目录 1 MAC 地址认证 1-1 1.1 MAC 地址认证简介 1-1 1.1.1 MAC 地址认证概述 1-1 1.1.2 使用不同用户名格式的 MAC 地址认证 1-1 1.2 MAC 地址认证支持 VLAN 下发 1-2 1.3 MAC 地址认证配置任务简介 1-2 1.4 指定 MAC 地址认证用户使用的认证域 1-3 1.5 配置 MAC 地址认证用户名格式 1-3 1.6 配置 MAC 地址认证定时器 1-3 1.7 MAC 地址认证的显示和维护 1-4 i
1 MAC 地址认证 WX1800H 系列 WX2500H 系列和 WX3000H 系列不支持 slot 参数 1.1 MAC 地址认证简介 1.1.1 MAC 地址认证概述 MAC 地址认证是一种基于端口和 MAC 地址对用户的网络访问权限进行控制的认证方法, 它不需要用户安装任何客户端软件 设备在启动了 MAC 地址认证的端口上首次检测到用户的 MAC 地址以后, 即启动对该用户的认证操作 认证过程中, 不需要用户手动输入用户名或者密码 若该用户认证成功, 则允许其通过端口访问网络资源, 否则该用户的 MAC 地址就被设置为静默 MAC 在静默时间内 ( 可通过静默定时器配置 ), 来自此 MAC 地址的用户报文到达时, 设备直接做丢弃处理, 以防止非法 MAC 短时间内的重复认证 若配置的静态 MAC 或者当前认证通过的 MAC 地址与静默 MAC 相同, 则 MAC 地址认证失败后的 MAC 静默功能将会失效 1.1.2 使用不同用户名格式的 MAC 地址认证目前设备支持两种方式的 MAC 地址认证, 通过 RADIUS(Remote Authentication Dial-In User Service, 远程认证拨号用户服务 ) 服务器进行远程认证和在接入设备上进行本地认证 有关远程 RADIUS 认证和本地认证的详细介绍请参见 安全配置指导 中的 AAA 根据设备最终用于验证用户身份的用户名格式和内容的不同, 可以将 MAC 地址认证使用的用户帐户格式分为两种类型 : MAC 地址用户名格式 : 使用用户的 MAC 地址作为认证时的用户名和密码 固定用户名格式 : 不论用户的 MAC 地址为何值, 所有用户均使用设备上指定的一个固定用户名和密码替代用户的 MAC 地址作为身份信息进行认证 由于同一个端口下可以有多个用户进行认证, 因此这种情况下端口上的所有 MAC 地址认证用户均使用同一个固定用户名进行认证, 服务器端仅需要配置一个用户帐户即可满足所有认证用户的认证需求, 适用于接入客户端比较可信的网络环境 1-1
图 1-1 不同用户名格式下的 MAC 地址认证示意图 Username format Device Local user accounts 1-1-1 abc Host MAC: 1-1-1 MAC address Fixed account Username:abc Password:123 Username/Password (1-1-1/1-1-1) Username/Password (abc/123) RADIUS user accounts 1-1-1 abc RADIUS server 1. RADIUS 服务器认证方式进行 MAC 地址认证当选用 RADIUS 服务器认证方式进行 MAC 地址认证时, 设备作为 RADIUS 客户端, 与 RADIUS 服务器配合完成 MAC 地址认证操作 : 若采用 MAC 地址用户名格式, 则设备将检测到的用户 MAC 地址作为用户名和密码发送给 RADIUS 服务器进行验证 若采用固定用户名格式, 则设备将一个已经在本地指定的 MAC 地址认证用户使用的固定用户名和对应的密码作为待认证用户的用户名和密码, 发送给 RADIUS 服务器进行验证 RADIUS 服务器完成对该用户的认证后, 认证通过的用户可以访问网络 2. 本地认证方式进行 MAC 地址认证当选用本地认证方式进行 MAC 地址认证时, 直接在设备上完成对用户的认证 需要在设备上配置本地用户名和密码 : 若采用 MAC 地址用户名格式, 则设备将检测到的用户 MAC 地址作为待认证用户的用户名和密码与配置的本地用户名和密码进行匹配 若采用固定用户名, 则设备将一个已经在本地指定的 MAC 地址认证用户使用的固定用户名和对应的密码作为待认证用户的用户名和密码与配置的本地用户名和密码进行匹配 用户名和密码匹配成功后, 用户可以访问网络 1.2 MAC 地址认证支持 VLAN 下发 MAC 地址认证支持 VLAN 下发的相关内容请参考 WLAN 配置指导 中的 WLAN 用户接入认证 1.3 MAC 地址认证配置任务简介 表 1-1 MAC 地址认证配置任务简介配置任务 说明 详细配置 配置 MAC 地址认证用户使用的认证域 可选 1.4 配置 MAC 地址认证用户名格式 可选 1.5 配置 MAC 地址认证定时器 可选 1.6 1-2
