问

S5500V3可以做802.1x的本地认证吗

802.1X

2024-07-05提问

0关注
0收藏，432浏览

zhiliao_5f3qi8

zhiliao_5f3qi8 零段

粉丝：0人关注：0人

问题描述：

S5500V3的802.1x做radius服务器认证貌似有问题，请问可以用本地认证替代吗

3 个回答

按时间按赞数

叫我靓仔

叫我靓仔九段

粉丝：160人关注：1人

可以的，但是要建很多本地账号，而且每台交换机都要建，会很麻烦

========

1.12 802.1X典型配置举例

1. 组网需求

l 要求在Switch A端口GigabitEthernet1/0/1上对接入用户进行认证，以控制其访问Internet；接入控制方式要求是基于MAC地址的接入控制。

l 所有接入用户都属于一个缺省的域：***.***，该域最多可容纳30个用户；认证时，先进行RADIUS认证，如果RADIUS服务器没有响应再转而进行本地认证；计费时，如果RADIUS计费失败则切断用户连接使其下线。

l 由两台RADIUS服务器组成的服务器组通过Switch B与Switch A相连，其IP地址分别为10.1.1.1和10.1.1.2，使用前者作为主认证/计费服务器，使用后者作为备份认证/计费服务器。

l 设置系统与认证RADIUS服务器交互报文时的共享密钥为name、与计费RADIUS服务器交互报文时的共享密钥为money。

l 设置系统在向RADIUS服务器发送报文后5秒种内如果没有得到响应就向其重新发送报文，发送报文的次数总共为5次，设置系统每15分钟就向RADIUS服务器发送一次实时计费报文。

l 设置系统从用户名中去除用户域名后再将之传给RADIUS服务器。

l 本地802.1X接入用户的用户名为localuser，密码为localpass，使用明文输入；闲置切断功能处于打开状态，正常连接时用户空闲时间超过20分钟，则切断其连接。

2. 组网图

图1-9 802.1X认证典型组网图

3. 配置步骤

l 下述各配置步骤包含了大部分AAA/RADIUS协议配置命令，对这些命令的介绍，请参见“AAA配置”。此外，802.1X客户端和RADIUS服务器上的配置略。

l 进行下面的配置之前，需要确保Host、Switch A和RADIUS服务器之间路由可达。

# 配置接口的IP地址（略）。

# 添加本地接入用户，启动闲置切断功能并设置相关参数。

<SwitchA> system-view

[SwitchA] local-user localuser

[SwitchA-luser-localuser] service-type lan-access

[SwitchA-luser-localuser] password simple localpass

[SwitchA-luser-localuser] authorization-attribute idle-cut 20

[SwitchA-luser-localuser] quit

# 创建RADIUS方案radius1并进入其视图。

[SwitchA] radius scheme radius1

# 设置主认证/计费RADIUS服务器的IP地址。

[SwitchA-radius-radius1] primary authentication 10.1.1.1

[SwitchA-radius-radius1] primary accounting 10.1.1.1

# 设置备份认证/计费RADIUS服务器的IP地址。

[SwitchA-radius-radius1] secondary authentication 10.1.1.2

[SwitchA-radius-radius1] secondary accounting 10.1.1.2

# 设置系统与认证RADIUS服务器交互报文时的共享密钥。

[SwitchA-radius-radius1] key authentication name

# 设置系统与计费RADIUS服务器交互报文时的共享密钥。

[SwitchA-radius-radius1] key accounting money

# 设置系统向RADIUS服务器重发报文的时间间隔与次数。

[SwitchA-radius-radius1] timer response-timeout 5

[SwitchA-radius-radius1] retry 5

# 设置系统向RADIUS服务器发送实时计费报文的时间间隔。

[SwitchA-radius-radius1] timer realtime-accounting 15

# 指示系统从用户名中去除用户域名后再将之传给RADIUS服务器。

[SwitchA-radius-radius1] user-name-format without-domain

[SwitchA-radius-radius1] quit

# 创建域***.***并进入其视图。

[SwitchA] domain ***.***

# 指定radius1为该域用户的RADIUS方案，并采用local作为备选方案。

[SwitchA-isp-***.***] authentication default radius-scheme radius1 local

[SwitchA-isp-***.***] authorization default radius-scheme radius1 local

[SwitchA-isp-***.***] accounting default radius-scheme radius1 local

# 设置该域最多可容纳30个用户。

[SwitchA-isp-***.***] access-limit enable 30

# 启动闲置切断功能并设置相关参数。

[SwitchA-isp-***.***] idle-cut enable 20

[SwitchA-isp-***.***] quit

# 配置域***.***为缺省用户域。

[SwitchA] domain default enable ***.***

# 开启全局802.1X特性。

[SwitchA] dot1x

# 开启指定端口GigabitEthernet1/0/1的802.1X特性。

[SwitchA] interface gigabitethernet 1/0/1

[SwitchA-GigabitEthernet1/0/1] dot1x

[SwitchA-GigabitEthernet1/0/1] quit

# 设置接入控制方式（该命令可以不配置，因为端口的接入控制在缺省情况下就是基于MAC地址的）。

[SwitchA] dot1x port-method macbased interface gigabitethernet 1/0/1

使用命令display dot1x interface gigabitethernet 1/0/1可以查看802.1X的配置情况。当802.1X用户使用username@***.***形式的用户名成功通过RADIUS认证上线后，可使用命令display connetion查看到上线用户的连接情况。若RADIUS认证失败，则进行本地认证。