当前位置：文档之家 › 配置802.1X

配置802.1X

  • 格式：doc
  • 大小：89.86 KB
  • 文档页数：3

配置802.1Q隧道

本章描述实达交换机的隧道接口及其配置，主要包括以下几个部分：

 理解802.1Q 隧道(tunneling)

 配置802.1Q隧道

理解802.1Q隧道(802.1Q tunneling)

网络服务提供商的商业用户对所支持的VLAN及VLAN 号经常会有特殊的需求。同一个服务商的用户所需要的VLAN范围可能重合，并且不同用户通过服务商核心网络的交换通路可能混在一起。如果对每个用户限定一个VLAN范围将会限制用户的配置，并且VLAN号很容易就会超出802.1Q定义的4096。

利用隧道(tunneling)功能，服务商可以用一个VLAN(服务商 VLAN)来支持拥有多个VLAN的用户。用户自身的VLAN被保留起来，这样即使进入网络服务商的不同用户的流的VLAN相同，也会在服务商的内部网络中被分开传输。隧道通过双tag来扩展VLAN的范围，一个支持隧道的端口称为802.1Q 隧道端口(tunnel port)。配置隧道的时候，可以给隧道端口赋一个VLAN作为隧道的专用VLAN。这样，每个用户仅需要用一个服务商的VLAN，用户流在服务商网络中传输时被服务商VLAN包装成双Tag帧，以服务商VLAN在网络中传输。

用户的交换流从其一个TRUNK端口，带着正常的802.1Q TAG进入到服务商边界交换机的一个隧道端口。用户和服务商间非对称的连接称为非对称连接，因为连接的一端是一个Trunk port，另一端却是一个tunnel port。不同用户的Tunnel port被赋予不同的VLAN 。如图：

用户A , VLANs1~100 用户A , VLANs1~100

服务商网络

Tunnel port VLAN30

Tunnel port Tunnel port VLAN30

VLAN30 Trunk ports

Tunnel port VLAN40 Tunnel port VLAN40

用户B , VLANs1~200 用户B , VLANs1~200

Trunk

Asymmetric link

图1 服务商网络中的802.1Q tunnel 端口

从用户端的Trunk port进入到服务商网络边界交换机隧道端口的帧通常带802.1Q tag和VLAN。当帧进入到隧道端口后，会被重新添加一层802.1Q tag (称为服务商tag)，包含另外一个VLAN，这个VLAN每个用户不同。用户的TAG就会被保留在帧内部。这样进入到服务商网络的帧就被打上双重tag，服务商tag携带标识用户的VID，内部tag则保留了输入帧的VID。

图2 显示了双tag的过程：

DA SA Len/Etype Data FCS

DA SA Etype Tag Len/Etype Data FCS

DA SA Etype Tag Etype Tag Len/Etype Data FCS

当双Tag帧从边界交换机的Tunnel Port输出时，服务商Tag被剥去，帧变回原来进入边界交换机正常的802.1Q帧格式，用户VLAN被恢复。

所有进入边界交换机的帧都被当作是Untagged 帧，而不管它实际上是Untagged还是已经带802.1Q tagg头的帧。帧在通过服务商网络时都被封装上服务商Tag和VLAN号(即 Tunnel port的Access VLAN)。服务商Tag的优先级域为Tunnel port上所设的所配置的优先级(如果没有设置，缺省为0)。

图1中，用户A被赋予VLAN 30，用户B被赋予VLAN 40。进入边界交换机带802.1Q Tag的帧被重新包上一层服务商Tag，成为双Tag，服务商Tag 包含VLAN 30或40，而内部Tag包含了帧原来的VLAN信息，如VLAN 100。即使用户A和B进入服务商网络的帧的VID都是100，由于服务商Tag所带的VID不通，它们在服务商网络中的传输流是分开来的。每个用户可以分配其VLAN范围，既独立于其他用户，也独立于服务商网络。

配置802.1Q隧道(802.1Q tunneling)

本章包括以下内容

 802.1Q 隧道的默认配置

 802.1Q隧道配置指南

 802.1Q隧道配置的限制

 配置一个802.1Q隧道

802.1Q 隧道的默认配置

默认配置下，802.1Q隧道功能被禁止；

802.1Q隧道配置指南

配置802.1Q时，必须确认和802.1Q 隧道的连接是一个非对称连接(Asymmetric Link)，每个隧道专用一个VLAN。同时必须确认Native Vlan和最长帧的正确配置。

