于MAC地址認證的場景

MAC地址認證最早出現(xiàn)在有線交換機上面，對于接入交換機的口開啟MAC認證，對應的終端MAC通過了數(shù)據(jù)才能正常通過這個口轉(zhuǎn)發(fā)出去，隨著無線應用的廣泛，MAC地址認證也應用在了無線組網(wǎng)里面，在前幾年可能應用的還是比較多，但隨著智能手機的一些功能（一個叫做隨機MAC的功能）出現(xiàn)、更多認證方式的出現(xiàn)、MAC地址認證帶來的一些問題，導致MAC地址認證單獨使用的場景越來越少了。

MAC認證流程

在MAC認證過程中，AC會把用戶的數(shù)據(jù)發(fā)送給radius服務(wù)器進行交互，交互的時候會對用戶信息進行認證處理，處理數(shù)據(jù)加密方式為PAP與CHAP。

1、終端接入WIFI后，AC（接入設(shè)備）發(fā)現(xiàn)VAP啟用了MAC認證功能，觸發(fā)MAC認證流程

2、AC會隨機生成一個MD5挑戰(zhàn)秘鑰，并且使用這個秘鑰對MAC的用戶信息進行加密，然后把原始用戶信息，加密的用戶信息以及MD5的挑戰(zhàn)秘鑰發(fā)送給radius服務(wù)器，讓radius服務(wù)器對終端的MAC進行認證處理（這里注意并不是單純的把用戶信息直接發(fā)給radius服務(wù)器，中間有一個加密過程）

3、radius服務(wù)器收到AC發(fā)過來的信息后，會提取里面的MD5挑戰(zhàn)秘鑰以及原始用戶信息，然后對本地數(shù)據(jù)庫中存在的對應MAC用戶信息也用MD5加密以此，得到的結(jié)果跟AC發(fā)過來的結(jié)果相同，則告訴AC認證接受（通過），允許接入網(wǎng)絡(luò)，反之，則認證失敗，拒絕接入。

PS：PAP與CHAP的加密方式，區(qū)別在于PAP對原始信息加密一次，而CHAP則加密兩次，具體采用PAP還是CHAP，在實際環(huán)境中要考慮服務(wù)器的配置權(quán)是否屬于自己，如果是其他人負責，則需要根據(jù)協(xié)商來。當然我們也可以采用本地認證方式。

MAC認證授權(quán)

在我們對認證進行認證通過后，我們還可以對通過的用戶進行授權(quán)，比如授予哪個VLAN、可以訪問哪些資源（ACL），授權(quán)分為本地授權(quán)以及服務(wù)器認證。

• 授權(quán)方法為本地授權(quán)時，用戶從域下獲取授權(quán)信息。
• 授權(quán)方法為服務(wù)器授權(quán)時，用戶從服務(wù)器和域下獲取授權(quán)信息。域下配置的授權(quán)信息比服務(wù)器下發(fā)的授權(quán)信息優(yōu)先級低，如果兩者的授權(quán)信息沖突，則服務(wù)器下發(fā)的授權(quán)優(yōu)先生效；如果兩者的授權(quán)信息不沖突，則兩者的授權(quán)信息同時生效。這樣處理可以通過域管理進行靈活授權(quán)，而不必受限于服務(wù)器提供的授權(quán)。
• 上面提到的都是認證通過后的，我們還可以基于認證前給予一些授權(quán)信息，比如認證前在哪個VLAN，認證失敗后在哪個VLAN，以及認證服務(wù)器出現(xiàn)故障后如何處理。

MAC用戶下線

當用戶下線后，我們需要能夠感知到用戶的離開，否則會出現(xiàn)一些問題。

（1）Radius服務(wù)器會對用戶進行計費，造成計費失誤

（2）可能被非法用戶仿冒合法用戶進行接入網(wǎng)絡(luò)

（3）已經(jīng)下線的用戶，如果還存在用戶信息記錄，對設(shè)備資源是一種消耗。

所以，接入設(shè)備（AC）需要能夠感知到用戶下線，即時刪除用戶信息，如果對接外部數(shù)據(jù)庫的時候，需要通知外部服務(wù)器。

新知識點學習

在配置MAC地址認證的時候，我們首先要回顧下NAC的配置流程，不管是哪種思路都是（1）配置接入模板 （2）配置認證模板 （3）應用到VAP模板。

配置接入模板

mac-access-profile name ：創(chuàng)建一個接入模板，默認存在一個mac_access_profile名字模板

默認存在一個模板名字叫做 mac_access_profile，內(nèi)容為一些用戶名的格式，是否重認證以及周期，是否綁定了認證模板。

1、這里我們主要來了解下用戶名的格式

[AC6005]mac-access-profile name mac

[AC6005-mac-access-profile-mac]mac-authen username macaddress

我們創(chuàng)建一個接入模板為MAC，然后定義mac認證的用戶名為MAC地址就可以直接回車了，我們都知道MAC地址在不同的系統(tǒng)表示方式不太一樣。

