CAMS与锐捷交换机配合802.1x认证案例

CAMS与锐捷交换机配合802.1x认证案例

 

 

 

一、组网及说明：

    某校目前大部分的接入设备都是锐捷交换机，客户现在希望部署一套计费认证系统，加强对校园网络的管理，要求不只实现简单的认证功能，还需要完成如绑定IP、绑定MAC、防代理、消息下发等附加功能，经确认，锐捷大部分交换机都是S2126G系列的，支持EAP协议，可以通过CAMS的设备无关性功能实现客户的需求。

测试环境为CAMS接在核心交换机6503上，在实现的网络环境中选择几台S2126G配合测试802.1x的认证功能。

 

二、问题描述及处理过程：

根据《CAMS与锐捷交换机配合配置案例》增加锐捷S2126G 802.1x相关配置（S2126G缺省认证方式是EAP）：

radius-server host 202.114.240.178

aaa authentication dot1x 

aaa accounting server 202.114.240.178 

aaa accounting

!

interface fastEthernet 0/3

 switchport access vlan 30

 dot1x port-control auto 

!

dot1x timeout quiet-period 90 

no dot1x re-authentication 

radius-server key expert

此时测试认证，iNode客户端认证始终不能通过认证，后来客户在交换机上增加一条命令：

no dot1x filter-nonRG-su enable

含义是允许使用非锐捷认证客户端认证，iNode客户端即可以通过认证。

但发现每次认证后90S左右iNode即自动断线，对于这个问题需要去掉iNode客户端上“用户选项”中的“重新认证（90s）”的选项。

现在验证CAMS配合S2126G的设备无关性可以实现如绑定IP、绑定MAC、防代理、客户端自动下发升级、消息下发等扩展功能。

同时在测试的过程中又发现30分钟左右后在线的帐号从CAMS在线用户列表中被自动删除，而该帐号是在线的，且对应的PC可以访问网络。导致帐号从在线用户列表被删除的原因是CAMS每隔10分钟会根据计费更新报文检查帐号是否在线，如果3次没有收到计费更新报文则认为该帐号离线而将其从在线用户列表中删除。那么是S2126G不支持计费更新报文？或者计费更新报文与CAMS不兼容？此时就需要查看系统日志以及抓包分析。

将系统日志调成调试级别，发现CAMS没有收到计费更新报文：

% 2007-12-11 14:09:23 ; [L_DEBUG (4)] ; LAN ; its ; 4 ; 2645935b34c543739904ce33ec852fcc ; (null) ; RT[1]: Receive message from 202.114.240.179:

CODE = 4.

ID   = 1.

ATTRIBUTES:

     NAS-IP-Address(4) = 3396530355.

     NAS-Port(5) = 2.

     NAS-Identifier(32) = "00D0F88C3D47 ".

     Calling-Station-Id(31) = "000874942E2C ".

     Acct-Status-Type(40) = 1.

     Acct-Delay-Time(41) = 0.

     Acct-Session-Id(44) = "00D0F88C3D47 000874942E2C  215348578".

     Acct-Authentic(45) = 1.

     User-Name(1) = "...r....HVsrbgolJ25vGUwsOEVdZ/JgY+0=  its".

 

% 2007-12-11 14:09:23 ; [L_DEBUG (4)] ; LAN ; its ; 5 ; 2645935b34c543739904ce33ec852fcc ; n8Gdt2qs ; Send message attribut list:

Code = 5

ID = 1

ATTRIBUTES:

hw_User_Notify(61) = 4.hello!=.n8Gdt2qs>...r.?.;#

 

% 2007-12-11 14:10:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Start JobOnlineCheck()

% 2007-12-11 14:10:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Stop JobOnlineCheck()

% 2007-12-11 14:20:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Start JobOnlineCheck()

% 2007-12-11 14:20:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Stop JobOnlineCheck()

% 2007-12-11 14:30:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Start JobOnlineCheck()

% 2007-12-11 14:30:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Stop JobOnlineCheck()

% 2007-12-11 14:40:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Start JobOnlineCheck()

进一步在CAMS服务器上抓包，也没有发现S2126G发给CAMS的计费更新报文。

最后在S2126G上发现需要增加一条启用计费更新报文及间隔时间的命令：

aaa accounting update

dot1x accout-update-interval 500 

再查看系统日志：

% 2007-12-17 12:58:50 ; [L_DEBUG (4)] ; LAN ; its ; 4 ; 334ea6253fcc4db8aa58894536f840e4 ; (null) ; RT[1]: Receive message from 202.114.240.179:

CODE = 4.

ID   = 2.

ATTRIBUTES:

     NAS-IP-Address(4) = 3396530355.

     NAS-Port(5) = 2.

     NAS-Identifier(32) = "00D0F88C3D47 ".

     Calling-Station-Id(31) = "00023F03192A ".

     Acct-Status-Type(40) = 3.

     Acct-Delay-Time(41) = 0.

     Acct-Session-Id(44) = "00D0F88C3D47 00023F03192A  266714623".

     Acct-Authentic(45) = 1.

     Acct-Session-Time(46) = 499.

     User-Name(1) = "..TwpxZwN/cDo7ThYlOx8KM76GvKI=  its".

     Acct-Input-Octets(42) = 97650.

     Acct-Output-Octets(43) = 733723.

     Acct-Input-Packets(47) = 1196.

     Acct-Output-Packets(48) = 1986.

     Acct-Input-Gigawords(52) = 0.

     Acct-Output-Gigawords(53) = 0.

 

% 2007-12-17 12:58:50 ; [L_DEBUG (4)] ; LAN ; its ; 5 ; 334ea6253fcc4db8aa58894536f840e4 ; 12xOrmAB ; Send message attribut list:

Code = 5

ID = 2

ATTRIBUTES:

Session-Timeout(27) = 85901

hw_User_Notify(61) = D#1.>...6...3T...:...1-|...\r.X<.C.

hw-User-HeartBeat(62) = D(7>....m...

 

% 2007-12-17 13:00:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Start JobOnlineCheck()

% 2007-12-17 13:00:01 ; [L_DEBUG (4)] ; CAMS ; $JOB$ ; (null) ; (null) ; (null) ; Stop JobOnlineCheck()

% 2007-12-17 13:07:09 ; [L_DEBUG (4)] ; LAN ; its ; 4 ; 6861babe64854cffbac45ee97370f838 ; (null) ; RT[1]: Receive message from 202.114.240.179:

CODE = 4.

ID   = 1.

ATTRIBUTES:

......

CAMS收到了S2126G的计费更新报文，在线帐号也就不再出现自动从在线用户列表中自动被删除的故障现象了。

 

三、总结：

友商产品的配置命令在不断更新，我们在有机会了解的情况下，需要尽快共享出来，避免其他人少走弯路。