1背景
交换机提供用户的接入功能，用户分为管理员用户和接入用户两大类。如图1-1所示，管理员用户需要接入交换机对其进行管理，接入用户需要接入交换机使用视频、语音、上网等网络应用业务。
图1-1交换机的用户
当用户接入交换机时，交换机需要对这些用户进行接入控制管理。如对用户进行身份认证(Authentication)，授权(Authorization)给用户接入后可进行的业务以及根据用户使用的业务进行计费(Accounting)，即AAA管理机制。AAA提供对用户进行认证、授权和计费等安全功能，防止非法用户登录设备，增强设备系统安全性。
l认证：验证用户是否可以获得网络访问权。
l授权：授权用户可以使用哪些服务。
l计费：记录用户使用网络资源的情况。
AAA常用在对安全性要求较高的网络环境中，例如金融、***和运营商等行业。交换机运用AAA管理机制时还需要在网络中部署AAA服务器，如图1-2所示，通过各种方式接入交换机的用户的用户信息都由AAA服务器统一创建与维护，当用户输入的用户名和密码与AAA服务器上配置的一致时，才可以成功登录设备，再依据授权配置完成相应的授权，例如获取权限访问Internet。
图1-2AAA服务器管理交换机的用户
目前S系列交换机支持基于RADIUS协议或HWTACIMC协议与AAA服务器通信，在实际应用中，最常使用RADIUS协议。
2H厂商IMC介绍
简介
H厂商智能管理中心(************ Management Center，IMC)服务器以下简称IMC服务器。
本文主要以配置实例的形式介绍IMC服务器与华为交换机对接时的配置方法以及注意事项。
IMC的使用
完成交换机与H厂商IMC的物理连接后，还需要在PC上安装H厂商IMC软件。安装完成后，管理员可以通过WEB界面登录到H厂商IMC对其进行配置。
登录H厂商IMC要求浏览器为Microsoft Internet Explorer 6.0 SP1、Mozilla Firefox 3.6及其后续版本。登录客户端后，可以查看和管理IMC，同时也可以监控和输出日志，这些日志用来跟踪用户连接，可以显示哪些用户当前登录，列出失败的身份验证和授权尝试等等。
3S系列交换机(802.1x认证)与H厂商IMC对接方案
3.1实现差异对比
IMC服务器一些功能为私有协议实现，以下命令行是为了华为交换机为兼容这些功能开发，需要配置如下命令，确保双网卡检查、病毒库检查等功能的正常使用。如果不配置四条兼容性命令，则会出现安全检查通过后，无法先发安全ACL。
#
dot1x eap-notify-packet eap-code 10 data-type 25
radius-server attribute translate
radius-attribute translate HW-Up-Priority HW-User-Informantion receive
#
authorization-modify mode modify
注意：以上兼容命名不能完全解决所有H3C私有协议功能，例如ARP网关绑定功能暂时不支持。
3.2适用形态及版本
表3-1S系列交换机版本支持情况
产品型态
支持情况
S系列交换机
V100R006C03以后版本支持。
本文以IMC 5.2.0.26版本为例介绍H厂商IMC相关界面和配置。
3.3对接介绍
交换机与H厂商IMC对接组网如图3-1所示。
图3-1交换机与H厂商IMC对接组网
进行对接配置之前，请先确保：
l交换机与H厂商IMC的物理连通性。
l管理员可以通过WEB界面登录到H厂商IMC服务器对IMC进行配置。
3.4对接案例
3.4.1组网需求及配置思路
组网需求
802.1x接入用户通过接入网络接入交换机，企业使用IMC统一创建与维护用户信息。其中管理员可以通过WEB界面登录到IMC服务器对IMC进行配置。
具体需求：
1.802.1x用户在终端上启动802.1x客户端，输入用户名和密码，认证通过后可以接入交换机。
802.1x用户接入交换机后，
?只能操作命令级别为0～2的所有命令行。
?IMC为其下发属性VLAN 100和ACL 3000。
2.802.1x用户使用huawei.com域认证。
图3-2接入用户通过802.1x接入交换机
配置准备
进行配置之前，请按照表3-2准备数据，表中数据仅供参考。
表3-2交换机与IMC对接的数据准备
IMC客户端的管理员用户名、密码
imcdmin
Admin_123
交换机的管理员用户名、密码
admin1
Admin@1234
802.1x用户的用户名、密码
huawei@huawei.com
Huawei@1234
交换机名称、与IMC连接的端口IP地址
HuaweiA
10.1.6.10
交换机与IMC的共享密码
Hello@1234
3.4.2配置S系列交换机
配置思路
1.使能Telnet服务。
2.创建VLAN和ACL，用于IMC下发时匹配。
3.配置管理员用户通过Telnet登录的认证方式为AAA。
4.配置RADIUS认证：创建RADIUS服务器模板和AAA认证方案并分别在默认管理域default_admin和普通huawei.com下引用。
