Switching——IEEE 802.1x（DOT1X）Authentication
简单的说，IEEE 802.1x 是一种认证技术，是对交换机上的 2 层接口所连接的主机做认证，当主机接到开启了IEEE 802.1x认证的接口上，就有可能被认证，否则就有可能被拒绝访问网络。在接口上开启IEEE 802.1x认证后，在没有通过认证之前，只有 IEEE 802.1x认证消息，CDP，以及 STP的数据包能够通过。
因为主机接到开启了IEEE 802.1x认证的接口后，需要通过认证才能访问网络，要通过认证，只要输入合法的用户名和密码即可。交换机收到用户输入的账户信息后，要判断该账户是否合法，就必须和用户数据库做个较对，如果是数据库中存在的，则认证通过，否则认证失败，最后拒绝该用户访问网络。
交换机提供给IEEE 802.1x认证的数据库可以是交换机本地的，也可以是远程服务器上的，这需要通过 AAA 来定义，如果 AAA 指定认证方式为本地用户数据库（Local），则读取本地的账户信息，如果 AAA 指定的认证方式为远程服务器，则读取远程服务器的账户信息， AAA为IEEE 802.1x提供的远程服务器认证只能是RADIUS服务器，该RADIUS服务器只要运行Access Control Server Version 3.0（ACS 3.0）或更高版本即可。
当开启IEEE 802.1x后,并且连接的主机支持IEEE 802.1x认证时，将得出如下结果：
★如果认证通过，交换机将接口放在配置好的VLAN 中，并放行主机的流量。
★如果认证超时，交换机则将接口放入guest vlan。
★如果认证不通过，但是定义了失败VLAN，交换机则将接口放入定义好的失败VLAN 中。
★如果服务器无响应，定义放行，则放行。
注：不支持 IEEE 802.1x认证的主机，也会被放到guest vlan中。
提示：
当交换机使用 IEEE 802.1x 对主机进行认证时，如果主机通过了认证，交换机还可以根据主机输入的不同账户而将接口划入不同的 VLAN，此方式称为 IEEE 802.1x动态VLAN认证技术，并且需要在RADIUS服务器上做更多的设置。本文档并不对IEEE 802.1x 动态 VLAN 认证技术做更多的介绍，如有需要，本文档将补充对 IEEE 802.1x动态VLAN 认证技术的详细介绍与配置说明。
当主机认证失败后，交换机可以让主机多次尝试认证，称为重认证（re-authentication），在交换机上开启re-authentication功能即可，默认是关闭的。并且还可以配置认证时间间隔，默认60 秒，默认可以尝试 2次重认证。
如果要手工对某接口重认证，在 enable 模式输入命令 dot1x re-authenticate interface
在交换机接口上开启认证后，只要接口从 down 状态到 up 状态，就需要再次认证。
dot1x port-control auto接口开认证
对于开启了认证的接口，分为两种状态，unauthorized（未认证的）和authorized（认证过的）。
接口的状态，可以手工强制配置，接口可选的配置状态分以下3种：
force-authorized：就是强制将接口直接变认证后的状态，即authorized状态。 force-unauthorized：就是强制将接口直接变没有认证的状态，即unauthorized状态。
Auto：就是正常认证状态，主机通过认证，则接口在authorized状态，认证失败，则在 unauthorized状态。.
