Cisco C3560 C3570 RADIUS MAB 802.1X认证配置脚本

IP Address: 10.5.222.70
User-Name: 00-1B-4F-50-93-92
Status: Authz Success
Domain: VOICE
Oper host mode: multi-auth
authentication open
//低风险模式（需要配置简单的列表（见上文）并调用）
authentication order mab dot1x
//先做mac地址旁路，再做802.1x（更改顺序如dot1x mab无意义）
authentication priority dot1x mab
全局模式 mac move配置：
authentication mac-move permit
//缺省情况当一个mac地址已经在一个交换机端口下认证过，再转移到另一个端口时会被拒绝，启用mac-move，可以使交换机端口快速开启认证，
如IP电话后接PC转接交换机其他端口时快速认证（12.2（50）以后版本默认开启，12.2（50）以前版本无此配置），authentication open模
Oper control dir: both
Authorized By: Authentication Server
Session timeout: 120s (local), Remaining: 52s
Timeout action: Reauthenticate
deny udp any host 10.1.11.161 eq 8909
deny tcp any host 10.1.11.161 eq 8443
deny tcp any host 10.1.11.161 eq 8905
deny tcp any host 10.1.11.161 eq 8909
式下，一个mac地址可以立即从原始端口move到新端口，置：
（1）简单列表配置（可选）：（交换机802.1X认证通过前放行部分基本流量）
ip access-list extended ACL-DEFAULT
remark dhcp
deny udp any host 10.1.11.161 eq 8905
deny udp any host 10.3.220.254 eq 8905（接交换机设备网关，web认证时客户端会首先发包到网关，交换机做后续处理）
deny udp any host 10.1.11.161 eq 8906
authentication event fail action next-method
//认证失败时采用下一中认证方式，如mab失败后采用802.1x
authentication event sever dead action authorize vlan XXX
//服务器down掉时接入指定的valn
authentication event sever alive action reinitiaize
//服务器alive时，重新开始认证
authentication event no-response action authorize vlan YYY
如：
Test-3560#show ip access-lists int f0/48
permit ip host 10.5.222.70 any
(3)show ip device tracking intface g0/x
//属性8，接入请求时发送IP地址数据帧，与以前不同，可能开始时网已经通了，在进行802.1x认证，radius服务器也可以根据发送的IP地址进行有线无线等的操作
radius-server attribute 25 access-request include
radius-server dead-criteria time 5 tries 3
deny tcp any host 10.3.220.254 eq 8905（接交换机设备网关）
permit ip any any
2、端口0/x启用MAB和802.1x认证：
MAB： mac address bypass，mac地址旁路，用于不能做802.1x认证如打印机，AP，Avaya IP电话等设备做认证
radius-server vsa send accounting（可选）
radius-server vsa send authentication
//很重要，vsa（厂商特殊属性），ISE等radius服务器有些厂商特殊属性需要下发，不开启只会下发标准属性，download访问控制列表可能会无法下发
//认证没有响应时接入指定vlan（guest vlan，mutil-auth端口下不可以配置guest vlan和auth-fail valn）
authentication host-mode multi-auth
//四种主机模式，mutil-auth功能最为强大，详情请参考官方交换机文档
remark drop all the rest
deny ip any any log
（2）Web重定向列表配置（可选）：（用于web认证配置时决定什么样的流量做重定向）
ip access-list extended WEB-REDIRECT
deny udp any any eq domain
Method State
mab Authc Success
dot1x Not run
(2)show ip access-lists interface g0/x
//查看接口访问控制列表下发情况，认证成功，会主动替换源IP，如permit any any变为permit x.x.x.x any
permit udp any eq bootpc any eq bootps
remark dns
permit udp any any eq domain
remark ping
permit icmp any any
remark tftp
permit udp any any eq tftp
dot1x system-auth-control
//（很重要）交换机全局启用dot1x，必须开启，否则MAB认证后不会主动进行802.1x认证
ip device tracking
//很重要，跟踪设备的IP地址，替换download访问控制列表（radius服务器上配置）原IP，没跟踪上，ping等操作都会出现问题
//当两个认证都通过并获得授权，dot1x授权起效（更改顺序如mab dot1x无意义）
authentication port-control auto
//启用802.1x
authentication violation restrict
//交换机端口安全配置，违反限制，会发送警报信息（默认开启）
//判断radius是否有问题标准，尝试3次，每次5秒，通过15秒相应，判断radius是否有问题，并做相应策略
radius-server host 10.1.11.161 auth-port 1812 acct-port 1813
radius-server key mindray
//radius服务器ip，认证审计端口配置，交换机与radius服务器通信关键字
mab
//启用mab
dot1x pae authenticator
//（12.2（50）以前版本默认交换机是认证者，12.2（50）以后可以是客户端也可以是认证者）
spanning-tree portfast
3、查看接口认证结果：
(1)show authentication session interface g0/x
//查看接口ip地址跟踪信息，可以看到valn下发状况
根据官方文档及项目资料整理，详细介绍参见（3560/3750交换机配置指导12.2（50）以上版本radius/802.1x配置）
1、交换机启用radius认证：
aaa new-model
//交换机radius及tacacs认证配置都需要启用AAA
aaa authentication dot1x default group radius
interface g0/x
description To XXX
switchport mode access
switchport access vlan 220
//（可选）数据vlan，当802.1x用户名密码认证根据用户名密码决定vlan下发时可不用配置
switchport voice vlan 221
//接IP电话等语音设备时必须配置，mutil-auth端口下只能有一个voice valn
可选配置：
ip access-group ACL-DEFAULT in
//调用简单列表（见上文），与authentication open模式配合使用可降低认证风险
//查看接口mab/dot1x认证、授权状态信息
如：
Test-3560(config-if)#do show auth sess int f0/48
Interface: FastEthernet0/48
MAC Address: 001b.4f50.9392
Idle timeout: N/A
Common Session ID: 0A03DCF0000000010044F8BD
Acct Session ID: 0x00000004
Handle: 0xCF000001