2024年6月2日发(作者：)
誉天Cisco / Linux认证社区 /BBS
Cisco 802.1x 准入控制 配置指南
802.1x简介：
802.1x协议起源于802.11协议，802.11是IEEE的无线局域网协议，制订802.1x协议的初衷是为了
解决无线局域网用户的接入认证问题。IEEE802 LAN协议定义的局域网并不提供接入认证，只要用
户能接入局域网控制设备(如LAN Switch)，就可以访问局域网中的设备或资源。这在早期企业网有
线LAN应用环境下并不存在明显的安全隐患。
随着移动办公及驻地网运营等应用的大规模发展，服务提供者需要对用户的接入进行控制和配置。
尤其是WLAN的应用和LAN接入在电信网上大规模开展，有必要对端口加以控制以实现用户级的接入
控制，就是IEEE为了解决基于端口的接入控制(Port-Based Network Access Contro1)而定
义的一个标准。
二、802.1x认证体系
802.1x是一种基于端口的认证协议，是一种对用户进行认证的方法和策略。端口可以是一个物理端
口，也可以是一个逻辑端口(如VLAN)。对于无线局域网来说，一个端口就是一个信道。802.1x认证
的最终目的就是确定一个端口是否可用。对于一个端口，如果认证成功那么就“打开”这个端口，
允许所有的报文通过；如果认证不成功就使这个端口保持“关闭”，即只允许802.1x的认证协议报
文通过。
实验所需要的用到设备：
认证设备：cisco 3550 交换机一台
认证服务器：Cisco ACS 4.0
认证客户端环境：Windows xp sp3
实验拓扑：
实验拓扑简单描述：
在cisco 3550上配置802.1X认证，认证请求通过AAA server,AAA server IP地址为：172.16.0.103，
认证客户端为一台windows xp ,当接入到3550交换机上实施802.1X认证，只有认证通过之后方可
以进入网络，获得IP地址。
实验目的：通过本实验，你可以掌握在cisco 交换机如何来配置AAA（认证，授权，授权）,以及如
何配置802.1X,掌握 cisco ACS的调试，以及如何在windows xp 启用认证，如何在cisco 三层交换
机上配置DHCP等。。好了，下面动手干活。。
实验过程：
Cisco 3550配置
由于cisco 交换机默认生成树都已经运行，开启生成树的目的为了防止网络发生环路，但是根据
portfast的特性，如果交换机的某个接口连接的是路由器或者交换机，就可以启用portfast来加快
接口的相应时间，跳过生成树的收敛。并且如果要在接口启用802.1x认证，接口要是access模式
*********************************配置过程**********************************
sw3550(config)#int f0/1
武汉誉天.独家授权Cisco / RHCE培训
誉天Cisco / Linux认证社区 /BBS
sw3550(config-if)#switchport mode access
//配置f0/1接口永久为接入模式
sw3550(config-if)#spanning-tree portfast
//启用portfast特性（注意下面的警告提示哦）
%Warning: portfast should only be enabled on ports connected to a single
host. Connecting hubs, concentrators, switches, bridges, to this
interface when portfast is enabled, can cause temporary bridging loops.
Use with CAUTION
%Portfast has been configured on FastEthernet0/2 but will only
have effect when the interface is in a non-trunking mode.
sw3550(config)#int f0/3
sw3550(config-if)#switchport mode access
sw3550(config-if)#spanning-tree portfast
%Warning: portfast should only be enabled on ports connected to a single
host. Connecting hubs, concentrators, switches, bridges, to this
interface when portfast is enabled, can cause temporary bridging loops.
Use with CAUTION
%Portfast has been configured on FastEthernet0/2 but will only
have effect when the interface is in a non-trunking mode.
sw3550(config-if)#exit
sw3550(config)#int vlan 1
sw3550(config-if)#ip add 172.16.0.101 255.255.0.0
//默认的所有的交换机上的所有接口都在vlan 1,给VLAN1配置IP地址，目的是与AAA服务器，
172.16.0.103相互ping通，
sw3550(config-if)#no shutdown
00:05:08: %LINK-3-UPDOWN: Interface Vlan1, changed state to up
00:05:09: %LINEPROTO-5-UPDOWN: Line protocol on Interface Vlan1, changed state to up
sw3550(config)#aaa new-model
//全局开启AAA，（AAA默认是关闭的）
sw3550(config)#aaa authentication login default group radius local
//配置登陆验证方式优先用radius，当radius不能提供认证服务，则采用本地认证，认证调用的名
称按默认名称default
sw3550(config)#radius-server host 172.16.0.103 key server03
//指定radius Server的IP地址为172.16.0.103，Radius Server与交换机认证的密钥为server03(这
里的server03，是我安装ACS 4.0，在安装过程最后一步定义的密码)
sw3550(config)#aaa authentication dot1x default group radius local
武汉誉天.独家授权Cisco / RHCE培训
发布评论