高防服务器

如何进行ACS验证和MAC地址绑定


如何进行ACS验证和MAC地址绑定

发布时间:2021-12-31 15:38:20 来源:高防服务器网 阅读:59 作者:柒染 栏目:安全技术

如何进行ACS验证和MAC地址绑定,很多新手对此不是很清楚,为了帮助大家解决这个难题,下面小编将为大家详细讲解,有这方面需求的人可以来学习下,希望你能有所收获。

前言

<一>应用ACS验证方案:

拓扑图

设备要求:

交换机quidway 2403H-HI  1台

防火墙H3C F100-C        1台

主机                    4台

DHCP Server(CentOS6.4系统)

AAA Server(win server2003系统)

实验所需软件:

jdk-7-windows-i586

acs4.0-build-24

H3C_8021XClient

地址规划:

eth0/0   1.1.1.2/24

eth0/0.1 192.168.10.1/24 vlan10

eth0/0.2 192.168.20.1/24 vlan20

eth0/0.3 192.168.30.1/24 vlan30

DHCP Server 192.168.30.100/24

AAA Server  192.168.30.200/24

PC1  192.168.10.100/24

PC2  192.168.20.100/24

具体配置步骤:

DHCP server配置

将以下内容添加至/etc/dhcp/dhcpd.conf中即可。

option domain-name-servers 222.88.88.88, 222.85.85.85;

default-lease-time 600;

max-lease-time 7200;

log-facility local7;

subnet 192.168.30.0 netmask 255.255.255.0 {

}

subnet 192.168.10.0 netmask 255.255.255.0 {

range 192.168.10.2 192.168.10.254;

option routers 192.168.10.1;

option domain-name "tec.com";

}

subnet 192.168.20.0 netmask 255.255.255.0 {

range 192.168.20.2 192.168.20.254;

option routers 192.168.20.1;

option domain-name "mkt.com";

}

FW-1配置:

<FW-1>system-view

System View: return to User View with Ctrl+Z.

[FW-1]int eth0/0

[FW-1-Ethernet0/0]ip add  1.1.1.2 24

[FW-1-Ethernet0/0]quit

[FW-1]int eth0/0.1

[FW-1-Ethernet0/0.1]vlan-type dot1q vid 10

[FW-1-Ethernet0/0.1]ip add 192.168.10.1 24

[FW-1-Ethernet0/0.1]int eth0/0.2          

[FW-1-Ethernet0/0.2]vlan-type dot1q vid 20

[FW-1-Ethernet0/0.2]ip add 192.168.20.1 24

[FW-1-Ethernet0/0.2]int eth0/0.3

[FW-1-Ethernet0/0.3]vlan-type dot1q vid 30        

[FW-1-Ethernet0/0.3]ip add 192.168.30.1 24

[FW-1-Ethernet0/0.3]quit

[FW-1]firewall zone trust

[FW-1-zone-trust]add int eth0/0

[FW-1-zone-trust]add int eth0/0.1  

[FW-1-zone-trust]add int eth0/0.2

[FW-1-zone-trust]add int eth0/0.3

[FW-1-zone-trust]quit

[FW-1]undo insulate

[FW-1]dhcp enable

DHCP task has already been started!

[FW-1]dhcp select relay interface eth0/0.1 to eth0/0.2

[FW-1]int eth0/0.1

[FW-1-Ethernet0/0.1]ip relay add 192.168.30.100

[FW-1-Ethernet0/0.1]int eth0/0.2              

[FW-1-Ethernet0/0.2]ip relay add 192.168.30.100

[FW-1]radius scheme abc

New Radius scheme

[FW-1-radius-abc]primary authentication 192.168.30.200

[FW-1-radius-abc]key authentication 123456

[FW-1-radius-abc]server-type extended

[FW-1-radius-abc]user-name-format without-domain

[FW-1-radius-abc]accounting optional

[FW-1-radius-abc]quit

[FW-1]domain tyedu.com

New Domain added.

[FW-1-isp-tyedu.com]radius-scheme abc

[FW-1-isp-tyedu.com]accounting optional

[FW-1-isp-tyedu.com]access-limit enable 100

SW1配置:

[Quidway]sysname SW1

[SW1]int vlan 1

[SW1-Vlan-interface1]ip add 1.1.1.1 24

[SW1-Vlan-interface1]quit

[SW1]ip route-static 0.0.0.0 0.0.0.0 1.1.1.2

[SW1]vlan 10                                      

[SW1-vlan10]port e1/0/10  

[SW1-vlan10]vlan 20

[SW1-vlan20]port e1/0/20

[SW1-vlan20]vlan 30

[SW1-vlan30]port e1/0/23  e1/0/24

[SW1-vlan30]quit

[SW1]int e1/0/22

[SW1-Ethernet1/0/22]port link-type trunk

[SW1-Ethernet1/0/22]port trunk permit vlan all

[SW1-Ethernet1/0/22]dis vlan

Now, the following VLAN exist(s):

1(default), 10, 20, 30

[SW1]dot1x

802.1X is enabled globally.

