项目需求:                最近公司为了加强 网络内部安全,,用户电脑在接入网络的时候,需要通过用户名、密码的方式验证用户是否合法,只有拥有正确的用户名、密码的用户才能访问研发网络,同时检查防病毒软件是否升级最新病毒库和提交电脑资产。 
解决方法:         通过NAC安全解决方案中的802.1x认证从接入网络的终端安全控制入手,将终端安全状况和网络准入控制结合在一起,通过检查、隔离、加固和审计等手段,加强网络用户终端的主动防御能力,保证企业中每个终端的安全性,进而保护企业整网的安全性。 
实施方案:        办公用户必须通过dot1x认证才能接入网络。部署两台AAA服务器作为冗余, 详细需求如下: ·    802.1X基本认证:PC使用使用客户端完成802.1X认证。 ·    radius服务器冗余:使用双radius服务器       
 
网络拓扑:  
配置步骤: 
全局: 上面端口配置是基于统一模式配置,需要确定设备的版本 
对应xx设备配置 # radius-server template radius                                                    radius-server shared-key cipher x.x.x.x//此shared-key一定要和服务器添加设备时配置radius服务器一致                                                                               radius-server authentication x.x.x.x  1812 weight 80                                                                      radius-server accounting x.x.x.x 1813 weight 80 radius-server authentication x.x.x.x1812 weight 50                                                                      radius-server accounting x.x.x.x 1813 weight 50 # aaa                                                                              authentication-scheme default                                                   authentication-scheme radius                                                                                                       authorization-scheme default                                                    accounting-scheme default                                                                                                               accounting-mode radius                                                           accounting start-fail online                                                                                                domain default//如果配置了自定义域,在自定义域下绑定认证计费及服务器模板,全局通过domain xxx修改默认域          authentication-scheme default                                                     accounting-scheme default                                                         radius-server radius   # interface GigabitEthernet0/0/1         port link-type access         port default vlan 11//VLAN ID根据现网需求具体部署,如果需要下发动态VLAN信息,把接口改为hybrid类型         authentication dot1x         dot1x reauthenticate         dot1x authentication-method eap #// 
 
 
 
 
 
 
 
 
[size=13.3333px]               |