Native Vlan的配置：在一个边界交换机配置802.1Q隧道时，必须通过802.1Q trunk口来连接一个隧道端口。帧在服务提供商内部网络的交换路径是多种多样的，可能是802.1Q trunk, 或者非trunk

口。当核心交换机间的连接是TRUNK时，交换机上的TRUNK端口的Native Vlan与Tunnel port的ACCESS Vlan应该不同，因为Vid为Native Vlan的帧从Trunk端口发送出来的时候，tag会被剥除。

系统最长帧：因为802.1Q tunneling端口会增加4个字节的服务商Vlan tag，帧的最大长度就会从1518增加到1522。S6000系列支持的最大帧长度为9216字节。

802.1Q隧道配置的限制

S6000的802.1Q隧道配置有如下限制：

 只有1XENPAK/2XENPAK线卡上的端口才可以设置成tunnel port

 路由口不能设置为tunnel port

 Ap口可以设置成tunnel port

配置一个802.1Q隧道

在全局配置模式下使用interface 命令进入接口配置模式。按照下面的步骤进行Tunnel port 配置：

命令 含义

步骤1 configure terminal 进入全局配置模式

步骤2 interface 接口ID 在全局配置模式下输入interface命令，进入接口配置模式。用户也可以在全局配置模式下使用interface range或interface range macro命令配置一定范围的接口。但是定义在一个范围内的接口必须是相同类型和具有相同特性的

步骤3 switchport access vlan vlan-id 设置Access vlan。每个用户的Access vlan应该不同

步骤4 switchport mode dot1q-tunnel 接口设置成 802.1Q tunnel

步骤5 End

步骤6 Write 保存

下例给出了如何配置一个隧道接口的示例：

Switch(config)# interface gigabitethernet 1/7

Switch(config-if)# switchport access vlan 22

Switch(config-if)# switchport mode dot1q-tunnel

Switch(config)# end

合集下载

802.1X

802.1X

1 802.1X

一 基本简介

1.802.1x协议起源于802.11协议,主要目的是为了解决无线局域网用户的接入认证和基于端口的接入控制（Port-Based

Access Control）问题.

2.作用

(1)802.1X首先是一个认证协议，是一种对用户进行认证的方法和策略。

(2)802.1X是基于端口的认证策略（这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口，对于无线局域网来说个“端口”就是一条信道）

(3)802.1X的认证的最终目的就是确定一个端口是否可用。对于一个端口，如果认证成功那么就“打开”这个端口，允许文所有的报文通过；如果认证不成功就使这个端口保持“关闭”，此时只允许802.1X的认证报文EAPOL（Extensible

Authentication Protocol over LAN）通过。

二802.1X体系结构

1.Supplicant System,客户端(PC/网络设备) :支持EAP协议的终端或安装了802.1X客户端软件的设备.

2.Authenticator System,认证系统 :也就是认证代理,它负责802.1X客户端接入一般是接入层交换机和接入AP.switch与client间通过EAPOL协议进行通讯，switch与认证服务器间通过EAPoRadius或EAP承载在其他高层协议上，以便穿越复杂的网络到达 Authentication Server （EAP Relay）;switch要求客户端提供identity,接收到后将EAP报文承载在Radius格式的报文中,再发送到认证服务器，返回等同;switch根据认证结果控制端口是否可用；

3.Authentication Sever System,认证服务器:实际就是AAA服务器-RADIUS,WINDOWS中相当于域控制器.它对客户进行实际认证，核实客户的identity，通知swtich是否允许客户端访问LAN和交换机提供的服务Authentication Sever 接受