5.在802.1x用户接入的接口下使能802.1x认证。
操作步骤
1.配置接口和IP地址，使Switch与IMC网络互通。
system-view
[Quidway] sysname Switch
[Switch] vlan batch 10 30
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 10.1.6.10 24
[Switch-Vlanif10] quit
[Switch] interface vlanif 30
[Switch-Vlanif30] ip address 10.1.3.10 24
[Switch-Vlanif30] quit
[Switch] interface gigabitethernet 0/0/1
[Switch-GigabitEthernet0/0/1] port link-type access
[Switch-GigabitEthernet0/0/1] port default vlan 10
[Switch-GigabitEthernet0/0/1] quit
当需要IMC为接入用户下发VLAN属性或者ACL属性时，交换机的用户上线接口(使能认证的端口)必须为hybrid类型接口。
[Switch] interface gigabitethernet 0/0/3
[Switch-GigabitEthernet0/0/3] port link-type hybrid
[Switch-GigabitEthernet0/0/3] port hybrid untagged vlan 30
[Switch-GigabitEthernet0/0/3] quit
2.创建用户的VLAN和ACL，用于IMC为用户下发时匹配。
设备上存在的VLAN与IMC下发的VLAN相同时，VLAN才能成功下发。ACL下发时亦是。
[Switch] vlan 100
[Switch-vlan100] quit
[Switch] acl 3000
[Switch-acl-adv-3000] quit
[Switch] acl number 3001
[Switch-acl-adv-3001] rule 5 permit ip destination 10.1.6.0 0.0.0.255
[Switch-acl-adv-3001] quit
3.使能Telnet服务器功能。
[Switch] telnet server enable
4.配置VTY用户界面的验证方式为AAA。
[Switch] user-interface maximum-vty 15//配置VTY用户界面的登录用户最大数目为15(该数目在不同版本和不同形态间有差异，具体以设备为准)，缺省情况下Telnet用户最大数目为5
[Switch] user-interface vty 0 14//进入0～14的VTY用户界面视图[Switch-ui-vty0-14] authentication-mode aaa//配置VTY用户界面的验证方式为AAA
[Switch-ui-vty0-14] protocol inbound telnet//配置VTY用户界面所支持的协议为Telnet(V200R006及之前版本，默认配置为telnet，可以不配置该项；V200R007及之后版本，必须配置)[Switch-ui-vty0-14] quit
5.配置RADIUS认证，实现用户通过RADIUS认证接入交换机。
#配置RADIUS服务器模板，实现交换机与IMC采用RADIUS方式通信。
[Switch] radius-server template 1
[Switch-radius-1] radius-server authentication 10.1.6.6 1812//指定IMC的IP地址和端口号[Switch-radius-1]radius-server accounting 10.1.6.6 1813 weight 80//交换机计费功能[Switch-radius-1] radius-server shared-key cipher Hello@1234//指定IMC的共享密钥，需要与IMC上配置一致[Switch-radius-1] radius-server attribute translate//使能属性转换[Switch-radius-1]radius-attribute translate HW-Up-Priority HW-User-Informantion receive//将接收到的H厂商私有61号属性转换为HW的EAP-User-Notify(26-142)属性，使HW设备能够解析H厂商私钥属性。[Switch-radius-1] quit
如果IMC上保存的用户名不包含域名，还需要配置命令undo radius-server user-name domain-included使设备向RADIUS服务器发送的报文中的用户名不包含域名。
