草庐IT

简单对比H3C/Huawei 802.1x+Radius/AAA配置差异

筐瓢大师小吕 2023-04-11 原文

1 802.1X基本概念

802.1x属于准入控制技术，又称EAPoE（Extensible Authentication Protocol Over Ethernet）

本地验证（交换机本地建立用户数据库）

CLient与Device之间跑的802.1x（EAP）

Device与Server之间跑的Radius（Radius也是C/S架构）

1.1 认证模式

基于接口：接口下第一个用户验证后，后续用户无需验证

基于MAC：每个用户都需要认证

1.2 认证方式

EAP终结：用户认证信息先交给设备，再由设备交给Server

EAP透传（EAP中继）：用户上传用户名至设备后，后续认证信息直接传递给Server

1.3 端口控制方式

自动识别（默认）

强制授权（无论验证成功与否，都给予授权）

强制非授权（与前者相反）

2 802.1X认证触发机制

2.1 客户端主动触发（组播与广播方式）

组播：客户端向局域网内发送EAPOL-Start报文，目标MAC：0180.C200.0003

广播：以广播形式发送EAPOL-Start

2.2 设备端主动触发（组播与单播方式）

用于支持不能主动发送EAPOL-Start报文的客户端

组播：每30s发送EAP-Request/Identity报文

单播：受到到未处于MAC表中的设备，单播EAP-Request报文

3 EAP体系架构

MD5、TLS、TTLS、REAP、MS-CHAPv2

EAP（EAP可以承载如上协议）

802.1x

PPP、802.11

4 802.1x：EAP终结认证

Step1：Client→Device，EAPOL-Start

Step2：Client←Device，EAP-Request/Identity，设备询问用户名

Step3：Client→Device，EAP-Response/Identity，主机提供用户名

Step4：Client←Device，EAP-Request/MD5 Challenge，设备提供随机数，询问密码

Step5：Client→Device，EAP-Response/MD5 Challenge，设备提供密码+随机数生成的Hash值

Step6：Device→Server，Radius Access-Request（CHAP-Response/MD5 Challenge）

设备将数据承载在Radius协议上（Radius 79属性）交给Server认证

Step7：Device←Server，Radius Access-Accept（CHAP-Success）

服务端宣告认证成功

Step8：Client←Device，EAP-Success，设备告知用户认证成功（Port-Authorized）

......

Client→←Device，Handshake Request/Response[EAP-Request/Response/Identity]，确定是否在线

......

Client→Device，EAPOL-Logoff，申请下线（Port Unauthorized）

5 EAP透传（即EAP中继）认证（略）

6 H3C Dot1x配置（HCL S6850 version7）

准入认证配置（Radius）

<H3C>sys
System View: return to User View with Ctrl+Z.

[H3C]radius scheme A    
New RADIUS scheme.
//创建一个radius域并进入视图，命名为A

[H3C-radius-a]primary authentication 10.0.0.1 
//设置主认证Radius服务器地址及端口,端口可以不添加

[H3C-radius-a]primary accounting 10.0.0.1
//设置主计费Radius服务器地址及端口,端口可以不添加

[H3C-radius-a]key authentication simple ayanami2022
//设置系统与认证RADIUS服务器交互报文时的加密密码，命名如上

[H3C-radius-a]user-name-format without-domain
//用户名格式不带域名，交换机向3A服务器发送用户名时，不带域名，即不带下列配置的域名B

[H3C-radius-a]quit

配置ISP域（Domain）与认证方案

[H3C]domain B
//创建域并进入（名称可以与radius域不一致）

[H3C-isp-b]authorization lan-access radius-scheme A none

[H3C-isp-b]authentication lan-access radius-scheme A

[H3C-isp-b]accounting lan-access radius-scheme A
//配置 802.1x用户使用 RADIUS 方案uniaccess进行认证、授权、计费

[H3C-isp-b]quit

配置全局Dot1x

[H3C]dot1x

[H3C]domain default enable B
//开启默认ISP域为B

配置接口Dot1x

[H3C]int GigabitEthernet 1/0/1

[H3C-GigabitEthernet1/0/1]dot1x port-method portbased

[H3C-GigabitEthernet1/0/1]dot1x port-control auto    

[H3C-GigabitEthernet1/0/1]dot1x re-authenticate

[H3C-GigabitEthernet1/0/1]quit

相关配置一览

#
radius scheme a
 primary authentication 10.0.0.1
 primary accounting 10.0.0.1
 key authentication cipher $c$3$dR9G70UJ7Bn8+mkOtakzZVXqVbN9f3q5AiXqQkRz
 user-name-format without-domain 
#
domain b
 authentication lan-access radius-scheme a
 authorization lan-access radius-scheme a none
 accounting lan-access radius-scheme a
#
domain system
#
 domain default enable b
#
interface GigabitEthernet1/0/1
 port link-mode bridge
 combo enable fiber
 dot1x port-method portbased
 dot1x re-authenticate

