MAC地址认证典型配置指导供参习.docVIP

目 录 第1章 MAC地址认证典型配置指导... 1-1 1.1 MAC地址认证简介.. 1-1 1.2 MAC地址本地认证典型配置指导.. 1-1 1.2.1 组网图.. 1-1 1.2.2 应用要求.. 1-1 1.2.3 适用产品、版本.. 1-2 1.2.4 配置过程和解释.. 1-2 1.2.5 完整配置.. 1-3 1.2.6 配置注意事项.. 1-3 1.3 MAC地址RADIUS认证典型配置指导.. 1-4 1.3.1 组网图.. 1-4 1.3.2 应用要求.. 1-4 1.3.3 适用产品、版本.. 1-4 1.3.4 配置过程和解释.. 1-5 1.3.5 完整配置.. 1-5 1.3.6 配置注意事项.. 1-6 1.4 下发ACL典型配置指导.. 1-6 1.4.1 组网图.. 1-6 1.4.2 应用要求.. 1-7 1.4.3 适用产品、版本.. 1-7 1.4.4 配置过程和解释.. 1-7 1.4.5 完整配置.. 1-8 1.4.6 配置注意事项.. 1-9  第1章 MAC地址认证典型配置指导 1.1 MAC地址认证简介 MAC地址认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的认证方法，它不需要用户安装任何客户端软件。设备在首次检测到用户的MAC地址以后，即启动对该用户的认证操作。认证过程中，也不需要用户手动输入用户名或者密码。 目前设备支持两种方式的MAC地址认证： l 通过RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器认证。 l 本地认证。 有关远程RADIUS认证和本地认证的详细介绍请参见“AAA-RADIUS-HWTACACS操作”。 认证方式确定后，可根据需求选择MAC认证用户名的类型，包括以下两种方式： l MAC地址用户名：使用用户的MAC地址作为认证时的用户名和密码； l 固定用户名：不论用户的MAC地址为何值，所有用户均使用在设备上预先配置的本地用户名和密码进行认证。 1.2 MAC地址本地认证典型配置指导 1.2.1 组网图 图1-1 启动MAC地址认证对接入用户进行本地认证 1.2.2 应用要求 如图1-1所示，某用户的工作站与以太网设备的端口GigabitEthernet2/0/1相连接。 l 设备的管理者希望在各端口上对用户接入进行MAC地址认证，以控制其对Internet的访问。 l 要求设备每隔180秒就对用户是否下线进行检测；并且当用户认证失败时，需等待3分钟后才能对用户再次发起认证。 l 所有用户都属于域：，认证时使用本地认证的方式。用户名为aaa，密码为123456。 1.2.3 适用产品、版本 表1-1 配置适用的产品与软硬件版本关系 产品 软件版本 硬件版本 S3610系列以太网交换机 Release 5301软件版本 全系列硬件版本 S5510系列以太网交换机 Release 5301软件版本 全系列硬件版本 S5500-SI系列以太网交换机 Release 1207软件版本 全系列硬件版本 （除S5500-20TP-SI） Release 1301软件版本 S5500-20TP-SI S5500-EI系列以太网交换机 Release 2102软件版本 全系列硬件版本 S7500E系列以太网交换机 Release 6100软件版本 全系列硬件版本 1.2.4 配置过程和解释 (1) 在交换机上配置MAC地址认证 # 添加本地接入用户。 Switch system-view [Switch] local-user aaa [Switch-luser-aaa] password simple 123456 [Switch-luser-aaa] service-type lan-access [Switch-luser-aaa] quit # 配置ISP域，使用本地认证方式。 [Switch] domain [S] authentication lan-access local [S] quit # 开启全局MAC地址认证特性。 [Switch] mac-authentication # 开启端口GigabitEthernet2/0/1的MAC地址认证特性。 [Switch] mac-authentication interface GigabitEthernet 2/0/1 # 配置MAC地址认证用户所使用的ISP域