IEEE802 LAN/WAN委员会为解决无线局域网网络安全问题，提出了802.1x协议。后来，802.1x协议作为局域网端口的一个普通接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

802.1x协议是一种基于端口的网络接入控制协议（port based network access control protocol）。“基于端口的网络接入控制”是指在局域网接入设备的端口这一级对所接入的用户设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源。

的体系结构

802.1x系统为典型的Client/Server结构，如所示，包括三个实体：客户端（Client）、设备端（Device）和认证服务器（Server）。

认证系统的体系结构

l              客户端是位于局域网段一端的一个实体，由该链路另一端的设备端对其进行认证。客户端一般为一个用户终端设备，用户可以通过启动客户端软件发起802.1x认证。客户端必须支持EAPOL（Extensible Authentication Protocol over LAN，局域网上的可扩展认证协议）。

l              设备端是位于局域网段一端的另一个实体，对所连接的客户端进行认证。设备端通常为支持802.1x协议的网络设备，它为客户端提供接入局域网的端口，该端口可以是物理端口，也可以是逻辑端口。

l              认证服务器是为设备端提供认证服务的实体。认证服务器用于实现对用户进行认证、授权和计费，通常为RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器。

802.1x认证系统使用EAP（Extensible Authentication Protocol，可扩展认证协议），来实现客户端、设备端和认证服务器之间认证信息的交换。

l              在客户端与设备端之间，EAP协议报文使用EAPOL封装格式，直接承载于LAN环境中。

l              在设备端与RADIUS服务器之间，可以使用两种方式来交换信息。一种是EAP协议报文使用EAPOR（EAP over RADIUS）封装格式承载于RADIUS协议中；另一种是EAP协议报文由设备端进行终结，采用包含PAP（Password Authentication Protocol，密码验证协议）或CHAP（Challenge Handshake Authentication Protocal，质询握手验证协议）属性的报文与RADIUS服务器进行认证交互。

的基本概念

显示了受控端口上不同的授权状态对通过该端口报文的影响。图中对比了两个802.1x认证系统的端口状态。系统1的受控端口处于非授权状态（相当于端口开关打开），系统2的受控端口处于授权状态（相当于端口开关关闭）。

1. 受控/非受控端口

设备端为客户端提供接入局域网的端口，这个端口被划分为两个逻辑端口：受控端口和非受控端口。任何到达该端口的帧，在受控端口与非受控端口上均可见。

l              非受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，保证客户端始终能够发出或接收认证报文。

l              受控端口在授权状态下处于双向连通状态，用于传递业务报文；在非授权状态下禁止从客户端接收任何报文。

2. 授权/非授权状态

设备端利用认证服务器对需要接入局域网的客户端执行认证，并根据认证结果（Accept或Reject）对受控端口的授权/非授权状态进行相应地控制。

用户可以通过在端口下配置的接入控制的模式来控制端口的授权状态。端口支持以下三种接入控制模式：

l              强制授权模式（authorized-force）：表示端口始终处于授权状态，允许用户不经认证授权即可访问网络资源。

l              强制非授权模式（unauthorized-force）：表示端口始终处于非授权状态，不允许用户进行认证。设备端不对通过该端口接入的客户端提供认证服务。

l              自动识别模式（auto）：表示端口初始状态为非授权状态，仅允许EAPOL报文收发，不允许用户访问网络资源；如果认证通过，则端口切换到授权状态，允许用户访问网络资源。这也是最常见的情况。

3. 受控方向

在非授权状态下，受控端口可以被设置成单向受控和双向受控。

l              实行双向受控时，禁止帧的发送和接收；

l              实行单向受控时，禁止从客户端接收帧，但允许向客户端发送帧。

1.1.3  EAPOL消息的封装

1. EAPOL数据包的格式

EAPOL是802.1x协议定义的一种报文封装格式，主要用于在客户端和设备端之间传送EAP协议报文，以允许EAP协议报文在LAN上传送。EAPOL数据包的格式如所示。

