#原创分享#全网AC结合H3C交换机做802.1x认证
  

1130300201 56104人觉得有帮助

{{ttag.title}}
用HCL里面的虚拟交换机连接全网行为管理测试802.1x认证
一、拓扑:   
89049601a593e2f11e.png
二、交换机配置
2.1 基础配置。
vlan 10
name Office
#
vlan 20
name Guest
#
vlan 30
name Critical
#
vlan 100
name Con_To_AC
#
dhcp server ip-pool vlan10
gateway-list 192.168.10.1
network 192.168.10.0 mask 255.255.255.0
dns-list 218.85.157.99
#
dhcp server ip-pool vlan20
gateway-list 192.168.20.1
network 192.168.20.0 mask 255.255.255.0
dns-list 218.85.157.99
#
dhcp server ip-pool vlan30
gateway-list 192.168.30.1
network 192.168.30.0 mask 255.255.255.0
dns-list 218.85.157.99
#
interface Vlan-interface10
ip address 192.168.10.1 255.255.255.0
dhcp server apply ip-pool vlan10
#
interface Vlan-interface20
ip address 192.168.20.1 255.255.255.0
dhcp server apply ip-pool vlan20
#
interface Vlan-interface30
ip address 192.168.30.1 255.255.255.0
dhcp server apply ip-pool vlan30
#
interface Vlan-interface100
ip address 10.252.251.1 255.255.255.0
#
interface GigabitEthernet1/0/1
port link-mode bridge
port access vlan 100


2.2 配置snmp
snmp-agent
snmp-agent community read simple sangfor
snmp-agent sys-info version v2c

2.3 配置radius服务器信息、ISP域
radius scheme sangfor_rd
primary authentication 10.252.251.251
primary accounting 10.252.251.251
key authentication simple sangfor
key accounting simple sangfor
user-name-format without-domain
#
domain name sangfor_ad
authentication lan-access radius-scheme sangfor_rd
authorization lan-access radius-scheme sangfor_rd
accounting lan-access radius-scheme sangfor_rd
#
domain default enable sangfor_ad

2.4 配置dot1x(portbased)
dot1x
dot1x authentication-method eap
#
interface GigabitEthernet1/0/2
port link-mode bridge
dot1x
dot1x mandatory-domain sangfor_ad
dot1x port-method portbased
dot1x guest-vlan 20
dot1x critical vlan 30
#
三、全网AC配置
3.1 配置IP、路由(略)
3.2 配置跨三层取mac
56535601a5c1ecdfd6.png
3.3配置802.1x接入认证
84501601a5c42afcde.png
   vlan关联用户
18255601a5c59dd27e.png
3.4添加用户
46446601a5c7a9a03e.png
四、验证
4.1 客户端认证前
交换机自动将接口划入vlan20,并且终端可以正常获取vlan20的ip地址。
31580601a5e4ca716f.png 29926601a5e5c4abf5.png
4.2客户端认证后
使用iNode客户端进行802.1x认证(没开准入模块序列号)
44206601a5e92f1969.png
交换机自动将接口划入vlan10
62246601a5eb21a53b.png
客户端获取到vlan10的地址
24773601a5ec2b3641.png
在AC上能看到用户在线(IP会显示错误,因为不是使用认证助手,iNode的ip上报机制无法上报到AC)
18587601a5f0889f61.png
4.3 AC故障测试
AC上关闭802.1x接入认证(或者点开启逃生功能)
93796601a5fa1d4306.png
终端无法认证成功
41903601a5fbeddaa5.png
交换机将端口划入vlan30
78148601a5fdf54004.png
终端获取到vlan30的地址
7325601a5fee774e7.png

PS:如果接入方式使用macbased,需要全局开启mac认证,并且接口配置改为:
interface GigabitEthernet1/0/2
port link-type hybrid
undo port hybrid vlan 1
port hybrid vlan 10 20 30 untagged
mac-vlan enable
dot1x
dot1x mandatory-domain sangfor_ad
dot1x guest-vlan 20
dot1x critical vlan 30
mac-authentication

模拟器无法实现mac-vlan(命令能敲,没效果),需用真机!!!!

打赏鼓励作者,期待更多好文!

打赏
8人已打赏

Sangfor_闪电回_朱丽 发表于 2021-2-3 17:27
  
您好,您的文章已被收录到原创分享计划并放到技术博客中,以便让更多的小伙伴们关注和学习,文章将交由专家评审小组评审,奖励在活动结束后统一安排发放!
发文越多,奖励越多,本季连续两月参与,还有额外礼品!
期待您更多的精彩文章哦!
点击查看本季奖励规则:http://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=137569
三胖 发表于 2021-2-4 08:27
  
这是哪个平台,eve模拟器?
新手170263 发表于 2021-2-4 09:07
  
感谢作者的分享  期待更多你的作品
SnowWolf 发表于 2021-2-4 11:26
  
原来是用模拟器操作的啊
新手147610 发表于 2021-2-4 18:42
  
感谢楼主分享,这个很实用。
水之蓝色 发表于 2021-2-4 21:09
  

感谢楼主分享
新手612152 发表于 2021-2-4 21:13
  
感谢作者的分享  期待更多你的作品
新手078326 发表于 2021-2-4 21:20
  
过年来学习一波,感谢分享
新手899116 发表于 2021-2-4 21:30
  
感谢楼主分享,这个很实用
发表新帖
作者其他文章
热门标签
全部标签>
每日一问
技术盲盒
技术笔记
干货满满
每周精选
技术咨询
信服课堂视频
标准化排查
产品连连看
新版本体验
安装部署配置
自助服务平台操作指引
秒懂零信任
功能体验
GIF动图学习
玩转零信任
2023技术争霸赛专题
通用技术
技术晨报
社区帮助指南
安全攻防
每日一记
深信服技术支持平台
天逸直播
华北区交付直播
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
答题榜单公布
纪元平台
卧龙计划
华北区拉练
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV

本版版主

147
108
49

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

七嘴八舌bar

本周分享达人

新手76619...

本周提问达人