使用802.1x进行自动VLAN分配

设备环境： Cisco Catalyst 3550-24-EMI （ IOS ： 12.1(14)EA1 EMI ）， Cisco Secure ACS v3.1

1 、和 802.1x 相关的交换机主要配置内容：

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
!--- 如果只是做 802.1x 认证，则 aaa authorization network 这句可不要，如要做 VLAN 分配或 per-user ACL ，则必须做 network authorization

dot1x system-auth-control
!--- 注意在 12.1(14)EA1 版以后 802.1x 的配置有了修改，此句 enable 802.1x

interface FastEthernet0/1
description To Server_Farm
switchport mode access
dot1x port-control auto
dot1x max-req 3
spanning-tree portfast
!---dot1x port-control auto 句在 F0/1 上 enable dot1x ，另外注意在 F0/1 口下我并 没有给它赋 VLAN


radius-server host 1.2.3 .4 auth-port 1812 acct-port 1813 key radius_string
radius-server vsa send authentication
!---radius-server host 1.2.3.4 句定义 radius server 信息，并给出验证字串
!--- 因为要配置 VLAN 分配必须使用 IETF 所规定的 VSA(Vendor-specific attributes ）值， radius-server vsa send authentication 句允许交换机识别和使用这些 VSA 值。

配置 802.1x 动态分配 VLAN 所用到的 VSA 值规定如下：
[64] Tunnel-Type = VLAN
[65] Tunnel-Medium-Type = 802
[81] Tunnel-Private-Group-ID = VLAN name or VLAN ID

2 、和 802.1x 相关的 ACS 主要配置内容：
这个配置要看图了，另外附带说一点， Cisco 文档说 ACS 3.0 之前是不支持 802.1x 的。因为 802.1x 使用 radius 进行认证，所以在选用认证协议时我选用的是 RADIUS(IETF) ，而缺省是 Cisco 的 TACACS+ 。
在 Interface Configuration 中对 RADIUS(IETF) 进行配置，在组用户属性中选中 [64]Tunnel-Type 、 [65] Tunnel-Medium-Type 、 [81]Tunnel-Private-Group-ID （见下图）。
在 Group Setup 中对 RADIUS Vendor-Specific Attributes 值进行编辑：勾选 [64]Tunnel-Type ，将 tag 1 的值选为 VLAN ；勾选 [65] Tunnel-Medium-Type ，将 tag 1 的值选为 802 ；勾选 [81]Tunnel-Private-Group-ID ，将 tag 1 的值设为 7 ，表明为 VLAN 7 （见下图）。设置完后， Submit+Rest 。

3 、工作站端的设置：
WINXP 本身内置对 802.1x 的支持，微软在前不久出了一个补丁可以让 WIN2K 也支持 802.1x ，需要注意的是 WIN2K SP4 已经内置了对 802.1x 的支持， SP3 以下可使用此补丁：
[url]http://support.microsoft.com/default.aspx?scid=kb;en-us;313664[/url]

安装完此补丁后， 802.1x 默认是不启动的，可在服务中手动打开 Wireless Configuration 服务，打开此服务后，在网卡连接属性中会多出一栏 Authenticatioin ，在此栏中勾选 Enable network access control using IEEE 802.1x ，同时在 EAP type 中选中 MD5-Challenge 。

4 、测试：
在所有设置完成后，可以观察到 802.1x enable 的 F0/1 口上状态灯显示为黄灯，而在工作站端过一会后会弹出一个认证窗口，在用户名 / 口令处填入 ACS 中定义好的用户名 / 口令，域名处不填，同时观察 WIN2K systray 处的连接图标，上面会有和认证服务器联系及认证用户的浮动提示，同时 F0/1 的状态灯也会顺利变为绿灯。
认证通过后检验 VLAN 值是否已正确分配：先 ping VLAN7 的网关地址，通；再 ping 其它 VLAN 的网关地址，通；最后看可否上 Internet ，通。

ACS Interface Configuration 设置图例见下图。

 

 

 

ACS Group Setup 设置图例

网络连接属性设置图例

注：
1 、 ip 可以由 3550 来作 dhcp server ，显示 802 。 1x 激活端口，然后用 dhcp 分 ip ，至于 mac 地址再绑定，这里没有必要了，有了 802 。 1x 就不用 vmps 拉，   802 。 1x 可以根据用户名来分 vlan 。

2 、接注 1 问题，我是想确定每台电脑的 IP 地址。例如现在用的 6509 ，如果直接用它做 DHCP , 那么端口激活得到 VLAN TAG 后，分配的 IP 地址我想固定死。因为我们针对防火墙日志自己开发了一个分析软件是基于 IP 地址的。这种情况下我想固定分配给客户端 IP 。但是客户端电脑又要从 DHCP 中得到固定 IP.