配置用户采用Windows客户端通过RADIUS和AD服务器进行802.1X认证示例

操作步骤

1. 配置网络互连互通。

   # 在SwitchA上创建VLAN并配置接口允许通过的VLAN、配置到服务器的静态路由。

   <HUAWEI> system-view
   [HUAWEI] sysname SwitchA
   [SwitchA] vlan batch 10 20
   [SwitchA] interface gigabitethernet 0/0/1
   [SwitchA-GigabitEthernet0/0/1] port link-type trunk
   [SwitchA-GigabitEthernet0/0/1] port trunk allow-pass vlan 10
   [SwitchA-GigabitEthernet0/0/1] quit
   [SwitchA] interface gigabitethernet 0/0/2
   [SwitchA-GigabitEthernet0/0/2] port link-type trunk
   [SwitchA-GigabitEthernet0/0/2] port trunk allow-pass vlan 20
   [SwitchA-GigabitEthernet0/0/2] quit
   [SwitchA] interface vlanif 10
   [SwitchA-Vlanif10] ip address 10.2.1.1 24  
   [SwitchA-Vlanif10] quit
   [SwitchA] interface vlanif 20
   [SwitchA-Vlanif20] ip address 10.1.1.1 24
   [SwitchA-Vlanif20] quit
   [SwitchA] ip route-static 0.0.0.0 0.0.0.0 10.2.1.2 

   # 在SwitchB上配置802.1X报文透传功能，并将接口接入VLAN20。

   SwitchB作为二层交换机，为保证用户能够通过802.1X认证，需在SwitchB上配置802.1X报文透传功能。本例的接入交换机以S5720-LI为例。

   [SwitchB] l2protocol-tunnel user-defined-protocol 802.1X protocol-mac 0180-c200-0003 group-mac 0100-0000-0002
   [SwitchB] vlan batch 20
   [SwitchB] interface gigabitethernet 0/0/2
   [SwitchB-GigabitEthernet0/0/2] l2protocol-tunnel user-defined-protocol 802.1X enable
   [SwitchB-GigabitEthernet0/0/2] bpdu enable
   [SwitchB-GigabitEthernet0/0/2] port link-type access
   [SwitchB-GigabitEthernet0/0/2] port default vlan 20
   [SwitchB-GigabitEthernet0/0/2] quit
   [SwitchB] interface gigabitethernet 0/0/1
   [SwitchB-GigabitEthernet0/0/1] l2protocol-tunnel user-defined-protocol 802.1X enable
   [SwitchB-GigabitEthernet0/0/1] bpdu enable
   [SwitchB-GigabitEthernet0/0/1] port link-type trunk
   [SwitchB-GigabitEthernet0/0/1] port trunk allow-pass vlan 20
   [SwitchB-GigabitEthernet0/0/1] quit

2. 在SwitchA上配置DHCP功能。

   # 配置VLANIF20为用户分配地址，并指定接口地址池下的DNS服务器地址。

   [SwitchA] dhcp enable
   [SwitchA] interface vlanif 20
   [SwitchA-Vlanif20] dhcp select interface
   [SwitchA-Vlanif20] dhcp server dns-list 10.2.1.5
   [SwitchA-Vlanif20] quit

3. 在SwitchA上配置AAA。
   # 创建RADIUS服务器模板“rd1”。

   [SwitchA] radius-server template rd1
   [SwitchA-radius-rd1] radius-server authentication 10.2.1.6 1812
   [SwitchA-radius-rd1] radius-server accounting 10.2.1.6 1813
   [SwitchA-radius-rd1] radius-server shared-key cipher Example@2014

   # 配置自动探测功能。

   [SwitchA-radius-rd1] radius-server testuser username test1 password cipher abc@123
   [SwitchA-radius-rd1] quit

   # 配置授权服务器。

   [SwitchA] radius-server authorization 10.2.1.6 shared-key cipher Example@2014

   # 创建AAA认证方案“abc”并配置认证方式为RADIUS。

   [SwitchA] aaa
   [SwitchA-aaa] authentication-scheme abc
   [SwitchA-aaa-authen-abc] authentication-mode radius
   [SwitchA-aaa-authen-abc] quit