注：当交换机接口从up到down，或者主机离开了发送 logoff，都将合接口重新变成unauthorized状态。
开启了IEEE 802.1x 认证的接口除了有状态之外，还有主机模式，称为Host Mode，分两种模式：single-host和 multiple-host。
在 single-host模式（默认），表示只有一台主机能连上来。
在 multiple-hosts模式，表示可以有多台主机连上来，并且一台主机认证通过后，所有主机都可以访问网络。
当认证超时或主机不支持认证时，接口将被划到guest VLAN ，当认证失败时，将被划失败VLAN，也就是受限制的VLAN （restricted VLAN）， guest VLAN和restricted VLAN 可以定义为同一个 VLAN，并且每接配置的。其实即使划入这个 VLAN 后，也会告诉客户是认证通过，要不然会得不到DHCP。
注：
★IEEE 802.1x认证只能配置在静态access模式的接口上。
★正常工作在IEEE 802.1x的接口被称为port access entity (PAE) authenticator。
★在认证超时或主机不支持认证时，才会将接口划入guest-vlan，在IOS 12.2(25)SE之前，是不会将支持认证但认证失败的接口划入guest-vlan的，如果要开启guest-vlan supplicant功能，要全局配置dot1x guest-vlan supplicant。
配置
1.定义认证方式
（1）定义IEEE 802.1x 使用本地账户数据库认证
sw1(config)#aaa new-model
sw1(config)#aaa authentication dot1x default local
（2）定义IEEE 802.1x 使用RADIUS 服务器认证
sw1(config)#aaa new-model
sw1(config)#aaa authentication dot1x default group radius
（3）定义RADIUS 服务器
sw1(config)#radius-server host 10.1.1.1 auth-port 1645 acct-port 1646 key cisco
说明：定义RADIUS 服务器地址为10.1.1.1，密码为cisco，认证端口UDP 1645， 默认为1812，accounting 端口为1646，默认为1813.。
2.开启IEEE 802.1x 认证
（1）全局开启IEEE 802.1x 认证
sw1(config)#dot1x system-auth-control
说明：必须在全局开启IEEE 802.1x 认证。
（2）在接口下开启IEEE 802.1x 认证
说明：接口模式必须为静态access
sw1(config)#int f0/1
sw1(config-if)#swi
sw1(config-if)#switchport mo
sw1(config-if)#switchport mode acce
sw1(config-if)#switchport mode access
sw1(config-if)#dot1x port-control auto
说明：将接口设置为auto 状态，即正常认证状态。
（3）定义guest VLAN 和restricted VLAN
sw1(config)#vlan 10
sw1(config-vlan)#exit
sw1(config)#vlan 20
sw1(config-vlan)#exit
sw1(config)#int f0/1
sw1(config-if)#dot1x guest-vlan 10
sw1(config-if)#dot1x auth-fail vlan 20
说明：先在交换机上配置好VLAN，然后定义guest-vlan和restricted VLAN （auth-fail vlan），两个VLAN 可以设置为同一个。
3.查看配置
（1）查看接口配置信息
sw1#sh run int f0/1
Building configuration...
Current configuration : 153 bytes
!
interface FastEthernet0/1
switchport mode access
dot1x pae authenticator
dot1x port-control auto
dot1x guest-vlan 10
dot1x auth-fail vlan 20
end
sw1#
说明：可以看到，将接口配置为IEEE 802.1x后，接口自动设置为dot1x pae authenticator。
（2）查看接口IEEE 802.1x状态
sw1#sh dot1x interface f0/1
Dot1x Info for FastEthernet0/1
-----------------------------------
PAE = AUTHENTICATOR
PortControl = AUTO
ControlDirection = Both
HostMode = SINGLE_HOST
ReAuthentication = Disabled
QuietPeriod = 60
ServerTimeout = 30
Su
ppt
关于艾滋病ppt课件精益管理ppt下载地图下载ppt可编辑假如ppt教学课件下载triz基础知识ppt
imeout = 30
ReAuthPeriod = 3600 (Locally configured)
ReAuthMax = 2
MaxReq = 2
TxPeriod = 30
RateLimitPeriod = 0
Auth-Fail-Vlan = 20
Auth-Fail-Max-attempts = 3
Guest-Vlan = 10
sw1#
说明：以上是IEEE 802.1x 的默认参数。
4.设置其它IEEE 802.1x参数
（1）开启重认证功能（默认关闭）
sw1(config)#int f0/1
sw1(config-if)#dot1x reauthentication、
（2）重认证次数（默认2 次）
sw1(config)#int f0/1
sw1(config-if)#dot1x max-reauth-req 3
（3）在划到限制VLAN 之前，可以尝试几次输入（默认是3 次）
sw1(config)#int f0/1
sw1(config-if)#dot1x auth-fail max-attempts 2
（4）设置主机模式（默认Single-host）
sw1(config)#int f0/1
sw1(config-if)#dot1x host-mode multi-host
(5)查看配置
sw1#sh dot1x interface f0/1
Dot1x Info for FastEthernet0/1
-----------------------------------
PAE = AUTHENTICATOR
PortControl = AUTO
ControlDirection = Both
HostMode = MULTI_HOST
ReAuthentication = Enabled
QuietPeriod = 60
ServerTimeout = 30
SuppTimeout = 30
ReAuthPeriod = 3600 (Locally configured)
ReAuthMax = 3
MaxReq = 2
TxPeriod = 30
RateLimitPeriod = 0
Auth-Fail-Vlan = 20
Auth-Fail-Max-attempts = 2
Guest-Vlan = 10
sw1#
说明：以上的配置已经显示。
5.强制接口为authorized 状态
(1)直接将接口F0/2 配置为authorized状态
sw1(config)#int f0/2
sw1(config-if)#switchport mode access
sw1(config-if)#dot1x port-control force-authorized
（2）查看接口F0/2 的配置
sw1#sh run int f0/2
Building configuration...
