注册
登录
| 关键词： 认证 配置 端口 AAA RADIUS 服务器 报文 状态 密钥 用户 |
ACS上的配置：System Configuration 打开ACS的配置界面，点Network Configuration，在AAA Servers里点击Add Entry配置AAA服务器。 配置AAA报务器 如上图所示，填写好AAA服务器的名字、服务器的IP地址、密钥（密钥一定要为这个值，否则会出错），其它保持默认，再点击Submit+Apply提交并应用。 添加AAA客户 在AAA Clients里点击Add Entry，进行AAA客户配置。 AAA客户配置 如上图所示，填写好客户名，客户的IP地址（一般路由器三层交换机为LOOPBACK，二层交换机为网管地址）、密钥、认证使用RADIUS IETF，提交并应用。 添加用户 点user steup进入用户配置，输入你要建立的用户名，点击添加。 用户配置 为用户配置密码，其它保持默认，提交。 进入system configuration －global authentication setup配置 在LEAP选项中去掉钩，钩选EAP-MD5,提交并重启。 其它配置就不说了，要保证连通性，才能部署AAA。 SW3配置如下： SW3（config）# aaa new-model //开启AAA认证 radius-server host 172.16.25.25 key cisco //配置RADIUS服务器地址和密钥（与服务器一致） ip radius source-interface vlan 19 //指定以此IP为源发送RADIUS报文，也就是服务器上的客户地址 aaa authentication login default group radius local //login登录为AAA认证，认证失败后启用本地认证 在用户PC测试如下： 认证没问题！ 现在在接口上配置802.1x认证： SW3： SW3（config）# dot1x system-auth-control //开启802.1x认证 aaa authentication dot1x default group radius //认证使用radius服务器的默认组 int f1/3 SW3(config-if)# dot1x port-control auto //开启端口认证，认证通过为授权状态 //dot1x port-control force-authorized //端口始终处于授权状态（不需认证） //dot1x port-control force-unauthorized //端口始终于处于非授权状态（不允许用户认证，不提供认证服务） //dot1x host-mode single-host|multi-host //默认为single-host在该接口下，只有1台主机能通过认证和访问网络 multi-host在该接口下，只需1台主机通过认证，所有主机能访问网络 在启用802.1x认证后接口会变成down *Mar 1 00:26:57.887: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/3, changed state to down 在通过认证后，接口协协为up *Mar 1 00:29:27.695: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/3, changed state to up 在接入设备上启用dot1x计费： SW3(config-if)# aaa accounting dot1x default start-stop group radius 注意：802.1x的端口类型分为受控端口和非受控端口。受控端口，有授权状态下始终处于双向连通状态，用于传递用户数据，在非受权状态下禁止客户端接收任何报文。非受控端口，始终处于双向连通状态，主要用来EAPOL协议帧，保证客户端始终能够发出或接收认证报文，也可以传递交换机的协议报文。 在PC机上认证时，需开启这两个服务 在本地连接属性中选择身份认证，启用802.1x认证，验证方法为MD5-质询 点击弹出的信息（有时需等待几十秒才会弹出信息） 输入AAA服务器上存放的用户名和密码 现在认证成功，进行测试，能PING通！ 本文出自 “凡人世界” 博客，请务必保留此出处http://tangfangxiao.blog.51cto.com/2116646/677021 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
