问

IMC dot1x认证

802.1X

2023-01-11提问

0关注
0收藏，1017浏览

zhiliao_jfNuNH

zhiliao_jfNuNH 二段

粉丝：0人关注：0人

问题描述：

接入交换机测如何对接IMC配置dot1x认证

组网及组网描述：

最佳答案

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：261人关注：8人

3 配置举例

3.1 组网需求

某公司计划启用802.1X认证，用户接入网络时需要进行身份验证。具体的组网如图1所示。UAM服务器IP地址为192.168.40.237，接入设备IP地址为192.168.30.100。PC安装了Windows操作系统，并准备安装iNode客户端。

注：本案例中各部分使用的版本如下：

· UAM版本为iMC UAM 7.2 (E0403)

· 接入设备为H3C S3600V2-28TP-EI Comware Software, Version 5.20, Release 2103

· iNode版本为iNode PC 7.2 (E0403)

图1 组网图

3.2 配置步骤

3.2.1 配置UAM服务器

配置UAM服务器时，需要配置以下功能：

· 接入设备

· 接入策略

· 接入服务

· 接入用户

1. 增加接入设备

增加接入设备是为了建立iMC服务器和接入设备之间的联动关系。

增加接入设备的方法如下：

(1) 选择“用户”页签，单击导航树中的“接入策略管理 > 接入设备管理 > 接入设备配置”菜单项，进入接入设备配置页面，如图2所示。

图2 进入接入设备列表

(2) 单击<增加>按钮，进入增加接入设备页面，如图3所示。

图3 增加接入设备页面

(3) 配置接入设备。

配置接入设备有两种方法：

· 在设备列表中单击<选择>按钮从iMC平台中选择设备

· 在设备列表中单击<手工增加>按钮，手工配置接入设备。

无论采用哪种方式接入设备的IP地址都必须满意以下要求：

· 如果在接入设备上配置radius scheme时配置了nas ip命令，则UAM中接入设备的IP地址必须与nas ip的配置保持一致。

· 如果未配置nas ip命令，则UAM中接入设备的IP地址必须是设备连接UAM服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）。

从iMC平台中选择设备时，设备的IP地址无法修改。因此如果设备加入iMC平台时使用的IP地址不满足上述要求，则可以采用手工增加的方式增加接入设备。本例采用手工增加的方式进行说明。

单击设备列表中的<手工增加>按钮，弹出手工增加接入设备窗口，如图4所示。输入接入设备的IP地址，单击<确定>按钮，返回增加接入设备页面。

图4 手工输入接入设备的IP地址

(4) 配置公共参数。

公共参数的配置要求如下：

· 认证端口：UAM监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。UAM和接入设备一般都会采用默认端口1812。

· 计费端口：UAM监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。UAM和接入设备一般都会采用默认端口1813。

目前仅支持将UAM同时作为认证和计费服务器，即不支持将UAM作为认证服务器，而其他服务器作为计费服务器的场景。

· 业务类型：在下拉框中选择该设备承载的业务，包括LAN接入业务和设备管理业务。前者用于用户接入和使用网络，后者用于设备管理员登录和管理设备。

· 接入设备类型：在下拉框中选择接入设备的厂商和类型。下拉框中包含了Standard、UAM系统预定义和管理员自定义的厂商和类型。支持标准RADIUS协议的设备都可以选择Standard。系统预定义的厂商和类型有以下几种，包括H3C(General)、3COM(General)、HUAWEI(General)、CISCO(General)、RG(General)、HP(MSM)、HP(Comware)、MICROSOFT(General)、JUNIPER(General)和HP(ProCurve)。

· 业务分组：在下拉框中选择接入设备所属的业务分组。将接入设备加入不同的业务分组以便进行分权管理。

· 共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与UAM配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果系统参数中的“密钥显示方式”设置为明文时，只需输入一次共享密钥即可。

· 接入设备分组：在下拉框中选择接入设备需要加入的接入设备分组。可选项包括UAM中已经存在的接入设备分组和“无”。接入设备分组是区分终端用户的接入条件之一。

图5 公共参数配置

(5) 单击<确定>按钮，增加接入设备完毕，进入结果显示页面。点击“返回接入设备列表”链接，返回接入设备配置页面，可在接入设备列表中查看新增的接入设备，如图6所示。

图6 查看新增的接入设备

2. 增加接入策略

配置一个不进行任何接入控制的接入策略。

增加接入策略的方法如下：

(1) 选择“用户”页签，单击导航树中的“接入策略管理 > 接入策略管理”菜单项，进入接入策略管理页面，如图7所示。

图7 进入接入策略列表

(2) 单击<增加>按钮，进入增加接入策略页面，如图8所示。由于不进行任何接入控制，因此只需输入接入策略名，其他参数均保持为空即可。

图8 增加接入策略页面

(3) 单击<确定>按钮，接入策略增加完毕。返回接入策略管理页面，可在接入策略列表中查看新增的接入策略，如图9所示。

图9 查看增加的接入策略

3. 增加接入服务

接入服务是对用户进行认证授权的各种策略的集合。本例不对用户进行任何接入控制，因此只需增加一个简单的接入服务即可。

增加接入服务的方法如下：

(1) 选择“用户”页签，单击导航树中的“接入策略管理 > 接入服务管理”菜单项，进入接入服务管理页面，如图10所示。

图10 进入接入服务列表

(2) 单击<增加>按钮，进入增加接入服务页面，如图11所示。

图11 增加接入服务页面

配置服务的各个参数：

· 服务名：输入服务名称，在UAM中必须唯一。

· 服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表1。

· 缺省接入策略：选择之前新增的接入策略。

· 其他参数：保持缺省值。

表1 iMC中服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	iMC中服务的后缀
X@Y	Y	user-name-format with-domain	Y
X@Y	Y	user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
X	[Default Domain] 设备上指定的缺省域	user-name-format without-domain	无后缀