AAA之802.1x认证详解（一）

ACS上的配置：System Configuration

打开ACS的配置界面，点Network Configuration，在AAA Servers里点击Add Entry配置AAA服务器。

配置AAA报务器 如上图所示，填写好AAA服务器的名字、服务器的IP地址、密钥（密钥一定要为这个值，否则会出错），其它保持默认，再点击Submit+Apply提交并应用。

添加AAA客户 在AAA Clients里点击Add Entry，进行AAA客户配置。

AAA客户配置 如上图所示，填写好客户名，客户的IP地址（一般路由器三层交换机为LOOPBACK，二层交换机为网管地址）、密钥、认证使用RADIUS IETF，提交并应用。

添加用户 点user steup进入用户配置，输入你要建立的用户名，点击添加。

用户配置 为用户配置密码，其它保持默认，提交。

进入system configuration －global authentication setup配置

在LEAP选项中去掉钩，钩选EAP-MD5,提交并重启。

其它配置就不说了，要保证连通性，才能部署AAA。

SW3配置如下：

SW3（config）#

aaa new-model //开启AAA认证

radius-server host 172.16.25.25 key cisco //配置RADIUS服务器地址和密钥（与服务器一致）

ip radius source-interface vlan 19 //指定以此IP为源发送RADIUS报文，也就是服务器上的客户地址

aaa authentication login default group radius local //login登录为AAA认证，认证失败后启用本地认证

在用户PC测试如下：

认证没问题！

现在在接口上配置802.1x认证：

SW3：

SW3（config）#

dot1x system-auth-control //开启802.1x认证

aaa authentication dot1x default group radius //认证使用radius服务器的默认组

int f1/3

SW3(config-if)#

dot1x port-control auto //开启端口认证，认证通过为授权状态

//dot1x port-control force-authorized //端口始终处于授权状态（不需认证）

//dot1x port-control force-unauthorized //端口始终于处于非授权状态（不允许用户认证，不提供认证服务）

//dot1x host-mode single-host|multi-host //默认为single-host在该接口下，只有1台主机能通过认证和访问网络 multi-host在该接口下，只需1台主机通过认证，所有主机能访问网络

在启用802.1x认证后接口会变成down

*Mar 1 00:26:57.887: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/3, changed state to down

在通过认证后，接口协协为up

*Mar 1 00:29:27.695: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/3, changed state to up

在接入设备上启用dot1x计费：

SW3(config-if)#

aaa accounting dot1x default start-stop group radius

注意：802.1x的端口类型分为受控端口和非受控端口。受控端口，有授权状态下始终处于双向连通状态，用于传递用户数据，在非受权状态下禁止客户端接收任何报文。非受控端口，始终处于双向连通状态，主要用来EAPOL协议帧，保证客户端始终能够发出或接收认证报文，也可以传递交换机的协议报文。

在PC机上认证时，需开启这两个服务

在本地连接属性中选择身份认证，启用802.1x认证，验证方法为MD5-质询

点击弹出的信息（有时需等待几十秒才会弹出信息）

输入AAA服务器上存放的用户名和密码

现在认证成功，进行测试，能PING通！