本帖最后由 大楠 于 2023-8-16 10:59 编辑
一、背景
单位对网络安全要求比较高,一直使用的是802.1x+FreeRadius做终端准入控制,前几年,使用的是证书认证方式(即在接入终端上安装数字证书,做为准入凭据),后来,因为有部分国产安可电脑有接入网络的需求,因此,将认证方式改为了MAC地址认证方式,但主要面临着以下两个问题:
1、在用的FreeRadius为开源软件,版本较老,存在潜在的安全隐患,且缺少技术支持;
2、目前,只有一个运维人员掌握调试方式,存在可持续运行风险。
因此,考虑使用全网行为管理实现相同功能,替换现有设备
二、准备工作
实验环境:全网行为管理设备【软件版本:13.0.47】,华为s5720-28P-LI-AC【软件版本:V200R011C10SPC600】
参考资料:
1、交换机配置原厂文档
2、交换机802.1X配置工具v2.0
三、实施步骤
1、在全网行为管理上配置802.1x
设置服务器秘钥,实验的时候设置为123,认证方式选择本地密码
选上“启用强制注销用户功能”
创建测试用户并绑定mac地址,登录名和密码填终端的mac地址,我这里测试时,终端的mac地址是不加任何分割符的【需要和交换机上的设置保持一致】
绑定MAC地址是以-为分隔符的,即:xx-xx-xx-xx-xx-xx
为用户分配vlan
在“802.1x接入认证”--“vlan关联用户”里添加绑定关系
选择测试用户并设置vlanid
2、交换机配置【详细命令解释可参考交换机原厂配置文档】
<
接口设置:
<
四、测试
把终端接入交换机,可以在全网行为管理上看到对应的用户登录信息
验证动态VLAN是否生效
终端接入前:
终端接入后,可以看见对应的端口,说明动态vlan分配成功
|