[SW1]int e1/0/10

[SW1-Ethernet1/0/10]dot1x

802.1X is enabled on port Ethernet1/0/10.

[SW1-Ethernet1/0/10]quit

[SW1]int e1/0/20

[SW1-Ethernet1/0/20]dot1x

802.1X is enabled on port Ethernet1/0/20.

[SW1-Ethernet1/0/20]quit

[SW1]radius scheme xxx

New Radius scheme

[SW1-radius-xxx]primary authentication 192.168.30.200

[SW1-radius-xxx]key authentication 123456

[SW1-radius-xxx]server-type huawei

[SW1-radius-xxx]user-name-format without-domain

[SW1-radius-xxx]accounting optional

[SW1-radius-xxx]quit

[SW1]domain tyedu.com

New Domain added.

[SW1-isp-tyedu.com]radius-scheme xxx

[SW1-isp-tyedu.com]accounting optional

[SW1-isp-tyedu.com]access-limit enable 100

在server2003中安装ACS(需要先安装JDK):

添加华为私有属性

将h4c.ini文件拷贝到C盘根目录下。

以下是h4c.ini文本内容(可以直接复制保存为h4c.ini即可)

[User Defined Vendor]

Name=Huawei

IETF Code=2011

VSA 29=hw_Exec_Privilege

[hw_Exec_Privilege]

Type=INTEGER

Profile=IN OUT

Enums=hw_Exec_Privilege-Values

[hw_Exec_Privilege-Values]

0=Access

1=Monitor

2=Manager

3=Administrator

将华为私有属性添加至acs安装目录bin下。

查看,已添加成功。

配置ACS:

配置AAA Server,服务器的key要和客户端的key保持一致。

配置AAA Client-SW1,选择华为私有属性。

配置AAA Client-FW-1,选择华为私有属性。

查看配置。

添加两个账号,test1用于验证主机(属于Default Group),test2用于验证设备(属于Group 1)。

在测试主机中安装H3C_8021XClient,登录测试。

vlan 10(技术部)PC1测试结果。

vlan 20(市场部)PC2测试结果。

要求测试主机能telnet设备,并且账号要经过ACS验证(拥有超级管理员权限)。

首先在Network Configuration→RADIUS(Huawei)中应用华为私有属性。

如果测试主机想要telnet远程管理设备(SW1和FW-1),必须进入组中把telnet打开,并且应用华为私有属性。

打开telnet

应用华为私有属性,并选择管理员权限。

telnet SW1,使用test2账号登录,测试成功,并且具有超级管理员权限。

telnet FW-1(telnet 1.1.1.2也可进入),使用test2账号登录,测试成功,并且具有超级管理员权限。

<二>应用MAC地址验证方案:

具体配置步骤:

[SW1]mac-authentication

MAC-authentication is enabled globally.

[SW1]mac-authentication authmode usernameasmacaddress usernameformat without-hyphen

[SW1]int e1/0/20

[SW1-Ethernet1/0/20]mac-authentication

MAC-authentication is enabled on port Ethernet1/0/20

[SW1-Ethernet1/0/20]int e1/0/10      

[SW1-Ethernet1/0/10]mac-authentication

MAC-authentication is enabled on port Ethernet1/0/10

[SW1-Ethernet1/0/10]quit

[SW1]dis mac-authentication int e1/0/20

Ethernet1/0/20 is link-up

 MAC address authentication  is Enabled

 Authenticate success: 1, failed: 0

 Current online user number is 1

   MAC ADDR         Authenticate state           AuthIndex

   001c-2596-2e0e   MAC_AUTHENTICATOR_SUCCESS     21

在ACS中添加测试主机的MAC地址,作为账号和密码。

测试主机结果:

看完上述内容是否对您有帮助呢?如果还想对相关知识有进一步的了解或阅读更多相关文章,请关注高防服务器网行业资讯频道,感谢您对高防服务器网的支持。

[微信提示:高防服务器能助您降低 IT 成本,提升运维效率,使您更专注于核心业务创新。

[图文来源于网络,不代表本站立场,如有侵权,请联系高防服务器网删除]
[