11.11. Команды dot1x (IEEE 802.1х)

Назначение

Команда dot1x system-auth-ctrl используется для глобального запуска функции управления аутентификацией dot1x.

Для удаления этой конфигурации используйте команду no dot1x system-auth-ctrl.

Требования

Синтаксис

dot1x system-auth-ctrl

no dot1x system-auth-ctrl

Режим ввода

Global Config

Состояние по умолчанию

Отключено

Применение

Для глобального запуска функции dot1x используйте эту команду. Эта команда необходима для правильного функционирования настроек dot1x на каждом порту.

Примеры

Вывод команды dot1x system-auth-ctrl:

Switch# configure terminal
Switch(config)# dot1x system-auth-ctrl
Switch(config)# no dot1x system-auth-ctrl

Связанные команды

show dot1x

dot1x port-control

Назначение

Команда dot1x initialize в режиме “Privileged EXEC” используется для ручного перевода указанного порта с поддержкой IEEE 802.1x в неавторизованное состояние перед запуском новой сессии аутентификации на порту.

Требования

Синтаксис

dot1x initialize interface IFNAME

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Команда dot1x initialize используется для инициализации IEEE 802.1x и создания новой среды для аутентификации. После ввода этой команды статус порта становится неавторизованным.

Примеры

Вывод команды dot1x initialize:

Switch# dot1x initialize interface eth-0-1

Связанные команды

show dot1x

Назначение

Команда dot1x max-reauth-req в режиме “Interface Configuration” используется для задания максимального числа попыток перезапуска процесса аутентификации коммутатором до перевода порта в неавторизованное состояние. Для возврата к настройкам по умолчанию используйте команду no dot1x max-req.

Требования

Синтаксис

dot1x max-req COUNT

no dot1x max-req

Режим ввода

Interface Configuration

Состояние по умолчанию

Значение по умолчанию для команды dot1x max-reauth-req — 2 попытки.

Применение

Изменяйте значение этой команды только при необходимости корректировки для нестандартных ситуаций, таких как ненадежные каналы связи или специфические проблемы поведения некоторых клиентов и серверов аутентификации.

Примеры

Вывод команды dot1x max-reauth-req:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x max-req 4

Связанные команды

show dot1x

Назначение

Команда dot1x port-control в режиме “Interface Configuration” используется для управления состоянием авторизации порта вручную. Для возврата к настройкам по умолчанию используйте команду no dot1x port-control.

Поддерживается конфигурация dot1x на маршрутизируемом порту, но не поддерживается на логическом порту, таком как агрегированный порт и т.д.

Требования

Синтаксис

dot1x port-control (auto|force-authorized|force-unauthorized|dir (both|in))

no dot1x port-control

Режим ввода

Interface Configuration

Состояние по умолчанию

Управление портом dot1x отключено по умолчанию.

Значение по умолчанию для направления контроля — “in”.

Применение

Необходимо глобально включить аутентификацию IEEE 802.1x на коммутаторе с помощью команды глобальной конфигурации dot1x system-auth-control до того, как включать аутентификацию IEEE 802.1x на отдельных портах.

Примеры

Вывод команды dot1x port-control:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x port-control auto

Связанные команды

show dot1x

Назначение

Команда dot1x protocol-version используется для установки версии пакетов EAPOL на коммутаторе. Для возврата к настройкам по умолчанию используйте команду no dot1x protocol-version.

Требования

Синтаксис

dot1x protocol-version VER

no dot1x protocol-version

Режим ввода

Interface Configuration

Состояние по умолчанию

Значение версии EAPOL по умолчанию — 2.

Применение

Перед установкой версии EAPOL необходимо указать управление состоянием авторизации порта с помощью команды dot1x port-control.

Примеры

Вывод команды dot1x protocol-version:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x protocol-version 1

Связанные команды

show dot1x

Назначение

Команда dot1x timeout quiet-period используется для установки интервала времени ожидания.

Для возврата к настройкам по умолчанию используйте команду no dot1x timeout quiet-period.

Требования

Синтаксис

dot1x timeout quiet-period SECONDS

no dot1x timeout quiet-period

Режим ввода

Interface Configuration

Состояние по умолчанию

Значение интервала времени ожидания dot1x по умолчанию — 60 секунд.

