NAC统一模式配置注意事项
涉及网元
角色 |
产品 |
说明 |
---|---|---|
AAA服务器 |
华为公司或第三方公司的AAA服务器产品。 |
负责对用户进行认证、计费和授权。 |
Portal服务器 |
华为公司或第三方公司的Portal服务器产品。 |
负责接收Portal客户端认证请求的服务器端系统,提供免费门户服务和基于Web认证的界面,与接入设备交互认证客户端的认证信息。 仅外置Portal认证方式需要该网元。 |
华为公司的Agile Controller-Campus作服务器时,其支持版本为V100R001、V100R002、V100R003。
华为公司的iMaster NCE-Campus作服务器时,其支持版本为V300R019C10。
如果需要交换机作为DHCP服务器并且根据Agile Controller-Campus下发的MAC-IP静态绑定关系为终端分配IP地址,需要对接V100R002、V100R003版本的Agile Controller-Campus。
License支持
NAC统一模式是交换机的基本特性,无需获得License许可即可应用此功能。
V200R019C10版本特性支持情况
S600-E系列交换机中所有款型均支持NAC统一模式。
特性依赖和限制
- 相比传统模式,统一模式具有以下优势:采用模板化的配置,使配置层次更加清晰、配置模型更易理解。基于上述优势,建议使用统一模式部署NAC功能。
- V200R007C00之前版本,传统模式与统一模式相互切换后,需要手动保存配置文件并重启设备,新的NAC模式才能生效。V200R007C00及之后版本,传统模式与统一模式相互切换后,设备会自动保存配置文件并重启。
- 统一模式下,仅传统模式支持的命令不可见,反之亦然。同时,NAC模式切换后,两种模式共同支持的命令功能一直生效。
- 802.1x认证场景中,如果使能802.1x认证的交换机和用户之间存在二层交换机,则需要在二层交换机上配置802.1x认证报文二层透明传输功能,否则用户无法认证成功。
- Portal认证场景中,存在用户仿冒IP地址进行认证的安全风险,建议用户配置IPSG和DHCP Snooping等防攻击功能来避免此安全风险。
- V200R012C00之前版本,不支持有线的MAC优先的Portal认证。
- V200R012C00之前版本,非网关设备上不支持部署二层Portal认证。
- 交换机支持对VPN内的用户进行802.1X认证、MAC认证以及外置Portal认证(基于HTTP/HTTPS协议的Portal认证从V200R013C00版本开始支持),不支持内置Portal认证,不支持对处于不同VPN中但IP地址相同的用户进行认证。
- 不能在交换机二层以太网接口和其所属VLAN对应的VLANIF接口上同时使能NAC认证功能。
- V200R19C00SPC500之前版本的云管理模式下,交换机升级至V200R19C00SPC500及之后的版本,用户在线时不允许修改用户上线的VLAN。
- 采用MAC认证的终端不支持在IPv4和IPv6协议之间切换。所以,为保证终端认证成功后能够正常获取IP地址,建议在终端上仅开启IPv4和IPv6协议中的一种。
- 终端同时具有IPv4和IPv6地址时,仅IPv4地址能够进行用户探测,IPv4地址能够刷新IPv6地址对应的用户表项,IPv6地址不能刷新IPv4地址对应的用户表项。
- 设备配置了用户的静态MAC表项时,由于静态MAC表优先级高于认证,导致用户无需认证就能获取网络访问权限,此时需删除该用户的静态MAC表项。
- 用户未认证成功时,无法管理认证设备的下层设备,需执行命令free-rule配置免认证的管理VLAN。
- V200R013及之前版本,策略联动和SVF场景不支持IPv6用户认证。
- 在不配置任意报文触发认证的情况下,源IP地址为0.0.0.0的ARP报文无法触发MAC认证。
- X系列单板作为认证点时,除了X1E、X2E、X2H、X5H、X6H支持IPv6用户授权ACL,其他X系列单板不支持IPv6用户授权ACL。
- 与ClearPass或ISE服务器对接进行MAC认证时,需在设备的RADIUS服务器模板下将service-type值设置为10以及calling-station-id的格式设置为XX-XX-XX-XX-XX-XX。
- SVF场景下,配置Portal服务器模板时,如果Portal服务器模板下没配置指向Portal服务器的URL,无法将Portal服务器模板绑定在Portal接入模板下。
认证服务器的授权优先级高于交换机认证域下的授权优先级。如果二者授权的属性冲突,则认证服务器的授权优先生效;如果二者授权的属性不冲突,则二者授权的属性同时生效。
例1,在交换机的业务方案A下配置用户VLAN 20,并将业务方案A绑定到用户认证域下,而认证服务器对认证成功的用户授权VLAN 10。此时,用户加入VLAN 10。
例2,在交换机的业务方案B中配置流量监管,并将业务方案B绑定到用户认证域下,而认证服务器对认证成功的用户授权VLAN 10。此时,用户加入VLAN 10,流量监管对用户也生效。
- 授权VLAN建议在接入设备上配置,因为在汇聚和核心设备上配置时下层设备无法动态感知并放通该VLAN权限。
- MAC认证时不建议配置授权VLAN,因为VLAN变化后静态用户(例如哑终端)无法重新获取IP地址。
