问

H3C S2610 8021x 认证系统交换机配置问题

2021-08-12提问

0关注
1收藏，2314浏览

zhiliao_IiYCiH

zhiliao_IiYCiH 零段

粉丝：0人关注：1人

问题描述：

您好，我正在配置H3C S2610 交换机的8021认证系统，然后根据文档发现一些命令不匹配，希望能得到您的帮助，或者您那边有没有对应系列的交换机配置案例，文档链接H3C低端以太网交换机典型配置案例(V1.04)_802.1x典型配置案例-新华三集团-H3C，

组网及组网描述：

最佳答案

得闲饮汤127

得闲饮汤127 九段

粉丝：40人关注：7人

以下是配置举例，请参考：

1.6 802.1X典型配置举例

1.6.1 802.1X认证配置举例

1. 组网需求

用户通过Device的端口Ethernet1/0/1接入网络，设备对该端口接入的用户进行802.1X认证以控制其访问Internet，具体要求如下：

· 由两台RADIUS服务器组成的服务器组与Device相连，其IP地址分别为10.1.1.1/24和10.1.1.2/24，使用前者作为主认证/计费服务器，使用后者作为备份认证/计费服务器。

· 端口Ethernet1/0/1下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。

· 认证时，首先进行RADIUS认证，如果RADIUS服务器没有响应则进行本地认证；计费时，如果RADIUS计费失败则切断用户连接使其下线。

· 所有接入用户都属于同一个ISP域***.***，该域中最多可容纳30个用户。

· Device与RADIUS认证服务器、RADIUS计费服务器交互报文时的共享密钥均为test。

2. 组网图

图1-11 802.1X认证组网图

3. 配置步骤

· 下述配置步骤中包含了若干AAA/RADIUS协议的配置命令，关于这些命令的详细介绍请参见“安全命令参考”中的“AAA”。

· 完成802.1X客户端的配置。若使用H3C iNode 802.1X客户端，为保证备选的本地认证可成功进行，请确认802.1X连接属性中的“上传客户端版本号”选项未被选中。

· 完成RADIUS服务器的配置，添加用户帐户，保证用户的认证/授权/计费功能正常运行。

(1) 配置各接口的IP地址（略）

(2) 配置本地用户

# 添加本地用户，用户名为localuser，密码为明文输入的localpass。（此处添加的本地用户的用户名和密码需要与服务器端配置的用户名和密码保持一致，本例中的localuser仅为示例，请根据实际情况配置）

<Device> system-view

[Device] local-user localuser

[Device-luser-localuser] service-type lan-access

[Device-luser-localuser] password simple localpass

# 启动闲置切断功能，并指定正常连接时用户空闲时间超过20分钟，则切断其连接。

[Device-luser-localuser] authorization-attribute idle-cut 20

[Device-luser-localuser] quit

(3) 配置RADIUS方案

# 创建RADIUS方案radius1并进入其视图。

[Device] radius scheme radius1

# 配置主认证/计费RADIUS服务器的IP地址。

[Device-radius-radius1] primary authentication 10.1.1.1

[Device-radius-radius1] primary accounting 10.1.1.1

# 配置备份认证/计费RADIUS服务器的IP地址。

[Device-radius-radius1] secondary authentication 10.1.1.2

[Device-radius-radius1] secondary accounting 10.1.1.2

# 配置Device与认证/计费RADIUS服务器交互报文时的共享密钥。

[Device-radius-radius1] key authentication test

[Device-radius-radius1] key accounting test

# 配置发送给RADIUS服务器的用户名不携带域名。

[Device-radius-radius1] user-name-format without-domain

[Device-radius-radius1] quit

发送给服务器的用户名是否携带域名与服务器端是否接受携带域名的用户名以及服务器端的配置有关：

· 若服务器端不接受携带域名的用户名，或者服务器上配置的用户认证所使用的服务不携带域名后缀，则Device上指定不携带用户名（without-domain）；

· 若服务器端可接受携带域名的用户名，且服务器上配置的用户认证所使用的服务携带域名后缀，则Device上指定携带用户名（with-domain）。

(4) 配置ISP域

# 创建域***.***并进入其视图。

[Device] domain ***.***

# 配置802.1X用户使用RADIUS方案radius1进行认证、授权、计费，并采用local作为备选方法。

[Device-isp-***.***] authentication lan-access radius-scheme radius1 local

[Device-isp-***.***] authorization lan-access radius-scheme radius1 local

[Device-isp-***.***] accounting lan-access radius-scheme radius1 local

# 配置该域最多可容纳30个用户。

[Device-isp-***.***] access-limit enable 30

# 启动闲置切断功能，并指定正常连接时用户空闲时间超过20分钟，则切断其连接。

[Device-isp-***.***] idle-cut enable 20

[Device-isp-***.***] quit

# 指定域***.***为缺省的ISP域。如果用户在登录时没有提供ISP域名，系统将把它归于该缺省的ISP域。

[Device] domain default enable ***.***

(5) 配置802.1X

# 开启全局802.1X特性。

[Device] dot1x

# 开启指定端口Ethernet1/0/1的802.1X特性。

[Device] interface ethernet 1/0/1

[Device-Ethernet1/0/1] dot1x

[Device-Ethernet1/0/1] quit

# 配置基于MAC地址的接入控制方式（该配置可选，因为端口的接入控制在缺省情况下就是基于MAC地址的）。

[Device] dot1x port-method macbased interface ethernet 1/0/1

4. 验证配置结果

使用命令display dot1x interface ethernet 1/0/1可以查看802.1X的配置情况。当802.1X用户输入正确的用户名和密码成功通过RADIUS认证上线后，可使用命令display connetion查看到上线用户的连接情况。若RADIUS服务器无响应，则进行本地认证。