H3C s3600v2 5.2版本

您好，请知：

可参考如下S3600V2系列的802.1X的配置举例：

1.6  802.1X典型配置举例

1.6.1  802.1X认证配置举例

1. 组网需求

用户通过Device的端口Ethernet1/0/1接入网络，设备对该端口接入的用户进行802.1X认证以控制其访问Internet，具体要求如下：

·     由两台RADIUS服务器组成的服务器组与Device相连，其IP地址分别为10.1.1.1/24和10.1.1.2/24，使用前者作为主认证/计费服务器，使用后者作为备份认证/计费服务器。

·     端口Ethernet1/0/1下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。

·     认证时，首先进行RADIUS认证，如果RADIUS服务器没有响应则进行本地认证；计费时，如果RADIUS计费失败则切断用户连接使其下线。

·     所有接入用户都属于同一个ISP域***.***，该域中最多可容纳30个用户。

·     Device与RADIUS认证服务器交互报文时的共享密钥为name、与RADIUS计费服务器交互报文时的共享密钥为money。

2. 组网图

图1-11 802.1X认证组网图

3. 配置步骤

(1)     配置各接口的IP地址（略）

(2)     配置本地用户

# 添加本地用户，用户名为localuser，密码为明文输入的localpass。（此处添加的本地用户的用户名和密码需要与服务器端配置的用户名和密码保持一致，本例中的localuser仅为示例，请根据实际情况配置）

<Device> system-view

[Device] local-user localuser

[Device-luser-localuser] service-type lan-access

[Device-luser-localuser] password simple localpass

# 启动闲置切断功能，并指定正常连接时用户空闲时间超过20分钟，则切断其连接。

[Device-luser-localuser] authorization-attribute idle-cut 20

[Device-luser-localuser] quit

(3)     配置RADIUS方案

# 创建RADIUS方案radius1并进入其视图。

[Device] radius scheme radius1

# 配置主认证/计费RADIUS服务器的IP地址。

[Device-radius-radius1] primary authentication 10.1.1.1

[Device-radius-radius1] primary accounting 10.1.1.1

# 配置备份认证/计费RADIUS服务器的IP地址。

[Device-radius-radius1] secondary authentication 10.1.1.2

[Device-radius-radius1] secondary accounting 10.1.1.2

# 配置Device与认证/计费RADIUS服务器交互报文时的共享密钥。

[Device-radius-radius1] key authentication name

[Device-radius-radius1] key accounting money

# 配置发送给RADIUS服务器的用户名不携带域名。

[Device-radius-radius1] user-name-format without-domain

[Device-radius-radius1] quit

(4)     配置ISP域

# 创建域***.***并进入其视图。

[Device] domain ***.***

# 配置802.1X用户使用RADIUS方案radius1进行认证、授权、计费，并采用local作为备选方法。

[Device-isp-***.***] authentication lan-access radius-scheme radius1 local

[Device-isp-***.***] authorization lan-access radius-scheme radius1 local

[Device-isp-***.***] accounting lan-access radius-scheme radius1 local

# 配置该域最多可容纳30个用户。

[Device-isp-***.***] access-limit enable 30

# 启动闲置切断功能，并指定正常连接时用户空闲时间超过20分钟，则切断其连接。

[Device-isp-***.***] idle-cut enable 20

[Device-isp-***.***] quit

# 指定域***.***为缺省的ISP域。如果用户在登录时没有提供ISP域名，系统将把它归于该缺省的ISP域。

[Device] domain default enable ***.***

(5)     配置802.1X

# 开启全局802.1X特性。

[Device] dot1x

# 开启指定端口Ethernet1/0/1的802.1X特性。

[Device] interface ethernet 1/0/1

[Device-Ethernet1/0/1] dot1x

[Device-Ethernet1/0/1] quit

# 配置基于MAC地址的接入控制方式（该配置可选，因为端口的接入控制在缺省情况下就是基于MAC地址的）。

[Device] dot1x port-method macbased interface ethernet 1/0/1

4. 验证配置结果

使用命令display dot1x interface ethernet 1/0/1可以查看802.1X的配置情况。当802.1X用户输入正确的用户名和密码成功通过RADIUS认证上线后，可使用命令display connetion查看到上线用户的连接情况。若RADIUS服务器无响应，则进行本地认证。

具体的连接如下：

https://www.h3c.com/cn/d_201803/1070097_30005_0.htm#_Toc508126744