在交換機上配置802.1x請求方憑據

已更新: 2018 年 12 月 13 日

文件 ID:SMB5725

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

在交換機上配置802.1x請求方憑據

簡介

IEEE 802.1x標準便於客戶端和伺服器之間的訪問控制。在區域網(LAN)或交換器可向使用者端提供服務之前，連線到交換器連線埠的使用者端必須透過執行遠端驗證撥入使用者服務(RADIUS)的驗證伺服器進行驗證。

802.1x身份驗證限制未經授權的客戶端通過可公開訪問的埠連線到LAN。802.1x身份驗證是客戶端 — 伺服器模型。在此模型中，網路裝置具有以下特定角色：

客戶端或請求方 — 客戶端或請求方是請求訪問LAN的網路裝置。客戶端連線到身份驗證器。
驗證器 — 驗證器是提供網路服務並將請求埠連線到的網路裝置。支援以下身份驗證方法：

— 基於802.1x — 所有身份驗證模式都支援。在基於802.1x的身份驗證中，身份驗證器從802.1x消息或EAP over LAN(EAPoL)資料包中提取可擴展身份驗證協定(EAP)消息，並使用RADIUS協定將其傳遞到身份驗證伺服器。

— 基於MAC — 所有身份驗證模式都支援。基於媒體訪問控制(MAC)，驗證器本身代表尋求網路訪問的客戶端執行軟體的EAP客戶端部分。

— 基於Web — 僅在多會話模式下支援。使用基於Web的身份驗證，身份驗證器本身代表尋求網路訪問的客戶端執行軟體的EAP客戶端部分。

身份驗證伺服器 — 身份驗證伺服器執行客戶端的實際身份驗證。裝置的身份驗證伺服器是具有EAP擴展的RADIUS身份驗證伺服器。

附註：網路裝置可以是客戶端，也可以是請求方、驗證方，或者每個埠都是兩者。

下圖顯示了根據特定角色配置裝置的網路。本示例使用SG350X交換機。

但是，您還可以將交換器上的某些連線埠設定為請求方。在交換機上的特定埠上配置請求方憑證後，您可以直接連線不支援802.1x的裝置，以便裝置能夠訪問受保護的網路。下圖顯示將交換器設定為請求方的網路案例。

配置802.1x的前提條件:

設定RADIUS伺服器。若要瞭解如何配置交換機上的RADIUS伺服器設定，請按一下此處。
建立虛擬區域網路(VLAN)。要使用交換機的基於Web的實用程式建立VLAN，請按一下此處。如需 CLI 型指示，請按一下這裡。
在交換機上配置埠到VLAN設定。要使用基於Web的實用程式進行配置，請按一下此處。要使用CLI，請按一下此處。
在交換機上配置全域性802.1x屬性。有關如何通過交換機的基於Web的實用程式配置全域性802.1x屬性的說明，請按一下此處。如需 CLI 型指示，請按一下這裡。
（可選）在交換機上配置時間範圍。若要瞭解如何配置交換機上的時間範圍設定，請按一下此處。要使用CLI，請按一下此處。
在交換機上配置802.1x請求方憑據。這些說明均在本文中提供。如需 CLI 型指示，請按一下這裡。
配置802.1x埠身份驗證。要使用交換機的基於Web的實用程式，請按一下此處。要使用CLI，請按一下此處。