动态vlan下发

端口安全方式下MAC认证实现动态VLAN下发案例

一、        实现需求

1、采用端口安全方式下的MAC向Radius服务器认证，实现动态VLAN下发；

2、默认用户认证上来放入VLAN 10，并获取VLAN 10的地址；如果动态下发VLAN 20则用户获取VLAN 20的地址，并能够正常上网。

二、        网络拓扑

    本例中采用S31EI做接入认证交换机，DHCP服务器启在S3610 SI交换机上，拓扑如下：

使用版本：

S31EI：Comware Software, Version 3.10, Test 2210

S3610：Comware Software, Version 5.20, Release 5309P02

iMC/UAM：PLAT（E2606）/ UAM（E6208）

三、        配置关键点：

iMC服务器侧配置：

1、  分别创建不下发VLAN的服务service_10和下发VLAN的服务service_20，如下：

2、  创建用户0015c50d090b，由于只有一台电脑，所以替换着分别申请service_1和service_2服务。

3、  将S31EI设备在iMC UAM中添加为接入设备，如下图所示：

交换机侧配置：

S31EI配置：

1、  创建VLAN10、VLAN20、VLAN100，并将VLAN 100设置为管理VLAN并配置地址：

#

vlan 10                                  

#

vlan 20

#

vlan 100

#

interface Vlan-interface100                                                    

 ip address 192.168.132.222 255.255.255.0                                      

2、  配置Radius服务器

radius scheme imc_auth

 server-type standard

 primary authentication 192.168.132.180 

 primary accounting 192.168.132.180 

 key authentication h3c 

 key accounting h3c 

 user-name-format without-domain   

3、  配置认证域

domain imc_auth_domain                                                         

 scheme radius-scheme imc_auth                                                 

4、  使能该域为默认域

domain default enable imc_auth_domain

5、  开启端口下的MAC-VLAN和认证配置

#                                                                               

interface Ethernet1/0/3                                                         

 port link-type hybrid                                                          

 port hybrid vlan 10 20 untagged                                                

 undo port hybrid vlan 1                                                        

 port hybrid pvid vlan 10                                                       

 loopback-detection enable                                                      

 port-security port-mode mac-authentication                                     

 port-security intrusion-mode blockmac

 mac-vlan enable                                                                                                          

#                                                                               

6、  全局下使能端口安全和MAC认证

#                                                                               

 port-security enable                                                           

#                                                                               

 MAC-authentication domain imc_auth_domain                                      

#   

S3610的配置：

主要是DHCP Server的配置和开启，详见附件。

四、        实现效果

当我的PC接入网线的时候，自动启动端口安全MAC认证，可以看到iMC上该用户的在线信息，如下：

在设备上也可看到其在线信息及当前VLAN信息，如下：

[H3C]dis connection                                                            

------------------------Unit 1------------------------                         

Index=797 ,Username=xxxxc50d090b@imc_auth_domain                               

 MAC=xxxx-c50d-090b   ,IP=0.0.0.0                                              

 IPV6=::                                                                       

 On Unit 1:Total 1 connections matched, 1 listed.                              

 Total 1 connections matched, 1 listed.                                         

[H3C]                                                                          

[H3C]                                                                          

[H3C]dis conn                                                                   

[H3C]dis connection uci 797                                                    

------------------------Unit 1------------------------                         

Index=797 , Username=xxxxc50d090b@imc_auth_domain                              

MAC=xxxx-c50d-090b   , IP=0.0.0.0                                              

 IPV6=::                                                                       

Access=MAC-authentication,Auth=PAP     ,Port=Ether   ,Port NO=0x10003014       

Initial VLAN=10, Authorization VLAN=20                                         

ACL Group=Disable                                                              

CAR=Disable                                                                     

Priority=Disable                                                               

Start=2000-04-02 13:03:45 ,Current=2000-04-02 13:03:55 ,Online=00h00m11s       

 On Unit 1:Total 1 connections matched, 1 listed.                               

 Total 1 connections matched, 1 listed.                                        

五、        案例外延

此案例当中的用户认证是针对不同用户，通过申请不同的服务来实现区别对待是否下发VLAN，还可以针对同一个用户来实现是否动态下发VLAN，即对同一个用户申请不同的服务，这些服务由不同的服务后缀(认证域)来区别，例如当帐号使用user@service1上来的时候不下发vlan，而使用user@service2上来的时候下发VLAN。

六、        配置附件