华为，华赛8021x配置.docxVIP

802.1X简介IEEE 802.1X标准（以下简称802.1X）是一种基于接口的网络接入控制（Port Based Network Access Control）协议。“基于接口的网络接入控制”是指在局域网接入控制设备的接口对接入的设备进行认证和控制。用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源。802.1X系统为典型的Client/Server体系结构，包括三个实体： Supplicant（客户端） 客户端一般为用户终端设备，由设备端对其进行认证。客户端需要安装802.1X的客户端软件，如Windows自带的802.1X客户端。客户端必须支持局域网上的可扩展认证协议EAPoL（Extensible Authentication Protocol over LAN）。Authenticator（设备端） 设备端通常为支持802.1X协议的网络设备，它为客户端提供接入局域网的接口。Authentication Server（认证服务器） 认证服务器是为设备端提供认证服务的实体。认证服务器用于实现对用户进行认证、授权和计费，通常为RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器。 说明： 在没有外部认证服务器的情况下，USG可以同时作为本地认证服务器和设备端。USG的本地认证服务配置请参见配置本地认证。在有外部认证服务器的情况下，USG作为设备端。USG上对接RADIUS的配置请参见配置RADIUS认证。认证实体的信息交换关系如图1所示。设备端与认证服务器之间通过EAP帧交换信息。客户端与设备端之间通过IEEE 802.1X所定义的EAPoL帧交换信息。图1 802.1X认证系统的体系结构 当客户端发起认证请求时，设备端作为中继与客户端和认证服务器交互，经过一系列的认证过程后，如果认证成功，设备的接口成为授权状态，允许客户端通过授权接口访问网络。配置本地认证本地认证是指在没有外部认证服务器的情况下，使用USG作为本地认证服务器。操作步骤创建本地用户。执行命令system-view，进入系统视图。执行命令aaa，进入AAA视图。执行命令local-useruser-namepassword { simple | cipher } password，创建用户并配置密码。执行命令local-useruser-namelevel3，配置用户级别为3。用户级别必须配置为3，这样用户才能进行认证授权。创建认证方案，配置认证方式为local。执行命令authentication-schemescheme-name，创建认证方案，并进入认证方案视图。执行命令authentication-modelocal，配置认证方式为local。执行命令quit，退回到AAA视图。创建域并引用认证方案。说明：系统默认存在一个名为dot1x的域。执行命令domaindomain-name，创建域，并进入域视图。当用户使用带域名的用户名进行802.1X认证时，必须在此处配置相应的域。例如：带域名的用户名为user1@abc，那么必须要配置域abc，否则认证无法通过。执行命令authentication-schemescheme-name，引用2中创建的认证方案。配置RADIUS认证RADIUS认证是指在有外部RADIUS服务器的情况下，使用RADIUS服务器作为认证服务器。背景信息本手册只介绍USG上RADIUS的配置。RADIUS服务器的相关配置请参见RADIUS服务器的相关手册。操作步骤创建认证方案，配置认证方式为RADIUS。执行命令system-view，进入系统视图。执行命令aaa，进入AAA视图。执行命令authentication-schemescheme-name，创建认证方案，并进入认证方案视图。执行命令authentication-moderadius，配置认证方法为RADIUS类型。配置RADIUS模板。说明：此处的RADIUS配置必须和RADIUS服务器上的配置保持一致，否则无法完成和RADIUS服务器的对接。执行命令return，返回用户视图。执行命令system-view，进入系统视图。执行命令radius-server templatetemplate-name，创建RADIUS服务器模板，并进入RADIUS服务器模板视图。执行命令radius-server authenticationip-addressport，配置RADIUS主认证服务器。（可选）执行命令radius-server authenticationip-addressportsecondary，配置RADIUS备份认证服务器。执行命令ra