交换机端口安全实验：802.1X验证与端口隔离配置.pdfVIP

图1-1

注：如无特别说明，描述中的R1或SW1对应拓扑中设备名称末尾数字为1的设备，R2或SW2对

应拓扑中设备名称末尾数字为2的设备，以此类推

实验需求

1.按照图示配置IP地址

2.在SW1所有连接PC的接口上配置开启802.1X验证，使接入的终端需要进行验证

3.创建一个用户验证的用户。用户名为wangdaye，为123456

4.创建一个端口组，实现三台PC无法互相

实验解法

1.PC配置IP地址

2.在SW1上开启802.1X验证

分析：开启802.1X验证需要首先在系统视图下开启全局802.1X，再到接口视图下开启

802.1X

步骤1：在SW1的系统视图下开启全局802.1X

[SW1]dot1x

步骤2：分别在三个连接PC的接口上开启802.1X

[SW1]interfaceg1/0/1

[SW1-GigabitEthernet1/0/1]dot1x

[SW1]interfaceg1/0/2

[SW1-GigabitEthernet1/0/2]dot1x

[SW1]interfaceg1/0/3

[SW1-GigabitEthernet1/0/3]dot1x

3.创建一个用户验证的用户。用户名为wangdaye，为123456

分析：用于802.1X验证的用户类型必须是network，且服务类型为lan-access，否则将

无法用于802.1X验证。用于验证的用户无需配置权限

[SW1]local-userwangdayeclassnetwork

Newlocaluseradded.

[SW1-luser-network-wangdaye]passwordsimple123456

[SW1-luser-network-wangdaye]service-typelan-access

由于802.1X的验证无法在模拟器环境中实现，所以这里不做实验效果测试

4.创建一个端口组，实现三台PC无法互相

分析：端口组用于同vlan的端口，属于同一个组的接口无法互相访

问，不同组的接口才可以互相，所以需要把SW1的三个接口都加入到同一个组

步骤1：在SW1上创建编号为1号的组

[SW1]port-isolategroup1

步骤2：把g1/0/1、g1/0/2、g1/0/3接口都加入到该组

[SW1]interfaceg1/0/1

[SW1-GigabitEthernet1/0/1]port-isolateenablegroup1

[SW1]interfaceg1/0/2

[SW1-GigabitEthernet1/0/2]port-isolateenablegroup1

[SW1]interfaceg1/0/3

[SW1-GigabitEthernet1/0/3]port-isolateenablegroup1

由于端口的验证无法在模拟器环境中实现，所以这里不做实验效果测试