- 1、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。。
- 2、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
- 4、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
- 5、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
Switching——IEEE 802.1x(DOT1X)Authentication
简单的说,IEEE 802.1x 是一种认证技术,是对交换机上的 2 层接口所连接的主机做认证,当主机接到开启了IEEE 802.1x认证的接口上,就有可能被认证,否则就有可能被拒绝访问网络。在接口上开启IEEE 802.1x认证后,在没有通过认证之前,只有 IEEE 802.1x认证消息,CDP,以及 STP的数据包能够通过。
因为主机接到开启了IEEE 802.1x认证的接口后,需要通过认证才能访问网络,要通过认证,只要输入合法的用户名和密码即可。交换机收到用户输入的账户信息后,要判断该账户是否合法,就必须和用户数据库做个较对,如果是数据库中存在的,则认证通过,否则认证失败,最后拒绝该用户访问网络。
交换机提供给IEEE 802.1x认证的数据库可以是交换机本地的,也可以是远程服务器上的,这需要通过 AAA 来定义,如果 AAA 指定认证方式为本地用户数据库(Local),则读取本地的账户信息,如果 AAA 指定的认证方式为远程服务器,则读取远程服务器的账户信息, AAA为IEEE 802.1x提供的远程服务器认证只能是RADIUS服务器,该RADIUS服务器只要运行Access Control Server Version 3.0(ACS 3.0)或更高版本即可。
当开启IEEE 802.1x后,并且连接的主机支持IEEE 802.1x认证时,将得出如下结果:
★如果认证通过,交换机将接口放在配置好的VLAN 中,并放行主机的流量。
★如果认证超时,交换机则将接口放入guest vlan。
★如果认证不通过,但是定义了失败VLAN,交换机则将接口放入定义好的失败VLAN 中。
★如果服务器无响应,定义放行,则放行。
注:不支持 IEEE 802.1x认证的主机,也会被放到guest vlan中。
提示:
当交换机使用 IEEE 802.1x 对主机进行认证时,如果主机通过了认证,交换机还可以根据主机输入的不同账户而将接口划入不同的 VLAN,此方式称为 IEEE 802.1x动态VLAN认证技术,并且需要在RADIUS服务器上做更多的设置。本文档并不对IEEE 802.1x 动态 VLAN 认证技术做更多的介绍,如有需要,本文档将补充对 IEEE 802.1x动态VLAN 认证技术的详细介绍与配置说明。
当主机认证失败后,交换机可以让主机多次尝试认证,称为重认证(re-authentication),在交换机上开启re-authentication功能即可,默认是关闭的。并且还可以配置认证时间间隔,默认60 秒,默认可以尝试 2次重认证。
如果要手工对某接口重认证,在 enable 模式输入命令 dot1x re-authenticate interface
在交换机接口上开启认证后,只要接口从 down 状态到 up 状态,就需要再次认证。
dot1x port-control auto接口开认证
对于开启了认证的接口,分为两种状态,unauthorized(未认证的)和authorized(认证过的)。
接口的状态,可以手工强制配置,接口可选的配置状态分以下3种:
force-authorized:就是强制将接口直接变认证后的状态,即authorized状态。 force-unauthorized:就是强制将接口直接变没有认证的状态,即unauthorized状态。
Auto:就是正常认证状态,主机通过认证,则接口在authorized状态,认证失败,则在 unauthorized状态。.
注:当交换机接口从up到down,或者主机离开了发送 logoff,都将合接口重新变成unauthorized状态。
开启了IEEE 802.1x 认证的接口除了有状态之外,还有主机模式,称为Host Mode,分两种模式:single-host和 multiple-host。
在 single-host模式(默认),表示只有一台主机能连上来。
在 multiple-hosts模式,表示可以有多台主机连上来,并且一台主机认证通过后,所有主机都可以访问网络。
当认证超时或主机不支持认证时,接口将被划到guest VLAN ,当认证失败时,将被划失败VLAN,也就是受限制的VLAN (restricted VLAN), guest VLAN和restricted VLAN 可以定义为同一个 VLAN,并且每接配置的。其实即使划入这个 VLAN 后,也会告诉客户是认证通过,要不然会得不到DHCP。
注:
★IEEE 802.1x认证只能配置在静态access模式的接口上。
★正常工作在IEEE 802.1x的接口被称为port access ent
文档评论(0)