cisco mab认证转化为华三交换机配置疑问

参考：

这里面要注意的就是MAC地址的格式，也就是我下面加粗的配置

组网需求

如图2所示，用户Host通过Switch连接到网络。为了提高安全性，可以通过配置MAC地址用户名远程认证，实现在远程服务器上完成用户身份的认证。

图2 启动MAC地址认证对接入用户进行RADIUS认证

1.4.3  配置思路

请参见1.3.3  配置思路。

1.4.4  配置注意事项

·     配置全局MAC地址认证一般放在最后，当其他认证参数未配置完成时，会造成合法用户无法访问网络。

·     在RADIUS服务器上添加用户帐号，用户名必须与设备上指定的MAC地址认证用户名格式保持一致。

·     在标准的RADIUS协议中，RADIUS服务器的认证端口为UDP端口1812，我司设备作为RADIUS服务器时认证端口为UDP端口1645。因此，本举例中需要在SwitchA上配置RADIUS方案时，需要指定认证服务器的认证端口号为1645。

1.4.5  配置步骤

1. SwitchA 的配置

# 配置RADIUS方案。

<SwitchA> system-view

[SwitchA] radius scheme 2000

New Radius scheme

[SwitchA-radius-2000] primary authentication 10.1.1.1 1645 key abc

[SwitchA-radius-2000] user-name-format without-domain

[SwitchA-radius-2000] quit

# 配置ISP域的AAA方案。

[SwitchA] domain domain2

[SwitchA-isp-domain2] authentication lan-access radius-scheme 2000

[SwitchA-isp-domain2] authorization lan-access radius-scheme 2000

[SwitchA-isp-domain2] quit

# 开启端口GigabitEthernet1/0/1的MAC地址认证特性。

[SwitchA] mac-authentication interface gigabitethernet1/0/1

 Mac-auth is enabled on port GigabitEthernet1/0/1.

# 配置MAC地址认证用户所使用的ISP域。

[SwitchA] mac-authentication domain domain2

# 配置MAC地址认证的下线定时器和静默定时器。即交换机每隔180秒就对用户是否下线进行检测；并且当用户认证失败时，需等待3分钟后才能对用户再次发起认证。

[SwitchA] mac-authentication timer offline-detect 180

[SwitchA] mac-authentication timer quiet 180

# 配置MAC地址认证用户名格式：使用带连字符的MAC地址作为用户名与密码，其中字母小写。

[SwitchA] mac-authentication user-name-format mac-address with-hyphen lowercase

# 开启全局MAC地址认证特性。

[SwitchA] mac-authentication

 Mac-auth is enabled globally.

2. RADIUS server的配置

# 以Host的MAC地址作为用户名，创建RADIUS用户并进入RADIUS服务器用户视图

<SwitchB> system-view

[SwitchB] radius-server user 68-05-ca-06-55-7b

# 指定用户的密码为明文123456。

[SwitchB-rdsuser-68-05-ca-06-55-7b] password simple 123456

[SwitchB-rdsuser-68-05-ca-06-55-7b] quit

# 配置RADIUS客户端IP为10.1.1.2，共享密钥为明文abc。

[SwitchB] radius-server client-ip 10.1.1.2 key simple abc

1.4.6  验证配置

# 显示全局MAC地址配置信息。

<SwitchA> display mac-authentication

MAC address authentication is enabled.

 User name format is MAC address in lowercase, like xx-xx-xx-xx-xx-xx

 Fixed username:mac

 Fixed password:not configured

          Offline detect period is 180s

          Quiet period is 180s.

          Server response timeout value is 100s

          The max allowed user number is 2048 per slot

          Current user number amounts to 1

          Current domain is domain2

Silent Mac User info:

         MAC Addr               From Port           Port Index

Gigabitethernet1/0/1 is link-up

  MAC address authentication is enabled

  Authenticate success: 1, failed: 0

  Max number of on-line users is 2048

  Current online user number is 1

          MAC Addr         Authenticate State           Auth Index

          6805-ca06-557b   MAC_AUTHENTICATOR_SUCCESS    0

<略>

<SwitchA> display connection

Slot:  1

Index=0  ,Username=68-05-ca-06-55-7b@domain2

 IP=N/A

 Ipv6=N/A

 MAC=6805-ca06-557b

 Total 1 connection(s) matched on slot 1.

 Total 1 connection(s) matched.

1.4.7  配置文件

·     SwitchA：

#

mac-authentication

 mac-authentication timer offline-detect 180

 mac-authentication timer quiet 180

 mac-authentication domain domain2

 mac-authentication user-name-format mac-address with-hyphen

#

radius scheme 2000

 primary authentication 10.1.1.1 1645 key cipher $c$3$eYcHkFXUguZArZkXiCkrPABwQ0+E6g==

 user-name-format without-domain

#

domain domain2

 authentication lan-access radius-scheme 2000

 authorization lan-access radius-scheme 2000

 access-limit disable

 state active

 idle-cut disable

 self-service-url disable

#

interface GigabitEthernet1/0/1

 port link-mode bridge

 mac-authentication

#

·     Radius server：

#

 radius-server client-ip 10.1.1.2 key cipher $c$3$qz/+3koDvrIbRqm1Ghf6a10hS4fLFQ==

#

radius-server user 68-05-ca-06-55-7b

 password cipher $c$3$Xv+yKBbrO2yl0iVyWZfuRJyhm0ZNJkGU/REI5+GZSfJ7vcky

#

您好，请知：

具体要看mab要实现的是什么功能，才能看下是否有相应的配置命令和举例。