Применение

Во время периода ожидания коммутатор не принимает и не инициирует никаких запросов на аутентификацию. Если вы хотите обеспечить более быстрое время отклика для пользователя, введите значение меньшее, чем значение по умолчанию.

Примеры

Вывод команды dot1x timeout quiet-period:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x timeout quiet-period 100

Связанные команды

show dot1x

Назначение

Команда dot1x handshake для включения периодической проверки состояния аутентификации клиента. Команда no dot1x handshake возвращает настройку к значению по умолчанию.

Требования

Синтаксис

dot1x handshake

no dot1x handshake

Режим ввода

Interface Configuration

Состояние по умолчанию

Нет

Применение

Настройка по умолчанию для dot1x handshake - отключено. Когда проверка состояния аутентификации клиента отключена, настройки таймаута проверки состояния аутентификации клиента не должны применяться.

Примеры

Вывод команды dot1x handshake:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x handshake

Связанные команды

dot1x timeout

dot1x max-req

Назначение

Команда dot1x timeout handshake-period используется для настройки интервала времени между проверками состояния аутентификации.

Для возврата к настройке по умолчанию используйте команду no dot1x timeout handshake-period.

Требования

Синтаксис

dot1x timeout handshake-period SECONDS

no dot1x timeout handshake-period

Режим ввода

Interface Configuration

Состояние по умолчанию

Значение по умолчанию для параметра dot1x handshake-period — 60 секунд.

Применение

Если период проверки состояния изменен при уже включенной функции проверки, изменения вступят в силу немедленно для активных пользователей.

Примеры

Вывод команды dot1x timeout handshake-period:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x timeout handshake-period 100

Связанные команды

dot1x handshake

dot1x max-req

Назначение

Команда dot1x reauthentication используется для включения периодической повторной аутентификации клиента.

Для возврата к настройке по умолчанию используйте команду no dot1x reauthentication.

Требования

Синтаксис

dot1x reauthentication

no dot1x reauthentication

Режим ввода

Interface Configuration

Состояние по умолчанию

Нет

Применение

По умолчанию повторная аутентификация dot1x отключена. Если повторная аутентификация отключена, настройки таймаута повторной аутентификации не вступят в силу.

Примеры

Вывод команды dot1x reauthentication:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x reauthentication

Связанные команды

show dot1x

dot1x timeout

Назначение

Команда dot1x re-authenticate в режиме “Privileged EXEC” используется для ручного инициирования повторной аутентификации указанного порта, поддерживающего IEEE 802.1x.

Требования

Синтаксис

dot1x re-authenticate interface IFNAME

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Вы можете использовать эту команду для повторной аутентификации клиента без ожидания заданного числа секунд между попытками повторной аутентификации (re-authperiod) и автоматической повторной аутентификации.

Примеры

Вывод команды dot1x re-authenticate:

Switch# dot1x re-authenticate interface eth-0-1

Связанные команды

show dot1x

Назначение

Команда dot1x timeout в режиме “Interface Configuration” на стековом или автономном коммутаторе используется для установки таймеров IEEE 802.1x.

Для возврата к настройкам по умолчанию используйте команду no dot1x timeout.

Требования

Синтаксис

dot1x timeout (re-authperiod SECONDS|server-timeout SECONDS|supp-timeout SECONDS|tx-period SECONDS)

no dot1x timeout (reauth-period|server-timeout|supp-timeout|tx-period)

Режим ввода

Interface Configuration

Состояние по умолчанию

Нет

Применение

Следует изменять значение этой команды только для корректировки в необычных обстоятельствах, таких как ненадежные соединения или специфические проблемы с определенными клиентами и серверами аутентификации.

Команда dot1x timeout re-authperiod в режиме конфигурации интерфейса влияет на поведение коммутатора только в случае включения периодической повторной аутентификации с помощью команды dot1x reauthentication в режиме конфигурации интерфейса.

Значение по умолчанию для re-authperiod - 3600 секунд.

Значение по умолчанию для tx-period - 30 секунд.

Значение по умолчанию для supp-timeout - 30 секунд.

Значение по умолчанию для server-timeout - 30 секунд.

