您现在的位置: 天下网吧 >> 网吧方案 >> 无线方案 >> 正文

Cisco 802.1x进行自动VLAN分配

[作者:中国IT实验室收集整理 来源:佚名 时间:2012-12-23评论 】【去网吧方案论坛讨论

  设备环境:Cisco Catalyst 3550-24-EMI(IOS:12.1(14)EA1 EMI),CiSCo Secure ACS v3.1

  1、和802.1x相关的交换机主要配置内容:

  aaa new-model

  aaa authentication dot1x default group radius

  aaa authorization network default group radius

  !---如果只是做802.1x认证,则aaa authorization network这句可不要,如要做VLAN分配或per-user ACL,则必须做network authorization

  dot1x system-auth-control

  !---注意在12.1(14)EA1版以后802.1x的配置有了修改,此句enable 802.1x

  interface FastEthernet0/1

  deSCription To Server_Farm

  switchport mode access

  dot1x port-control auto

  dot1x max-req 3

  spanning-tree portfast

  !---dot1x port-control auto句在F0/1上enable dot1x,另外注意在F0/1口下我并没有给它赋VLAN

  radius-server host 1.2.3.4 auth-port 1812 acct-port 1813 key radius_string

  radius-server vsa send authentication

  !---radius-server host 1.2.3.4句定义radius server信息,并给出验证字串

  !---因为要配置VLAN分配必须使用IETF所规定的VSA(Vendor-specific attributes)值,radius-server vsa send authentication句允许交换机识别和使用这些VSA值。

  配置802.1x动态分配VLAN所用到的VSA值规定如下:

  [64] Tunnel-Type = VLAN

  [65] Tunnel-Medium-Type = 802

  [81] Tunnel-Private-Group-ID = VLAN name or VLAN ID

  2、和802.1x相关的ACS主要配置内容:

  这个配置要看图了,另外附带说一点,Cisco文档说ACS 3.0之前是不支持802.1x的。因为802.1x使用radius进行认证,所以在选用认证协议时我选用的是RADIUS(IETF),而缺省是CiSCo的TACACS+.

  在Interface Configuration中对RADIUS(IETF)进行配置,在组用户属性中选中[64]Tunnel-Type、[65] Tunnel-Medium-Type、[81]Tunnel-Private-Group-ID(见下图)。

  在Group Setup中对RADIUS Vendor-Specific Attributes值进行编辑:勾选[64]Tunnel-Type,将tag 1的值选为VLAN;勾选[65] Tunnel-Medium-Type,将tag 1的值选为802;勾选[81]Tunnel-Private-Group-ID,将tag 1的值设为7,表明为VLAN 7(见下图)。设置完后,Submit+Rest.

[1] [2] 下一页

本文来源:佚名 作者:中国IT实验室收集整理

声明
本文来源地址:http://cisco.chinaitlab.com
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。若文章侵犯了您的相关权益,请及时与我们联系,我们会及时处理,感谢您对本站的支持!联系邮箱:support@txwb.com.,本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下