配置MAC认证的扩展功能与可选参数
配置能够触发MAC认证的报文类型
背景信息
使能MAC认证功能后，缺省情况下，设备在接收到DHCP/ARP/DHCPv6/ND报文后均能触发对用户进行MAC认证。根据实际网络中的用户情况，管理员可调整允许触发MAC认证的报文类型。譬如网络中的用户均为动态获取IPv4地址的用户，此时可配置仅允许通过DHCP报文触发MAC认证，这样能够有效的避免网络中存在非法用户配置静态IPv4地址后，不断发送ARP等报文触发MAC认证，占用设备CPU资源。
当设备支持DHCP报文触发MAC认证时，可以借助DHCP报文完成对用户进行重认证、及时清除设备上保持的MAC认证用户表项以及将用户的终端信息上送到认证服务器等功能。
当设备支持DHCP报文触发MAC认证，并且用户采用DHCP选项作为MAC认证用户名时（配置MAC认证用户名形式请参见配置用户认证时采用的用户名形式），如果通过认证服务器向设备授权华为RADIUS扩展属性HW-Forwarding-VLAN（属性号26-161），那么为使该属性功能生效，用户报文必须携带有双层VLAN Tag并且外层VLAN ID不能和HW-Forwarding-VLAN的ID相同。
操作步骤
- 执行命令system-view，进入系统视图。
- 配置允许触发MAC认证的报文类型。
可在全局或接口下配置，在全局下配置，对所有接口功能生效；在接口下配置，仅对指定接口功能生效；在全局和接口下同时配置，接口下的配置优先生效。
缺省情况下，DHCP/ARP/DHCPv6/ND报文均能够触发MAC认证。
- （可选）使能DHCP报文触发MAC认证时将DHCP选项信息上送到认证服务器。
可在全局或接口下使能，在全局下使能，对所有接口功能生效；在接口下使能，仅对指定接口功能生效；在全局和接口下同时使能，接口下的配置优先生效。
缺省情况下，DHCP报文触发MAC认证时不会将DHCP选项信息上送到认证服务器。
视图 操作步骤 应用场景 系统视图 执行命令authentication trigger-condition dhcp dhcp-option option-code，使能DHCP报文触发MAC认证时将DHCP选项信息上送到认证服务器。
Option82选项记录了DHCP用户的位置、业务（语音业务、数据业务）等信息。执行本命令后，设备在接收到DHCP报文触发对用户进行MAC认证时能够将Option82选项信息上送到认证服务器，认证服务器根据该选项记录的用户信息即可为不同位置、不同业务的用户分配不同的网络访问权限。这样能够实现对各个用户的网络访问权限进行精确控制。
接口视图 执行命令interface interface-type interface-number，进入接口视图。
执行命令authentication trigger-condition dhcp dhcp-option option-code，使能DHCP报文触发MAC认证时将DHCP选项信息上送到认证服务器。
说明：VLANIF接口使能MAC认证功能后，在接收到DHCP/DHCPv6/ND报文时，不能触发对用户进行MAC认证。
- （可选）使能设备在接收到MAC认证用户的DHCP续租报文后，对用户进行重认证。
可在全局或接口下使能，在全局下可同时对多个接口进行使能；在接口下仅能对指定接口使能。
缺省情况下，设备在接收到MAC认证用户的DHCP续租报文后，不会对用户进行重认证。
视图 操作步骤 应用场景 系统视图 执行命令mac-authen reauthenticate dhcp-renew interface { interface-type interface-number1 [ to interface-number2 ] } &<1-10>，使能设备在接收到MAC认证用户的DHCP续租报文后，对用户进行重认证。
用户上线后，管理员可能在认证服务器上更改用户的认证参数或者网络访问权限。为了确保用户的合法性或者及时更新用户的网络访问权限，可使用本命令使能设备在接收到MAC认证用户的DHCP续租报文后，对用户进行重认证。
接口视图 执行命令interface interface-type interface-number，进入接口视图。
执行命令mac-authen reauthenticate dhcp-renew，使能设备在接收到MAC认证用户的DHCP续租报文后，对用户进行重认证。
- （可选）使能设备在接收到MAC认证用户的DHCP Release报文后清除用户表项。
