802.1x基础培训.ppt

其它特性 1、消息透传： 消息透传指的是在cams设置了特定字符串，当用户dot1x认证成功后，此时交换机 将此字符串传给客户端，管理者也可以主动向在线的用户下发特定的消息 ，（该功能与华为的客户端、华为认证服务器CAMS配合 ） [DUT]messenger time enable 2、 DHCP－LAUNCH：设置允许DHCP触发认证 [DUT]dot dhcp-launch 3、 quiet timer：主备倒换辅助功能 [DUT-radius-new]timer quiet ? INTEGER1-255 The value for quiet time, default is 5 (unit: minute) 4、nas-ip功能：目的是指定不同用户使用不同的上行IP地址，本功能主要针对三层交换机而言 [DUT]radius nas-ip ? X.X.X.X Source IP address [DUT]radius scheme new [DUT-radius-new]nas-ip ? X.X.X.X Source IP address 在radius scheme视图下配置的比全局视图下配置的高。 5. dot quiet-period :认证失败后再认证时静默时间 [DUT]dot quiet-period [DUT]dot timer quiet-period 802.1X相关特性 802.1x基本概念简介 802.1x认证方式 EAP和RADIUS协议介绍 802.1x配置实例 802.1x相关特性 测试中遇到的问题和体会 内容介绍 测试中遇到的问题和体会 1、常见的认证失败原因分析 很多同学在测试过程中最容易遇到的是认证不成功，这时候到底是设备的问题还是配置的问题？这里提供一些常见的失败原因，供分析使用： 1）．没有在全局和端口同时使能dot1x 2）．客户端和交换机二层链路不通，或者交换机ping不通服务器。 3）．端口控制方式设置被设成authorized-force和unauthorized-force。 4）. 目前设备(交换机)做认证服务器时不支持EAP认证方式，例如本地认证时就不能用 EAP认证方式 5）．在switch1中radius方案设置的认证和计费的key与服务器上不一致。 6）. 服务器是否带要求带域,如果要求则在radius方案里要配置成带域，反则则反，注： 对eap认证方式不起作用，eap认证方式时客户端传什么就原封不动传给服务器 7）．在radius方案设置的认证和计费服务器端口号不正确，设备做认证服务器时采用 1645，1646，若是使用远程radius服务器则一般是1812,1813（有些服务器上可更 改，如CAMS）. 8）. 使用的用户类型不匹配，一般需要lan-access用户，在CAMS的系统配置里可以更 改，2000 Radius Server则在策略里进行匹配。 测试中遇到的问题和体会 9). 交换机上传的NAS-IP和服务器上设置nas-ip不匹配 10). 用户没有余额或用户被加入黑名单（cams上可以查看） 11). 认证客户端软件的问题，换一个客户端软件试试。 12). 认证服务器的问题，例如CAMS里有一功能“立即生效”不能成功时，服务器不可用，有时则是用户没有费用，有时则是用户在但是就是不可用。 可以用2000/2003自带的服务器试试，此服务器一般不存在问题。 13). 全局和端口起了SMARTON的不能用普通的客户端进行认证,须用NEC的客户端。 14). 端口起了mac 认证后不能进行802.1x认证.(和mac认证是冲突的). 15).配置了静态mac后不能进行802.1x认证(只针对静态mac和1xmac改成冲突的产品）。 16).另外有些认证不成功是因为服务器或者客户端做了一些特殊配置，而设备尚不支持 的问题，这时最好跟开发确认，比如目前v5尚不支持在t