数据包格式

PAE Ethernet Type：表示协议类型，为0x888E。

Protocol Version：表示EAPOL帧的发送方所支持的协议版本号。

Type：表示EAPOL数据帧类型，目前设备上支持的数据类型见。

数据类型

Length：表示数据长度，也就是“Packet Body”字段的长度，单位为字节。如果为0，则表示没有后面的数据域。

Packet Body：表示数据内容，根据不同的Type有不同的格式。

2. EAP数据包的格式

当EAPOL数据包格式Type域为EAP-Packet时，Packet Body为EAP数据包结构，如所示。

数据包格式

Code：指明EAP包的类型，共有4种：Request、Response、Success、Failure。

l              Success和Failure类型的包没有Data域，相应的Length域的值为4。

l              Request和Response类型数据包的Data域的格式如所示。Type为EAP的认证类型，Type data的内容由类型决定。例如，Type值为1时代表Identity，用来查询对方的身份；Type值为4时，代表MD5-Challenge，类似于PPP CHAP协议，包含质询消息。

和Response类型数据包的Data域的格式

Identifier：辅助进行Request和Response消息的匹配。

Length：EAP包的长度，包含Code、Identifier、Length和Data域，单位为字节。

Data：EAP包的内容，由Code类型决定。

属性的封装

RADIUS为支持EAP认证增加了两个属性：EAP-Message（EAP消息）和Message-Authenticator（消息认证码）。RADIUS协议的报文格式请参见“安全分册”中的“AAA配置”的RADIUS协议简介部分。

1. EAP-Message

如所示，这个属性用来封装EAP数据包，类型代码为79，String域最长253字节，如果EAP数据包长度大于253字节，可以对其进行分片，依次封装在多个EAP-Message属性中。

属性封装

2. Message-Authenticator

如所示，这个属性用于在使用EAP、CHAP等认证方法的过程中，避免接入请求包被窃听。在含有EAP-Message属性的数据包中，必须同时也包含Message-Authenticator，否则该数据包会被认为无效而被丢弃。

属性

的认证触发方式

802.1x的认证过程可以由客户端主动发起，也可以由设备端发起。设备支持的认证触发方式包括以下两种：

1. 标准EAP触发方式

客户端主动向设备端发送EAPOL-Start报文来触发认证，该报文目的地址为IEEE 802.1x协议分配的一个组播MAC地址：01-80-C2-00-00-03。

另外，由于网络中有些设备不支持上述的组播报文，使得认证设备无法收到客户端的认证请求，因此设备端还支持广播触发方式，即，可以接收客户端发送的目的地址为广播MAC地址的EAPOL-Start报文。这种触发方式需要H3C iNode的802.1x客户端的配合。

2. 设备主动触发方式

设备会每隔N秒（缺省为30秒）主动向客户端发送EAP-Request/Identity报文来触发认证，这种触发方式用于支持不能主动发送EAPOL-Start报文的客户端，例如Windows XP自带的802.1x客户端。

的认证过程

802.1x系统支持EAP中继方式和EAP终结方式与远端RADIUS服务器交互完成认证。以下关于两种认证方式的过程描述，都以客户端主动发起认证为例。

1. EAP中继方式

这种方式是IEEE 802.1x标准规定的，将EAP（可扩展认证协议）承载在其它高层协议中，如EAP over RADIUS，以便扩展认证协议报文穿越复杂的网络到达认证服务器。一般来说，EAP中继方式需要RADIUS服务器支持EAP属性：EAP-Message和Message-Authenticator，分别用来封装EAP报文及对携带EAP-Message的RADIUS报文进行保护。

下面以EAP-MD5方式为例介绍基本业务流程，如所示。

认证系统的EAP中继方式业务流程

认证过程如下：

(1)        当用户有访问网络需求时打开802.1x客户端程序，输入已经申请、登记过的用户名和密码，发起连接请求（EAPOL-Start报文）。此时，客户端程序将发出请求认证的报文给设备端，开始启动一次认证过程。

(2)        设备端收到请求认证的数据帧后，将发出一个请求帧（EAP-Request/Identity报文）要求用户的客户端程序发送输入的用户名。

(3)        客户端程序响应设备端发出的请求，将用户名信息通过数据帧（EAP-Response/Identity报文）发送给设备端。设备端将客户端发送的数据帧经过封包处理后（RADIUS Access-Request报文）送给认证服务器进行处理。

