华为,华赛802.1x配置

802.1X简介IEEE 802.1X标准（以下简称802.1X）是一种基于接口的网络接入控制（Port Based Network Access Control）协议。

“基于接口的网络接入控制”是指在局域网接入控制设备的接口对接入的设备进行认证和控制。

用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源。

802.1X系统为典型的Client/Server体系结构，包括三个实体：∙Supplicant（客户端）客户端一般为用户终端设备，由设备端对其进行认证。

客户端需要安装802.1X的客户端软件，如Windows自带的802.1X客户端。

客户端必须支持局域网上的可扩展认证协议EAPoL（Extensible Authentication Protocol over LAN）。

∙Authenticator（设备端）设备端通常为支持802.1X协议的网络设备，它为客户端提供接入局域网的接口。

∙Authentication Server（认证服务器）认证服务器是为设备端提供认证服务的实体。

认证服务器用于实现对用户进行认证、授权和计费，通常为RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器。

说明：在没有外部认证服务器的情况下，USG可以同时作为本地认证服务器和设备端。

USG的本地认证服务配置请参见配置本地认证。

在有外部认证服务器的情况下，USG作为设备端。

USG上对接RADIUS的配置请参见配置RADIUS认证。

认证实体的信息交换关系如图1所示。

设备端与认证服务器之间通过EAP帧交换信息。

客户端与设备端之间通过IEEE 802.1X所定义的EAPoL帧交换信息。

图1 802.1X认证系统的体系结构当客户端发起认证请求时，设备端作为中继与客户端和认证服务器交互，经过一系列的认证过程后，如果认证成功，设备的接口成为授权状态，允许客户端通过授权接口访问网络。

