华为设备802.1X认证（认证点在汇聚层交换机）

1.配置网络互通
（1）配置终端IP地址

（2）创建WLAN并允许通过vlan，保证网络畅通
[LSW1]vlan batch 11 12
[LSW1-Vlanif11]ip add 10.1.11.1 24
[LSW1-Vlanif12]ip add 10.1.12.1 24
[LSW1-GigabitEthernet0/0/1]port link-type access
[LSW1-GigabitEthernet0/0/1]port default vlan 11
[LSW1-GigabitEthernet0/0/2]port link-type access
[LSW1-GigabitEthernet0/0/2]port default vlan 12
（3）为保证用户能够通过802.1X认证，则务必在LAN Switch上配置EAP报文透传功能
[LSW2]l2protocol-tunnel user-defined-protocol 802.1x protocol-mac 0180-c200-0003 group-mac 0100-0000-0002
[LSW2-GigabitEthernet0/0/1]l2protocol-tunnel user-defined-protocol 802.1x enable
[LSW2-GigabitEthernet0/0/2]l2protocol-tunnel user-defined-protocol 802.1x enable
[LSW2-GigabitEthernet0/0/3]l2protocol-tunnel user-defined-protocol 802.1x enable
2.配置AAA
（1）配置radius服务器模板
[LSW1]radius-server template abc1
[LSW1-radius-abc1]radius-server authentication 10.1.11.11 1812
[LSW1-radius-abc1]radius-server accounting 10.1.11.11 1813
[LSW1-radius-abc1]radius-server shared-key cipher ABCabc@123
（2）创建aaa认证方案，并配置认证方式为radius
[LSW1]aaa
[LSW1-aaa]authentication-scheme abc1
[LSW1-aaa-authen-abc1]authentication-mode radius
[LSW1-aaa]accounting-scheme abc1
[LSW1-aaa-accounting-abc1]accounting-mode radius
（3）创建认证域abc1.com，并绑定aaa认证方案和radius服务器模板
[LSW1-aaa]domain abc1.com
[LSW1-aaa-domain-abc1.com]authentication-scheme abc1
[LSW1-aaa-domain-abc1.com]radius-server abc1
（4）测试用户是否能够通过radius模板的认证
[LSW1]test-aaa test ABCabc@123 radius-template abc1
显示：Info: Account test succeed，表示通过认证
3.配置802.1X认证
（1）将配置模式切换成统一模式：缺省情况下，NAC配置模式即为统一模式，传统模式切换到统一模式后，管理员必须保存配置并重启设备，新配置模式的各项功能才能生效。
[LSW1]authentication unified-mode
（2）配置802.1X接入模板
[LSW1] dot1x-access-profile name abc1
（3）配置认证模板，并绑定802.1X模板，指定认证模板下用户强制认证域，指定用户接入模式为多用户单独认证，最大接入用户模式为100
[LSW1] authentication-profile name abc1
[Switch-authen-profile-abc1] dot1x-access-profile abc1
[Switch-authen-profile-abc1] access-domain abc1.com force
[Switch-authen-profile-abc1] authentication mode multi-authen max-user 100
（4）在接口上绑定认证模板，使能802.1X认证
[LSW1-GigabitEthernet0/0/2]authentication- profile abc1
（5）配置指定VLAN内用户下线探测报文的源IP地址和源MAC地址。建议用户下线探测报文的源IP地址和源MAC地址配置为用户网关的IP地址和MAC地址
[LSW1]access-user arp-detect vlan 12 ip-address 10.1.12.1 mac-address 2222-1111-1234
4.验证配置结果
（1）用户在终端上启动802.1X客户端，输入用户名和密码，开始认证。
（2）如果用户输入的用户名和密码验证正确，客户端页面会显示认证成功信息。用户即可访问网络。
（3）用户上线后，管理员可在设备上执行命令display access-user access-type dot1x查看在线802.1X用户信息。