可在全局或接口下使能，在全局下可同时对多个接口进行使能；在接口下仅能对指定接口使能。
缺省情况下，设备在接收到MAC认证用户的DHCP Release报文后不会清除用户表项。
视图 操作步骤 应用场景 系统视图 执行命令mac-authen offline dhcp-release interface { interface-type interface-number1 [ to interface-number2 ] } &<1-10>，使能设备在接收到MAC认证用户的DHCP Release报文后清除用户表项。
MAC认证用户发送DHCP Release报文下线后，设备上对应的用户表项并不能立刻删除，这将占用设备资源，可能导致其他用户无法上线。为了在MAC认证用户下线后及时清除对应的用户表项，可使用本命令。
接口视图 执行命令interface interface-type interface-number，进入接口视图。
执行命令mac-authen offline dhcp-release，使能设备在接收到MAC认证用户的DHCP Release报文后清除用户表项。
配置用户认证时采用的用户名形式
背景信息
- MAC地址格式：设备使用用户的MAC地址作为用户名进行认证，同时可以使用MAC地址或者自定义的字符串作为密码。
- 固定用户名形式：不论用户的MAC地址为何值，所有用户均使用接入设备上指定的一个固定用户名和密码替代用户的MAC地址作为身份信息进行认证。由于同一个接口下可以有多个用户进行认证，因此这种情况下接口上的所有MAC认证用户均使用同一个固定用户名进行认证，服务器端仅需要配置一个用户账户即可满足所有认证用户的认证需求，这适用于客户端比较可信的网络环境。
- DHCP选项格式：设备将获取到的用户DHCP选项字段以及一个固定的密码代替用户的MAC地址作为身份信息进行认证。该方式需保证设备支持通过DHCP报文触发MAC认证。
配置对连续认证失败的用户进行静默
配置对在线用户进行重认证
背景信息
若管理员在认证服务器上修改了某一用户的访问权限、授权属性等参数，此时如果用户已经在线，则需要及时对该用户进行重认证以确保用户的合法性。
配置对MAC认证用户进行重认证后，设备会把保存的在线用户的认证参数（用户上线后，设备上会保存有该用户的认证信息）发送到认证服务器进行重认证，若认证服务器上用户的认证信息没有变化，则用户正常在线；若用户的认证信息已更改，则用户将会被下线，此后用户需要重新进行认证。
- 对指定接口下所有在线MAC认证用户进行周期重认证。
- 对指定MAC地址的在线MAC认证用户进行重认证，且仅进行一次重认证。
操作步骤
- 配置对指定接口下所有在线MAC认证用户进行周期重认证。
- （可选）配置在线用户重认证周期，可在系统视图或接口视图下进行配置。在系统视图下配置对设备的所有接口生效，在接口视图下配置仅适用于特定接口，若同时在系统视图和接口视图下配置，则接口视图下的配置生效。
缺省情况下，在线用户重认证周期为1800秒。
一般情况下，重认证周期建议采用默认值。如果用户授权时需要下发多条ACL，为提高设备处理性能，建议关闭重认证功能或将重认证周期调长。
在采用远端认证、授权的情况下，如果配置的重认证周期过短则可能导致CPU占用率较高。
当用户数较多时，为减少对设备性能的影响，用户进行重认证的周期可能大于配置的重认证的周期。
- （可选）配置在线用户重认证周期，可在系统视图或接口视图下进行配置。在系统视图下配置对设备的所有接口生效，在接口视图下配置仅适用于特定接口，若同时在系统视图和接口视图下配置，则接口视图下的配置生效。
- 配置对指定MAC地址的在线MAC认证用户进行重认证。
检查配置结果
操作步骤
- 执行命令display mac-authen [ interface { interface-type interface-number1 [ to interface-number2 ] } &<1-10> ]，查看MAC认证的配置信息。
- 执行命令display static-user [ domain-name domain-name | interface interface-type interface-number1 | ip-address start-ip-address [ end-ip-address ] | vpn-instance vpn-instance-name ] *，查看静态用户的信息。
