AAA、802.1X和VACL

所需的资源

一台基于 cislyco ios 的 catalyst 交换机，如 catalyst 2950 3550,4500,6500

一台终端服务器或工作站，直接与 catalyst 交换机的控制台相连或远程接入到交换机 .

配置了 802.1X 的 windows xp 工作站

 

任务一：启用 AAA, 禁用 Telnet, 以及启用 SSH

 

步骤 1 ：启用 AAA 身份认证，以进行 SSH 访问 :

Switch#configure terminal

Switch(config)#aaa new-model

Switch(config)#hostname AL1

AL1(config)#username cisco password cisco

AL1(config)#ip domain-name cisco.com

AL1(config)#crypto key generate rsa

 

AL1(config)#line vty 0 15

AL1(config-line)#transport input ssh

 

 

任务二 :

配置 VTY 的 AAA 身份验证方式 ---- 首先使用 RADIUS 服务器 , 如果服务不可用，则使用本地用户名和口令数据库 :

AL1(config)#aaa authentication login TEST group radius line

 

 

  步骤 2 ：将该方法列表应用与 VTY 线路 :

AL1(config)#line vty 0 15

AL1(config-line)#login authentication TEST

 

 

任务三 :

   在接口上配置 802.1X

 

步骤 1 ：为 RADIUS 身份验证启用 802.1X

AL1(config)#aaa authentication dot 1x default group radius

AL1(config)#dot1x system-auth-control

 

步骤 3 ：在接口上配置 802.1x

 

AL1(config)#interface range fa0/2-10

AL1(config-if-range)#switchport access vlan 10

AL1(config-if-range)#dot1x port-control auto

 

步骤 4: 配置 VACL 以丢弃所有通过 TCP 端口 8889 进入的桢

AL1(config)#access-list 100 permit tcp any any eq 8889

AL1(config)#vlan access-map DROP_DOWN 100

AL1(config-access-map)#match ip address 100

AL1(config-access-map)#action drop

 

步骤 3 ：将 VLAN 访问列表应用于合适的 VLAN:

 

AL1(config)#VLAN filter DROP_WORM vlan 10 - 20