最新H3C8021x典型配置举例.docx
《最新H3C8021x典型配置举例.docx》由会员分享,可在线阅读,更多相关《最新H3C8021x典型配置举例.docx(18页珍藏版)》请在冰豆网上搜索。
最新H3C8021x典型配置举例
H3C-802.1x典型配置举例
802.1x典型配置举例
关键词:
802.1x,AAA
摘 要:
本文主要介绍以太网交换机的802.1x功能在具体组网中的应用配置,对所涉及到的802.1x客户端、交换机、AAA服务器等角色,分别给出了详细的配置步骤。
缩略语:
AAA(Authentication,AuthorizationandAccounting,认证、授权和计费)
第1章 802.1x功能介绍
说明:
本章中的802.1x功能适用于H3CS3600、H3CS5600、H3CS3100、H3CS5100、H3CS3100-52P、E352&E328、E126和E152这一系列以太网交换机。
1.1 802.1x简介
IEEE802协议定义的局域网不提供接入认证,一般来说,只要用户接入局域网就可以访问网络上的设备或资源。
但是对于如电信接入、写字楼、局域网以及移动办公等应用场合,网络管理者希望能对用户设备的接入进行控制和配置,为此产生了基于端口或用户的网络接入控制需求。
802.1x协议是一种基于端口的网络接入控制(PortBasedNetworkAccessControl)协议。
802.1x作为一种基于端口的用户访问控制机制,由于其低成本、良好的业务连续性和扩充性以及较高的安全性和灵活性,受到了设备制造商、各大网络运营商和最终用户的广泛支持和肯定。
1.2 产品特性支持情况
1.2.1 全局配置
开启全局的802.1x特性
设置时间参数
设置认证请求帧的最大可重复发送次数
打开静默定时器功能
打开设备重启用户再认证功能
1.2.2 端口视图下的配置
开启端口dot1x
配置GuestVLAN功能
配置端口允许的最大用户数
端口接入控制方式(基于端口或基于MAC)
● 端口接入控制模式(强制授权、非强制授权、自动)
● 客户端版本检测
● 代理检测
1.2.3 注意事项
● 只有全局开启dot1x特性后,dot1x的配置才会生效。
● 在启用dot1x功能前,可以配置设备或以太网端口的dot1x相关参数,但这些配置并不生效;启用dot1x功能后,提前配置的dot1x相关参数将生效。
● 关闭dot1x功能后,交换机上配置的dot1x相关参数仍被保留;当dot1x功能重新启动后,以前所做的这些dot1x相关配置依然生效。
第2章 配置命令介绍
2.1 802.1x相关功能配置命令
要实现802.1x功能,需要对接入用户、交换机、认证/授权服务器三个部分进行正确配置。
● 接入用户端:
保证用户PC使用正确的客户端。
● 交换机:
需要进行802.1x配置和AAA相关配置。
● 认证/授权服务器:
需要进行正确的配置。
下面仅介绍交换机上所需的802.1x相关配置命令,其他配置请参见相关设备手册。
表2-1802.1x相关功能配置命令
功能
命令
说明
开启全局的802.1x特性
dot1x
必选
缺省情况下,全局的802.1x特性为关闭状态
开启端口的802.1x特性
系统视图下
dot1x[interfaceinterface-list]
必选
缺省情况下,端口的802.1x特性均为关闭状态,只有端口和全局802.1x特性均开启,802.1x的相应配置才能生效
端口视图下
dot1x
设置端口接入控制方式
dot1xport-method{macbased|portbased}[interfaceinterface-list]
可选
缺省情况下,802.1x在端口上进行接入控制方式为macbased。
使用GuestVLAN功能时必须保持portbased的接入控制方式
开启GuestVLAN功能
dot1xguest-vlanvlan-id[interfaceinterface-list]
可选
缺省情况下,GuestVLAN功能处于关闭状态。
配置为GuestVLAN的vlan-id必需事先已经创建
第3章 典型企业网络接入认证应用
& 说明:
不同型号的设备,配置的细节或显示信息会稍有差异,这里以H3CS3600系列交换机(软件版本为Release1510)为例。
3.1 网络应用分析
某企业网的管理者希望在交换机各端口上对用户接入进行认证,以控制用户对相应资源的访问,详细网络应用需求分析如所示。
表3-1网络应用分析
网络需求
相关设备所需配置
接入用户受控,必须通过认证才能访问网络
启动802.1x特性
用户未通过认证时,只能受限访问网络VLAN10
启用GuestVLAN功能。
用户通过认证后,可以访问网络VLAN100
动态VLAN下发配置
计费方式为50元包月,其访问网络的带宽为2M
在RADIUSServer上设置计费策略、带宽限制策略
用户上线后将IP与Mac进行绑定
MAC+IP绑定功能设置
在线闲置20分钟后,服务器强制切断用户连接
启用闲置用户切断功能
设备无预警重启后,在线用户可以重新认证并成功
配置设备重启用户再认证功能
3.2 组网图
图3-1典型企业网应用组网图
3.3 配置步骤
3.3.1 交换机上的配置
#设置RADIUS方案cams,设置主备服务器。
system-view
[H3C]radiusschemecams
[H3C-radius-cams]primaryauthentication192.168.1.19
[H3C-radius-cams]primaryaccounting192.168.1.19
[H3C-radius-cams]secondaryauthentication192.168.1.20
