部署VLAN和ACL
Cisco Catalyst交换机(认证方)和Cisco ACS(认证服务器)具备动态分配VLAN或者ACL的能力。
Cisco ACS可以将某个用户分配给指定的VLAN,或应用ACL过滤该用户的流量。用户成功通过802.1X认证后,Cisco ACS向交换机发送Radius属性信息,有交换机负责VLAN的动态分配。

配置动态VLAN和ACL时,需要完成以下工作:
    1. 为交换机配置授权
    2. 为Cisco ACS配置VLAN(可选)
    3. 为交换机配置ACL(可选)
    4. 为Cisco ACS配置ACL(可选)

注意:
    • 在配置VLAN和ACL之前,需要确保当前环境还部署了其他访问控制手段,即动态VLAN和其他安全措施配合使用。
    • 如果当前环境没有配置其他的安全措施,应该考虑采用动态ACL,或者将动态VLAN和动态ACL配合使用。
    
参与EAP-TLS认证的设备及角色:

根据上图中所示,Cisco ACS将SW(认证方)连接请求方的接口分配给VLAN10,并为数据库中位于Group1中的用户动态指定ACL,ACL的设置为放行HTTP、DNS、PING流量。另外,假设已经为SW和ACS配置好的相关Radius参数,SW已经配置了基本的端口认证。

配置:
1、为交换机配置授权

另外,若SW没有配置802.1X或者ACS没有配置自动VLAN,可以将端口分配给默认VLAN,如下配置:

Cisco交换机的MAC身份验证旁路(MAB)技术介绍:
SW可以根据用户的MAC地址进行身份的验证,这种技术叫做MAC身份验证旁路。但802.1X验证失败时,SW可以尝试采用MAB对客户进行认证,在ACS数据库中存在MAC列表,启用MAB的SW使用客户设备的MAC地址作为身份凭证和该列表比较,如果列表中存在该MAC地址,则对该用户授权,当客户设备连接到SW的802.1X端口时,它将向SW发送以太网帧,其中包含MAC地址,SW转发给ACS后,ACS验证其身份,从而授予一定的权限。
MAB也可进行重认证,其过程与802.1X客户的重认证过程相同,重认证基于一种称为会话超时的Radius属性,当授权期结束后,客户连接将中断。
如果启用MAB的SW端口收到了EAPOL包,说明该端口连接客户支持802.1X,SW将改用802.1X进行认证,如果802.1X端口连接到采用MAB的认证端口,客户将不被取消授权而端口连接,但是在重认证阶段,就会使用802.1X而不是使用MAB了。

MAB的特点:
802.1X认证:仅当端口启用802.1X认证时,才能启用MAB
访客VLAN:若客户设备不能提供合法额MAC地址,SW将把它分配到预先配置的访客VLAN
受限VLAN:对SW的802.1X端口而言,若采用MAB对客户身份进行验证,则无法将其分配到受限VLAN中
端口安全:MAB可以与端口安全配合使用
语音VLAN:MAB也可以和语音VLAN配合使用
VLAN成员策略服务器(VMPS):802.1X与VMPS互斥,二者不能同时使用
私有VLAN:可以将某个端口划分到私有VLAN中,并为其配置MAB

配置WEB认证:

配置多主机模式(单主机模式为默认模式,不需要配置):

由于一台设备通过认证后,该端口就授权了,所以最好和端口安全配合使用。

配置多认证模式(由于每个主机都需要认证,所以不需要使用端口安全)

在使用dot1x host-mode 之前,必须开启在端口开启802.1X认证。

配置多域认证(VLAN10用户数据VLAN供PC使用,VLAN20用于语音VLAN,供IP电话使用)

配置应急开发策略:关键端口、开放式认证

管理员可以通过接口配置命令authentication open启用开放式认证。

解决802.1X兼容性问题:局域网唤醒技术(WoL,Wake on LAN)

不支持802.1X的IP电话

远程引导技术

802.1X高级配置的更多相关文章

  1. 802.1X基本配置

    基本的802.1X部署工作包括以下4步:    1. 为Cisco Catalyst交换机配置802.1X认证方    2. 为交换机配置访客VLAN或者受限VLAN,并调整802.1X定时器(可选) ...