(4)        RADIUS服务器收到设备端转发的用户名信息后，将该信息与数据库中的用户名表对比，找到该用户名对应的密码信息，用随机生成的一个加密字对它进行加密处理，同时也将此加密字通过RADIUS Access-Challenge报文发送给设备端，由设备端转发给客户端程序。

(5)        客户端程序收到由设备端传来的加密字（EAP-Request/MD5 Challenge报文）后，用该加密字对密码部分进行加密处理（此种加密算法通常是不可逆的，生成EAP-Response/MD5 Challenge报文），并通过设备端传给认证服务器。

(6)        RADIUS服务器将收到的已加密的密码信息（RADIUS Access-Request报文）和本地经过加密运算后的密码信息进行对比，如果相同，则认为该用户为合法用户，反馈认证通过的消息（RADIUS Access-Accept报文和EAP-Success报文）。

(7)        设备收到认证通过消息后将端口改为授权状态，允许用户通过端口访问网络。在此期间，设备端会通过向客户端定期发送握手报文的方法，对用户的在线情况进行监测。缺省情况下，两次握手请求报文都得不到客户端应答，设备端就会让用户下线，防止用户因为异常原因下线而设备无法感知。

(8)        客户端也可以发送EAPOL-Logoff报文给设备端，主动要求下线。设备端把端口状态从授权状态改变成未授权状态，并向客户端发送EAP-Failure报文。

2. EAP终结方式

这种方式将EAP报文在设备端终结并映射到RADIUS报文中，利用标准RADIUS协议完成认证、授权和计费。设备端与RADIUS服务器之间可以采用PAP或者CHAP认证方法。以下以CHAP认证方法为例介绍基本业务流程，如所示。

认证系统的EAP终结方式业务流程

EAP终结方式与EAP中继方式的认证流程相比，不同之处在于用来对用户密码信息进行加密处理的随机加密字由设备端生成，之后设备端会把用户名、随机加密字和客户端加密后的密码信息一起送给RADIUS服务器，进行相关的认证处理。

的定时器

802.1x认证过程中会启动多个定时器以控制接入用户、设备以及RADIUS服务器之间进行合理、有序的交互。802.1x的定时器主要有以下几种：

l              用户名请求超时定时器（tx-period）：该定时器定义了两个时间间隔。其一，当设备端向客户端发送EAP-Request/Identity请求报文后，设备端启动该定时器，若在tx-period设置的时间间隔内，设备端没有收到客户端的响应，则设备端将重发认证请求报文；其二，为了兼容不主动发送EAPOL-Start连接请求报文的客户端，设备会定期组播EAP-Request/Identity请求报文来检测客户端。tx-period定义了该组播报文的发送时间间隔。

l              客户端认证超时定时器（supp-timeout）：当设备端向客户端发送了EAP-Request/MD5 Challenge请求报文后，设备端启动此定时器，若在该定时器设置的时长内，设备端没有收到客户端的响应，设备端将重发该报文。

l              认证服务器超时定时器（server-timeout）：当设备端向认证服务器发送了RADIUS Access-Request请求报文后，设备端启动server-timeout定时器，若在该定时器设置的时长内，设备端没有收到认证服务器的响应，设备端将重发认证请求报文。

l              握手定时器（handshake-period）：此定时器是在用户认证成功后启动的，设备端以此间隔为周期发送握手请求报文，以定期检测用户的在线情况。如果配置发送次数为N，则当设备端连续N次没有收到客户端的响应报文，就认为用户已经下线。

l              静默定时器（quiet-period）：对用户认证失败以后，设备端需要静默一段时间（该时间由静默定时器设置），在静默期间，设备端不处理该用户的认证请求。

