目錄

簡介

必要條件

需求

採用元件

設定

交換機配置示例

ACS配置

驗證

疑難排解

簡介

本檔案將提供思科存取控制伺服器(ACS)版本4.2和用於有線驗證的遠端存取撥入使用者服務(RADIUS)通訊協定的基本IEEE 802.1x組態範例。

必要條件

需求

思科建議您：

- 確認ACS和交換機之間的IP可達性。

- 確保ACS和交換機之間的使用者資料包協定(UDP)埠1645和1646處於開啟狀態。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Cisco Catalyst 3550 系列交換器

- Cisco安全ACS版本4.2

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

設定

交換機配置示例

1. 若要定義RADIUS伺服器和預先共用金鑰，請輸入以下命令：

Switch(config)# radius-server host 192.168.1.3  key  cisco123

2. 若要啟用802.1x功能，請輸入以下命令：

Switch(config)# dot1x system-auth-control

3. 若要全域性啟用身份驗證、授權和記帳(AAA)以及RADIUS身份驗證和授權，請輸入以下命令：

註：如果需要從RADIUS伺服器傳遞屬性，則必須執行此操作；否則，您可以跳過它。

Switch(config)# aaa new-model

Switch(config)# aaa authentication dot1x default group radius

awitch(Config)# aaa authorization network default group radius

Switch(Config)# aaa accounting dot1x default start-stop group radius

Switch(config-if)# switchport mode acces

Switch(config-if)# switchport access vlan

Switch(config-if)# authentication port-control auto (12.2.50 SE and later)

Switch(config-if)# dot1x port-control auto (12.2.50 SE and below)

Switch(config-if)# dot1x pae authenticator (version 12.2(25)SEE and below)

Switch(config-if)# dot1x timeout quiet-period

Switch(config-if)# dot1x timeout tx-period

ACS配置

1. 要在ACS中將交換機新增為AAA客戶端，請導航到Network Configuration > Add entry AAA client，然後輸入以下資訊：

- IP地址:<IP>

- 共用金鑰:<key>

- 驗證使用：Radius(Cisco IOS®/PIX 6.0)

2. 要配置身份驗證設定，請導航到System Configuration > Global Authentication Setup，然後驗證Allow MS-CHAP Version 2 Authentication覈取方塊是否已選中：

3. 要配置使用者，請按一下選單上的User Setup，然後完成以下步驟：

- 輸入User information: Network-Admin <username>。

- 按一下「Add/Edit」。

- 輸入Real Name: Network-Admin <descriptive name>。

- 新增說明: <您的選擇>。

- 選擇Password Authentication: ACS Internal Database。

- 輸入密碼: ....... <password>。

- 確認Password: <password>。

- 按一下「Submit」。

驗證

輸出直譯器工具(僅供已註冊客戶使用)支援某些show命令。使用Output Interpreter工具檢視show指令輸出的分析。

輸入以下命令以確認您的組態是否正常運作：

- show dot1x

- show dot1x summary

- show dot1x interface

- show authentication sessions interface <interface>

- show authentication interface <interface>

Switch(config)# show dot1x

_________________________________________________

Sysauthcontrol              Enabled

Dot1x Protocol Version            3

_________________________________________________

Switch(config)# show dot1x summary

_________________________________________________

Interface       PAE     Client          Status

_________________________________________________

Fa0/4           AUTH

_________________________________________________

Switch(config)# show dot1x interface fa0/4 detail

_________________________________________________

Dot1x Info for FastEthernet0/4

_________________________________________________

PAE                       = AUTHENTICATOR

PortControl               = FORCE_AUTHORIZED

ControlDirection          = Both

HostMode                  = SINGLE_HOST

QuietPeriod               = 5

ServerTimeout             = 0

SuppTimeout               = 30

ReAuthMax                 = 2

MaxReq                    = 2

TxPeriod                  = 10

疑難排解

本節提供可用於對組態進行疑難排解的偵錯命令。

附註：使用 debug 指令之前，請先參閱有關 Debug 指令的重要資訊。

- debug dot1x all

- 調試全部身份驗證

- debug radius（提供偵錯層級的radius資訊）

- debug aaa authentication（調試以進行身份驗證）

- debug aaa authorization(debug for authorization)