13-集中式mac地址认证操作

集中式MAC地址认证目录目录第1章集中式MAC地址认证配置............................................................................................1-11.1 集中式MAC地址认证简介..................................................................................................1-11.2 集中式MAC地址认证配置..................................................................................................1-21.2.1 集中式MAC地址认证配置任务.................................................................................1-21.2.2 启动全局的集中式MAC地址认证.............................................................................1-21.2.3 启动端口的集中式MAC地址认证.............................................................................1-21.2.4 配置集中式MAC地址认证的方式.............................................................................1-31.2.5 配置集中式MAC地址认证用户所使用域名..............................................................1-41.2.6 配置集中式MAC地址认证定时器.............................................................................1-41.3 集中式MAC地址认证配置显示和维护................................................................................1-51.4 集中式MAC地址认证配置举例...........................................................................................1-5第1章集中式MAC地址认证配置1.1 集中式MAC地址认证简介集中式MAC地址认证是一种基于端口和MAC地址对用户访问网络的权限进行控制的认证方法，它不需要用户安装任何客户端软件，交换机在首次检测到用户的MAC地址以后，即启动对该用户的认证操作。

集中式MAC地址认证有两种方式：z MAC地址方式：使用用户的MAC地址作为认证时的用户名和密码。

z固定方式：使用在交换机上预先配置用户名和密码进行认证。

此时，要求所有用户都和交换机上配置的用户名和密码一一对应。

S3100-SI系列以太网交换机支持通过RADIUS服务器或通过本地进行集中式MAC地址认证。

(1) 当采用RADIUS服务器进行认证时，交换机作为RADIUS客户端，与RADIUS服务器配合完成集中式MAC地址认证操作：z对于MAC地址方式，交换机将检测到的用户MAC地址作为用户名和密码发送给RADIUS服务器，其余处理过程与普通RADIUS认证相同。

z对于固定方式，交换机将已经在本地配置的用户名和密码作为待认证用户的用户名和密码，发送给RADIUS服务器，并将RADIUS报文的calling-station-id属性更改为用户的MAC地址，其余处理过程与普通RADIUS认证相同。

z RADIUS服务器完成对该用户的认证后，认证通过的用户可以访问网络。

(2) 当采用本地认证时，直接在交换机上完成对用户的认证。

在交换机上配置本地用户名和密码时请注意：z对于MAC地址方式，用户可以通过命令设置输入作为用户名、密码的MAC 地址时是否使用分隔符“-”，输入的格式要与命令设置的格式相同，否则会导致认证失败。

z对于固定方式，本地用户的用户名和密码配置成固定方式的用户名和密码即可。

z本地用户的服务类型应设置为lan-access。

1.2 集中式MAC地址认证配置1.2.1 集中式MAC地址认证配置任务表1-1集中式MAC地址认证配置任务配置任务说明详细配置启动全局的集中式MAC地址认证必选 1.2.2启动端口的集中式MAC地址认证必选 1.2.3配置集中式MAC地址认证的方式可选 1.2.4配置集中式MAC地址认证用户所使用域名可选 1.2.5配置集中式MAC地址认证定时器可选 1.2.61.2.2 启动全局的集中式MAC地址认证表1-2开启集中式MAC地址认证特性操作命令说明进入系统视图system-view -开启全局集中式MAC 地址认证特性mac-authentication必选缺省情况下，全局集中式MAC地址认证特性为关闭状态1.2.3 启动端口的集中式MAC地址认证用户可以在系统视图或以太网端口视图下开启端口的集中式MAC地址认证特性。

表1-3在系统视图下开启端口的集中式MAC地址认证特性操作命令说明进入系统视图system-view -开启指定端口的集中式MAC地址认证特性mac-authentication interfaceinterface-list必选缺省情况下，所有端口的集中式MAC地址认证特性为关闭状态表1-4在以太网端口视图下开启端口的集中式MAC地址认证特性操作命令说明进入系统视图system-view -进入以太网端口视图interface interface-type interface-number-开启当前端口的集中式MAC地址认证特性mac-authentication必选缺省情况下，所有端口的集中式MAC地址认证特性为关闭状态注意：如果端口启动了集中式MAC地址认证，则不能配置该端口的最大MAC地址学习个数（通过命令mac-address max-mac-count配置）。