在设备中的实现

设备在802.1x的EAP中继方式和EAP终结方式的实现中，不仅支持协议所规定的端口接入认证方式，还对其进行了扩展、优化：

l              支持一个物理端口下挂接多个用户的应用场合；

l              接入控制方式（即对用户的认证方式）可以采用基于MAC和基于端口两种方式。当采用基于MAC方式时，该端口下的所有接入用户均需要单独认证，当某个用户下线时，也只有该用户无法使用网络。当采用基于端口方式时，只要该端口下的{dy}个用户认证成功后，其它接入用户无须认证就可使用网络资源，但是当{dy}个用户下线后，其它用户也会被拒绝使用网络。

1.1.9  和802.1x配合使用的特性

1. VLAN下发

802.1x用户在服务器上通过认证时，服务器会把授权信息传送给设备端。如果服务器上配置了下发VLAN功能，则授权信息中含有授权下发的VLAN信息，设备根据用户认证上线的端口链路类型，按以下三种情况将端口加入下发VLAN中。

l              端口的链路类型为Access，当前Access端口离开用户配置的VLAN并加入授权下发的VLAN中。

l              端口的链路类型为Trunk，设备允许授权下发的VLAN通过当前Trunk端口，并且端口的缺省VLAN ID为下发VLAN的VLAN ID。

l              端口的链路类型为Hybrid，设备允许授权下发的VLAN以不携带Tag的方式通过当前Hybrid端口，并且端口的缺省VLAN ID为下发VLAN的VLAN ID。

授权下发的VLAN并不改变端口的配置，也不影响端口的配置。但是，授权下发的VLAN的优先级高于用户配置的VLAN，即通过认证后起作用的VLAN是授权下发的VLAN，用户配置的VLAN在用户下线后生效。

关于不同端口链路类型下VLAN的具体配置请参见“接入分册”中的“VLAN配置”。

2. Guest VLAN

Guest VLAN功能用来允许未认证用户访问某些特定资源。

用户认证端口在通过802.1x认证之前属于一个缺省VLAN（即Guest VLAN），用户访问该VLAN内的资源不需要认证，但此时不能够访问其他网络资源；认证成功后，端口离开Guest VLAN，用户可以访问其他的网络资源。

用户在Guest VLAN中可以获取802.1x客户端软件，升级客户端，或执行其他一些用户升级程序。如果因为没有专用的认证客户端或者客户端版本过低等原因，导致在一定的时间内（默认45秒）端口上无客户端认证成功，接入设备会把该端口加入到Guest VLAN。

开启802.1x特性并正确配置Guest VLAN后，当设备从某一端口发送触发认证报文（EAP-Request/Identity）超过设定的{zd0}次数而没有收到客户端的任何回应报文时，与VLAN下发类似，该端口将按照各自的链路类型情况被加入到Guest VLAN内。此时Guest VLAN中端口下的用户发起认证，如果认证失败，该端口将会仍然处在Guest VLAN内；如果认证成功，分为以下两种情况：

l              认证服务器下发一个VLAN，这时端口离开Guest VLAN，加入下发的VLAN中。用户下线后，端口会回到配置的VLAN中（加入Guest VLAN之前所在的VLAN，即“初始VLAN”）。

l              认证服务器不下发VLAN，这时端口离开Guest VLAN，加入配置的VLAN中。用户下线后，端口仍在配置的VLAN中。

3. 指定端口的强制认证域

指定端口的强制认证域（mandatory domain）为802.1x接入提供了一种安全控制策略。所有从该端口接入的802.1x用户将被强制使用该认证域来进行认证、授权、计费，可以防止用户通过恶意冒充其它域账号来接入网络。

另外，对于采用证书的EAP中继方式的802.1x认证来说，接入用户的客户端证书决定了用户的域名。因此，即使所有端口上客户端的用户证书隶属于同一证书颁发机构，即输入的用户域名相同，管理员也可以通过配置强制认证域对不同端口指定不同的认证域，从而增加了管理员部署802.1x接入策略的灵活性。