通过上面配置，使华为交换机能够解析和处理iMC下发的H厂商私有属性EAP-Notify(属性号：26-61)。
#配置AAA认证方案，指定认证方式为RADIUS，动态授权模式为修改式。
[Switch] aaa
[Switch-aaa] authorization-modify mode modify//aaa视图配置动态授权模式为修改式。[Switch-aaa] authentication-scheme sch1
[Switch-aaa-authen-sch1] authentication-mode radius
[Switch-aaa-authen-sch1] quit
#配置AAA计费方案，指定计费方式为RADIUS，计费策略为：如果开始计费失败允许用户上线。
[Switch-aaa] accounting-scheme account1
[Switch-aaa-accounting-account1] accounting-mode radius
[Switch-aaa-accounting-account1] accounting start-fail online
[Switch-aaa-accounting-account1] quit
IMC并不具备对终端用户的计费功能，配置计费功能是为了通过计费报文管理在线用户信息。
#在huawei.com域下引用AAA认证方案和RADIUS服务器模板。
[Switch-aaa] domain huawei.com
[Switch-aaa-domain-huawei.com] radius-server 1
[Switch-aaa-domain-huawei.com] authentication-scheme sch1
[Switch-aaa-domain-huawei.com] accounting-scheme account1
[Switch-aaa-domain-huawei.com] quit
[Switch-aaa] quit
#(V200R005及后续版本新增统一模式，V200R005之前版本可忽略该配置)将NAC配置模式切换成统一模式。
[Switch] authentication unified-mode
传统模式与统一模式相互切换后，必须重启设备，新配置模式的各项功能才能生效。缺省情况下，NAC配置模式为统一模式。
#在接口上使能802.1x认证。
[Switch] interface gigabitethernet0/0/3
[Switch-GigabitEthernet0/0/3] authentication dot1x
[Switch-GigabitEthernet0/0/3] dot1x authentication-method eap//由于大部分802.1x客户端采用EAP中继认证，建议配置[Switch-GigabitEthernet0/0/3] quit
#使能EAP-Notify
[Switch] dot1x eap-notify-packet eap-code 10 data-type 25 //配置设备使能构造Code=10的EAP-Notify报文，其中SecureData的Type=25.
配置文件
#
sysname Switch
#
dot1x eap-notify-packet eap-code 10 data-type 25
#
vlan batch 1030 100
#
acl number 3000
#
acl number 3001
rule 5 permit ip destination 10.1.6.0 0.0.0.255
#
radius-server template 1
radius-server shared-key cipher %#%#9nP3;sDW-AN0f@H@S*l&\f{V=V_auKe|^YXy7}bU%#%#
radius-server authentication 10.1.6.6 1812 weight 80
radius-server accounting 10.1.6.6 1813 weight 80
radius-server attribute translate
radius-attribute translate HW-Up-Priority HW-User-Informantion recei ve
#
aaa
authentication-scheme sch1
authentication-mode radius
authorization-modify mode modify
accounting-scheme account1
accounting-mode radius
accounting start-fail onlinedomain huawei.com
authentication-scheme sch1
accounting-scheme account1
radius-server 1
#
interface Vlanif10
ip address 10.1.6.10 255.255.255.0