7 Huawei Dot1x配置（eNSP S5700 version5）

准入认证配置

[Huawei]radius-server template A

[Huawei-radius-a]radius-server shared-key simple ayanami2022
//配置RADIUS服务器的共享密钥，此处是明文显示，建议密文

[Huawei-radius-a]radius-server authentication 10.0.0.1 1812
//指定认证服务器地址及端口（端口必须添加,认证端口为UDP 1812，H3C可以不强制添加端口）

[Huawei-radius-a]radius-server accounting 10.0.0.1 1813
//指定计费服务器地址及端口（如上）

[Huawei-radius-a]undo radius-server user-name domain-included
//用户名格式不带域名

配置ISP域-创建Radius认证/授权/计费方案

[Huawei]aaa
[Huawei-aaa]authentication-scheme B
[Huawei-aaa-authen-b]authentication-mode radius 
[Huawei-aaa-authen-b]qu
----如上为认证方案（已经包括授权）----

[Huawei-aaa]accounting-scheme B
[Huawei-aaa-accounting-b]accounting-mode radius
[Huawei-aaa-accounting-b]qu
----如上为计费方案----

[Huawei-aaa]domain C
//创建域“C”，并指定其为全局默认普通域。

[Huawei-aaa-domain-c]radius-server A

[Huawei-aaa-domain-c]authentication-scheme B

[Huawei-aaa-domain-c]accounting-scheme B

配置全局Dot1x

[Huawei]dot1x enable 

[Huawei]dot1x authentication-method eap
//模式为EAP终结

[Huawei]dot1x timer tx-period 5
//配置发送认证请求的时间间隔为90秒配置发送认证请求的时间间隔为5s

 配置接口Dot1x

[Huawei]int GigabitEthernet 0/0/1

[Huawei-GigabitEthernet0/0/1]dot1x enable 

[Huawei-GigabitEthernet0/0/1]dot1x port-control auto

[Huawei-GigabitEthernet0/0/1]dot1x port-method mac

[Huawei-GigabitEthernet0/0/1]dot1x reauthenticate

相关配置一览

dot1x enable
dot1x authentication-method eap
dot1x timer tx-period 5

#
radius-server template a
 radius-server shared-key simple ayanami2022
 radius-server authentication 10.0.0.1 1812
 radius-server accounting 10.0.0.1 1813
 undo radius-server user-name domain-included
#
aaa
 authentication-scheme b
  authentication-mode radius

 accounting-scheme b
  accounting-mode radius

 domain c
  authentication-scheme b
  authorization-scheme b
  radius-server  a

#
interface GigabitEthernet0/0/1
 dot1x enable
 dot1x reauthenticate

 

HuaweiRadiusampxfflt

有关简单对比H3C/Huawei 802.1x+Radius/AAA配置差异的更多相关文章

  1. ruby - 简单获取法拉第超时 - 2

    有没有办法在这个简单的get方法中添加超时选项？我正在使用法拉第3.3。Faraday.get(url)四处寻找，我只能先发起连接后应用超时选项，然后应用超时选项。或者有什么简单的方法？这就是我现在正在做的:conn=Faraday.newresponse=conn.getdo|req|req.urlurlreq.options.timeout=2#2secondsend 最佳答案 试试这个:conn=Faraday.newdo|conn|conn.options.timeout=20endresponse=conn.get(url

  2. ruby - 用 Ruby 编写一个简单的网络服务器 - 2

    我想在Ruby中创建一个用于开发目的的极其简单的Web服务器(不，不想使用现成的解决方案)。代码如下:#!/usr/bin/rubyrequire'socket'server=TCPServer.new('127.0.0.1',8080)whileconnection=server.acceptheaders=[]length=0whileline=connection.getsheaders想法是从命令行运行这个脚本，提供另一个脚本，它将在其标准输入上获取请求，并在其标准输出上返回完整的响应。到目前为止一切顺利，但事实证明这真的很脆弱，因为它在第二个请求上中断并出现错误:/usr/b

  3. ruby-on-rails - 简单的 Ruby on Rails 问题——如何将评论附加到用户和文章？ - 2

    我意识到这可能是一个非常基本的问题，但我现在已经花了几天时间回过头来解决这个问题，但出于某种原因，Google就是没有帮助我。(我认为部分问题在于我是一个初学者，我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI，但我仍然停留在这个问题上.我找到了一些关于多态关系的信息，但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。