  2. H3C 802.1X典型配置举例

  3. H3C 802.1X基本配置

  4. 华为S5700配置端口镜像和华三S5120配置802.1X认证记录

    一.说明 事情的起因是我们部门有个华为的S5700交换机,想配置端口镜像抓包但让助理买的串口线很久都还没到:而昨天测试部的同事说他们那有台华三的S5120想要配802.1X认证,但只有华为交换机的文档 ...

  5. CLI配置WLAN-PSK认证和802.1X认证

    一.该部分配置主要是针对PSK认证 1.创建WLAN 2 2.让WLAN使用PSK的方式 config wlan create 2 OK OK  //创建WLAN Profile Name和SSID ...

  6. 自学Aruba5.3.4-Aruba安全认证-有PEFNG 许可证环境的认证配置802.1x

    点击返回:自学Aruba之路 自学Aruba5.3.4-Aruba安全认证-有PEFNG 许可证环境的认证配置802.1x 1. 采用InterDB认证服务器完成802.1X认证 (Aruba650) ...

  7. 自学Aruba7.3-Aruba安全认证-802.1x认证(web页面配置)

    点击返回:自学Aruba之路 自学Aruba7.3-Aruba安全认证-802.1x认证(web页面配置) 步骤1 建立AP Group,命名为test802-group 步骤2   将AP加入到AP ...

  8. 06 自学Aruba之win7系统802.1x认证网卡设置指导

    点击返回:自学Aruba之路 06 自学Aruba之win7系统802.1x认证网卡设置指导 步骤1.在桌面任务栏找到“打开网络和共享中心”,点击进入: 步骤2.点击“管理无线网络”,进入无线网络配置 ...

  9. Ubuntu16.04 802.1x 有线连接 输入账号密码,为什么连接不上?

    ubuntu16.04,在网络配置下找到802.1x安全性,输入账号密码,为什么连接不上?   这是系统的一个bug解决办法:假设你有一定的ubuntu基础,首先你先建立好一个不能用的协议,就是按照之 ...

随机推荐

  1. Centos7 安装 Cockpit

    1sudo yum -y install epel-release sudo yum -y update sudo shutdown -r now 2yum -y install cockpit sy ...

  2. 画图软件gliffy

    网上的资源真是海量丫: https://segmentfault.com/q/1010000000310976 gliffy软件在线网址:https://chrome.google.com/webst ...

  3. 使用java实现AES算法的加解密(亲测可用)

    话不多说,直接上代码 import javax.crypto.Cipher;   import javax.crypto.spec.IvParameterSpec; import javax.cryp ...

  4. win7 安装asp.net v4.0

    错误信息影响: HTTP 错误 403.14 - Forbidden Web 服务器被配置为不列出此目录的内容.返回的错误表明IIS缺少针对无后缀的MVC请求的映射,ASP.NET处理程序无法接收到请 ...

  5. 【visio】故障树分析图

    率属于 商务 故障树是从一个可能的事故开始,自上而下.一层层的寻找顶事件的直接原因和间接原因事件,直到基本原因事件,并用逻辑图把这些事件之间的逻辑关系表达出来. 主要的应用场景:分析复杂问题原因,一个 ...

  6. zookeeper and kafka

    kafka安装前期准备: 1,准备三个节点(根据自己需求决定) 2,三个节点上安装好zookeeper(也可以使用kafka自带的zookeeper) 3,关闭防火墙 chkconfig  iptab ...

  7. 连接查询:inner join,left join,right join

    感谢原创:https://blog.csdn.net/plg17/article/details/78758593 准备工作: 1)新建两张表a_table和b_table: create table ...

  8. 自定义控件之绘图篇(四):canvas变换与操作

    具体操作见下面链接: http://blog.csdn.net/harvic880925/article/details/39080931/

  9. chomp/undef/标量 --Perl 入门第二章

    1.chomp 用途:去掉字符串 末尾的换行符 $text="a line of text \n" chomp($text) #去除行末的换行符 chomp()  --本质上是一个 ...

  10. css 溢出滚动条显示,修改滚动条样式

    文本或者内容溢出滚动条显示: a/横纵都出滚动条:css添加属性{overflow:auto;} b/横向滚动条:css添加属性{overflow-x:auto;} c/纵向滚动条:css添加属性{o ...