MAC地址本地认证典型配置举例

3.1  组网需求

如图3-1所示，通过配置MAC地址本地认证功能，实现在无需架设服务器的情况下，完成接入用户的安全认证，控制其对Internet的访问。

图3-1 开启MAC地址认证对接入用户进行本地认证

3.2  配置思路

·     在Device与用户端相连的端口GigabitEthernet1/0/1上配置MAC地址认证。

·     认证用户属于域bbb，用户名和密码都为用户端的MAC地址：08-00-27-00-98-d2。

·     为了防止非法MAC短时间内的重复认证，可配置MAC地址认证定时器。

3.3  适用产品及版本

表3-1 适用产品及版本

3.4  配置注意事项

·     配置全局MAC地址认证一般放在最后，当其他认证参数未配置完成时，会造成合法用户无法访问网络。

·     创建本地用户时，需要注意用户名必须与设备上指定的MAC地址认证用户名格式保持一致。

3.5  配置步骤

# 添加本地接入用户。

<Device> system-view

[Device] local-user 08-00-27-00-98-d2 class network

[Device-luser-network-08-00-27-00-98-d2] password simple 08-00-27-00-98-d2

[Device-luser-network-08-00-27-00-98-d2] service-type lan-access

[Device-luser-network-08-00-27-00-98-d2] quit

# 配置ISP域，使用本地认证方式。

[Device] domain bbb

[Device-isp-bbb] authentication lan-access local

[Device-isp-bbb] quit

# 配置MAC地址认证用户所使用的ISP域。

[Device] mac-authentication domain bbb

# 配置MAC地址认证的下线定时器和静默定时器。即设备每隔180秒就对用户是否下线进行检测；并且当用户认证失败时，需等待3分钟后才能对用户再次发起认证。

[Device] mac-authentication timer offline-detect 180

[Device] mac-authentication timer quiet 180

# 配置MAC地址认证的用户名格式：使用带连字符的MAC地址作为用户名与密码，其中字母小写。

[Device] mac-authentication user-name-format mac-address with-hyphen lowercase

# 开启端口GigabitEthernet1/0/1的MAC地址认证。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] mac-authentication

[Device-GigabitEthernet1/0/1] quit

# 开启全局MAC地址认证特性。

[Device] mac-authentication