S5130交换机做802.1X和mac认证

# 1. 创建RADIUS方案，例如取名"ac" [H3C] radius scheme ac # 指定AC的IP地址作为主认证和主计费服务器 [H3C-radius-ac] primary authentication 192.168.1.100 # 请替换为你的AC实际IP [H3C-radius-ac] primary accounting 192.168.1.100 # 请替换为你的AC实际IP # 配置与AC通信的共享密钥，需与AC上设置的一致 [H3C-radius-ac] key authentication simple your-shared-key [H3C-radius-ac] key accounting simple your-shared-key # 配置发送给服务器的用户名不带域名 [H3C-radius-ac] user-name-format without-domain [H3C-radius-ac] quit # 2. 创建ISP域，例如取名"dm1"，并应用到默认域 [H3C] domain dm1 # 指定该域内的LAN接入用户使用刚才创建的RADIUS方案"ac"进行认证和授权 [H3C-isp-dm1] authentication lan-access radius-scheme ac [H3C-isp-dm1] authorization lan-access radius-scheme ac [H3C-isp-dm1] quit # 将dm1设置为系统的默认域 [H3C] domain default enable dm1

[H3C] dot1x # 全局开启802.1X [H3C] mac-authentication # 全局开启MAC认证 # (可选) 设置802.1X与MAC认证的并行处理，让MAC认证不必等802.1X超时 [H3C] mac-authentication parallel-with-dot1x

# 进入连接终端的接口，例如GigabitEthernet1/0/1 [H3C] interface gigabitethernet 1/0/1 # 将端口模式设为Access（根据实际组网也可能是Trunk或Hybrid，此处以Access为例） [H3C-GigabitEthernet1/0/1] port link-type access # 【重点】在端口上同时开启802.1X和MAC认证 [H3C-GigabitEthernet1/0/1] dot1x [H3C-GigabitEthernet1/0/1] mac-authentication # (推荐) 开启单播触发，主动向连接的设备发起认证请求 [H3C-GigabitEthernet1/0/1] dot1x unicast-trigger # (可选) 关闭组播触发，避免不必要的报文 [H3C-GigabitEthernet1/0/1] undo dot1x multicast-trigger # (可选) 针对哑终端，如果希望交换机先尝试MAC认证，而不是等待802.1X超时， # 可以在全局已配置parallel-with-dot1x的基础上，再在接口下开启，确保生效。 # [H3C-GigabitEthernet1/0/1] mac-authentication parallel-with-dot1x [H3C-GigabitEthernet1/0/1] quit