Current configuration : 82 bytes
!
interface FastEthernet0/2
switchport mode access
dot1x pae authenticator
end
sw1#
说明：可以看到，接口只有dot1x pae authenticator，没有auto字样
（3）查看接口F0/2 的状态
sw1#sh dot1x interface f0/2
Dot1x Info for FastEthernet0/2
-----------------------------------
PAE = AUTHENTICATOR
PortControl = FORCE_AUTHORIZED
ControlDirection = Both
HostMode = SINGLE_HOST
ReAuthentication = Disabled
QuietPeriod = 60
ServerTimeout = 30
SuppTimeout = 30
ReAuthPeriod = 3600 (Locally configured)
ReAuthMax = 2
MaxReq = 2
TxPeriod = 30
RateLimitPeriod = 0
sw1#
说明：接口已经为authorized状态。
(4)直接将接口F0/3 配置为authorized状态
sw1(config)#int f0/3
sw1(config-if)#switchport mode access
sw1(config-if)#dot1x pae authenticator
说明：命令dot1x pae authenticator也将接口直接设置为authorized状态。
(5)查看接口F0/3 的配置
sw1#sh run int f0/3
Building configuration...
Current configuration : 82 bytes
!
interface FastEthernet0/3
switchport mode access
dot1x pae authenticator
end
sw1#
说明：可以看到，命令dot1x pae authenticator等同命令dot1x port-control
force-authorized。
（6）查看接口F0/2 的状态
sw1#sh dot1x interface f0/3
Dot1x Info for FastEthernet0/3
-----------------------------------
PAE = AUTHENTICATOR
PortControl = FORCE_AUTHORIZED
ControlDirection = Both
HostMode = SINGLE_HOST
ReAuthentication = Disabled
QuietPeriod = 60
ServerTimeout = 30
SuppTimeout = 30
ReAuthPeriod = 3600 (Locally configured)
ReAuthMax = 2
MaxReq = 2
TxPeriod = 30
RateLimitPeriod = 0
sw1#
说明：接口已经为authorized状态。
6.guest-vlan supplicant
说明：在认证超时或主机不支持认证时，才会将接口划入 guest-vlan ，在 IOS 12.2(25)SE 之前，是不会将支持认证但认证失败的接口划入guest-vlan 的，如果要开 启guest-vlan supplicant 功能，做如下配置：
sw1(config)#dot1x guest-vlan supplicant
说明：某些IOS 版本，此命令是隐藏命令，需要手工全部输入。
7.主机设置网卡IEEE 802.1x 认证
说明：下面以XP 操作系统的主机说明如何开启网卡的IEEE 802.1x 认证
（1）点击本地连接的“属性”，出现如下窗口：
说明： 勾选“启用此网络的IEEE 802.1x验证”，并选择EAP类型为“受保护的 EAP (PEAP)”，然后点“属性”，出现如下窗口：
说明： 请不要勾选“验证服务器证书”，选择验证方法为“安全密码 (EAP-MSCHAP v2)”，然后点击“配置”，出现如下窗口：
说明：请不要勾选“自动使用Windows 登录名和密码（以及域，如果有的话）”。
（2）当将此网卡连上开启 IEEE 802.1x认证的交换机端口后，如出现如下提示：
说明：点击对话框，会弹出输入用户名和密码的窗口，如下图：
说明：只要在此对话框中输入正确的用户名和密码，即可通过IEEE 802.1x认证。
浙公网安备 33021202002483