802.1x提供了一个用户身份认证的实现方案，但是仅仅依靠802.1x是不足以实现该方案的。接入设备的管理者选择使用RADIUS或本地认证方法，以配合802.1x完成用户的身份认证。因此，需要首先完成以下配置任务：

l              配置802.1x用户所属的ISP认证域及及其使用的AAA方案，即本地认证方案或RADIUS方案。

l              如果需要通过RADIUS服务器进行认证，则应该在RADIUS服务器上配置相应的用户名和密码。

l              如果需要本地认证，则应该在设备上手动添加认证的用户名和密码。配置本地认证时，用户使用的服务类型必须设置为lan-access。

RADIUS客户端的具体配置请参见“安全分册”中的“AAA配置”。

1. 开启端口802.1x特性

特性

2. 配置端口802.1x参数

参数

l              开启802.1x特性。

l              配置端口上进行接入控制的方式为portbased。

l              配置端口上进行接入控制的模式为auto。

l              已经创建需要配置为Guest VLAN的VLAN。

Guest VLAN

Guest VLAN

在完成上述配置后，在任意视图下执行display命令可以显示配置后802.1x的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以xx802.1x的统计信息。

配置的显示和维护

1. 组网需求

l              要求在各端口上对接入用户进行认证，以控制其访问Internet；接入控制方式要求是基于MAC地址的接入控制。

l              所有接入用户都属于一个缺省的域：aabbcc.net，该域最多可容纳30个用户；认证时，先进行RADIUS认证，如果RADIUS服务器没有响应再转而进行本地认证；计费时，如果RADIUS计费失败则切断用户连接使其下线。

l              由两台RADIUS服务器组成的服务器组与Router相连，其IP地址分别为10.1.1.1和10.1.1.2，要求使用前者作为主认证/备份计费服务器，使用后者作为备份认证/主计费服务器。

l              设置系统与认证RADIUS服务器交互报文时的共享密钥为name、与计费RADIUS服务器交互报文时的共享密钥为money。

l              设置系统在向RADIUS服务器发送报文后5秒种内如果没有得到响应就向其重新发送报文，发送报文的次数总共为5次，设置系统每15分钟就向RADIUS服务器发送一次实时计费报文。

l              设置系统从用户名中去除用户域名后再将之传给RADIUS服务器。

l              本地802.1x接入用户的用户名为localuser，密码为localpass，使用明文输入；闲置切断功能处于打开状态，正常连接时用户空闲时间超过20分钟，则切断其连接。

