今天来谈谈802.1X协议，以及如何来使用该协议实现用户接入控制
802.1x协议是一种基于端口的网络接入控制（Port Based Network Access Control）协议。“基于端口的网络接入控制”是指在局域网接入控制设备的端口这一级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源——相当于连接被物理断开。
一、802.1x的体系结构
使用 802.1x 的系统为典型的 Client/Server 体系结构，包括三个实体：Supplicant System（客户端）、Authenticator System（设备端）以及 Authentication Server System（认证服务器），如下图所示。
1.客户端是位于局域网段一端的一个实体，由连接到该链接另一端的设备端对其进行认证。客户端一般为一个用户终端设备，用户通过启动客户端软件发起802.1x认证。客户端软件必须支持EAPOL （EAP over LANs，局域网上的EAP）协议。
2.设备端是位于局域网段一端的一个实体，用于对连接到该链接另一端的实体进行认证。设备端通常为支持802.1x协议的网络设备它为客户端提供接入局域网的端口，该端口可以是物理端口，也可以是逻辑端口。
3.认证服务器是为设备端提供认证服务的实体。认证服务器用于实现用户的认证、授权和计费，通常为 RADIUS 服务器。该服务器可以存储用户的相关信息，例如用户的账号、密码以及用户所属的 VLAN、优先级、用户的访问控制列表等。
二、802.1x的工作机制
IEEE 802.1x认证系统利用 EAP（Extensible Authentication Protocol，可扩展认证协议）协议，作为在客户端和认证服务器之间交换认证信息的手段。
1. 在客户端 PAE与设备端 PAE之间，EAP协议报文使用 EAPOL封装格式，直接承载于 LAN环境中。
2. 在设备端 PAE与 RADIUS服务器之间，EAP协议报文可以使用 EAPOR封装格式（EAP over RADIUS），承载于 RADIUS协议中；也可以由设备端 PAE进行终结，而在设备端 PAE 与 RADIUS 服务器之间传送 PAP 协议报文或CHAP协议报文。
3. 当用户通过认证后，认证服务器会把用户的相关信息传递给设备端，设备端PAE 根据 RADIUS 服务器的指示（Accept 或 Reject）决定受控端口的授权/非授权状态。
在配置过程中涉及到的命令
理论部分就普及到这里，下面讲实现，下面是我的实现拓扑图，主要实现了本地用户登陆认证，远程登陆设备也使用radius认证
NAS我使用的是华为二层交换机，GATEWAY使用的是h3c的防火墙，核心代码：
NAS
domain default enable zzu //将我自己创建的域设置为默认域
dot1x //开启802.1x
dot1x authentication-method pap //设置认证模式
建立模式
radius scheme radius
server-type standard
primary authentication 192.168.30.2 //指向radius服务器
key authentication 123456
user-name-format without-domain
自定义域
domain zzu
scheme radius-scheme radius 把radius模式设为zzu域使用的模式
access-limit enable 10 //这个必须配，否则默认不允许登陆
accounting optional
配置管理地址
interface Vlan-interface1
ip address 192.168.1.1 255.255.255.0
ip route-static 0.0.0.0 0.0.0.0 192.168.1.254 preference 60 配置默认网关
管理登陆设备也使用radius
user-interface vty 0 4
authentication-mode scheme
接口相关配置
vlan 1
#
vlan 10
description student
#
vlan 20
description teacher
#
vlan 30
description server
#
interface Vlan-interface1
ip address 192.168.1.1 255.255.255.0
#
interface Aux1/0/0
#
interface Ethernet1/0/1
port access vlan 10
dot1x
#
interface Ethernet1/0/2
port access vlan 10
dot1x
#
interface Ethernet1/0/3
port access vlan 10
dot1x
#
interface Ethernet1/0/4
port access vlan 10
dot1x
#
interface Ethernet1/0/5
port access vlan 10
dot1x
#
interface Ethernet1/0/6
port access vlan 10
dot1x
#
interface Ethernet1/0/7
port access vlan 10
dot1x
#
interface Ethernet1/0/8
port access vlan 10
dot1x
#
interface Ethernet1/0/9
port access vlan 10
dot1x
#
interface Ethernet1/0/10
port access vlan 10
dot1x
#
interface Ethernet1/0/11
port access vlan 20
dot1x
#
interface Ethernet1/0/12
port access vlan 20
dot1x
#
interface Ethernet1/0/13
port access vlan 20
dot1x
#
interface Ethernet1/0/14
port access vlan 20
dot1x
#
interface Ethernet1/0/15
port access vlan 20
dot1x
#
interface Ethernet1/0/16
port access vlan 20
dot1x
#
interface Ethernet1/0/17
port access vlan 20
dot1x
#
interface Ethernet1/0/18
port access vlan 20
dot1x
#
interface Ethernet1/0/19
port access vlan 20
dot1x
#
interface Ethernet1/0/20
port access vlan 20
dot1x
#
interface Ethernet1/0/21
port access vlan 30
#
interface Ethernet1/0/22
#
interface Ethernet1/0/23
#
interface Ethernet1/0/24
port link-type trunk
port trunk permit vlan all
GATEWAY核心代码
配置自定义radius模式
radius scheme zzu
server-type standard
primary authentication 192.168.30.2 //指明radius服务器
key authentication 123456
user-name-format without-domain
配置自定义域
domain zzu
scheme radius-scheme zzu
access-limit enable 10
accounting optional
部分接口配置
undo insulate //取消端口隔离，不然子接口之间无法通信
interface Ethernet0/0
ip address 192.168.1.254 255.255.255.0
dhcp select relay
#
interface Ethernet0/0.10 //配置子接口，使用单臂路由实现
ip address 192.168.10.254 255.255.255.0
ip relay address 192.168.30.1
dhcp select relay //允许dhcp中继
vlan-type dot1q vid 10
#
interface Ethernet0/0.20
ip address 192.168.20.254 255.255.255.0
ip relay address 192.168.30.1
dhcp select relay
vlan-type dot1q vid 20
#
interface Ethernet0/0.30
ip address 192.168.30.254 255.255.255.0
dhcp select relay
vlan-type dot1q vid 30
加入信任区域 //不加的话无法通信
firewall zone trust
add interface Ethernet0/0
add interface Ethernet0/0.10
add interface Ethernet0/0.20
add interface Ethernet0/0.30
dhcp服务器的配置
radius配置
下面就是测试工作
wlan10 的主机登陆
获取的ip地址
VLAN 20的主机登陆
登陆NAS
登陆GATEWAY
Radius服务器日志记录
到此实验结束，希望你能成功啊
本文转自 chenming421 51CTO博客，原文链接:http://blog.51cto.com/wnqcmq/1163989
