华为交换机举例：配置MAC认证（AAA采用RADIUS认证）

华为交换机举例：配置MAC认证（AAA采用RADIUS认证）

组网需求

如图3-48所示，用户哑终端设备通过DeviceA接入公司内部网络。为保证公司内网的安全，因此管理员希望DeviceA能够对用户的网络访问权限进行控制。

由于用户哑终端设备无法安装认证客户端，因此在DeviceA上部署MAC认证。并且，使用哑终端设备的MAC地址将作为用户信息到RADIUS服务器进行认证。

图3-48 配置MAC认证组网图

本例中Interface1、Interface2分别代表10GE1/0/1、10GE1/0/2。

操作步骤

操作步骤

配置网络互连互通。

# 创建VLAN并配置接口允许通过的VLAN、IP地址。

<HUAWEI> system-view

[HUAWEI] sysname DeviceA

[DeviceA] vlan batch 10 20

[DeviceA] interface 10ge 1/0/1

[DeviceA-10GE1/0/1] portswitch

[DeviceA-10GE1/0/1] port link-type trunk

[DeviceA-10GE1/0/1] port trunk allow-pass vlan 10

[DeviceA-10GE1/0/1] quit

[DeviceA] interface vlanif 10

[DeviceA-Vlanif10] ip address 192.168.1.10 24

[DeviceA-Vlanif10] quit

[DeviceA] interface 10ge 1/0/2

[DeviceA-10GE1/0/2] portswitch

[DeviceA-10GE1/0/2] port link-type access

[DeviceA-10GE1/0/2] port default vlan 20

[DeviceA-10GE1/0/2] quit

[DeviceA] interface vlanif 20

[DeviceA-Vlanif20] ip address 192.168.2.10 24

[DeviceA-Vlanif20] quit

配置AAA。

# 创建并配置RADIUS服务器模板“rd1”。

[DeviceA] radius-server template rd1

[DeviceA-radius-rd1] radius-server authentication 192.168.2.30 1812

[DeviceA-radius-rd1] radius-server accounting 192.168.2.30 1813

[DeviceA-radius-rd1] radius-server shared-key cipher Huawei@123456789

[DeviceA-radius-rd1] quit

# 创建AAA认证方案“abc”并配置认证方式为RADIUS。

[DeviceA] aaa

[DeviceA-aaa] authentication-scheme abc

[DeviceA-aaa-authen-abc] authentication-mode radius

[DeviceA-aaa-authen-abc] quit

# 创建AAA计费方案“scheme2”并配置计费方式为RADIUS。

[DeviceA-aaa] accounting-scheme scheme2

[DeviceA-aaa-accounting-scheme2] accounting-mode radius

[DeviceA-aaa-accounting-scheme2] accounting realtime 15

[DeviceA-aaa-accounting-scheme2] quit

# 创建认证域“example.com”，并在其上绑定AAA认证方案“abc”、计费方案“scheme2”与RADIUS服务器模板“rd1”。

[DeviceA-aaa] domain example.com

[DeviceA-aaa-domain-example.com] authentication-scheme abc

[DeviceA-aaa-domain-example.com] accounting-scheme scheme2

[DeviceA-aaa-domain-example.com] radius-server rd1

[DeviceA-aaa-domain-example.com] quit

[DeviceA-aaa] quit

# 测试用户是否能够通过RADIUS模板的认证。（已在RADIUS服务器上配置了测试用户test1，用户密码test1@123）

[DeviceA] test-aaa test1 test1@123 radius-template rd1

Info: Account test succeeded.

配置MAC认证。

# 配置MAC接入模板“m1”。

MAC接入模板中，MAC认证用户的用户名和密码默认均为不带分隔符“-”的MAC地址。需要保证RADIUS服务器上配置的MAC用户名和密码格式与接入设备上的保持一致。

[DeviceA] mac-access-profile name m1

[DeviceA-mac-access-profile-m1] quit

# 配置认证模板“p1”，并在其上绑定MAC接入模板“m1”、指定认证模板下用户的强制认证域为“example.com”、指定用户接入模式为多用户单独认证接入模式、最大接入用户数为100。

[DeviceA] authentication-profile name p1

[DeviceA-authen-profile-p1] mac-access-profile m1

[DeviceA-authen-profile-p1] access-domain example.com force

[DeviceA-authen-profile-p1] authentication mode multi-authen max-user 100

[DeviceA-authen-profile-p1] quit

# 在接口10GE1/0/1上绑定认证模板“p1”，开启MAC认证。

[DeviceA] interface 10ge 1/0/1

[DeviceA-10GE1/0/1] authentication-profile p1

[DeviceA-10GE1/0/1] quit

检查配置结果

1. 用户启动终端后，设备会自动获取用户终端的MAC地址作为用户名和密码进行认证。
2. 用户认证成功后即可访问网络。
3. 用户上线后，管理员可在设备上执行命令display access-user access-type mac-authen查看在线MAC认证用户信息。

配置脚本

DeviceA的配置脚本

#
sysname DeviceA
#
authentication-profile name p1
 mac-access-profile m1
 access-domain example.com force
 authentication mode multi-authen max-user 100
#
vlan batch 10 20
#
aaa
 authentication-scheme abc    
  authentication-mode radius    
 accounting-scheme scheme2
  accounting-mode radius
  accounting realtime 15
 domain example.com            
  authentication-scheme abc     
  accounting-scheme scheme2
  radius-server rd1      
#  
radius-server template rd1 
 radius-server shared-key cipher %+%##!!!!!!!!!"!!!!"!!!!*!!!!SKvr${[Fs.3t@/5k|BENhEu>W(3\~XG!!D;!!!!!2jp5!!!!!!A!!!!3"pK8qv!}9M#(4$jGWvQF/R[CNe/+:W^jk8HUe&W%+%#
 radius-server authentication 192.168.2.30 1812 weight 80
 radius-server accounting 192.168.2.30 1813 weight 80
#
mac-access-profile name m1
#
interface Vlanif10
 ip address 192.168.1.10 255.255.255.0
#
interface Vlanif20
 ip address 192.168.2.10 255.255.255.0
#
interface 10GE 1/0/1
 port link-type trunk
 port trunk allow-pass vlan 10
 authentication-profile p1
#
interface 10GE 1/0/2
 port link-type access
 port default vlan 20
#
return