H3C交换机Guest-vlan功能的配置

H3C交换机Guest-vlan功能的配置

一、组网需求：

下图中，802.1X Client连接在接入设备端口G3/1/1，配置端口G3/1/1属于Vlan 10，Server连接的端口G3/1/2属于Vlan 30。初始状态下用户不可以访问任何网络资源。

二、组网图






三、配置步骤

软件版本：H3C 9500交换机软件版本全系列版本

硬件版本：H3C S9500交换机全系列硬件版本

1) 配置guest-vlan侧端口

[S9500]vlan 30

[S9500-vlan30]port Ethernet 3/1/2

2) 配置vlan 10

[S9500]vlan 10

[S9500-vlan10]port Ethernet 3/1/1

3) 配置端口G3/1/1的802.1X认证方式为portbased

[S9500-GigabitEthernet3/1/1]dot1x port-method portbased

4) 配置端口G3/1/1的Guest-Vlan为Vlan 30；

[S9500-GigabitEthernet3/1/1]dot1x guest-vlan 30

5) 配置802.1X发送认证请求报文的时间间隔（可选，默认30s）

[S9500]dot1x timer tx-period 10

6) 配置802.1X认证报文重传次数（可选，默认2次）

[S9500]dot1x retry 4

在如上配置中启动全局和端口G3/1/1的802.1X后，接入设备每隔10s会主动发送认证请求报文，在发送4次以后，如果客户端没有报文回应，则会把端口G3/1/1。加入到Guest-Vlan 30中，此时Client不需要认证就可以访问Server中的内容,如上图所示。




如果Client使用802.1X认证通过后，则端口G3/1/1会重新加入到Vlan 10 中。这时就可以访问外部网络的资源了。

用户下线后的40s后，端口G3/1/1再次加入Guest-Vlan中。

四、配置关键点：

需要注意的是用户在通过认证之前，802.1x-client所连接的物理端口E3/1/1的pvid不是10，而是在交换机上所配置的guest-vlan 30，因此802.1x-client可以无需要通过认证来访问VLAN 30内的网络资源