×

全网行为管理对接802.1X认证案例
  

邵公子35185 6610

{{ttag.title}}
一、 AC认证过程介绍
1. 在交换机上启用802.1x协议,PC使用自带或者认证助手发起开始认证请求,PC安 装客户端和交换机对接,通过802.1x协议完成认证;
2. 交换机收到请求之后,要求客户端提交用户信息;
3. 客户端会提交用户信息给到交换机(当为哑终端无法提交用户信息时提交终端 MAC信息,需要交换机配置MAB属性);
4. 交换机收到用户信息之后,将数据封装成RADIUS报文发送到AC;
5. AC完成校验,如果检验成功通过认证,发送认证成功报文给到交换机,交换机然 后放通端口,如果检验失败,发送认证失败报文给交换机,交换机不放通端口。
6. 完成用户上线后可以根据用户划分VLAN,AC上配置用户归属VLAN,认证通过后 将用户划分到对应的VLAN。
7. 针对哑终端,配合MAB认证,对哑终端进行放行。
8. 如果需要检查终端合规性,则开启准入功能。
9. 认证成功之后AC上是没有用户在线的,需要收到计费报文才开始走上线流程,上 线方式有三种
方式一:是交换机发带IP地址的RADIUS计费报文给AC(需要交换机配置支持); 方式二:另外一种是二层流量触发,终端和AC在同一个二层环境下通过ARP报文(广 播),DHCP报文(广播)拿到数据包中的IP和MAC地址信息; 方式三: 是跨三层取MAC地址,这种方式可以得到IP和MAC地址的对应关系,交换 机镜像ARP或者DHCP接到AC的镜像口,或者配置SNMP协议
二、 配置思路介绍
1. AC开启802.1x认证。
2. 账号配置:配置本地用户或者域用户。
3. 开启动态VLAN功能(可选)。
4. 交换机配置802.1x对接AC。
5. 交换机配置RADIUS计费报文发到AC,如果交换机不支持发送带IP地址的计费报 文,则交换机需要配置镜像口接到AC开启跨三层取MAC(通过镜像抓取ARP或者 DHCP报文;也可通过SNMP服务器获取)。
6. Windows终端选择自带的802.1x客户端或者使用认证助手认证
三、802.1x + 本地用户
1. 使用场景介绍
该场景是结合AC本地用户对接入终端做802.1x认证,交换机开启802.1x,终端输入 AC本地创建的用户名和密码完成认证。
操作步骤
步骤1. AC开启802.1x认证。
启用802.1X入网控制功能,并配置Radius认证和计费端口;配置的 Radius端口不能 与联动对接设置中Radius认证服务器冲突(AC内置两套Radius服务器,802.1x认证 使用Free Radius,联动对接设置中的Radius是在Portal对接中使用,两者端口不冲 突的情况下可以同时开启);若冲突,请修改联动对接设置中Radius认证服务器的端口,配置为其他端口。
步骤2. 认证服务器启用本地密码认证,导航菜单中的[接入管理/接入认证802.1x]点击 开始配置。当有认证数据发到AC时联动交换机会显示交换机的状态。
步骤3. 认证服务器选择本地密码时,在用户组中本地用户即可新建,如下图:
步骤4. 对接交换机802.1x配置 对应交换机启用802.1x功能,认证服务器选择radius,radius服务器指向AC,交换配置可以参考网盘链接: https://pan.baidu.com/s/105t80MoRg-OZw86ucVtZZg 提取码: e7qd
次环境交换机使用的配置如下图:
步骤5. 使用户能在AC上线:三种方式上线,可以通过交换机配置计费报文带IP发到 AC或者交换机配置镜像口接入到AC镜像口,通过抓取ARP或者DHCP包获取MAC或 者通过SNMP获取MAC地址。建议是通过计费报文的方式。下面以SNMP为例
步骤6. 配置SNMP服务器,需要交换机开启相关服务。
步骤7. 认证助手配置(这里介绍通过手动安装MSI包来安装准入客户端) 到AC平台下载准入客户端,如下图,两个下载入口,同时注意在AC控制台勾选开启 准入认证客户端802.1x功能才会生成快捷方式,还要注意填入准入客户端的网关地址, 填写AC设备的地址。如下图
步骤8. 解压之后以管理员权限安装singress.msi,注意勾选开启准入认证客户端 802.1x功能才会生成快捷方式。


步骤9. 安装完成之后会在桌面生成快捷方式。

步骤10. Window自带802.1x配置说明,见附录认证客户端配置方法。 用认证助手时注意右上角选择正确的网卡:
效果展示

419556619d57793c7e.png (1.46 MB, 下载次数: 228)

419556619d57793c7e.png

430046619d5aebdd9b.png (2.24 MB, 下载次数: 216)

430046619d5aebdd9b.png

24536619d5baea5e1.png (2.24 MB, 下载次数: 217)

24536619d5baea5e1.png

打赏鼓励作者,期待更多好文!

打赏
23人已打赏

飞翔的苹果 发表于 2024-4-18 08:04
  
感谢分享,学习一下~
科思哲 发表于 2024-4-18 08:31
  
感谢分享,学习一下~
听雷 发表于 2024-4-18 11:11
  
感谢分享,学习一下~
水若善 发表于 2024-4-18 17:25
  
楼主分享的很详细,有助于工作!
水若善 发表于 2024-4-19 08:52
  
感谢分享,学习一下~
Tough_future 发表于 2024-4-19 08:56
  
感谢分享,学习一下~
听雷 发表于 2024-4-19 11:35
  
感谢分享,学习一下~
新手751436 发表于 2024-4-19 21:38
  
学习了,增加知识点和经验
小鱼儿 发表于 2024-4-20 09:34
  
一起来学习 一起来学习
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
西北区每日一问
干货满满
【 社区to talk】
技术笔记
安全效果
新版本体验
技术咨询
功能体验
标准化排查
高手请过招
2023技术争霸赛专题
GIF动图学习
信服课堂视频
产品连连看
社区新周刊
秒懂零信任
技术晨报
自助服务平台操作指引
每周精选
技术圆桌
每日一记
玩转零信任
纪元平台
场景专题
升级&主动服务
全能先锋系列
畅聊IT
答题自测
专家问答
在线直播
MVP
网络基础知识
安装部署配置
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
故障笔记
排障那些事
高频问题集锦
POC测试案例
云化安全能力

本版版主

124
74
30

发帖

粉丝

关注

26
8
0

发帖

粉丝

关注

70
36
1

发帖

粉丝

关注

6
14
0

发帖

粉丝

关注

18
10
5

发帖

粉丝

关注

本版达人