H3C wx3540x 配置dot1x+guest vlan 问题

802.1X Guest VLAN功能允许用户在未认证的情况下，访问某一特定VLAN中的资源。这个特定的VLAN称之为Guest VLAN，该VLAN内通常放置一些用于用户下载客户端软件或其他升级程序的服务器。

只有当端口的接入控制方式为Port-based方式时，接口上配置的Guest VLAN功能才会生效。

2.34.2  802.1X支持Guest VLAN、授权VLAN下发配置举例

1. 组网需求

如图2-2所示，一台主机通过802.1X认证接入网络，认证服务器为RADIUS服务器。Host接入Device的端口GigabitEthernet1/0/2在VLAN 1内；认证服务器在VLAN 2内；Update Server是用于客户端软件下载和升级的服务器，在VLAN 10内；Device连接Internet网络的端口GigabitEthernet1/0/3在VLAN 5内。现有如下组网需求：

·     在端口上配置完Guest VLAN，则立即将该端口GigabitEthernet1/0/2加入Guest VLAN（VLAN 10）中，此时Host和Update Server都在VLAN 10内，Host可以访问Update Server并下载802.1X客户端。

·     配置QoS策略，在VLAN 10的出方向上过滤掉目的IP为Internet（5.1.1.1）的报文，以防止加入Guest VLAN的客户端未通过认证私自访问Internet。

·     用户认证成功上线后，认证服务器下发VLAN 5，此时Host和连接Internet网络的端口GigabitEthernet1/0/3都在VLAN 5内，Host可以访问Internet。

2. 组网图

图2-2 Guest VLAN及VLAN下发组网图

‌

3. 配置准备

配置RADIUS服务器，添加用户账户，指定要授权下发的VLAN（本例中为VLAN 5），并保证用户的认证/授权/计费功能正常运行。

4. 配置步骤

(1)     创建VLAN并将端口加入对应VLAN

<Device> system-view

[Device] vlan 1

[Device-vlan1] port gigabitethernet 1/0/2

[Device-vlan1] quit

[Device] vlan 10

[Device-vlan10] port gigabitethernet 1/0/1

[Device-vlan10] quit

[Device] vlan 2

[Device-vlan2] port gigabitethernet 1/0/4

[Device-vlan2] quit

[Device] vlan 5

[Device-vlan5] port gigabitethernet 1/0/3

[Device-vlan5] quit

(2)     配置QoS策略

# 定义高级ACL 3000，过滤目的IP地址为5.1.1.1的报文。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip destination 5.1.1.1 0.0.0.255

[Device-acl-ipv4-adv-3000] quit

# 定义类classifier_1，匹配高级ACL 3000。

[Device] traffic classifier classifier_1

[Device-classifier-classifier_1] if-match acl 3000

[Device-classifier-classifier_1] quit

# 定义流行为behavior_1，动作为流量过滤（deny），对数据包进行丢弃。

[Device] traffic behavior behavior_1

[Device-behavior-behavior_1] filter deny

[Device-behavior-behavior_1] quit

# 定义策略policy_1，为类classifier_1指定流行为behavior_1。

[Device] qos policy policy_1

[Device-qospolicy-policy_1] classifier classifier_1 behavior behavior_1

[Device-qospolicy-policy_1] quit

# 在VLAN 10的出方向应用策略policy_1。

[Device] qos vlan-policy policy_1 vlan 10 outbound

(3)     配置RADIUS方案

# 创建RADIUS方案2000并进入其视图。

[Device] radius scheme 2000

# 配置主认证/计费RADIUS服务器及其共享密钥。

[Device-radius-2000] primary authentication 10.11.1.1 1812

[Device-radius-2000] primary accounting 10.11.1.1 1813

[Device-radius-2000] key authentication simple abc

[Device-radius-2000] key accounting simple abc

# 配置发送给RADIUS服务器的用户名不携带域名。

[Device-radius-2000] user-name-format without-domain

[Device-radius-2000] quit

(4)     配置ISP域

# 创建域bbb并进入其视图。

[Device] domain bbb

# 配置802.1X用户使用RADIUS方案2000进行认证、授权、计费。

[Device-isp-bbb] authentication lan-access radius-scheme 2000

[Device-isp-bbb] authorization lan-access radius-scheme 2000

[Device-isp-bbb] accounting lan-access radius-scheme 2000

[Device-isp-bbb] quit

(5)     配置802.1X

# 开启端口GigabitEthernet1/0/2的802.1X。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] dot1x

# 配置端口的802.1X接入控制的方式为Port-based。

[Device-GigabitEthernet1/0/2] dot1x port-method portbased

# 配置端口的802.1X授权状态为auto。（此配置可选，端口的授权状态缺省为auto）

[Device-GigabitEthernet1/0/2] dot1x port-control auto

# 配置端口的 802.1X Guest VLAN为VLAN10。

[Device-GigabitEthernet1/0/2] dot1x guest-vlan 10

[Device-GigabitEthernet1/0/2] quit

# 开启全局802.1X。

[Device] dot1x

(6)     配置802.1X客户端，并保证接入端口加入Guest VLAN或授权VLAN之后，802.1X客户端能够及时更新IP地址，以实现与相应网络资源的互通（略）

5. 验证配置结果

可以通过命令display dot1x interface查看端口GigabitEthernet1/0/2上Guest VLAN的配置情况。

在端口上配置完Guest VLAN，则该端口会被立即加入其所属的Guest VLAN，通过命令display vlan 10可以查看到端口GigabitEthernet1/0/2加入了配置的Guest VLAN（VLAN 10）。

在用户认证成功之后，通过命令display interface可以看到用户接入的端口GigabitEthernet1/0/2加入了认证服务器下发的VLAN 5中。