反之，如果端口配置了最大MAC地址学习个数，则禁止在该端口上启动集中式MAC地址认证。

各端口的集中式MAC地址认证状态在全局没有开启之前可以配置，但不会生效；在全局集中式MAC地址认证启动后，已使能集中式MAC地址认证的端口将立即开始进行认证操作。

1.2.4 配置集中式MAC地址认证的方式表1-5配置集中式MAC地址认证的方式为MAC地址方式操作命令说明进入系统视图system-view -设置集中式MAC地址认证方式为MAC地址方式mac-authentication authmodeusernameasmacaddress[ usernameformat { with-hyphen |without-hyphen } ]可选缺省情况下，集中式MAC地址认证的认证方式为MAC地址方式设置集中式MAC地址认证方式为固定方式mac-authentication authmode usernamefixed可选设置集中式MAC地址认证采用固定方式时的用户名mac-authentication authusernameusername固定方式时必选缺省情况下，集中式MAC地址认证采用固定方式时的用户名为“mac”，未配置密码设置集中式MAC地址认证采用固定方式时的密码mac-authentication authpassword password可选1.2.5 配置集中式MAC地址认证用户所使用域名可以通过下面的命令配置集中式MAC地址认证的用户所使用的ISP域名。

表1-6配置MAC地址认证用户所使用域名操作命令说明进入系统视图system-view -配置集中式MAC地址认证用户所使用的ISP 域mac-authenticationdomain isp-name必选缺省情况下，未配置认证用户使用的域，使用“default domain”作为ISP域名1.2.6 配置集中式MAC地址认证定时器集中式MAC地址认证的定时器包括：z下线检测定时器（offline-detect）：配置交换机定时检查用户是否已经下线的时间间隔。

当检测到用户下线后，交换机立即通知RADIUS服务器，停止对该用户计费。

z静默定时器（quiet）：用户认证失败以后，交换机需要静默一段时间（该时间由静默定时器设置）后才能再次处理此用户的下一次认证请求，该用户的MAC地址也被交换机设置为“静默”状态。

在静默期间，交换机不处理此用户的认证请求。

z服务器超时定时器（server-timeout）：在用户的认证过程中，如果交换机同RADIUS服务器的连接超时，交换机将在用户当前连接的端口上禁止此用户访问网络，此时用户可以通过接入交换机的其他端口重新开始认证。

可以通过下面的命令配置集中式MAC地址认证的定时器。

表1-7配置集中式MAC地址认证定时器操作命令说明进入系统视图system-view -配置集中式MAC地址认证定时器mac-authentication timer{ offline-detect offline-detect-value| quiet quiet-value | server-timeoutserver-timeout-value }可选z缺省情况下，下线检测定时器的超时时间为300秒z静默定时器的超时时间为60秒z服务器超时定时器的超时时间为100秒说明：当集中式MAC地址认证和802.1x认证同时开启时，首先被集中式MAC地址认证设置为“静默”状态的MAC地址，将无法通过802.1x的认证。

1.3 集中式MAC地址认证配置显示和维护完成上述配置后，在任意视图下执行display命令，可以显示配置集中式MAC地址认证后的运行情况。

通过查看显示信息，用户可以验证配置的效果。

在用户视图下执行reset命令清除集中式MAC地址认证的统计信息。

表1-8集中式MAC地址认证显示和维护操作命令说明显示集中式MAC地址认证的全局或端口信息display mac-authentication[ interface interface-list ]display命令可以在任意视图下执行清除集中式MAC地址认证的全局或端口统计信息reset mac-authenticationstatistics [ interfaceinterface-list]reset命令在用户视图下执行1.4 集中式MAC地址认证配置举例说明：集中式MAC地址认证的配置与802.1x类似，在本例中，二者的区别是：z在端口和全局下使能集中式MAC地址认证；z对于MAC地址方式，本地认证的用户名和密码需要配置为该用户的MAC地址；z对于MAC地址方式，RADIUS服务器上的用户名和密码需要配置为该用户的MAC地址。