Примеры

Вывод команды dot1x timeout:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x reauthentication
Switch(config-if)# dot1x timeout re-authperiod 4000

Связанные команды

dot1x reauthentication

show dot1x

Назначение

Команда dot1x guest-vlan в режиме “Interface Configuration” используется для указания активной VLAN в качестве гостевой VLAN 802.1x.

Для возврата к настройкам по умолчанию используйте команду no dot1x guest-vlan.

Требования

Синтаксис

dot1x guest-vlan VLAN_ID

no dot1x guest-vlan

Режим ввода

Interface Configuration

Состояние по умолчанию

Гостевая VLAN не настроена.

Применение

При настройке гостевой VLAN клиенты, не поддерживающие 802.1x, помещаются в гостевую VLAN, когда сервер не получает ответ на запрос идентификации (EAPOL). Клиенты, поддерживающие 802.1x, но не прошедшие аутентификацию, не получают доступ к сети.

Функция гостевой VLAN не поддерживается на внутренних VLAN (маршрутизируемых портах) или транковых портах; она поддерживается только на портах доступа.

Примеры

Настройка VLAN 5 в качестве гостевой VLAN 802.1x:

Switch# configure terminal
Switch(config)# vlan database
Switch(config-vlan)# vlan 5
Switch(config-vlan)# exit
Switch(config)# interface eth-0-1
Switch(config-if)# switchport mode access
Switch(config-if)# dot1x port-control auto
Switch(config-if)# dot1x guest-vlan 5

Связанные команды

show dot1x

Назначение

Команда show dot1x в режиме “Privileged EXEC” отображает конфигурацию сеанса IEEE 802.1x, административный статус и рабочий статус для коммутатора или указанного порта.

Требования

Синтаксис

show dot1x interface IFNAME

show dot1x session brief ((interface IFPHYSICAL (mac MACADDR| ))| )

show dot1x ( all| )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Н/Д

Примеры

Вывод команды show dot1x:

Switch# show dot1x all

Switch# show dot1x all
802.1X Port-Based Authentication Enabled
=====================================
802.1X info for interface eth-0-2
  portEnabled            : false
  portControl            : Auto
  portMode               : Port based
  portStatus             : Unauthorized
  Mac Auth bypass        : disabled
  reAuthenticate         : enabled
  reAuthPeriod           : 3600
  Max user number        : 255
  Current session number : 0
  Accept user number     : 0
  Reject user number     : 0
  Guest VLAN             : N/A
  Assign VLAN            : N/A
  QuietPeriod            : 60
  ReqMax                 : 2
  TxPeriod               : 30
  SuppTimeout            : 30
  ServerTimeout          : 30
  CD: adminControlledDirections : in
  CD: operControlledDirections  : in
  CD: bridgeDetected            : false
========================================

Связанные команды

dot1x system-auth-ctrl

dot1x port-control

Назначение

Команда show dot1x statistics в режиме “Privileged EXEC” для отображения статистики пакетов IEEE 802.1x EAPOL для коммутатора или для указанного порта.

Требования

Синтаксис

show dot1x statistics interface IFNAME

show dot1x statistics (all| )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Н/Д

Примеры

Вывод команды show dot1x:

Switch# show dot1x statistics interface eth-0-1

802.1X statistics for interface eth-0-1
  EAPOL Frames Rx: 0 - EAPOL Frames Tx: 323
  EAPOL Start Frames Rx: 0 - EAPOL Logoff Frames Rx: 0
  EAP Rsp/Id Frames Rx: 0 - EAP Response Frames Rx: 0
  EAP Req/Id Frames Tx: 241 - EAP Request Frames Tx: 0
  Invalid EAPOL Frames Rx: 0 - EAP Length Error Frames Rx: 0
  EAPOL Last Frame Version Rx: 0 - EAPOL Last Frame Src: 0000.0000.0000

Связанные команды

dot1x system-auth-ctrl

dot1x port-control

Назначение

Команда show dot1x radius-server status используется для вывода статуса сервера RADIUS.

Требования

Синтаксис

show dot1x radius-server status (interface IF_NAME| )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Нет

Примеры

Нет

Связанные команды

Нет

Назначение

Команда show running-config interface dot1x состояния dot1x на портах.

