网络实践小笔记1-配置IP话机下挂PC进行802.1X认证

组网

组网如下：
在这里插入图片描述
简要说明：
(1)语音报文使用VLAN 200进行通信，数据报文使用VLAN 100进行通信。
(2)IP话机免认证、PC使用802.1X认证接入交换机。

配置思路

1.在Switch上配置网络互连互通。(省略，本文不着重讲)
2.在Switch上配置DHCP功能，为PC和IP话机分配IP地址。(同上)
3.在Switch上配置AAA，为用户进行RADIUS认证、授权、计费。
4.在Switch上配置对IP话机免认证、对IP话机下挂PC进行802.1X认证，实现对用户进行接入认证

步骤

1.交换机系统视图开启lldp协议，并且对应接口进行voice vlan相关配置
lldp enable /使能lldp，默认开启

**interface GigabitEthernet0/0/**1

port link-type hybrid /设为hybrid杂合口

port hybrid pvid vlan 100 /设置接口的缺省vlan为数据vlan 100

port hybrid untagged vlan 100*/配置vlan 100加入Hybrid接口，vlan 100的帧以Untagged方式通过接口*

port hybrid tagged vlan 200 /配置vlan 200加入Hybrid接口，vlan 200的帧以Tagged方式通过接口

voice-vlan 200 enable /配置vlan 200为Voice vlan，同时使能接口的Voice VLAN功能

voice-vlan mode manual /(可不敲，配置接口加入Voice VLAN的模式为手工模式，默认为手工模式)

undo voice-vlan security enable /(可不敲，配置Voice VLAN的安全模式普通模式，使能了Voice VLAN功能的入接口允许同时传输语音报文和非语音报文,默认为普通模式)

voice-vlan remark-mode vlan /(可不敲，缺省配置，缺省情况下，语音报文按照VLAN提升报文优先级)

另外，LLDP协商语音VLAN需要一定时间，防止IP话机数据VLAN先上线后无法快速切换到语音VLAN，此时需要在系统视图下使能MAC迁移功能
authentication mac-move enable vlan all /使能MAC迁移功能
authentication mac-move detect enable /使能MAC迁移前探测功能

以上配置好后display mac-address interface g0/0/1查看配置，可以看到语音电话和PC都能拿到IP,接着进行802.1X认证的配置

配置AAA
(1) 创建并配置RADIUS服务器模板radius_server
radius-server template radius_server

radius-server shared-key cipher Huawei@123 /密钥需要和radius server上的一致

radius-server authentication 10.5.1.3 1812 source ip-address 192.168.1.1 weight 80 /配置RADIUS认证服务器的地址为10.5.1.3，并指定指定192.168.1.1地址作为向RADIUS认证服务器发送RADIUS报文时使用的源IPv4地址

radius-server accounting 10.5.1.3 1813 source ip-address 10.13.156.101 weight 80

radius-server retransmit 2 /配置RADIUS认证请求报文的超时重传次数为2

undo radius-server user-name domain-included /配置设备向RADIUS服务器发送的报文中的用户名不包含域名

(2)在aaa下配置认证方案“radius_authen”并配置认证方式为RADIUS
aaa

authentication-scheme radius_authen**

authentication-mode radius local /使用多种认证模式,先用radius服务器去认证，认证失败再用本地账号去认证

(3)配置认证域，并绑定认证方案“radius_authen”以及RADIUS服务器模板"radius_server"

aaa
domain huawei
authentication-scheme radius_authen
radius-server template radius_server

(4)系统视图下，配置全局默认域

domain huawei /配置全局默认管理域，作为接入用户的全局默认域；用户进行接入认证时，以格式“user@huawei”输入用户名即可在huawei域下进行aaa认证。如果用户名中不携带域名或携带的域名不存在，用户将会在默认域中进行认证。

domain huawei admin /配置全局默认管理域，作为管理员用户的全局默认域

(5)将NAC配置模式切换成传统模式，保存配置并且重启生效

undo authentication unified-mode

(6)系统视图下使能802.1X认证，并且接口下启用802.1X认证

dot1x enable

interface GigabitEthernet0/0/1

dot1x enable

do1x authentication-method eap /配置802.1X用户的认证方式采用可扩展的认证协议EAP，默认用chap

do1x reauthenticate /使能接口对在线802.1X用户进行周期重认证功能，为3600秒

do1x max-user 4 /可选，配置接口下允许接入的最大802.1X用户数量为4

配置完成后，PC网口启用802.1X认证通过输入用户名和密码可以访问网络，交换机上使用以下命令检查

a).display dot1x interface g0/0/1
b).display authentication interface g0/0/1/命令用来查看接口下NAC认证方式的配置信息
c).display access-user /查看在线802.1X用户信息
e).display aaa all
f).dis aaa online-fail-record interface g0/0/1 /认证不通过时的排查命令