设备环境： Cisco Catalyst 3550-24-EMI （ IOS ： 12.1(14)EA1 EMI ）， Cisco Secure ACS v3.1

1 、和 802.1x 相关的交换机主要配置内容：

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
!--- 如果只是做 802.1x 认证，则 aaa authorization network 这句可不要，如要做 VLAN 分配或 per-user ACL ，则必须做 network authorization

dot1x system-auth-control
!--- 注意在 12.1(14)EA1 版以后 802.1x 的配置有了修改，此句 enable 802.1x

interface FastEthernet0/1
description To Server_Farm
switchport mode access
dot1x port-control auto
dot1x max-req 3
spanning-tree portfast
!---dot1x port-control auto 句在 F0/1 上 enable dot1x ，另外注意在 F0/1 口下我并 没有给它赋 VLAN


radius-server host <?xml:namespace prefix = st1 ns = "urn:schemas-microsoft-com:office:smarttags" />1.2.3.4 auth-port 1812 acct-port 1813 key radius_string
radius-server vsa send authentication
!---radius-server host 1.2.3.4 句定义 radius server 信息，并给出验证字串
!--- 因为要配置 VLAN 分配必须使用 IETF 所规定的 VSA(Vendor-specific attributes ）值， radius-server vsa send authentication 句允许交换机识别和使用这些 VSA 值。

配置 802.1x 动态分配 VLAN 所用到的 VSA 值规定如下：
[64] Tunnel-Type = VLAN
[65] Tunnel-Medium-Type = 802
[81] Tunnel-Private-Group-ID = VLAN name or VLAN ID

2 、和 802.1x 相关的 ACS 主要配置内容：
这个配置要看图了，另外附带说一点， Cisco 文档说 ACS 3.0 之前是不支持 802.1x 的。因为 802.1x 使用 radius 进行认证，所以在选用认证协议时我选用的是 RADIUS(IETF) ，而缺省是 Cisco 的 TACACS+ 。
在 Interface Configuration 中对 RADIUS(IETF) 进行配置，在组用户属性中选中 [64]Tunnel-Type 、 [65] Tunnel-Medium-Type 、 [81]Tunnel-Private-Group-ID （见下图）。
在 Group Setup 中对 RADIUS Vendor-Specific Attributes 值进行编辑：勾选 [64]Tunnel-Type ，将 tag 1 的值选为 VLAN ；勾选 [65] Tunnel-Medium-Type ，将 tag 1 的值选为 802 ；勾选 [81]Tunnel-Private-Group-ID ，将 tag 1 的值设为 7 ，表明为 VLAN 7 （见下图）。设置完后， Submit+Rest 。

3 、工作站端的设置：
WINXP 本身内置对 802.1x 的支持，微软在前不久出了一个补丁可以让 WIN2K 也支持 802.1x ，需要注意的是 WIN2K SP4 已经内置了对 802.1x 的支持， SP3 以下可使用此补丁：
[url]http://support.microsoft.com/default.aspx?scid=kb;en-us;313664[/url]

安装完此补丁后， 802.1x 默认是不启动的，可在服务中手动打开 Wireless Configuration 服务，打开此服务后，在网卡连接属性中会多出一栏 Authenticatioin ，在此栏中勾选 Enable network access control using IEEE 802.1x ，同时在 EAP type 中选中 MD5-Challenge 。

4 、测试：
在所有设置完成后，可以观察到 802.1x enable 的 F0/1 口上状态灯显示为黄灯，而在工作站端过一会后会弹出一个认证窗口，在用户名 / 口令处填入 ACS 中定义好的用户名 / 口令，域名处不填，同时观察 WIN2K systray 处的连接图标，上面会有和认证服务器联系及认证用户的浮动提示，同时 F0/1 的状态灯也会顺利变为绿灯。
认证通过后检验 VLAN 值是否已正确分配：先 ping VLAN7 的网关地址，通；再 ping 其它 VLAN 的网关地址，通；最后看可否上 Internet ，通。

ACS Interface Configuration 设置图例见下图。 <?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

<?xml:namespace prefix = v ns = "urn:schemas-microsoft-com:vml" />



 


ACS Group Setup 设置图例


网络连接属性设置图例

注：
1、ip 可以由3550 来作dhcp server ，显示802。1x 激活端口，然后用dhcp 分ip，至于mac地址再绑定，这里没有必要了，有了802。1x 就不用vmps拉，  802。1x可以根据用户名来分vlan。

2、接注1问题，我是想确定每台电脑的IP地址。例如现在用的6509，如果直接用它做DHCP ,那么端口激活得到VLAN TAG后，分配的IP地址我想固定死。因为我们针对防火墙日志自己开发了一个分析软件是基于IP地址的。这种情况下我想固定分配给客户端IP。但是客户端电脑又要从DHCP中得到固定IP.