2. 组网图

和RADIUS对接入用户进行AAA操作

3. 配置步骤

# 配置各接口的IP地址（略）。

# 添加本地接入用户，启动闲置切断功能并设置相关参数。

<Sysname> system-view

[Sysname] local-user localuser

[Sysname-luser-localuser] service-type lan-access

[Sysname-luser-localuser] password simple localpassword

[Sysname-luser-localuser] attribute idle-cut 20

[Sysname-luser-localuser] quit

# 创建RADIUS方案radius1并进入其视图。

[Sysname] radius scheme radius1

# 设置主认证/计费RADIUS服务器的IP地址。

[Sysname-radius-radius1] primary authentication 10.1.1.1

[Sysname-radius-radius1] primary accounting 10.1.1.2

# 设置备份认证/计费RADIUS服务器的IP地址。

[Sysname-radius-radius1] secondary authentication 10.1.1.2

[Sysname-radius-radius1] secondary accounting 10.1.1.1

# 设置系统与认证RADIUS服务器交互报文时的共享密钥。

[Sysname-radius-radius1] key authentication name

# 设置系统与计费RADIUS服务器交互报文时的共享密钥。

[Sysname-radius-radius1] key accounting money

# 设置系统向RADIUS服务器重发报文的时间间隔与次数。

[Sysname-radius-radius1] timer response-timeout 5

[Sysname-radius-radius1] retry 5

# 设置系统向RADIUS服务器发送实时计费报文的时间间隔。

[Sysname-radius-radius1] timer realtime-accounting 15

# 指示系统从用户名中去除用户域名后再将之传给RADIUS服务器。

[Sysname-radius-radius1] user-name-format without-domain

[Sysname-radius-radius1] quit

# 创建域aabbcc.net并进入其视图。

[Sysname] domain aabbcc.net

# 指定radius1为该域用户的RADIUS方案，并采用local作为备选方案。

[Sysname-isp-aabbcc.net] authentication default radius-scheme radius1 local

[Sysname-isp-aabbcc.net] authorization default radius-scheme radius1 local

[Sysname-isp-aabbcc.net] accounting default radius-scheme radius1 local

# 设置该域最多可容纳30个用户。

[Sysname-isp-aabbcc.net] access-limit enable 30

# 启动闲置切断功能并设置相关参数。

[Sysname-isp-aabbcc.net] idle-cut enable 20

[Sysname-isp-aabbcc.net] quit

# 配置域aabbcc.net为缺省用户域。

[Sysname] domain default enable aabbcc.net

# 开启全局802.1x特性。

[Sysname] dot1x

# 开启指定端口GigabitEthernet2/1/1的802.1x特性。

[Sysname] interface GigabitEthernet 2/1/1

[Sysname-GigabitEthernet2/1/1] dot1x

[Sysname-GigabitEthernet2/1/1] quit

# 设置接入控制方式（该命令可以不配置，因为端口的接入控制在缺省情况下就是基于MAC地址的）。

[Sysname] dot1x port-method macbased interface GigabitEthernet 2/1/1

如所示，一台主机通过802.1x认证接入网络，认证服务器为RADIUS服务器。Supplicant接入Router的端口GigabitEthernet2/1/2在VLAN1内；认证服务器在VLAN2内；Update Server是用于客户端软件下载和升级的服务器，在VLAN10内；Router连接Internet网络的端口GigabitEthernet2/1/3在VLAN5内。

如所示，在GigabitEthernet2/1/2上开启802.1x特性并设置VLAN10为端口的Guest VLAN，当设备从端口发送触发认证报文（EAP-Request/Identity）超过设定的{zd0}次数而没有收到任何回应报文后，GigabitEthernet2/1/2被加入Guest VLAN中，此时Supplicant和Update Server都在VLAN10内，Supplicant可以访问Update Server并下载802.1x客户端。

Guest VLAN

如所示，当用户认证成功上线，认证服务器下发VLAN5。此时Supplicant和GigabitEthernet2/1/3都在VLAN5内，Supplicant可以访问Internet。

下发

步骤

# 配置RADIUS方案2000。

<Sysname> system-view

[Sysname] radius scheme 2000

[Sysname-radius-2000] primary authentication 10.11.1.1 1812

[Sysname-radius-2000] primary accouting 10.11.1.1 1813

[Sysname-radius-2000] key authentication abc

[Sysname-radius-2000] key accouting abc

[Sysname-radius-2000] user-name-format without-domain

[Sysname-radius-2000] quit

# 配置认证域system，该域使用已配置的RADIUS方案2000。

[Sysname] domaim system

[Sysname-isp-system] authentication default radius-scheme 2000

[Sysname-isp-system] authorization  default radius-scheme 2000

[Sysname-isp-system] accounting default radius-scheme 2000

[Sysname-isp-system] quit

# 开启全局802.1x特性。

[Sysname] dot1x

# 开启指定端口的802.1x特性。

[Sysname] interface GigabitEthernet 2/1/2

[Sysname-GigabitEthernet2/1/2] dot1x

# 配置端口上进行接入控制的方式为portbased。

[Sysname-GigabitEthernet2/1/2] dot1x port-method portbased

# 配置端口上进行接入控制的模式为auto。

[Sysname-GigabitEthernet2/1/2] dot1x port-control auto

[Sysname-GigabitEthernet2/1/2] quit

# 创建VLAN10。

[Sysname] vlan 10

[Sysname-vlan10] quit

# 配置指定端口的Guest VLAN。

[Sysname] dot1x guest-vlan 10 interface GigabitEthernet 2/1/2

通过命令display current-configuration或者display interface GigabitEthernet 2/1/2可以查看Guest VLAN配置情况。（EAP-Request/Identity）超过设定的{zd0}次数时，通过命令display vlan 10可以查看端口配置的Guest VLAN是否生效；在用户认证成功之后，通过display interface GigabitEthernet 2/1/2可以看到用户接入的端口GigabitEthernet 2/1/2加入了认证服务器下发的VLAN 5中。