#
interface Vlanif30
ip address 10.1.3.10 255.255.255.0
#
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
#
interface GigabitEthernet0/0/3
port link-type hybrid
port hybrid untagged vlan 30
authentication dot1x
dot1x authentication-method eap
#
user-interface maximum-vty 15
user-interface vty 0 14
authentication-mode aaa
protocol inbound telnet
#
return
3.4.3配置H厂商IMC
1.登录IMC客户端
在浏览器的地址栏输入IMC的URL(Universal Resource Locator)地址，并按“Enter”键，进入IMC登录页面，输入用户名和密码，单击“登录”。
IMC的URL地址格式：“http:// IP /”或者“https:// IP /”。例如：“http://10.1.6.6/”或者“https://10.1.6.6/”。
2.添加接入设备
a.单击导航树中的“业务>用户接入管理>接入设备管理>接入设备配置”菜单，点击“接入设备列表”下方的“增加”,如下图所示。
图3-3添加接入设备配置页面
b.填写“共享密码”为“Hello@1234”与设备侧一致。点击“手工增加”如下图所示。
图3-4手工增加
c.在弹出窗口的“起始IP地址”一栏填写设备上连接服务器的管理地址，如下图所示。本例中交换机连接设备的管理IP地址为10.1.6.10。
图3-5服务器的管理地址
d.点击“确定”完成接入设备添加。此时看到添加的设备型号为“Unknown Product”，主要是由于IMC的数据库中没有huawei产品造成的，这个库需要手动添加，此部分不影响用户认证。如下图所示。
图3-6接入设备列表
e.点击“系统管理>资源管理>设备系列”，点击“增加”。如下图所示。
图3-7增加设备系列
f.点击“系统管理>资源管理>设备型号”，点击“增加”。如下图所示。完成后点击“确定”。
图3-8增加设备型号
g.点击“业务>用户接入管理>接入设备管理>接入设备配置”，点击“刷新”能够显示设备型号。显示交换机与服务器连接的管理IP地址10.1.6.10对应设备名称变为HuweiA
图3-9刷新显示接入设备
3.配置防病毒软件管理
在“业务>EAD安全管理>终端安全软件策略管理->防病毒软件策略管理视图”，点击“防病毒软件策略列表”下面的“增加”按钮，根据实际需求设定要求的杀毒引擎版本以及病毒库检查方法。如下图所示。
图3-10防病毒软件策略管理
4.配置安全策略管理
a.点击“业务>EAD安全管理>安全策略管理”，点击“安全策略列表”下方的“增加”。
图3-11增加安全策略管理
b.在安全策略配置页面中，按照下图所示的配置启用各安全检查项，例如启用病毒软件检查和配置隔离方式(隔离方式分为三种，可以选择其中一种，常用向设备(交换机)下发ACL),如下图所示。点击最下面的“确定”，完成安全策略配置。
图3-12配置安全策略
5.配置接入规则管理
点击“业务>用户接入管理>接入规则管理”，点击接入规则列表中的“增加”
图3-13增加接入规则
6.进入“增加接入规则”界面，配置动态下发VLAN 100。点击最下方的“确定”完成接入规则配置。
图3-14配置下发VLAN
7.配置服务配置管理
a.点击“业务>用户接入管理>服务配置管理”，点击服务列表中的“增加”。
图3-15增加服务配置管理
b.在“增加服务配置”页面，引用已创建的安全策略和接入规则。点击最下面的“确定”，完成服务配置管理的配置。
图3-16服务配置管理
8.创建平台用户和接入用户
a.点击“用户>增加用户”，创建用户。
图3-17增加用户
b.点击“确定”后，选择“增加用户账号”。
图3-18查看增加用户结果
c.配置账号名、密码以及接入服务。
图3-19增加用户相关配置
d.点击最下面的“确定”，完成接入用户和接入策略的绑定的配置。
3.4.4检查配置结果
l交换机上执行命令display access-user显示认证通过结果，交换机可以看到安全检查通过后VLAN和ACL下发成功
lIMC服务器显示认证通过结果
图3-20IMC服务器显示认证
lInode客户端显示认证通过结果
图3-21Inode客户端显示认证
3.4.5注意事项
在本用例中隔离域配置为ACL3001，但是需要注意的是，隔离域中同样需要放开IMC地址的访问权限，其原因是iNode客户端与IMC服务器之间有EAD报文的定期交互，如果不允许客户端访问IMC服务器，客户端将会被下线。
acl number 3001
rule 5 permit ip destination 10.1.6.0 0.0.0.255
在配置8021x认证过程中即使不进行计费，也要开启交换机计费功能。
