点击左侧的“资费管理”下的“计费策略”,进入“计费策略管理”界面,如图所示。
图3-4计费策略管理页面
从列表中可以看到已有的计费策略,可以选择对已有计费策略进行“查询”、“修改”或“维护”。
创建计费策略
点击“计费策略管理”界面上方的“增加”按钮:
新建“包月计费”的计费策略。
图3-5计费策略基本信息页面
(3)
点击下一步:
选择“按时长计费”,计费周期“月为周期”,周期内固定费用“50元每月”。
图3-6计费属性设置页面
点击完成,成功添加新的计费策略“包月计费”。
3.创建服务类型
进入服务配置界面
登录CAMS服务器配置平台,点击左侧的“服务管理”下的“服务配置”,进入“服务配置”界面,如图所示。
图3-7服务配置页面
从列表中可以看到已有的服务类型,可以选择对已有服务类型进行“查询”、“修改”或“删除”。
创建服务类型
点击“服务配置”界面上方的“增加”按钮:
新建服务名为“abc”的服务类型,服务后缀名为“abc”。
计费策略为“包月计费”,上下行速率限制为2M(2048Kbps),认证成功后下发VLAN100。
认证绑定选择绑定用户IP和绑定用户MAC地址。
图3-8增加服务页面
点击确定,成功添加服务类型。
4.添加帐户用户
进入用户帐户界面
登录CAMS服务器配置平台,点击左侧的“用户管理”的“帐号用户”,进入“帐户管理”界面。
图3-9用户帐户界面
从列表中可以看到已有的帐户用户,可以选择对已有帐户用户进行维护。
创建用户帐户
选择页面上方“增加”:
用户为info密码为info用户姓名为Bruce,预付费用户,预付金额100元。
并添加绑定的用户IP地址、网卡MAC地址,在线数量限制为1,最大闲置时长20分钟。
在“服务信息”一栏,选择服务名称abc。
图3-10用户开户页面
点击确定完成帐户用户添加。
5.接入设备配置
进入系统配置页面
登录CAMS服务器配置平台,点击左侧的“系统管理”的“系统配置”,进入“系统配置”界面。
图3-11系统配置页面
选择修改“接入设备配置”,修改接入设备的地址、密钥及认证、计费处理端口等信息。
图3-12接入设备配置列表页面
6.接入设备配置
点击页面下方的“增加”按钮,增加配置项。
图3-13增加配置项页面
点击确定后,可以看到如下提示:
图3-14操作成功提示
此时需要返回“系统配置”页面,点击“立即生效”。
图3-15系统配置页面的立即生效按钮
3.3.3
接入用户PC上的操作
PC上需要安装802.1x客户端。
客户端可是选择H3C公司802.1X客户端产品,也可以是XP自带客户端,或者其他第三方标准客户端。
以下以H3C公司802.1X客户端为例进行介绍。
1.启动客户端
图3-16客户端页面
2.新建连接
在802.1x认证图标上点击右键:
选择创建一个新的连接。
图3-17新建802.1x连接
3.设置连接属性
点击下一步:
图3-18设置连接属性
保持默认状态,选择完成。
图3-19连接创建成功
4.启动连接
双击info连接:
图3-20连接中
连接成功:
图3-21认证通过页面
3.3.4
验证结果
可以看到,在用户没有发起认证或认证失败的情形下,可以访问VLAN10范围内的网络,证明GuestVLAN生效。
当用户使用正确的客户端认证通过时,可以访问VLAN100的网络,证明动态下发的VLAN生效,同时与CAMS配合完成计费、实时监控。
当设备无预警重启时,用户可以重新认证并上线。
当用户使用的IP/MAC与CAMS上设置的不一致时,用户无法上线。
3.3.5
故障诊断与排错
1.故障现象:
客户端无法验证通过
使用displaydot1x命令确认全局和端口上都启用了802.1x。
确认客户端拨号程序设置正确的用户名和验证密码。
确认链路是否正常。
若上面检查没有问题,可以打开802.1x调试开关debuggingdot1xpacket查看交换机收到和发送的EAP、EAPoL报文是否正常。
2.故障现象:
用户无需进行802.1X验证就能使用网络资源
使用displaydot1x确认全局和端口上都启用了802.1x。
使用displayinterface确认端口是否有入包统计;
802.1x只针对入包进行认证限制,而对于出包来说,并不需要经过认证。
即禁止从客户端接收帧,但允许向客户端发送帧。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- H3C8021x 典型 配置 举例