AD+802.1X+RADIUS认证配置手册.doc

AD+RADIUS+802.1X 认证配置手册

一、 AD 域安装（ SERVER2008 ）

1、命令提示符 2、

3、输入 dcpromo 打开 AD服务器安装向导。

会弹出如下错误：

然后一路下一步，中途会检查 DNS设置大约 5 分钟左右

然后重启

一路下一步直到安装

至此证书服务安装完成，然后给这台服务器申请证书，如下

二、 RADIUS 安装与配置

三、 802.1x 配置

1. 2960 交换机配置

交换机全局配置：

Switch(config)#aaa new-model // 开启 AAA 认证

Switch(config)#aaa authentication dot1x default group radius //dot1x

采用 radius 认证

123456

Switch(config)# radius-server host 192.168.6.200 auth-port 1812 acct-port 1813 key

radius 服务器时需要用到此密钥 Switch(config)#dot1x system-auth-control

交换机接口配置：

// 指定 radius 服务器的 IP 地址、端口号及与 radius 服务器通讯的密钥为 123456 配置

// 全局启用 dot1x 认证

Switch(config)#interface FastEthernet0/1

Switch(config-if)#switchport mode access

// 进入 1 号接口

// 指定接口为 access类型，只有此模式下的端口

才支持 802.1x

Switch(config-if)#authentication port-control auto // 接口启用 dot1x 认证，并指定接口认证控

制模式为自动

Switch(config-if)#dot1x pae authenticator

Switch(config-if)#spanning-tree portfast //

// 设定这个接口为 802.1x 认证接口（即弹出提示

radius 服务器进行认证）

加快认证的速度，可选

指定该接口的认证模式为多用户认

用户输入用户密码的窗口，并负责将用户输入的用户密码传给 Switch(config-if)#authentication host-mode multi-auth //

证（即该接口下接交换机时要启用这个模式，可选） Switch(config-

if)#authentication violation protect // 当身份验证失败时将此端口至于受保护

的模式（可选）

Switch(config)#interface vlan 1 // 进入 vlan1 虚拟接口

Switch(config-if)#ip address 192.168.6.200 255.255.255.0 // 配置交换机的管理地址（即和

radius 服务器通讯的 IP 地址） 此地址在配置 radius 服务器时要用到

2. 华为 5600 交换机配置

全局配置：

[Quidway]dot1x // 全局开启 dot1x 认证

[Quidway] dot1x authentication-method eap md5-challenge [Quidway]radius scheme 802.1x // 定义 radius 认证服务器 [Quidway-radius-802.1x]server-type standard

[Quidway-radius-802.1x] primary authentication 192.168.6.200 [Quidway-radius-802.1x]user-name-format without-domain // [Quidway]domain 802.1x

// 定义 802.1x 域的相关属性

// 指定 dot1x 采用的认证方法 802.1x 的相关属性

// 指定认证服务器的地址 定义登陆用户名的格式

// 定义 radius 服务采用标准形式 [Quidway-radius-802.1x] key authentication 123456 // 指定认证与认证服务器通讯的密钥

[Quidway-isp-802.1x]scheme radius-scheme 802.1x // 应用上面定于的 radius 服务器 802.1x [Quidway-isp-802.1x]accounting optional

// 设置审计为可选

[Quidway]domain default enable 802.1x // 设定默认域采用 802.1x 域 接口配置： [Quidway]interface g 1/0/12 // 进入 12 号接口

[Quidway-GigabitEthernet1/0/12]port link-type access // [Quidway-GigabitEthernet1/0/12]dot1x

[Quidway-GigabitEthernet1/0/12]dot1x port-control auto //

指定端口模式为 access

// 开启 dot1x 认证

端口控制采用自动模式 采用基于 mac 地址的认证

[Quidway-GigabitEthernet1/0/12]dot1x port-method macbased// 四、 PC 机配置（ win7 ）

重启

在 PC重启的过程中进入 AD 域服务器，将刚刚加入域的计算机与之前创建好的用户 test 绑定，意思

是只有 test 用户可以登录刚刚加入域的计算机。

PC 重启完成，然后用 test 用户登陆刚刚加入域的计算机

此过程可能需要输入域管理员的账密，输入即可（一般为 administrator ）

然后会弹出确认框，点击是，然后重新打开浏览器申请证书

更改本地连接属性时会弹出需要域管理员的权限才可以修改属性， 输入域管理员的账密即可

（一般为 administrator ）