思科交换机802.1X认证环境配置

思科交换机802.1X认证环境配置

思科交换机802.1X认证环境配置

1.1.1.1 ：配置IP地址

configure terminal 进入全局的配置模式

配置命令：ip address

举 例：ip address 192.168.1.253 255.255.255.0

1.1.1.2 ：配置Radius认证服务器地址

configure terminal 进入全局的配置模式

配置命令：radius-server host <0.0.0.0> auth-port acct-port key

举 例：radius-server host 192.168.1.254 auth-port 1812 acct-port 1813 key test

radius-server retransmit 3 和Radius默认重传3次。

1.1.1.3 ：配置Dot1X认证

configure terminal 进入全局的配置模式

aaa new-model 运行AAA模式。

aaa authentication dot1x default group radius 创建一个802.1X认证的方式列表

dot1x system-auth-control 在交换机上全局允许802.1X认证

nterface 在指定的端口上启用802.1X认证

举例：interface fastethernet0/1

说明：1：例子中的是第一个端口，端口的书写必须是:0/

2：当端口启用802.1X认证之后应该显示是桔红色，而没有启用的显示的是绿色。

switchport mode access

dot1x port-control auto 以上两个命令是允许在端口上启用802.1X认证。

End 配置结束

Show dot1x 查看您的dot1x认证配置

copy running-config startup-config 保存您的配置到配置文件中。

802.1x认证配置

802.1x认证配置

实验报告

Cisco 802.1x

的认证配置

实验拓扑图

试验要求 一 公司为了安全，实行802.1x 认证

1:配置SW1和SW2之间使用trunk链路,使用VTP配置vlan 10，将PC1所连接端口加入到

vlan 10,将ACS服务器所连端口加入到vlan 1

2:用三层交换机实现vlan间路由，并且给SW2的VLAN 1配置192.168.1.222作为管理地址.

3:在ACS服务器上搭建DHCP服务器,并在三层交换机上配置DHCP中继,让客户端能够自动

获取IP地址.

4:搭建ACS服务器.

5:在SW2上启用802.1X认证.

6:测试PC连接情况.

二、员工能更改密码

实验步骤

一 公司为了安全，实行802.1x 认证

1.在sw1上sw2之间使用trunk链路,使用VTP配置VLAN 10

2.启用三层交换机实现vlan间通行都在sw1上配置

SW1(config)#int vlan 1

SW1(config-if)#ip add 192.168.1.254 255.255.255.0

SW1(config-if)#no sh

SW1(config-if)#int vlan 10

SW1(config-if)#ip ad 10.254 255.255.255.0

3．在ACS服务器上配置DHCP服务器,让客户端能够自动获取IP地址.（此处要搭建dhcp服务）

SW1(config)#int vlan 10

SW1(config-if)#ip helper-address 192.168.1.100

然后再sw2上配置vlan1的ip是

4在客户机上测试通行能ping通ACS服务器然后查看自动获取到的ip地址

4在安装ACS之前先安装

4搭建ACS安装cisco ACS软件四个复选框各个意思是

终端用户能够连接到AAA接入设备

安装ACS的windows服务器能够ping通AAA接入设备

NETGEAR7000系列交换机802 1x设置步骤及要点

NETGEAR7000系列交换机802 1x设置步骤及要点

一、802.1x端口认证原理

为什么需要IEEE802.1x？随着宽带以太网建设规模的迅速扩大，网络上原有的认证系统已经不能很好地适应用户数量急剧增加和宽带业务多样性的要求。IEEE802.1x协议具有完备的用户认证、管理功能，可以很好地支撑宽带网络的计费、安全、运营和管理要求，对宽带IP城域网等电信级网络的运营和管理具有极大的优势。IEEE802.1x协议对认证方式和认证体系结构上进行了优化，解决了传统PPPOE和WEB/PORTAL认证方式带来的瓶颈问题，更加适合在宽带以太网中的使用。

IEEE802.1x是IEEE在2001年6月通过的基于端口访问控制的接入管理协议标。

IEEE802系列LAN标准是目前居于主导地位的局域网络标准，传统的IEEE802协议定义的局域网不提供接入认证，只要用户能接入局域网控制设备，如传统的LanSwitch，用户就可以访问局域网中的设备或资源，这是一个安全隐患。对于移动办公，驻地网运营等应用，设备提供者希望能对用户的接入进行控制和配置，此外还存在计费的需求。因此，802.1x产生了。

IEEE802.1x是一种基于端口的网络接入控制技术，在 LAN 设备的物理接入级对接入设备进行认证和控制，此处的物理接入级指的是 LanSwitch设备的端口。连接在该类端口上的用户设备如果能通过认证，就可以访问 LAN 内的资源；如果不能通过认证，则无法访问 LAN 内的资源，相当于物理上断开连接。

下面首先让我们了解一下IEEE802.1x端口访问控制协议的体系结构。

1. IEEE802.1x 体系介绍

虽然IEEE802.1x定义了基于端口的网络接入控制协议，但是需要注意的是该协议仅适用于接入设备与接入端口间点到点的连接方式，其中端口可以是物理端口，也可以是逻辑端口。典型的应用方式有：LanSwitch 的一个物理端口仅连接一个 End Station，这是基于物理端口的； IEEE