配置本地认证本地认证是指在没有外部认证服务器的情况下，使用USG作为本地认证服务器。

操作步骤1.创建本地用户。

a.执行命令system-view，进入系统视图。

b.执行命令aaa，进入AAA视图。

c.执行命令local-user user-name password { simple | cipher } password，创建用户并配置密码。

d.执行命令local-user user-name level3，配置用户级别为3。

用户级别必须配置为3，这样用户才能进行认证授权。

2.创建认证方案，配置认证方式为local。

a.执行命令authentication-scheme scheme-name，创建认证方案，并进入认证方案视图。

b.执行命令authentication-mode local，配置认证方式为local。

c.执行命令quit，退回到AAA视图。

3.创建域并引用认证方案。

说明：系统默认存在一个名为dot1x的域。

a.执行命令domain domain-name，创建域，并进入域视图。

当用户使用带域名的用户名进行802.1X认证时，必须在此处配置相应的域。

例如：带域名的用户名为user1@abc，那么必须要配置域abc，否则认证无法通过。

b.执行命令authentication-scheme scheme-name，引用2中创建的认证方案。

配置RADIUS认证RADIUS认证是指在有外部RADIUS服务器的情况下，使用RADIUS服务器作为认证服务器。

背景信息本手册只介绍USG上RADIUS的配置。

RADIUS服务器的相关配置请参见RADIUS服务器的相关手册。

操作步骤1.创建认证方案，配置认证方式为RADIUS。

a.执行命令system-view，进入系统视图。

b.执行命令aaa，进入AAA视图。

c.执行命令authentication-scheme scheme-name，创建认证方案，并进入认证方案视图。

d.执行命令authentication-mode radius，配置认证方法为RADIUS类型。

2.配置RADIUS模板。

说明：此处的RADIUS配置必须和RADIUS服务器上的配置保持一致，否则无法完成和RADIUS服务器的对接。

a.执行命令return，返回用户视图。

b.执行命令system-view，进入系统视图。

c.执行命令radius-server template template-name，创建RADIUS服务器模板，并进入RADIUS服务器模板视图。

d.执行命令radius-server authentication ip-addressport，配置RADIUS主认证服务器。

e.（可选）执行命令radius-server authentication ip-addressport secondary，配置RADIUS备份认证服务器。

f.执行命令radius-server type standard，配置使用的RADIUS协议。

802.1X认证中，仅支持standard协议。

g.执行命令radius-server shared-key key-string，配置RADIUS服务器的密钥。

h.执行命令undo radius-server user-name domain-included，配置传递不带域名的用户名给RADIUS服务器。

进行802.1X认证时，必须配置传递不带域名的用户名给RADIUS服务器。

i.执行命令quit，进入系统视图。

3.创建域并引用RADIUS服务器模板和认证方案。

说明：系统默认存在一个名为dot1x的域。

a.执行命令aaa，进入AAA视图。

b.执行命令domain domain-name，创建域，并进入域视图。

当用户使用带域名的用户名进行802.1X认证时，必须在此处配置相应的域。

例如：带域名的用户名为user1@abc，那么必须要配置域abc，否则认证无法通过。

c.执行命令radius-server template-name，引用2中配置的RADIUS服务器模板。

d.执行命令authentication-scheme scheme-name，引用1中配置的认证方案。

配置以太网接入用户的802.1X认证以太网的802.1X认证是指对指定以太网接口上接入的用户进行802.1X认证。

背景信息逻辑接口不支持802.1X功能。

USG2100和USG2100BSR/HSR支持802.1X功能的接口卡包括：5FSW、8FE+2GE。

USG2200/5100、USG2200BSR/HSR和USG5100BSR/HSR支持802.1X功能的接口卡包括：5FSW、8FE+2GE、16GE+4SFP、18FE+2SFP。

以太网客户端802.1X接入的认证方式支持MD5、TLS、TTLS、PEAP。

操作步骤1.在接口上启用802.1X功能。

a.执行命令system-view，进入系统视图。

b.执行命令interface interface-type interface-number，进入以太网接口视图。

c.执行命令dot1x enable，在接口上启用802.1X功能。

缺省情况下，禁用所有接口的802.1X功能。

2.执行命令dot1x domain domain-name，引用认证域。

缺省情况下，使用默认的认证域dot1x。

在一个接口下只能引用一个认证域。

此处的认证域必须已经在配置认证服务中配置。

只有当用户使用不带域名的用户名进行802.1X认证时，才会使用此处引用的域进行认证。

对于带域名的用户名，使用原来的域进行认证。

3.执行命令dot1x port-control { authorized | auto | unauthorized }，配置接口接入控制的模式。

缺省情况下，接口接入控制的模式为auto。

接入控制模式的说明如下：∙authorized：强制授权模式。

接口始终处于授权状态，允许用户不经认证授权即可访问网络资源。

∙auto：自动识别模式。

接口初始状态为非授权状态，仅允许EAPoL报文收发，不允许用户访问网络资源；如果认证通过，则接口切换到授权状态，允许用户访问网络资源。

这也是最常见的情况。

∙unauthorized：强制非授权模式。

接口始终处于非授权状态，不允许用户访问网络资源。

可选：执行命令dot1x port-method { mac | port }，配置接口的认证方式。

说明：只有在接口接入控制模式配置为auto时，才能配置接口的认证方式。

缺省情况下，接口接入控制的方式为mac。

接入控制方式的说明如下：∙mac：表示基于MAC地址对接入用户进行认证，即该接口下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。

∙port：表示基于接口对接入用户进行认证，即只要该接口下的第一个用户认证成功后，其他接入用户无须认证就可使用网络资源，但是当第一个用户下线后，其他用户也会被拒绝使用网络。

可选：配置静默定时器。

启用静默定时器后，如果某个用户进行802.1X认证时失败，USG将该用户列入静默期。

在静默期内，USG不处理该用户再次的802.1X认证请求（不影响其他用户的802.1X认证），从而防止攻击。

.执行命令dot1x quiet-period enable，启用静默定时器。

缺省情况下，禁用静默定时器功能。

a.执行命令dot1x timer quiet-period time，配置静默定时器时间。

缺省情况下，静默定时器的时间为60秒。

可选：执行命令dot1x dhcp-trigger enable，启用DHCP Discover报文触发认证。

DHCP Discover报文触发认证是指客户端在申请动态IP地址时触发USG对客户端的802.1X 认证。

说明：此命令只能在接口的认证方式为mac时使用。

DHCP Discover报文触发认证只适用于用户PC需要动态申请IP地址且不会主动发起802.1X 认证的情况下，例如当用户PC的操作系统为Windows XP sp2，且没有安装任何独立802.1X 客户端，并需要通过DHCP来动态获取IP地址时，就需要启用DHCP Discover报文触发认证。

否则用户PC只能获取IP地址，无法通过802.1X认证。

缺省情况下，禁用DHCP Discover报文触发认证。

可选：配置802.1X客户端在线检测。

802.1X客户端在线检测功能用来定期检测802.1X认证成功的客户端是否在线。

如果得不到客户端的应答，USG就会让客户端下线，防止USG无法感知用户由于异常原因下线，从而避免接口连接资源的异常占用。