0005-e01c-02e3、

00-05-e0-1c-02-e3

0005:e01c:02e3

00:05:e0:1c:02:e3

0005e01c02e3

默認為最后這一種不帶-也不帶:的0005e01c02e3，如果我們想要配置成其他格式的，那么我們需要改參數(shù)。

在macaddress后面還有歌format參數(shù)，指定MAC地址的格式。其中：

with-hyphen：指定MAC地址帶有分隔符“-”，例如“0005-e01c-02e3”。

with-hyphen normal：指定MAC地址帶有分隔符“-”，例如“00-05-e0-1c-02-e3”。

with-hyphen colon：指定MAC地址帶有分隔符“:”，例如“0005:e01c:02e3”。

with-hyphen normal colon：指定MAC地址帶有分隔符“:”，例如“00:05:e0:1c:02:e3”。

without-hyphen：指定MAC地址不帶有分隔符“-”或“:”，例如“0005e01c02e3”。

Uppercase：指定用戶名的形式為大寫。

可以根據(jù)實際環(huán)境選擇對應的格式，通常用without-hyphen最多。

2、采用PAP還是CHAP認證

mac-authen authentication-method 可以通過這個修改，默認采用PAP方式

3、MAC重新認證

mac-authen reauthenticate ：默認沒啟用重新認證功能

mac-authen timer reauthenticate-period ：重新認證的時間間隔，默認是1800s，只有開啟重新認證功能才生效。

MAC地址本地認證案例

對于MAC認證本地方式的話，配置全部在AC上面，包括用戶信息（當然AR路由器充當AC的時候也支持），那么我們在配置之前需要注意這些問題。

1、MAC認證的用戶名的格式為without-hyphen，就是0005e01c02e3沒任何符號的，在創(chuàng)建用戶名密碼的時候可以統(tǒng)一為0005e01c02e3

2、認證模板本地我們可以采用默認或者是自定義，推薦養(yǎng)成自定義的習慣。

3、如果需要授權(quán)，我們可以對于認證后的用戶進行本地授權(quán)，并且要考慮如果授權(quán)了VLAN后，數(shù)據(jù)VLAN放行的情況。

1、基本組網(wǎng)省略（已經(jīng)第十八篇了，基礎(chǔ)配置還不會，該反省了）

基本環(huán)境就是Partners屬于VLAN2， office屬于VLAN3，開放式接入，都可以連接上，在這個基礎(chǔ)上面，我們來做MAC地址認證。

AAA里面提示 認證類型是none

2、MAC本地認證配置

（1）配置MAC接入模板

[AC6005]mac-access-profile name mac

不需要配置任何參數(shù)，因為默認就是基于without-hyphen的用戶名方式

（2）配置認證模板，認證模板分為認證方式、AAA方案、授權(quán)信息等

[AC6005]aaa

[AC6005-aaa]authentication-scheme mac

[AC6005-aaa-authen-mac]authentication-mode local

[AC6005-aaa-authen-mac]q

定義了一個認證方式方案叫MAC，認證方式為local

[AC6005-aaa]local-user 548998fc5e4b password cipher 548998fc5e4b

Error: The password cannot be the same as a user name or an inverted user name.

當配置本地認證信息的時候，可以看到用戶名跟密碼一致會提示錯誤，說密碼不能包含用戶名的信息。

解決方法：

[AC6005]mac-access-profile name mac

[AC6005-mac-access-profile-mac]mac-authen username macaddress format without-hyphen password cipher Test@123

Info: The password should meet the complexity check requirement.

定義一個通用密碼，然后我們把本地信息的用戶信息密碼都設(shè)置這個。

[AC6005-aaa]local-user 548998fc5e4b password cipher Test@123

[AC6005-aaa]local-user 548998fc5e4b service-type 8021x

[AC6005]authentication-profile name mac

[AC6005-authentication-profile-mac]mac-access-profile mac

[AC6005-authentication-profile-mac]authentication-scheme mac

定義一個認證模板，關(guān)聯(lián)認證方式、接入模板，這里沒有授權(quán)，所以不需要調(diào)用。

（3）調(diào)用認證模板到VAP

[AC6005-wlan-view]vap-profile name Partners

[AC6005-wlan-vap-prof-Partners]authentication-profile mac

Warning: This action may cause service interruption. Continue?[Y/N]y

[AC6005-wlan-view]vap-profile name office

[AC6005-wlan-vap-prof-office]authentication-profile mac

Warning: This action may cause service interruption. Continue?[Y/N]y

總結(jié)下整個配置流程：（1）配置接入模板（采用哪種NAC認證） （2）配置認證模板 ：認證模板里面分為認證方式（采用本地還是外部數(shù)據(jù)庫） 如果是本地認證則配置本地用戶信息 （這里MAC地址用戶名密碼不能一致，所以采用通用密碼方式解決），如果是外部數(shù)據(jù)庫還需要配置radius等服務(wù)器的對接參數(shù)，還可以調(diào)用授權(quán)。（該實例就定義了認證方式為本地，然后配置了本地用戶信息，然后調(diào)用了接入模板）