求大神要详细配置802.1x和动态vlan划分
- 0关注
- 0收藏，38浏览
问题描述：
1、S5310S没配置管理地址（是否要配） 2、S5310S，属于二层交换机，上连口trunk，放通了所有的vlan。 3、认证服务器的ip是10.20.102.14，认证密钥是1234qwer； 4、电脑接在一口； 5、S5310S的版本是7.1.070。 6、求大神要详细的802.1X和动态vlan配置。
组网及组网描述：
S5310S（V7 R6328P03）802.1X + 动态 VLAN 完整配置
你的现有配置问题梳理：
- 二层交换机必须配置管理 VLANIF 地址，交换机需要 IP 和 RADIUS 服务器 (10.20.102.14) 通信，否则 RADIUS 报文发不出去；
- 缺少全局
dot1x dynamic‑vlan；RADIUS 方案没有开启接收 tunnel 属性； - domain default enable 还在 system，没有切到 ips8021x；
- G1/0/1 接口只敲了
dot1x，没有端口安全、接口下动态 VLAN、接入模式、隔离 VLAN。 - 上联 G1/0/48 已经是 trunk permit vlan all，保留不动。
重要：网关在核心，所有动态下发的 VLAN，上联 trunk 已经放行；iMC EIA 账号必须下发 Tunnel 三条属性。
第一步：配置交换机管理 IP（必配，二层交换机！）
交换机要主动和 RADIUS 服务器 10.20.102.14 通讯，一定要管理地址，路由可达服务器。
#假设用Vlan1做管理，根据现场实际修改
interface Vlan‑interface 1
ip address 10.20.102.200 255.255.255.0
#如果不在同一网段，需要配置静态路由指向核心网关，保证可达10.20.102.14
ip route‑static 10.20.102.14 255.255.255.255 下一跳IP
测试：
ping 10.20.102.14，通了再继续往下配置。
第二步：修改 RADIUS 方案，增加接收 Tunnel 属性（动态 VLAN 核心）
radius‑scheme dyn_vlan
authorization‑attribute accept tunnel #允许接收服务器下发VLAN的tunnel属性
user‑name‑format without‑domain
第三步：全局 802.1X，开启动态 VLAN
dot1x
dot1x authentication‑method eap
dot1x dynamic‑vlan #全局总开关，动态VLAN必须开启
第四步：修改全局默认域，认证调用 ips8021x
domain default enable ips8021x
第五步：接入端口 G1/0/1 配置（电脑接这个口）
接入端口必须是 access，配置未认证隔离 VLAN，开启端口安全、接口动态 VLAN
interface GigabitEthernet 1/0/1
port‑link‑type access
port access vlan 1016 #未认证时放隔离VLAN1016，可以按需修改
undo dot1x #清除原有简陋配置
dot1x
dot1x port‑method auto
dot1x re‑authenticate
dot1x dynamic‑vlan enable #接口开启动态VLAN
port‑security #动态VLAN依赖端口安全
port‑security max‑mac‑count 1
port‑security dot1x
其他接入端口复制 G1/0/1 这套模板即可；上联 G1/0/48 保持现有配置不变。
iMC EIA 服务器账号侧配置（必做，否则认证成功 VLAN 不切换）
用户接入参数下发这 3 条 RADIUS 属性：
- Tunnel‑Type = 13 (VLAN)
- Tunnel‑Medium‑Type =6 (802)
- Tunnel‑Group‑Id = 实际业务 VLAN ID（例 1017）
完整校验命令
ping 10.20.102.14 #确认交换机可达RADIUS服务器
display dot1x session #查看802.1X会话，看下发VLAN字段
display radius scheme dyn_vlan #查看radius配置
display vlan brief
display port‑security brief
display radius statistics #看RADIUS报文，是否收到Access‑Accept
高频踩坑清单
- ❗交换机 ping 不通 10.20.102.14：802.1X 完全无法工作，优先排查管理 IP、静态路由。二层交换机没有 IP，RADIUS 报文无法发出。
- 认证成功，VLAN 不变：检查
authorization‑attribute accept tunnel、全局dot1x dynamic‑vlan、接口dot1x dynamic‑vlan enable，iMC 的 3 条 Tunnel 属性。 - 终端认证后无法上网：确认上联 Trunk 允许通过 iMC 下发的 VLAN，核心设备 VLANIF 网关已经配置。
- 终端下线，端口不会切回隔离 VLAN：端口安全模式会话老化后自动回退，可调
dot1x timer会话超时。
简单回顾改动点对比你的原始配置
- 新增 Vlan‑interface 管理 IP + 静态路由，保证交换机能访问 RADIUS 服务器；
- radius‑scheme dyn_vlan 下新增
authorization‑attribute accept tunnel； - 全局开启
dot1x dynamic‑vlan； domain default enable ips8021x替换原来的 system；- G1/0/1 完整配置 access 模式、隔离 VLAN、端口安全、接口动态 VLAN。
注意：必须配置管理IP（作为NAS-IP与Radius服务器通信）。
1. 基础配置（管理VLAN & IP）
shell
sysname S5310S
vlan 10 // 假设管理VLAN为10，根据实际规划修改
interface Vlan-interface10
ip address 10.20.X.X 255.255.255.0 // 配置与Radius服务器路由可达的管理IP
quit
interface GigabitEthernet1/0/1 // 假设电脑接入端口
port access vlan 1 // 初始VLAN，认证后由Radius下发
quit
2. Radius & 802.1X 全局配置
shell
radius scheme 8021x
primary authentication 10.20.102.14
key authentication simple 1234qwer
nas-ip interface Vlan-interface10 // 指定NAS源IP
quit
domain system
authentication lan-access radius-scheme 8021x
authorization lan-access radius-scheme 8021x
accounting lan-access radius-scheme 8021x // 可选，按需开启
quit
dot1x
dot1x authentication-method eap // 推荐EAP中继，需服务器支持
3. 接口启用802.1X
shell
interface GigabitEthernet1/0/1
dot1x
port-security enable // 部分版本需配合端口安全
quit
4. 验证与保存
shell
save force
服务器端配置检查：需在Radius服务器（如iMC）上配置该交换机的NAS-IP、密钥，并在用户/用户组中授权下发标准属性[Tunnel-Type(VLAN)]、[Tunnel-Medium-Type(802)]、[Tunnel-Private-Group-ID(VLAN ID)]。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论