1.4 指定 MAC 地址认证用户使用的认证域 为了便于接入设备的管理员更为灵活地部署用户的接入策略, 设备支持指定 MAC 地址认证用户使用的认证域, 可以通过以下两种配置实现 : 在系统视图下指定一个认证域, 该认证域对所有开启了 MAC 地址认证的端口生效 在无线服务模板下指定一个认证域 接入的 MAC 地址认证用户将按照如下顺序选择认证域 : 无线服务模板上指定的认证域 --> 系统视图下指定的认证域 --> 系统缺省的认证域 关于认证域的相关介绍请参见 安全配置指导 中的 AAA 表 1-2 指定 MAC 地址认证用户使用的认证域配置步骤命令说明进入系统视图 system-view - 指定 MAC 地址认证用户使用的认证域 mac-authentication domain domain-name wlan service-template service-template-name mac-authentication domain domain-name 二者至少选其一缺省情况下, 未指定 MAC 地址认证用户使用的认证域, 使用系统缺省的认证域 1.5 配置 MAC 地址认证用户名格式 表 1-3 配置 MAC 地址认证用户名格式操作 命令 说明 进入系统视图 system-view - 配置 MAC 地址认证用户的用户名格式 MAC 地址格式 固定用户名格式 mac-authentication user-name-format mac-address [ { with-hyphen [ six-section three-section ] without-hyphen } [ lowercase uppercase ] ] mac-authentication user-name-format fixed [ account name ] [ password { cipher simple } password ] 二者选其一缺省情况下, 使用用户的 MAC 地址作为用户名与密码, 其中字母为小写, 且不带连字符 - 1.6 配置 MAC 地址认证定时器 服务器超时定时器 (server-timeout): 用来设置设备同 RADIUS 服务器的连接超时时间 在用户的认证过程中, 如果到服务器超时定时器超时时设备一直没有收到 RADIUS 服务器的应答, 则设备将在相应的端口上禁止此用户访问网络 1-3
表 1-4 配置 MAC 地址认证定时器 操作命令说明 进入系统视图 system-view - 配置 MAC 地址认证定时器 mac-authentication timer server-timeout server-timeout-value 缺省情况下, 服务器超时定时器取值为 100 秒 1.7 MAC 地址认证的显示和维护 在完成上述配置后, 在任意视图下执行 display 命令可以显示配置后 MAC 地址认证的运行情况, 通过查看显示信息验证配置的效果 在用户视图下, 执行 reset 命令可以清除相关统计信息 表 1-5 MAC 地址认证的显示和维护 操作 命令 显示 MAC 地址认证的相关信息 display mac-authentication [ ap ap-name [ radio radio-id ] ] 显示 MAC 地址认证连接信息 清除 MAC 地址认证的统计信息 display mac-authentication connection [ ap ap-name [ radio radio-id ] slot slot-number user-mac mac-addr user-name user-name ] reset mac-authentication statistics [ ap ap-name [ radio radio-id ] ] 1-4