问

h3c s5560 配置MAC地址认证

MAC地址认证

2021-01-14提问

0关注
1收藏，2257浏览

枯叶

枯叶零段

粉丝：0人关注：0人

问题描述：

现在有4个VLAN

想配置成

2个vlan 进行mac地址认证，mac地址当做用户名和密码

当认证成功可以访问内网vlan 201 ,并且外网流量走172.16.1.3路由器

当认证不成功禁止访问其他VLAN ,外网流量走172.16.1.2路由器

不知道要怎么配置？

组网及组网描述：

最佳答案

已采纳

zhiliao_13zc

zhiliao_13zc 七段

粉丝：7人关注：1人

需要认证的VLAN的对应物理接口使能认证即可，然后参考下述配置配置即可，同时配置guest vlan

1.25.2 使用RADIUS服务器进行MAC地址认证配置举例

1. 组网需求

如图1-5所示，用户主机Host通过端口GigabitEthernet1/0/1连接到设备上，设备通过RADIUS服务器对用户进行认证、授权和计费。

· 设备的管理者希望在端口GigabitEthernet1/0/1上对用户接入进行MAC地址认证，以控制其对Internet的访问。

· RADIUS服务器和设备上均采用CHAP认证方法。

· 要求设备每隔180秒就对用户是否下线进行检测；并且当用户认证失败时，需等待180秒后才能对用户再次发起认证。

· 所有用户都属于域2000，认证时采用固定用户名账号，用户名为aaa，密码为123456。

2. 组网图

图1-5 启动MAC地址认证对接入用户进行RADIUS认证

‌

3. 配置步骤

(1) 配置RADIUS服务器，添加接入用户帐户：用户名为aaa，密码为123456，并保证用户的认证/授权/计费功能正常运行（略）

(2) 配置使用RADIUS服务器进行MAC地址认证

# 配置RADIUS方案。

<Device> system-view

[Device] radius scheme 2000

[Device-radius-2000] primary authentication 10.1.1.1 1812

[Device-radius-2000] primary accounting 10.1.1.2 1813

[Device-radius-2000] key authentication simple abc

[Device-radius-2000] key accounting simple abc

[Device-radius-2000] user-name-format without-domain

[Device-radius-2000] quit

# 配置MAC地址认证的认证方法为CHAP。

[Device] mac-authentication authentication-method chap

# 配置ISP域的AAA方法。

[Device] domain bbb

[Device-isp-bbb] authentication default radius-scheme 2000

[Device-isp-bbb] authorization default radius-scheme 2000

[Device-isp-bbb] accounting default radius-scheme 2000

[Device-isp-bbb] quit

# 开启端口GigabitEthernet1/0/1的MAC地址认证。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] mac-authentication

[Device-GigabitEthernet1/0/1] quit

# 配置MAC地址认证用户所使用的ISP域。

[Device] mac-authentication domain bbb

# 配置MAC地址认证的定时器。

[Device] mac-authentication timer offline-detect 180

[Device] mac-authentication timer quiet 180

# 配置MAC地址认证使用固定用户名账号：用户名为aaa，密码为明文123456。

[Device] mac-authentication user-name-format fixed account aaa password simple 123456

# 开启全局MAC地址认证。

[Device] mac-authentication

4. 验证配置

# 显示MAC地址认证配置信息。

<Device> display mac-authentication

Global MAC authentication parameters:

MAC authentication : Enabled

Authentication method : CHAP

Username format : Fixed account

Username : aaa

Password : ******

Offline detect period : 180 s

Quiet period : 180 s

Server timeout : 100 s

Reauth period : 3600 s

User aging period for critical VLAN : 1000 s

User aging period for guest VLAN : 1000 s

Authentication domain : bbb

Online MAC-auth wired users : 1

Silent MAC users:

MAC address VLAN ID From port Port index

GigabitEthernet1/0/1 is link-up

MAC authentication : Enabled

Carry User-IP : Disabled

Authentication domain : Not configured

Auth-delay timer : Disabled

Periodic reauth : Disabled

Re-auth server-unreachable : Logoff

Guest VLAN : Not configured

Guest VLAN reauthentication : Enabled

Guest VLAN auth-period : 30 s

Critical VLAN : Not configured

Critical voice VLAN : Disabled

Host mode : Single VLAN

Offline detection : Enabled

Authentication order : Default

User aging : Enabled

Server-recovery online-user-sync : Enabled

Auto-tag feature : Disabled

VLAN tag configuration ignoring : Disabled

Max online users : 4294967295

Authentication attempts : successful 1, failed 0

Current online users : 1

MAC address Auth state

00e0-fc12-3456 Authenticated

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入接口视图。

interface interface-type interface-number

(3) 配置端口的MAC地址认证Guest VLAN。

mac-authentication guest-vlan guest-vlan-id

缺省情况下，未配置MAC地址认证的Guest VLAN。

不同的端口可以指定不同的MAC地址认证 Guest VLAN，一个端口最多只能指定一个MAC地址认证Guest VLAN。

(4) 配置设备对MAC地址认证Guest VLAN中的用户进行重新认证的时间间隔。

mac-authentication guest-vlan auth-period period-value

缺省情况下，设备对Guest VLAN中的用户进行重新认证的时间间隔为30秒。

s5560是不是直接可以配置RADIUS服务？

枯叶发表时间：2021-01-14

2 个回答

按时间按赞数

得闲饮茶013

得闲饮茶013 九段

粉丝：124人关注：6人

您好，请知：

以下是MAC认证的配置举例，请参考：

1.23 MAC地址认证典型配置举例