[H3C-radius-cams]secondaryaccounting192.168.1.20
#设置系统与认证Radius服务器交互报文时加密密码为expert,与计费Radius服务器交互报文的加密密码为expert。
[H3C-radius-cams]keyauthenticationexpert
[H3C-radius-cams]keyaccountingexpert
#设置用户名为带域名格式。
[H3C-radius-cams]user-name-formatwith-domain
#服务类型为extended。
[H3C-radius-cams]server-typeextended
#配置设备重启用户再认证功能。
[H3C-radius-cams]accounting-onenable
#定义ISP域abc,并配置认证采用RADIUS方案cams。
[H3C]domainabc
[H3C-isp-abc]radius-schemecams
[H3C-isp-abc]quit
#将ISP域abc设置为缺省ISP域。
[H3C]domaindefaultenableabc
#动态VLAN下发模式
[H3C-isp-abc]vlan-assignment-modeinteger
#用户接入端口启用GuestVLAN功能
[H3C]vlan10
[H3C-Ethernet1/0/3]dot1xport-methodportbased
[H3C-Ehternet1/0/3]dot1xguest-vlan10
#启用802.1x
[H3C]dot1x
#端口视图下启用dot1x
[H3C-Ethernet1/0/3]dot1x
#使用display命令可以查看关于802.1x,AAA相关参数配置。
[H3C]displaydot1xinterfaceethernet1/0/3
Global802.1xprotocolisenabled
CHAPauthenticationisenabled
DHCP-launchisdisabled
Proxytrapcheckerisdisabled
Proxylogoffcheckerisdisabled
Configuration:
TransmitPeriod 30s, HandshakePeriod 15s
ReAuthPeriod 3600s, ReAuthMaxTimes 2
QuietPeriod 60s, QuietPeriodTimerisdisabled
SuppTimeout 30s, ServerTimeout 100s
Intervalbetweenversionrequestsis30s
Maximalrequesttimesforversioninformationis3
Themaximalretransmittingtimes 2
Totalmaximum802.1xuserresourcenumberis1024
Totalcurrentused802.1xresourcenumberis0
Ethernet1/0/3 islink-up
802.1xprotocolisenabled
Proxytrapcheckerisdisabled
Proxylogoffcheckerisdisabled
Version-Checkisdisabled
Theportisanauthenticator
AuthenticationModeisAuto
PortControlTypeisPort-based
ReAuthenticateisdisabled
Maxnumberofon-lineusersis256
AuthenticationSuccess:
0,Failed:
0
EAPOLPackets:
Tx0,Rx0
SentEAPRequest/IdentityPackets:
0
EAPRequest/ChallengePackets:
0
ReceivedEAPOLStartPackets:
0
EAPOLLogOffPackets:
0
EAPResponse/IdentityPackets:
0
EAPResponse/ChallengePackets:
0
ErrorPackets:
0
ControlledUser(s)amountto0
[H3C]displayradiusschemecams
SchemeName =cams Index=1 Type=extended
PrimaryAuthIP =192.168.1.19 Port=1812
PrimaryAcctIP =192.168.1.19 Port=1813
Second AuthIP =192.168.1.20 Port=1812
Second AcctIP =192.168.1.20 Port=1813
AuthServerEncryptionKey=expert
AcctServerEncryptionKey=expert
Accountingmethod=required
Accounting-Onpacketenable,sendtimes=15,interval=3s
TimeOutValue(insecond)=3RetryTimes=3RealtimeACCT(inminute)=12
PermittedsendrealtimePKTfailedcounts =5
Retrysendingtimesofnoresponseacct-stop-PKT=500
Quiet-interval(min) =5
Usernameformat =with-domain
Dataflowunit =Byte
Packetunit =1
