MAC認(rèn)證

簡介

MAC地址認(rèn)證是一種基于端口和MAC地址對用戶的網(wǎng)絡(luò)訪問權(quán)限進行控制的認(rèn)證方法。它不需要用戶安裝任何客戶端軟件，用戶名和密碼都是用戶設(shè)備的MAC地址。網(wǎng)絡(luò)接入設(shè)備在首次檢測到用戶的MAC地址以后，即啟動對該用戶的認(rèn)證。

用戶名形式

根據(jù)接入設(shè)備最終用于驗證用戶身份的用戶名格式和內(nèi)容的不同，可以將MAC認(rèn)證使用的用戶名格式分為三種類型：

• MAC地址格式：設(shè)備使用用戶的MAC地址作為用戶名進行認(rèn)證，同時可以使用MAC地址或者自定義的字符串作為密碼。
• 固定用戶名形式：不論用戶的MAC地址為何值，所有用戶均使用接入設(shè)備上指定的一個固定用戶名和密碼替代用戶的MAC地址作為身份信息進行認(rèn)證。由于同一個接口下可以有多個用戶進行認(rèn)證，因此這種情況下接口上的所有MAC認(rèn)證用戶均使用同一個固定用戶名進行認(rèn)證，服務(wù)器端僅需要配置一個用戶賬戶即可滿足所有認(rèn)證用戶的認(rèn)證需求，這適用于客戶端比較可信的網(wǎng)絡(luò)環(huán)境。
• DHCP選項格式：設(shè)備將獲取到的用戶DHCP選項字段以及一個固定的密碼代替用戶的MAC地址作為身份信息進行認(rèn)證。該方式需保證設(shè)備支持通過DHCP報文觸發(fā)MAC認(rèn)證。

認(rèn)證流程

?

在認(rèn)證之前客戶端與設(shè)備之間建立預(yù)連接。

設(shè)備在檢查到用戶發(fā)送的ARP/DHCP/ND/DHCPv6中的任意一種報文，即觸發(fā)用戶的MAC認(rèn)證。

根據(jù)配置，設(shè)備將用戶名和密碼發(fā)送到認(rèn)證服務(wù)器進行認(rèn)證。

認(rèn)證服務(wù)器驗證接收到的用戶名和密碼，驗證成功后向設(shè)備發(fā)送認(rèn)證成功報文。同時將用戶加入自身在線用戶列表中。

設(shè)備接收到認(rèn)證成功報文后將接口改為授權(quán)狀態(tài)，允許用戶通過接口訪問網(wǎng)絡(luò)。同時將用戶加入自身在線用戶列表中。

終端主動注銷，用戶下線流程

客戶端發(fā)送注銷認(rèn)證請求。

接入設(shè)備向RADIUS服務(wù)器發(fā)送計費停止報文（ACCOUNTING-REQUEST），并停止端口授權(quán)，將用戶從在線列表中刪除。

RADIUS服務(wù)器向接入設(shè)備發(fā)送計費停止響應(yīng)報文（ACCOUNTING-RESPONSE），并將用戶從在線列表中刪除。

管理員在SM強制用戶下線流程

管理員在SM強制用戶下線。

SM通知RADIUS服務(wù)器用戶下線。

RADIUS服務(wù)器向接入設(shè)備發(fā)送下線通知報文（REQ_LOGOUT）。

接入設(shè)備向RADIUS服務(wù)器發(fā)送計費停止報文（ACCOUNTING-REQUEST），并停止端口授權(quán)，將用戶從在線列表中刪除。

RADIUS服務(wù)器向接入設(shè)備發(fā)送計費停止響應(yīng)報文（ACCOUNTING-RESPONSE），并將用戶從在線列表中刪除。

MAC旁路認(rèn)證（屬于802.1x）

由于無法安裝和使用Agile Controller-Campus的客戶端，打印機、IP電話等終端設(shè)備不能接入網(wǎng)絡(luò)，用戶無法訪問和使用這些終端。MAC旁路認(rèn)證功能確保這些終端在不認(rèn)證的情況下也能接入網(wǎng)絡(luò)，以及限定這些終端從指定的設(shè)備上接入網(wǎng)絡(luò)。

?

MAC認(rèn)證與MAC旁路認(rèn)證區(qū)別

MAC旁路認(rèn)證是指在802.1X認(rèn)證環(huán)境中，如果在接入控制設(shè)備發(fā)起的802.1X認(rèn)證請求時向終端請求帳號和密碼而終端沒有響應(yīng)（802.1X認(rèn)證失敗），則再嘗試MAC認(rèn)證，即接入控制設(shè)備把終端的MAC地址當(dāng)作帳號和密碼發(fā)到RADIUS服務(wù)器進行認(rèn)證。

一 原理不同

兩者最大的區(qū)別是MAC旁路認(rèn)證屬于802.1X認(rèn)證，而MAC認(rèn)證不屬于802.1X認(rèn)證。

MAC旁路認(rèn)證比MAC認(rèn)證多一個802.1X認(rèn)證環(huán)節(jié)，故時間要比MAC認(rèn)證時間長。

二 適用場景不同

• 如果一個網(wǎng)口既可能連接啞終端（打印機、IP電話），又可能連接便攜機（保證認(rèn)證過后再接入），請使用MAC旁路認(rèn)證，優(yōu)先嘗試802.1X認(rèn)證，認(rèn)證失敗再嘗試MAC認(rèn)證。
• 如果一個網(wǎng)口只會連接啞終端（打印機、IP電話），請使用MAC認(rèn)證，以便縮短認(rèn)證時間。

配置方面，二者在Agile Controller-Campus上的配置是完全一樣的，不同點是設(shè)備上的配置。

不論是MAC認(rèn)證還是MAC旁路認(rèn)證，設(shè)備上RADIUS認(rèn)證相關(guān)的配置都是必不可少的，配置都相同

?

總結(jié)

以上是生活随笔為你收集整理的AC-Campus准入控制--Mac的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。