科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道使用802.1x进行自动VLAN分配

使用802.1x进行自动VLAN分配

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

设备环境:CiscoCatalyst 3550-24-EMI(IOS:12.1(14)EA1 EMI),Cisco Secure ACS v3.1 。

作者:论坛整理 来源:zdnet网络安全 2008年3月19日

关键字: VLAN VLAN划分 vlan技术 vlan配置 虚拟局域网

  • 评论
  • 分享微博
  • 分享邮件

  设备环境:CiscoCatalyst 3550-24-EMI(IOS:12.1(14)EA1 EMI),Cisco Secure ACS v3.1

  1、和802.1x相关的交换机主要配置内容:

  aaa new-model

  aaa authentication dot1x default group radius

  aaa authorization network default group radius

  !---如果只是做802.1x认证,则aaa authorization network这句可不要,如要做VLAN分配或per-user ACL,则必须做network authorization

  dot1x system-auth-control

  !---注意在12.1(14)EA1版以后802.1x的配置有了修改,此句enable 802.1x

  interface FastEthernet0/1

  description To Server_Farm

  switchport mode access

  dot1x port-control auto

  dot1x max-req 3

  spanning-tree portfast

  !---dot1x port-control auto句在F0/1上enable dot1x,另外注意在F0/1口下我并没有给它赋VLAN

  radius-server host 1.2.3.4 auth-port 1812 acct-port 1813 key radius_string

  radius-server vsa send authentication

  !---radius-server host 1.2.3.4句定义radius server信息,并给出验证字串

  !---因为要配置VLAN分配必须使用IETF所规定的VSA(Vendor-specific attributes)值,radius-server vsa send authentication句允许交换机识别和使用这些VSA值。

  配置802.1x动态分配VLAN所用到的VSA值规定如下:

  [64] Tunnel-Type = VLAN

  [65] Tunnel-Medium-Type = 802

  [81] Tunnel-Private-Group-ID = VLAN name or VLAN ID

  2、和802.1x相关的ACS主要配置内容:

  这个配置要看图了,另外附带说一点,Cisco文档说ACS 3.0之前是不支持802.1x的。因为802.1x使用radius进行认证,所以在选用认证协议时我选用的是RADIUS(IETF),而缺省是Cisco的TACACS+。

  在Interface Configuration中对RADIUS(IETF)进行配置,在组用户属性中选中[64]Tunnel-Type、[65] Tunnel-Medium-Type、[81]Tunnel-Private-Group-ID(见下图)。

  在Group Setup中对RADIUS Vendor-Specific Attributes值进行编辑:勾选[64]Tunnel-Type,将tag 1的值选为VLAN;勾选[65] Tunnel-Medium-Type,将tag 1的值选为802;勾选[81]Tunnel-Private-Group-ID,将tag 1的值设为7,表明为VLAN 。设置完后,Submit+Rest。

  3、工作站端的设置:

  WINXP本身内置对802.1x的支持,微软在前不久出了一个补丁可以让WIN2K也支持802.1x,需要注意的是WIN2K SP4已经内置了对802.1x的支持,SP3以下可使用此补丁:

  http://support.microsoft.com/default.aspx?scid=kb;en-us;313664

  安装完此补丁后,802.1x默认是不启动的,可在服务中手动打开WirelessConfiguration服务,打开此服务后,在网卡连接属性中会多出一栏Authenticatioin,在此栏中勾选Enable network access control using IEEE 802.1x,同时在EAP type中选中MD5-Challenge。

  4、测试:

  在所有设置完成后,可以观察到802.1x enable的F0/1口上状态灯显示为黄灯,而在工作站端过一会后会弹出一个认证窗口,在用户名/口令处填入ACS中定义好的用户名/口令,域名处不填,同时观察WIN2K systray处的连接图标,上面会有和认证服务器联系及认证用户的浮动提示,同时F0/1的状态灯也会顺利变为绿灯。

  认证通过后检验VLAN值是否已正确分配:先ping VLAN7的网关地址,通;再ping其它VLAN的网关地址,通;最后看可否上Internet,通。

  ACS Interface Configuration设置图例见下图。

使用802.1x进行自动VLAN分配(图一)

使用802.1x进行自动VLAN分配(图二)

  ACS Group Setup设置图例

  

  网络连接属性设置图例

  注:

  1、ip 可以由3550 来作dhcp server ,显示802。1x 激活端口,然后用dhcp 分ip,至于mac地址再绑定,这里没有必要了,有了802。1x 就不用vmps拉, 802。1x可以根据用户名来分vlan。

  2、接注1问题,我是想确定每台电脑的IP地址。例如现在用的6509,如果直接用它做DHCP ,那么端口激活得到VLAN TAG后,分配的IP地址我想固定死。因为我们针对防火墙日志自己开发了一个分析软件是基于IP地址的。这种情况下我想固定分配给客户端IP。但是客户端电脑又要从DHCP中得到固定IP.

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章