快捷搜索:

802.1x进行自动VLAN分配技巧

设备情况:Cisco Catalyst 3550-24-EMI(IOS:12.1(14)EA1 EMI),Cisco Secure ACS v3.1

1、和802.1x相关的互换机主要设置设置设备摆设摆设内容:

aaa new-model

aaa authentication dot1x defa ult group radius

aaa authorization network default group radius

!---假如只是做802.1x认证,则aaa authorization network这句可不要,如要做VLAN分配或per-user ACL,则必须做network authorization

dot1x system-auth-control

!---留意在12.1(14)EA1版今后802.1x的设置设置设备摆设摆设有了改动,此句enable 802.1x

interface FastEthernet0/1

description To Server_Farm

switchport mode access

dot1x port-control auto

dot1x max-req 3

spanning-tree portfast

!---dot1x port-control auto句在F0/1上enable dot1x,别的留意在F0/1口下我并没有给它赋VLAN

radius-server host 1.2.3.4 auth-port 1812 acct-port 1813 key radius_string

radius-server vsa send authentication

!---radius-server host 1.2.3.4句定义radius server信息,并给出验证字串

!---由于要设置设置设备摆设摆设VLAN分配必须应用IETF所规定的VSA(Vendor-specific attributes)值,radius-server vsa send authentication句容许互换机识别和应用这些VSA值。

设置设置设备摆设摆设802.1x动态分配VLAN所用到的VSA值规定如下:

[64] Tunnel-Type = VLAN

[65] Tunnel-Medium-Type = 802

[81] Tunnel-Private-Group-ID = VLAN name or VLAN ID

2、和802.1x相关的ACS主要设置设置设备摆设摆设内容:

这个设置设置设备摆设摆设要看图了,别的附带说一点,Cisco文档说ACS 3.0之前是不支持802.1x的。由于802.1x应用radius进行认证,以是在选用认证协议时我选用的是RADIUS(IETF),而缺省是Cisco的TACACS+。

在Interface Configuration中对RADIUS(IETF)进行设置设置设备摆设摆设,在组用户属性中选中[64]Tunnel-Type、[65] Tunnel-Medium-Type、[81]Tunnel-Private-Group-ID(见下图)。

在Group Setup中对RADIUS Vendor-SpecificAttributes值进行编辑:勾选[64]Tunnel-Type,将tag 1的值选为VLAN;勾选[65]Tunnel-Medium-Type,将tag 1的值选为802;勾选[81]Tunnel-Private-Group-ID,将tag1的值设为7,注解为VLAN 7(见下图)。设置完后,Submit+Rest。

3、事情站真个设置:

WINXP本身内置对802.1x的支持,微软在前不久出了一个补丁可以让WIN2K也支持802.1x,必要留意的是WIN2K SP4已经内置了对802.1x的支持,SP3以下可应用此补丁:

安装完此补丁后,802.1x默认是不启动的,可在办事中手动打开WirelessConfiguration办事,打开此办事后,在网卡连接属性中会多出一栏Authenticatioin,在此栏中勾选Enablenetwork access control using IEEE 802.1x,同时在EAP type中选中MD5-Challenge。

4、测试:

在所有设置完成后,可以察看到802.1xenable的F0/1口上状态灯显示为黄灯,而在事情站端过一会后会弹出一个认证窗口,在用户名/口令处填入 ACS中定义好的用户名/口令,域名处不填,同时察看WIN2K systray处的连接图标,上面会有和认证办事器联系及认证用户的浮动提示,同时F0/1的状态灯也会顺利变为绿灯。

认证经由过程后查验VLAN值是否已精确分配:先ping VLAN7的网关地址,通;再ping其它VLAN的网关地址,通;着末看可否上Internet,通。

ACS Interface Configuration设置图例见下图。

[page]

ACS Group Setup设置图例

[page]

收集连接属性设置图例

注:

1、ip 可以由3550 来作dhcp server ,显示802。1x 激活端口,然后用dhcp 分ip,至于mac地址再绑定,这里没有需要了,有了802。1x 就不用vmps拉,802。1x可以根据用户名来分vlan。

2、接注1问题,我是想确定每台电脑的IP地址。例如现在用的6509,假如直接用它做DHCP ,那么端口激活获得VLANTAG后,分配的IP地址我想固定逝世。由于我们针对防火墙日志自己开拓了一个阐发软件是基于IP地址的。这种环境下我想固定分配给客户端IP。然则客户端电脑又要从DHCP中获得固定IP

您可能还会对下面的文章感兴趣: