mac-authentication carry user-ip

您好，参考

1.1.5  mac-authentication carry user-ip

mac-authentication carry user-ip命令用来配置MAC地址认证请求中携带用户IP地址。

undo mac-authentication carry user-ip命令用来恢复缺省情况。

【命令】

mac-authentication carry user-ip [ exclude-ip acl acl-number ]

undo mac-authentication carry user-ip

【缺省情况】

MAC地址认证请求中不携带用户IP地址。

【视图】

二层以太网接口视图

二层聚合接口视图

【缺省用户角色】

network-admin

【参数】

exclude-ip：指定不合法的IP地址范围，不对携带不合法IP地址的用户进行MAC地址认证。

acl acl-number：指定包含deny规则的ACL。其中acl-number表示ACL的编号，仅支持基本ACL，取值范围为2000～2999。

【使用指导】

在终端用户采用静态IP地址方式接入的组网环境中，如果终端用户擅自修改自己的IP地址，则整个网络环境中可能会出现IP地址冲突等问题。

为了解决以上问题，管理员可以在端口上开启MAC地址认证请求中携带用户IP地址的功能，用户在进行MAC地址认证时，设备会把用户的IP地址上传到iMC服务器。然后iMC服务器会把认证用户的IP地址和MAC地址与服务器上已经存在的IP与MAC的绑定表项进行匹配，如果匹配成功，则该用户MAC地址认证成功；否则，MAC地址认证失败。

配置mac-authentication carry user-ip命令后，当有用户接入时，设备会检查用户报文中的IP地址是否合法，并进行相应处理：

·     当用户的IP地址合法时，设备携带用户IP地址向服务器发起MAC地址认证请求；

·     当用户报文未携带IP地址或用户的IP地址不合法时，设备不对用户进行MAC地址认证。

·     收到源IP为全0的DHCP报文时，设备会向服务器发起MAC地址认证请求，但认证报文中不携带IP地址。认证是否通过取决于认证服务器侧的配置。

iMC服务器上IP与MAC地址信息绑定表项的生成方式如下：

·     如果在iMC服务器上创建用户时手工指定了用户的IP地址和MAC地址信息，则服务器使用手工指定的IP和MAC信息生成该用户的IP与MAC地址的绑定表项。

·     如果在iMC服务器上创建用户时未手工指定用户的IP地址和MAC地址信息，则服务器使用用户初次进行MAC地址认证时使用的IP地址和MAC地址生成该用户的IP与MAC地址的绑定表项。

终端用户采用静态IP地址接入时，实际组网应用中会出现用户报文中携带的IP地址并非用户实际IP地址的情况，例如在IPv4静态地址组网中，用户报文携带的IP地址为以fe80开头的IPv6链路本地地址。配置mac-authentication carry user-ip命令后，设备会携带非用户实际的IP地址向服务器发起MAC地址认证请求，此种情况会导致服务器为用户绑定错误的IP地址或IP地址与MAC地址匹配失败。为避免上述情况发生，可以指定exclude-ip acl参数，不允许ACL中指定网段的用户进行MAC地址认证。

配置exclude-ip acl时，仅根据规则中配置的源IP地址进行过滤。建议ACL中配置deny规则来拒绝指定网段的用户进行MAC地址认证。如果ACL中仅配置了permit规则，则表示允许指定网段的用户进行MAC地址认证，这样的配置并没有实际意义。如果希望只允许某个网段用户进行MAC地址认证，可在ACL中同时配置一条指定网段的permit规则以及一条deny all规则来实现。

通过exclude-ip acl指定ACL后，设备对于IPv4报文按照对应编号的IPv4 ACL规则进行处理；对于IPv6报文则按照对应编号的IPv6 ACL规则进行处理。例如，当配置了mac-authenication carry user-ip exclude-ip acl 2000时，如果用户报文为IPv4报文，则按照IPv4 ACL 2000的规则进行处理；如果用户报文为IPv6报文，则按照IPv6 ACL 2000的规则进行处理。

在开启了MAC地址认证的端口上，不建议将本命令与mac-authentication guest-vlan或mac-authentication guest-vsi命令同时配置；否则，加入Guest VLAN或Guest VSI的用户无法再次发起MAC地址认证，用户会一直停留在Guest VLAN或Guest VSI中。

【举例】

# 在端口GigabitEthernet1/0/1上配置MAC地址认证请求携带用户IP地址功能。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] mac-authentication carry user-ip

# 在端口GigabitEthernet1/0/1上配置MAC地址认证请求携带用户IP地址功能，并禁止携带IPv6链路本地地址的报文在此端口触发认证。

<Sysname> system-view

[Sysname]acl ipv6 basic 2000

[Sysname-acl-ipv6-basic-2000] rule deny source fe80:0::0:0 16

[Sysname-acl-ipv6-basic-2000] quit

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] mac-authentication carry user-ip exclude-ip acl 2000

【相关命令】