对接思科ISE

背景信息

对接思科ISE功能是指以Cisco ISE服务器作为NAC组网中的认证和授权服务器的功能。NAC（Network Access Control）称为网络接入控制，是一种“端到端”的安全结构，包括802.1X认证、MAC认证与Portal认证，并支持对汇聚层和接入层进行配置。NAC可以实现对设备管理员和接入用户的认证、授权和计费，保证设备与网络安全。

操作步骤

依次单击“配置 > 进阶业务管理 > 对接思科ISE”，进入配置界面。
在“选择认证接口”界面选中要配置认证的接口。可根据需要在接口选择区域中执行以下操作：
- 单击接口图标选中单个接口，再次单击该接口图标取消选中。
- 拖动鼠标批量选中连续的接口。
- 多次单击不同接口图标，选中多个接口，再次单击选中的某个接口图标取消选中该接口。
选择接口后，可以点击“清除接口认证配置”，清除接口原有的认证配置。
单击“清除认证配置”，清除设备上所有的认证配置。
在“认证方式”后选择“802.1X”、“MAC”或者“Portal”认证。
在“网络层次”后选择“汇聚层”或“接入层”。

当“认证方式”为“802.1X”时，才可配置“网络层次”。

在“认证配置”中填写需要配置的数据。

当“认证方式”为“802.1X”，并且“网络层次”为“接入层”时，不支持“认证配置”。

界面信息含义如表1所示。

表1 配置认证参数列表
参数项		说明
认证服务器IP地址		配置RADIUS认证服务器的IPv4地址。
备服务器地址		配置备RADIUS认证服务器的IPv4地址。
计费服务器IP地址		配置RADIUS计费服务器的IPv4地址。
备服务器地址		配置备RADIUS计费服务器的IPv4地址。
共享密钥		配置RADIUS服务器的共享密钥。
认证服务	端口号	配置RADIUS认证服务器的端口号。
	发送报文源地址	配置交换机向RADIUS认证服务器发送RADIUS报文所使用的源地址。 IP地址：使用指定IPv4地址。 VLANIF：使用指定VLANIF接口的IPv4地址。 Loopback：使用指定Loopback接口的IPv4地址。
	备服务器端口号	配置备RADIUS认证服务器的端口号。仅在配置备RADIUS认证服务器地址后才可配置此项。
	备服务器发送报文源地址	配置向备RADIUS认证服务器发送报文所使用的源地址。 IP地址：指定IPv4地址作为向备RADIUS认证服务器发送RADIUS报文时使用的源IPv4地址。 VLANIF：指定VLANIF接口的IP地址作为源IP地址。 Loopback：指定Loopback接口的IP地址作为源IP地址。仅在配置备RADIUS认证服务器地址后才可配置此项。
计费服务	端口号	配置RADIUS计费服务器的端口号。
	发送报文源地址	配置向RADIUS计费服务器发送报文所使用的源地址。 IP地址：指定IPv4地址作为向RADIUS计费服务器发送RADIUS报文时使用的源IPv4地址。 VLANIF：指定VLANIF接口的IP地址作为源IP地址。 Loopback：指定Loopback接口的IP地址作为源IP地址。
	备服务器端口号	配置备RADIUS计费服务器的端口号。仅在配置备计费服务器地址后才可配置此项。
	备服务器发送报文源地址	指定向备RADIUS计费服务器发送报文所使用的源地址。 IP地址：指定IPv4地址作为向备RADIUS计费服务器发送RADIUS报文时使用的源IPv4地址。 VLANIF：指定VLANIF接口的IP地址作为源IP地址。 Loopback：指定Loopback接口的IP地址作为源IP地址。仅在配置备计费服务器地址后才可配置此项。
实时计费周期(分钟)		配置实时计费时间间隔。
Calling-Station-Id中MAC地址格式		配置RADIUS报文中Calling-Station-Id（Type 31）属性字段中MAC地址的封装格式。
Called-Station-Id中MAC地址格式		配置RADIUS报文中Called-Station-Id（Type 30）属性字段中MAC地址的封装格式。
设备发送认证请求最大次数		配置向802.1X用户发送认证请求报文或握手报文的重传次数。	仅当“认证方式”为“802.1X”时支持配置。
客户端认证超时时间(秒)		配置客户端认证超时时间。	仅当“认证方式”为“802.1X”时支持配置。
认证用户名形式		配置MAC认证用户采用的用户名类型。 MAC地址：指定MAC认证用户采用的用户名为MAC地址类型。固定用户名：指定MAC认证用户采用的用户名为用户名类型。	仅当“认证方式”为“MAC”时支持配置。
MAC地址格式		配置MAC认证用户采用的用户名为MAC地址的格式。仅在MAC认证用户采用的用户名为MAC地址类型才可配置此项。
MAC地址大小写		配置MAC认证用户采用的用户名为MAC地址的大写格式。仅在MAC认证用户采用的用户名为MAC地址类型才可配置此项。
MAC认证用户名		配置MAC认证用户采用的用户名为固定用户名。仅在MAC认证用户采用的用户名为用户名类型才可配置此项。
MAC认证密码		配置MAC认证用户的密码。
外置Portal服务器IP地址		配置指向Portal服务器的IP地址。	仅当“认证方式”为“Portal”时支持配置。
共享密钥		配置设备与Portal服务器信息交互的共享密钥。
SSL策略模板		配置Portal服务器使用的SSL策略。
URL地址		配置指向Portal服务器的重定向URL的URL。
URL分隔符		配置URL中的开始符号替换成“？”。
交换机-IP		配置在URL中携带设备的IP地址。
交换机-MAC		配置在URL中携带设备的MAC地址。
用户访问URL		配置在URL中携带接入用户访问的原始URL地址。
用户MAC		配置在URL中携带接入用户的MAC地址的名称。
用户IP地址		配置在URL中携带接入用户的IP地址。
系统名称		配置在URL中携带接入设备的系统名称。
AP-IP		配置在URL中携带AP的IP地址。
AP-MAC		配置在URL中携带AP的MAC地址。
AP名称		配置在URL中携带AP名称。
AP位置		配置在URL中携带AP位置。
AP组名称		配置在URL中携带AP组名称。
SSID		配置在URL中携带用户关联的SSID。
登录URL关键字/登录URL		配置重定向时携带给Portal服务器登录URL的识别关键字，以及接入设备上指定的URL。

在“全局配置”中填写需要配置的数据。

当“认证方式”为“802.1X”，并且“网络层次”为“接入层”时，不支持“全局配置”。

界面信息含义如表2所示。

表2 配置全局参数列表
参数项

说明

认证后ACL

配置全局ACL。

认证域

创建认证域。

表2 配置全局参数列表
参数项	说明
认证后ACL	配置全局ACL。
认证域	创建认证域。

在“802.1X透传配置”中选择填写需要配置的数据。

当“认证方式”为“802.1X”，并且“网络层次”为“接入层”时，支持“802.1X透传配置”。

界面信息含义如表3所示。

表3 802.1X透传配置
参数项	说明
BPDU MAC地址/掩码	指定BPDU MAC地址和MAC地址掩码。
802.1X透传目的MAC	指定二层透明传输协议报文的组播目的MAC地址。
报文被替换后的组播MAC	指定二层透明传输协议报文的目的MAC地址被替换后的组播MAC地址

单击“应用”，完成配置。