- 不支持为在线Portal用户授权VLAN。对于MAC优先的Portal认证,Portal认证成功后,V1版本的Agile Controller-Campus授权session timeout属性让用户立刻下线,然后再通过MAC认证上线授权VLAN。
- 用户终端如果通过DHCP方式获取IP地址,通过CoA方式授权VLAN成功或更改授权VLAN后,需要手动触发DHCP重新申请IP地址。V200R012C00版本起,设备支持通过闪断认证端口来触发终端重新申请IP地址;配置该功能时,需要在设备上执行命令undo radius-server authorization hw-ext-specific command bounce-port disable,配置设备开启该功能;认证服务器上需要配置RADIUS属性HW-Ext-Specific(26-238)的取值为“user-command=2”。
- V200R011C10之前版本不支持对用户授权上行/下行报文的DSCP值,同时对用户授权ACL、上行报文限速值或下行报文限速值时,仅ACL生效。V200R011C10及之后版本支持对用户授权上行报文的DSCP值和下行报文的DSCP值,且授权的ACL、上行报文限速值、下行报文限速值、上行报文的DSCP值和下行报文的DSCP值能够同时生效。
- Access接口不支持动态授权,删除VLAN时会删除该VLAN下的在线用户;Hybrid接口支持动态授权,删除VLAN时不会删除在线用户。
- V200R011C10及之后版本,在SVF场景下,支持授权VLAN。授权VLAN时,需要执行命令as service-vlan authorization在控制设备上创建接入设备上的业务VLAN。
- 策略联动场景下授权VLAN时:
- 认证接入设备的下行口必须配置为Hybrid类型,认证接入设备连接认证控制设备的上行口可以配置为Trunk类型或Hybrid类型,但必须配置允许授权的VLAN通过,如果认证接入设备与认证控制设备之间存在透传设备,则透传设备也要配置允许授权的VLAN通过。
- V200R011C10之前版本,认证控制设备连接认证接入设备的下行口必须配置为Hybrid类型;V200R011C10及其之后版本,认证控制设备连接认证接入设备的下行口可以配置为Hybrid类型或Trunk类型。
- 认证控制设备开启认证的接口收到的报文,必须是携带VLAN Tag的报文或者该接口已将授权的VLAN配置为该接口的缺省VLAN(PVID),否则授权VLAN不生效。
- 当用户报文携带VLAN TAG时,该VLAN必须与接口PVID一致,服务器才能对该用户动态授权VLAN。
- V200R013版本,由于仅支持IPv4 ACL或IPv6 ACL单独授权,因此,当用户认证成功并更新或切换(在IPv4和IPv6之前切换)地址后,如果仅配置了IPv4 ACL或IPv6 ACL的一种,可能会导致授权不成功。因此,建议同时配置IPv4 ACL和IPv6 ACL,确保用户能够成功授权ACL。
- 集中式SVF场景下,V200R019C10之前版本,在任意时刻,不同的用户接入模板下允许绑定的认证模板必须为同一个;V200R019C10及之后版本,不同的用户接入模板下允许绑定不同的认证模板,但如果这些用户接入模板被绑定给了同一个级联口下的AS,则认证模板必须为同一个。
支持IPv6 MAC认证。
- 支持IPv6 802.1X认证。
- 不支持IPv6 Portal认证。
- 不支持与Cisco ISE服务器以Central Web Authentication (CWA)方式对接。
- 支持IPv6 HTTP/HTTPS重定向功能。
- 支持IPv6强推功能。对于HTTPS报文,必须与重定向ACL结合使用。
- 支持IPv6的免认证规则。
- 支持配置Portal服务器IPv6地址,但必须同时指定IPv4地址,因为设备不支持与Portal服务器进行IPv6 Portal协议交互。
- 支持IPv6流量统计功能,支持与IPv4分开或合并统计。
- 支持IPv6限速功能。
- 支持IPv6 ND探测功能。
- 不支持IPv6静态用户。
- 不支持IPv6业务随行。
- NAC用户数不要超过整机的MAC表项规格。
- VLANIF接口下配置Portal认证或MAC认证时,不建议认证服务器和终端处于同一网段。
LNP协商时,接口的链路类型进入稳态之前,NAC用户将无法上线;对于已在线NAC用户,如果接口的链路类型再次进行协商并且协商结果产生变化,则NAC用户将会被强制下线。
- 对于S600-E,交换机配置的基于ACL的简化流策略和基于MQC的流策略中的流分类规则优先级高于NAC中定义的规则。当基于ACL的简化流策略和基于MQC的流策略中的配置与NAC功能冲突时,交换机按照基于ACL的简化流策略配置和基于MQC的流策略中的流行为对报文进行处理。
- 跨板Eth-trunk用户上线、重认证或漫游过程中,复位其中一个单板有可能会导致用户下线。
交换机和V1版本的Agile Controller-Campus对接进行MAC优先的Portal认证时,用户在登录页面点击注销后,仍然可以进行MAC优先的Portal认证,直到Agile Controller-Campus上MAC地址有效时间超时后,用户下线。
交换机和V3版本的Agile Controller-Campus对接进行MAC优先的Portal认证时,用户在登录页面点击注销后,用户下线。如果想继续进行MAC优先的Portal认证,需要用户重新通过Portal认证接入网络。