华为设备802.1X认证（认证点在汇聚层交换机）
1.配置网络互通 （1）配置终端IP地址
（2）创建WLAN并允许通过vlan，保证网络畅通 [LSW1]vlan batch 11 12 [LSW1-Vlanif11]ip add 10.1.11.1 24 [LSW1-Vlanif12]ip add 10.1.12.1 24 [LSW1-GigabitEthernet0/0/1]port link-type access [LSW1-GigabitEthernet0/0/1]port default vlan 11 [LSW1-GigabitEthernet0/0/2]port link-type access [LSW1-GigabitEthernet0/0/2]port default vlan 12 （3）为保证用户能够通过802.1X认证，则务必在LAN Switch上配置EAP报文透传功能 [LSW2]l2protocol-tunnel user-defined-protocol 802.1x protocol-mac 0180-c200-0003 group-mac 0100-0000-0002 [LSW2-GigabitEthernet0/0/1]l2protocol-tunnel user-defined-protocol 802.1x enable [LSW2-GigabitEthernet0/0/2]l2protocol-tunnel user-defined-protocol 802.1x enable [LSW2-GigabitEthernet0/0/3]l2protocol-tunnel user-defined-protocol 802.1x enable 2.配置AAA （1）配置radius服务器模板 [LSW1]radius-server template abc1 [LSW1-radius-abc1]radius-server authentication 10.1.11.11 1812 [LSW1-radius-abc1]radius-server accounting 10.1.11.11 1813 [LSW1-radius-abc1]radius-server shared-key cipher ABCabc@123 （2）创建aaa认证方案，并配置认证方式为radius [LSW1]aaa [LSW1-aaa]authentication-scheme abc1 [LSW1-aaa-authen-abc1]authentication-mode radius [LSW1-aaa]accounting-scheme abc1 [LSW1-aaa-accounting-abc1]accounting-mode radius （3）创建认证域abc1.com，并绑定aaa认证方案和radius服务器模板 [LSW1-aaa]domain abc1.com [LSW1-aaa-domain-abc1.com]authentication-scheme abc1 [LSW1-aaa-domain-abc1.com]radius-server abc1 （4）测试用户是否能够通过radius模板的认证 [LSW1]test-aaa test ABCabc@123 radius-template abc1 显示：Info: Account test succeed，表示通过认证 3.配置802.1X认证 （1）将配置模式切换成统一模式：缺省情况下，NAC配置模式即为统一模式，传统模式切换到统一模式后，管理员必须保存配置并重启设备，新配置模式的各项功能才能生效。 [LSW1]authentication unified-mode （2）配置802.1X接入模板 [LSW1] dot1x-access-profile name abc1 （3）配置认证模板，并绑定802.1X模板，指定认证模板下用户强制认证域，指定用户接入模式为多用户单独认证，最大接入用户模式为100 [LSW1] authentication-profile name abc1 [Switch-authen-profile-abc1] dot1x-access-profile abc1 [Switch-authen-profile-abc1] access-domain abc1.com force [Switch-authen-profile-abc1] authentication mode multi-authen max-user 100 （4）在接口上绑定认证模板，使能802.1X认证 [LSW1-GigabitEthernet0/0/2]authentication- profile abc1 （5）配置指定VLAN内用户下线探测报文的源IP地址和源MAC地址。建议用户下线探测报文的源IP地址和源MAC地址配置为用户网关的IP地址和MAC地址 [LSW1]access-user arp-detect vlan 12 ip-address 10.1.12.1 mac-address 2222-1111-1234 4.验证配置结果 （1）用户在终端上启动802.1X客户端，输入用户名和密码，开始认证。 （2）如果用户输入的用户名和密码验证正确，客户端页面会显示认证成功信息。用户即可访问网络。 （3）用户上线后，管理员可在设备上执行命令display access-user access-type dot1x查看在线802.1X用户信息。
