步骤一配置三层交换机的.pdfVIP

目录 跨三层mac地址绑定的配置方法1 本文说明1 跨三层mac地址绑定原理1 跨三层mac地址绑定的配置步骤2 步骤一：配置三层交换机的SNMP选项2 步骤二：配置AC设备的SNMP项2 步骤三：对内网用户认证启用mac地址绑定4 跨三层mac地址绑定的高级应用5 跨三层mac地址绑定的配置方法 本文说明 AC1.96版本开始，支持在跨三层环境下，对内网用户单独绑定mac地址。AC1.96之前的版本是不 支持该功能的，因为在跨三层交换机的环境下，数据经过三层交换机后源mac地址都会转变成三层交换 机的mac，这样会导致AC设备无法识别内网电脑的真实mac地址，从而导致启用绑定mac后的认证失败。 针对这个情况，1.96做了改善，通过AC设备直接到三层交换机上通过SNMP协议定期获取用户端的真实 mac来解决这个问题，下文将详细介绍如何配置使用这个功能。 跨三层mac地址绑定原理 在有三层交换机的网络环境下（如下图），内网用户采用绑定mac地址的认证方式来上网。此时， AC1.96版本，对客户端mac地址的效验是依靠snmp协议来实现的。过程如下： 前提条件：在设备上以及三层交换机上都配置了snmp的相关项。 1、AC设备作为snmp客户端，会定期向三层交换机的udp 161端口发送获取其[MAC地址表]的请求 信息。 2、三层交换机作为snmp服务器端，当收到来自AC的请求后，会将自己的[MAC地址表]回复给AC 设备。 3、设备会将由三层交换机上获得的[MAC地址表]内容，同内网绑定mac认证的用户此时的ip地址 和以及其绑定的mac地址与作比较。如果MAC地址信息跟设备上绑定的信息一致，则该用户认证成功。 如果MAC地址信息不一致，则该用户认证失败。 跨三层mac地址绑定的配置步骤 下文将以内网中只有一台三层交换机的情况为例，介绍在有单台三层交换机的环境下（如下图）， 内网用户mac地址绑定的配置方法。 步骤一：配置三层交换机的SNMP选项。 步骤二：配置AC设备的SNMP项。 步骤三：对内网用户认证启用mac地址绑定。 步骤一：配置三层交换机的SNMP选项 不同的用户使用的三层交换机不同，以下列出的是华为跟思科的三层交换机的SNMP选项的配置方 法，如果用户的三层交换机本身就已经支持并使用了snmp协议则无需配置。主要需要获取的是三层交 换机的Community的值。 华为交换机的配置命令： system_view snmp-agent community read public； 其中public为三层交换机的Community snmp-agent sys-info version all； 其中all表示所有版本 思科交换机的配置命令： config terminal 进入全局配置状态 Cdp run 启用CDP snmp-server community public ro 其中public为三层交换机的Community snmp-server enable traps 允许设备将所有类型SNMP Trap发送出去 注意事项：三层交换机需要支持SNMP协议的v2c-v3版本，否则不支持跨三层的mac地址绑定。 步骤二：配置AC设备的SNMP项 在【上网行为管理】-【认证选项设置】中，SNMP选项设置里可以看到设备中跟SNMP相关的各项配 置，如下图。 AC设备中的SNMP配置： 1、配置SNMP服务器列表：要求每行填入一个三层交换机的IP、MAC、Oid和Community。 格式要求：IP/MAC/Oid/Community。 格式说明：IP和MAC为三层交换机离设备最近的接口的ip和mac地址； Oid一般填写：1.3.6.1.2.1.3.1.1.2或者1.3.6.1.2.1.4.22.1.2即可； Community是步骤一中配置或获取的Community的值。 如实例图中配置可知，192.200.200.1和00-01-04-61-b4-13是三层交换机跟设备相接的接口的ip 和mac地址，1.3.6.1.2.1.3.1.1.2是Oid，public是Community值。 2、启用SNMP协议：如上图，点击【SNMP选项设置】中的启用，然后点击页面下方的