   # 配置计费方案“acco1”。

   [SwitchA-aaa] accounting-scheme acco1
   [SwitchA-aaa-accounting-acco1] accounting-mode radius
   [SwitchA-aaa-accounting-acco1] accounting start-fail online  
   [SwitchA-aaa-accounting-acco1] quit

   # 创建认证域“adser.com”，并在其上绑定AAA认证方案“abc”、计费方案acco1与RADIUS服务器模板“rd1”。

   [SwitchA-aaa] domain adser.com
   [SwitchA-aaa-domain-adser.com] authentication-scheme abc
   [SwitchA-aaa-domain-adser.com] accounting-scheme acco1
   [SwitchA-aaa-domain-adser.com] radius-server rd1
   [SwitchA-aaa-domain-adser.com] quit
   [SwitchA-aaa] quit

4. 在SwitchA上配置802.1X认证。
   # 将NAC配置模式切换成统一模式。

   [SwitchA] authentication unified-mode

   设备默认为统一模式。传统模式与统一模式相互切换后，设备会自动重启。

   # 配置802.1X接入模板，并配置客户端认证超时时间为30秒。

   [SwitchA] dot1x-access-profile name d1
   [SwitchA-dot1x-access-profile-d1] dot1x authentication-method eap
   [SwitchA-dot1x-access-profile-d1] dot1x timer client-timeout 30
   [SwitchA-dot1x-access-profile-d1] quit

   # 在认证模板“p1”下绑定802.1X接入模板。

   [SwitchA] authentication-profile name p1  
   [SwitchA-authen-profile-p1] dot1x-access-profile d1     
   [SwitchA-authen-profile-p1] access-domain adser.com force  
   [SwitchA-authen-profile-p1] quit

   # 在接口下绑定认证模板。

   [SwitchA] interface gigabitethernet 0/0/2
   [SwitchA-GigabitEthernet0/0/2] authentication-profile p1
   [SwitchA-GigabitEthernet0/0/2] quit

5. 配置Agile Controller-Campus。
   1. 登录Agile Controller-Campus。
   2. 配置认证、授权等参数。详情请参考Agile Controller-Campus文档中的“”“有线802.1X认证”。
   3. 将AD服务器上的账号同步到Agile Controller-Campus。详情请参考Agile Controller-Campus文档中的“AD/LDAP同步”。
   4. （可选）导入证书。详情请参考Agile Controller-Campus文档中的“证书方式802.1X认证”。

      如果802.1X客户端采用PEAP方式认证，并配置参数时选择“验证服务器证书”，则需要配置此步骤。

6. 配置Windows 802.1X客户端，以Windows 7系统为例。

   802.1X客户端可以采用如下方式接入认证。详情请参考Agile Controller-Campus文档中的“操作系统自带标准802.1X客户端认证配置”。

   • 采用EAP-TLS方式认证

     1. 单击本地连接，选择“属性 > 身份验证 ”。

     2. 选中“启用IEEE802.1X身份验证”，“选择网络身份验证方法”选择“Microsoft：智能卡或其他证书”，并单击“设置”。

     3. 选择“在此计算机上使用证书 > 使用简单证书选择”。其余参数都不选择，单击“确定”。
     4. 单击“其他设置”，选择“指定身份验证模式 > 用户身份认证”。其余参数都不选择，单击“确定”。
   • 采用PEAP方式认证

     1. 单击本地连接，选择“属性 > 身份验证 ”。

     2. 选中“启用IEEE802.1X身份验证”，“选择网络身份验证方法”选择“Microsoft：受保护的EAP（PEAP）”，并单击“设置”。

     3. “选择身份验证方法”选择“安全密码（EAP-MSCHAP v2）”， 选中“启用快速重新连接”。其余参数都不选择，单击“确定”。

        如果“当连接时”选择“验证服务器证书”，Agile Controller-Campus需提前导入证书。

     4. 单击“其他设置”，选择“指定身份验证模式 > 用户身份认证”。其余参数都不选择，单击“确定”。

7. 验证配置结果。
   1. 用户在终端上启动802.1X客户端，输入用户名和密码，开始认证。
   2. 如果用户输入的用户名和密码验证正确，客户端页面会显示认证成功信息。用户即可访问网络。
   3. 用户上线后，管理员可在设备上执行命令display access-user access-type dot1x查看在线802.1X用户信息。