01 基本MAC认证

功能介绍：

MAC认证是一种对用户的网络访问权限进行控制的认证方法。目前设备支持两种方式的MAC认证，通过RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器进行远程认证，以及在接入设备上进行本地认证。

注：相较于1X认证，MAC认证的用户端不需要额外安装客户端软件,因为他们能够通过MAC地址作为用户名秘密来直接做认证，radius服务器上面只需添加该用户的MAC地址信息数据库。

一、组网需求

接入交换机开启MAC认证功能，实现下联用户的准入认证，用户必须要认证后才能访问外网，未认证的用户不能访问任何资源。

二、配置要点

1、在接入交换机上配置MAC认证基本功能。

2、在接入交换机上添加RADIUS服务器，并且配置RADIUS服务器IP及KEY等相关参数。接入交换机、RADIUS服务器可以不在同一个网段，只要保证接入交换机与RADIUS服务器之间能够通信。

注：参见下面配置

三、网络拓扑

四、配置步骤

使用Web进行配置：

1、接入交换机S1908+配置

MAC认证基本配置

1）使用MAC认证全局设置，全局开启MAC认证，并设置认证方法和客户端认证密码

步骤1：单击“安全”>“MAC认证（MAC）”>“MAC认证”，进入MAC认证配置界面；

步骤2：全局开启MAC认证；

步骤3：单击“应用”执行操作。；

步骤4：设置认证方法；

步骤5：配置密码；

步骤6：单击“应用”执行操作。

2）MAC认证端口设置，开启端口1-2的MAC认证

步骤1：单击“安全”>“MAC认证（MAC）”>“MAC认证”，进入MAC认证配置界面；

步骤2：选择配置端口；

步骤3：开启端口MAC认证功能；

步骤4：设置认证默认为Host-based（默认为Host-based）；

步骤5：单击“应用”执行操作。。

2、配置RADIUS认证和计费服务器（仅适用于S1908+）

1）配置RADIUS服务器

步骤1：单击“安全”>“RADIUS”>“RADIUS服务器设置”，打开RADIUS服务器设置界面；

步骤2：选择RADIUS服务器序号（如果配置了两个RADIUS服务器，交换机将根据序号确定主备服务器，从而形成RADIUS服务器备份，序号1为主服务器，序号2为备份服务器）；

步骤3：输入RADIUS服务器地址；

步骤4：输入并确认密钥；

步骤5：单击“应用”执行操作。

2）创建计费方法列表（仅适用于S1908+）

步骤1：单击|“安全”>“AAA”>“计费方法列表设置”，打开计费方法列表设置界面；

步骤2：创建计费方法列表名称“ruijie”，并且设置计费协议优先级，选择RADIUS计费为最优先；

步骤3：单击“应用”执行操作。。

3）开启计费功能并运用先前创建的计费方法列表（仅适用于S1908+）

步骤1：单击“安全”>“AAA”>“计费设置”，打开计费设置界面；

步骤2：在“Network计费”栏，选择“Method List Name”开启计费功能，并且引用先前创建的计费列表ruijie；

步骤3：单击“应用”执行操作。。

使用CLI进行配置：

enable mac_based_access_control ----->全局开启MAC认证

config mac_based_access_control method radius ------>设置认证方法为radius认证
config mac_based_access_control password 1 ------>设置认证密码1

config mac_based_access_control ports 1-2 state enable ------>开启端口1-2的MAC认证功能

config radius add 1 192.168.33.244 key ruijie default ------>配置radius 服务器IP为192.168.33.244，并设置与radius服务器通信的key为ruijie

create accounting method_list_name ruijie ------>创建记账方法认证列表，名称为ruijie

config accounting method_list_name ruijie method radius none ------>配置新创建记账方法认证列表，设置采用radius协议计费

config accounting service network state enable method_list_name ruijie ------>开启网络计费功能，并应用先前创建的认证方法列表ruijie

Radius server: 以Free radius server 为例

编辑Free radius server目录下\etc\raddb\users 文件，添加MAC账户:
6CF049480D4A Cleartext-Password := "ruijie"

注:如果不使用Radius sever,可以再交换机上的本地数据库上创建MAC

create mac_based_access_control_local mac 6C-F0-49-48-0D-4A ------>在交换机本地数据库上创建MAC

五、功能验证

1、单击“安全”>“MAC认证（MAC）”>“MAC认证状态”，查看客户端认证状态。

2、单击“系统配置”>“系统日志配置”>“系统日志”，查看客户端认证日志。