  4. ruby - 使用 Ruby 通过 Outlook 发送消息的最简单方法是什么？ - 2

    我的工作要求我为某些测试自动生成电子邮件。我一直在四处寻找，但未能找到可以快速实现的合理解决方案。它需要在outlook而不是其他邮件服务器中，因为我们有一些奇怪的身份验证规则，我们需要保存草稿而不是仅仅发送邮件的选项。显然win32ole可以做到这一点，但我找不到任何相当简单的例子。 最佳答案 假设存储了Outlook凭据并且您设置为自动登录到Outlook，WIN32OLE可以很好地完成此操作:require'win32ole'outlook=WIN32OLE.new('Outlook.Application')message=

  5. postman——集合——执行集合——测试脚本——pm对象简单示例02 - 2

    //1.验证返回状态码是否是200pm.test("Statuscodeis200",function(){pm.response.to.have.status(200);});//2.验证返回body内是否含有某个值pm.test("Bodymatchesstring",function(){pm.expect(pm.response.text()).to.include("string_you_want_to_search");});//3.验证某个返回值是否是100pm.test("Yourtestname",function(){varjsonData=pm.response.json

  6. Qt Designer的简单使用 - 2

    在前面两节的例子中，主界面窗口的尺寸和标签控件显示的矩形区域等，都是用C++代码编写的。窗口和控件的尺寸都是预估的，控件如果多起来，那就不好估计每个控件合适的位置和大小了。用C++代码编写图形界面的问题就是不直观，因此Qt项目开发了专门的可视化图形界面编辑器——QtDesigner（Qt设计师）。通过QtDesigner就可以很方便地创建图形界面文件*.ui，然后将ui文件应用到源代码里面，做到“所见即所得”，大大方便了图形界面的设计。本节就演示一下QtDesigner的简单使用，学习拖拽控件和设置控件属性，并将ui文件应用到Qt程序代码里。使用QtDesigner设计界面在开始菜单中找到「Q

  7. ruby - 使用 Ruby，计算 n x m 数组的每一列中有多少个 true 的简单方法是什么？ - 2

    给定一个nxmbool数组:[[true,true,false],[false,true,true],[false,true,true]]有什么简单的方法可以返回“该列中有多少个true？”结果应该是[1,3,2] 最佳答案 使用转置得到一个数组，其中每个子数组代表一列，然后将每一列映射到其中的true数:arr.transpose.map{|subarr|subarr.count(true)}这是一个带有inject的版本，应该在1.8.6上运行，没有任何依赖:arr.transpose.map{|subarr|subarr.in

  8. ruby - 在 Ruby 中搜索大文件的更简单方法？ - 2

    我正在编写一个简单的日志嗅探器，它将在日志中搜索表明我支持的软件存在问题的特定错误。它允许用户指定日志路径并指定他们想要搜索多少天前。如果用户关闭日志滚动，日志文件有时会变得非常大。目前我正在做以下事情(虽然还没有完成):File.open(@log_file,"r")do|file_handle|file_handle.eachdo|line|ifline.match(/\d+++-\d+-\d+/)etc...line.match显然会查找我们在日志中使用的日期格式，其余逻辑将在下面。但是，有没有更好的方法来搜索没有.each_line的文件？如果没有，我完全同意。我只是想确保我使

  9. ruby - 如何排序不是简单的哈希(哈希的哈希) - 2

    我有一个这样的哈希{55=>{:value=>61,:rating=>-147},89=>{:value=>72,:rating=>-175},78=>{:value=>64,:rating=>-155},84=>{:value=>90,:rating=>-220},95=>{:value=>39,:rating=>-92},46=>{:value=>97,:rating=>-237},52=>{:value=>73,:rating=>-177},64=>{:value=>69,:rating=>-167},86=>{:value=>68,:rating=>-165},53=>{:va

  10. ruby - 从 Ruby 中的 CSV 文件获取 header 的最简单方法是什么？ - 2

    我需要做的就是从CSV文件中获取header。file.csv是:"A","B","C""1","2","3"我的代码是:table=CSV.open("file.csv",:headers=>true)putstable.headerstable.eachdo|row|putsrowend这给了我:true"1","2","3"我已经查看RubyCSV文档几个小时了，这让我发疯。我确信必须有一个简单的单行代码可以将header返回给我。有什么想法吗？ 最佳答案 看起来CSV.read会让您访问headers方法:headers=C

随机推荐