Требования

Синтаксис

show running-config interface IF_NAME dot1x

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Нет

Примеры

Нет

Связанные команды

Нет

Назначение

Команда show running-config switch dot1x используется для вывода состояния dot1x на коммутаторе (глобально).

Требования

Синтаксис

show running-config switch dot1x

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Нет

Примеры

Вывод информации о глобальном состоянии dot1x (включен):

Switch# show running-config switch dot1x
Building configuration...
!
dot1x system-auth-ctrl
!

Вывод информации о глобальном состоянии dot1x (отключен):

Switch# show running-config switch dot1x
Building configuration...
!
Switch#

Связанные команды

Нет

Назначение

Команда debug dot1x используется для включения отладки модуля dot1x.

Чтобы вернуть настройки по умолчанию, используйте команду no debug dot1x.

Требования

Синтаксис

debug dot1x (event|timer|packet|all)

no debug dot1x (event|timer|packet|all)

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Команда terminal monitor используется для отображения отладочных сообщений непосредственно в виртуальном терминале (VTY).

Команда show logging buffer используется для проверки отладочных сообщений в буфере журналов.

Примеры

Включение всех отладочных переключателей dot1x:

Switch# debug dot1x all

Связанные команды

terminal monitor

show logging buffer

Назначение

Команда clear dot1x statistics в режиме “Privileged EXEC”, чтобы очистить статистику IEEE 802.1x для коммутатора или указанного порта.

Требования

Синтаксис

clear dot1x statistics

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Используйте команду clear dot1x для очистки статистики IEEE 802.1x для коммутатора или указанного порта.

Используйте команду show dot1x, чтобы отобразить статистику IEEE 802.1x.

Примеры

Использование команды clear dot1x:

Switch# clear dot1x statistics

Связанные команды

dot1x system-auth-ctrl

dot1x port-control

show dot1x

Назначение

Команда dot1x port-mode используется для установки режима управления интерфейсом.

Используйте команду no dot1x port-mode для восстановления значения по умолчанию.

Требования

Синтаксис

dot1x port-mode (port|mac)

no dot1x port-mode

Режим ввода

Interface Configuration

Состояние по умолчанию

По умолчанию используется режим “Port”.

Применение

Используйте команду dot1x port-mode для установки режима управления интерфейсом.

Используйте команду no dot1x port-mode для восстановления значения по умолчанию.

Перед установкой режима управления необходимо включить dot1x port-control.

Режим управления не может быть изменен, если присутствуют аутентифицированные клиенты.

Примеры

Использование команды dot1x port-mode:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x port-mode mac

Связанные команды

dot1x port-control

Назначение

Команда dot1x max-user используется для установки максимального количества пользователей на интерфейсе.

Используйте команду no dot1x max-user для восстановления значения по умолчанию.

Требования

Синтаксис

dot1x max-user COUNT

no dot1x max-user

Режим ввода

Interface Configuration

Состояние по умолчанию

По умолчанию количество пользователей на порту не ограничено. Максимальное количество зависит от профиля аппаратного обеспечения системы.

Применение

Используйте команду dot1x max-user для установки максимального количества пользователей на интерфейсе.

Используйте команду no dot1x max-user для восстановления значения по умолчанию.

Перед установкой максимального значения необходимо включить dot1x port-control.

Если на линии есть пользователи, установленное значение должно быть больше или равно количеству текущих пользователей.

Установленное значение не может превышать значение, ограниченное аппаратной реализацией для платформы (серии). Текущее значение можно узнать при помощи команды show stm prefer в строке number of dot1x mac based.

Это значение должно ограничивать количество пользователей dot1x на основе MAC-адреса в состояниях “accept”, “reject” и “reauth”. Общее количество пользователей, включая состояние “waiting”, должно быть в 2 раза больше выбранного количества.

Примеры

Использование команды dot1x max-user:

Switch# configure terminal
Switch(config)# interface eth-0-1
Switch(config-if)# dot1x max-user 10

Связанные команды

dot1x port-control

Назначение

Команда dot1x re-activate radius-server используется для реинициализации указанных серверов RADIUS.

Требования

Синтаксис

dot1x re-activate radius-server (all| )

dot1x re-activate radius-server host HOST_IP_ADDR {acct-port PORT|auth-port PORT| }

dot1x re-activate radius-server interface IFNAME