华为 S5735 802.1X 认证配置：对接 Radius 服务器实战- 惊觉

一、802.1X 认证概述与 S5735 协作流程

1.1 802.1X 认证基本原理

802.1X 是一种基于端口的网络访问控制协议，用于限制未经授权的设备接入局域网。它定义了三个核心角色：Supplicant（客户端，如电脑）、Authenticator（认证者，如交换机）和 Authentication Server（认证服务器，如 Radius 服务器）。认证者作为中间人，负责转发客户端和认证服务器之间的认证报文，并根据认证结果控制端口的访问权限。

1.2 S5735 交换机与 Radius 服务器协作流程

在典型的 802.1X 部署中，S5735 交换机作为 Authenticator，负责与接入的客户端进行 EAPOL（Extensible Authentication Protocol over LAN）报文交互，并将认证请求转发给后端的 Radius 服务器。Radius 服务器则负责验证用户的身份凭证，并返回认证结果（成功或失败）给交换机，交换机再据此允许或拒绝客户端访问网络。

该流程图展示了完整的 EAP 认证过程，从客户端发起请求到最终认证结果返回。

时序图清晰地展示了 EAP-MD5 认证中各方的交互顺序，确保了认证过程的严谨性。

二、配置前准备

2.1 设备与网络拓扑

本次实战采用以下网络拓扑：

一台华为 S5735-L24P4S-A 交换机。
一台运行 FreeRADIUS 的 Linux 服务器作为 Radius 认证服务器。
一台 Windows 客户端电脑，用于测试认证。

2.2 Radius 服务器信息

在配置交换机前，需确认 Radius 服务器的以下信息：

Radius 服务器 IP 地址：192.168.1.100
Radius 共享密钥：radius_key
认证端口：1812
计费端口：1813

三、S5735 交换机配置步骤

S5735 交换机配置 802.1X 的主要步骤可以概括为以下流程图。

此流程图提供了一个高层次的配置路径，帮助读者按部就班地完成配置。

3.1 基础配置：VLAN 与接口

首先，确保交换机的管理 VLAN 和接入 VLAN 已正确配置，并创建用于测试的 VLAN。

system-view
vlan batch 10 20
interface GigabitEthernet 0/0/1
port link-type access
port default vlan 10
quit

3.2 AAA 认证方案配置

AAA（Authentication, Authorization, Accounting）是 802.1X 认证的基础框架。我们需要创建一个认证方案，指定使用 Radius 认证方法。

aaa
 authentication-scheme dot1x_auth
  authentication-mode radius
quit

3.3 Radius 服务器配置

在交换机上定义 Radius 服务器，包括其 IP 地址、端口号和共享密钥。

radius-server template radius_server
 radius-server authentication 192.168.1.100 1812
 radius-server shared-key cipher radius_key
quit

3.4 802.1X 域与认证模式配置

创建一个 802.1X 域，并将之前创建的 AAA 认证方案和 Radius 服务器模板关联到该域。同时，配置认证模式为 EAP（可扩展认证协议）。

dot1x authentication default dot1x_auth
dot1x domain default
 authentication-method eap
 radius-server radius_server
quit

3.5 接口下 802.1X 使能

最后，在需要启用 802.1X 认证的接口上开启该功能。

interface GigabitEthernet 0/0/1
 dot1x enable
quit

四、Radius 服务器配置

4.1 用户账户创建

在 FreeRADIUS 服务器上，需要为测试客户端创建一个用户账户。编辑 users 文件（通常位于 /etc/freeradius/3.0/users）。

# /etc/freeradius/3.0/users
"test_user" Cleartext-Password := "test_password"

4.2 客户端配置

在 FreeRADIUS 服务器上，也需要将 S5735 交换机配置为 Radius 客户端。

# /etc/freeradius/3.0/clients.conf
client s5735_switch {
    ipaddr = 192.168.1.1
    secret = radius_key
    require_message_authenticator = yes
}

五、验证与故障排查

5.1 验证命令

配置完成后，可以使用以下命令在 S5735 交换机上验证 802.1X 配置和认证状态。

display dot1x
display radius-server configuration
display dot1x interface GigabitEthernet 0/0/1

5.2 常见问题

认证失败： 检查 Radius 服务器 IP、端口、共享密钥是否正确；检查用户名和密码是否匹配；检查防火墙是否阻止了交换机与 Radius 服务器之间的通信。
端口状态异常： 检查端口是否已正确加入 VLAN；检查 802.1X 是否在接口下正确使能；检查 AAA 方案和域的配置是否正确关联。

802.1X 端口有明确的状态机，其状态转换如下所示。

该状态图说明了端口在认证过程中的状态变化，有助于故障排查。

六、总结

通过本文的实战配置，我们成功地在华为 S5735 交换机上部署了 802.1X 端口认证，并实现了与 Radius 服务器的无缝对接。关键在于正确理解 802.1X 的原理，并按照 AAA -> Radius 服务器 -> 802.1X 域 -> 接口的顺序进行配置。配置完成后，通过验证命令和观察端口状态，可以确保认证功能正常工作，从而有效提升网络的安全性。网络组件之间的关系可以用 ER 图来表示，如下所示。

ER 图清晰地展示了交换机作为认证中继的角色，连接客户端和认证服务器。

转载自 CSDN-专业IT技术社区

原文链接：https://blog.csdn.net/qq_41840843/article/details/169267153

华为 S5735 802.1X 认证配置：对接 Radius 服务器实战