unit1:
PrimaryAuthState=active, SecondAuthState=active
PrimaryAcc State=active, SecondAcc State=active
[H3C]displaydomainabc
ThecontentsofDomainabc:
State=Active
RADIUSScheme=cams
Access-limit=Disable
Vlan-assignment-mode=Integer
DomainUserTemplate:
Idle-cut=Disable
Self-service=Disable
MessengerTime=Disable
3.3.2 RADIUSServer上的配置(以CAMS1.20标准版为例)
CAMS认证/授权、计费服务器的配置,主要由以下四个部分组成:
创建计费策略、创建服务类型、添加用户信息、接入网段及协议配置。
本文所述CAMS综合访问服务器的版本为V1.20(标准版)。
1.登陆CAMS服务器
(1) 在登陆页面输入正确的用户名、密码登陆CAMS服务器
图3-2CAMS登陆页面
(2) 登陆成功后页面如图所示:
图3-3CAMS首页面
2.创建计费策略
(1) 进入计费策略页面
登录CAMS服务器配置平台,点击左侧的“资费管理”下的“计费策略”,进入“计费策略管理”界面,如图所示。
图3-4计费策略管理页面
从列表中可以看到已有的计费策略,可以选择对已有计费策略进行“查询”、“修改”或“维护”。
(2) 创建计费策略
点击“计费策略管理”界面上方的“增加”按钮:
新建“包月计费”的计费策略。
图3-5计费策略基本信息页面
(3) 点击下一步:
选择“按时长计费”,计费周期“月为周期”,周期内固定费用“50元每月”。
图3-6计费属性设置页面
点击完成,成功添加新的计费策略“包月计费”。
3.创建服务类型
(1) 进入服务配置界面
登录CAMS服务器配置平台,点击左侧的“服务管理”下的“服务配置”,进入“服务配置”界面,如图所示。
图3-7服务配置页面
从列表中可以看到已有的服务类型,可以选择对已有服务类型进行“查询”、“修改”或“删除”。
(2) 创建服务类型
点击“服务配置”界面上方的“增加”按钮:
新建服务名为“abc”的服务类型,服务后缀名为“abc”。
计费策略为“包月计费”,上下行速率限制为2M(2048Kbps),认证成功后下发VLAN100。
认证绑定选择绑定用户IP和绑定用户MAC地址。
图3-8增加服务页面
点击确定,成功添加服务类型。
4.添加帐户用户
(1) 进入用户帐户界面
登录CAMS服务器配置平台,点击左侧的“用户管理”的“帐号用户”,进入“帐户管理”界面。
图3-9用户帐户界面
从列表中可以看到已有的帐户用户,可以选择对已有帐户用户进行维护。
(2) 创建用户帐户
选择页面上方“增加”:
用户为info密码为info用户姓名为Bruce,预付费用户,预付金额100元。
并添加绑定的用户IP地址、网卡MAC地址,在线数量限制为1,最大闲置时长20分钟。
在“服务信息”一栏,选择服务名称abc。
图3-10用户开户页面
点击确定完成帐户用户添加。
5.接入设备配置
(1) 进入系统配置页面
登录CAMS服务器配置平台,点击左侧的“系统管理”的“系统配置”,进入“系统配置”界面。
图3-11系统配置页面
(2) 选择修改“接入设备配置”,修改接入设备的地址、密钥及认证、计费处理端口等信息。
图3-12接入设备配置列表页面
6.接入设备配置
(1) 点击页面下方的“增加”按钮,增加配置项。
图3-13增加配置项页面
(2) 点击确定后,可以看到如下提示:
图3-14操作成功提示
(3) 此时需要返回“系统配置”页面,点击“立即生效”。
图3-15系统配置页面的立即生效按钮
3.3.3 接入用户PC上的操作
PC上需要安装802.1x客户端。
客户端可是选择H3C公司802.1X客户端产品,也可以是XP自带客户端,或者其他第三方标准客户端。
以下以H3C公司802.1X客户端为例进行介绍。
1.启动客户端
图3-16客户端页面
2.新建连接
在802.1x认证图标上点击右键:
选择创建一个新的连接。
图3-17新建802.1x连接
3.设置连接属性
点击下一步:
图3-18设置连接属性
保持默认状态,选择完成。
图3-19连接创建成功
4.启动连接
双击info连接:
图3-20连接中
连接成功:
图3-21认证通过页面
3.3.4 验证结果
可以看到,在用户没有发起认证或认证失败的情形下,可以访问VLAN10范围内的网络,证明GuestVLAN生效。
当用户使用正确的客户端认证通过时,可以访问VLAN100的网络,证明动态下发的VLAN生效,同时与CAMS配合完成计费、实时监控。
当设备无预警重启时,用户可以重新认证并上线。
当用户使用的IP/MAC与CAMS上设置的不一致时,用户无法上线。
3.3.5 故障诊断与排错
1.故障现象:
客户端无法验证通过
● 使用displaydot1x命令确认全局和端口上都启用了802.1x。
● 确认客户端拨号程序设置正确的用户名和验证密码。
● 确认链路是否正常。
● 若上面检查没有问题,可以打开802.1x调试开关debuggingdot1xpacket查看交换机收到和发送的EAP、EAPoL报文是否正常。
2.故障现象:
用户无需进行802.1X验证就能使用网络资源
● 使用displaydot1x确认全局和端口上都启用了802.1x。
● 使用displayinterface确认端口是否有入包统计;802.1x只针对入包进行认证限制,而对于出包来说,并不需要经过认证。
即禁止从客户端接收帧,但允许向客户端发送帧。