在交换机端口上启用 802.1X 认证
时间: 2025-10-25 10:45:21 AIGC 浏览: 3
在交换机端口上配置和启用 IEEE 802.1X 身份验证,需要完成一系列步骤,包括启用全局 802.1X 功能、配置认证服务器(如 RADIUS)、设置端口参数等。以下是以 Cisco Catalyst 系列交换机为例的配置流程,适用于大多数支持 802.1X 的企业级交换机。
### 配置 IEEE 802.1X 认证的步骤
#### 1. 启用 AAA 认证服务
在启用 802.1X 之前,必须先启用 AAA(认证、授权、计费)服务,并配置 RADIUS 服务器。
```bash
Switch(config)# aaa new-model
Switch(config)# aaa authentication dot1x default group radius
```
其中 `group radius` 表示使用 RADIUS 服务器进行认证。
#### 2. 配置 RADIUS 服务器
需要指定 RADIUS 服务器的 IP 地址、端口和共享密钥。
```bash
Switch(config)# radius server RADIUS_SERVER
Switch(config-radius-server)# address ipv4 192.168.1.100 auth-port 1812 acct-port 1813
Switch(config-radius-server)# key secret_password
```
#### 3. 启用全局 802.1X 功能
```bash
Switch(config)# dot1x system-auth-control
```
该命令启用交换机上的全局 802.1X 控制功能。
#### 4. 配置交换机端口启用 802.1X
进入具体端口模式并启用 802.1X:
```bash
Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# dot1x port-control auto
```
- `dot1x port-control auto`:表示端口在客户端认证通过后才允许流量通过。
- 其他可选参数:
- `force-authorized`:始终允许访问(禁用 802.1X)。
- `force-unauthorized`:始终拒绝访问。
#### 5. 可选配置:设置端口控制模式
根据网络需求选择基于端口或基于 MAC 地址的认证方式:
```bash
Switch(config-if)# dot1x host-mode multi-host
```
- `multi-host`:基于端口的认证,第一个用户认证通过后,其他设备无需认证即可接入。
- `multi-auth`:基于 MAC 地址的认证,每个设备需单独认证 [^3]。
#### 6. 可选配置:设置认证失败时的行为
```bash
Switch(config-if)# dot1x auth-fail vlan 100
```
该命令表示如果认证失败,设备将被分配到 VLAN 100(访客 VLAN)。
#### 7. 保存配置
```bash
Switch# copy running-config startup-config
```
---
### 示例配置汇总
```bash
aaa new-model
aaa authentication dot1x default group radius
radius server RADIUS_SERVER
address ipv4 192.168.1.100 auth-port 1812 acct-port 1813
key secret_password
dot1x system-auth-control
interface GigabitEthernet0/1
dot1x port-control auto
dot1x host-mode multi-auth
dot1x auth-fail vlan 100
```
---
### 注意事项
- 客户端设备必须支持 EAPOL 协议,并安装支持 802.1X 的客户端软件 [^2]。
- 确保 RADIUS 服务器已正确配置并运行,否则认证将失败。
- 测试环境中建议先启用端口监控(如 `show dot1x interface`)以查看认证状态。
---
阅读全文
