Port-Based Authentication

• Kombinace AAA Authentikace a port-security
• Založeno na IEEE 802.1x
• PC i switch musí podporovat EAPOL
• EAPOL = Extensible Authentication Protocol Over LANs, Layer 2 protokol
• Pro 802.1x je podporován pouze RADIUS (Remote Acces Dial-In User Service)

• Je-li 802.1x zapnuto na PC a na switchi ne, PC komunikuje normálně
• Je-li 802.1x zapnuto na switchi a na PC ne, port switche zůstane v unauthorized stavu a na PC neforwarduje žádný provoz, jediný možný provoz je 802.1x EAPOL

• Po přihlášení uživatele je vše ok
• Port přejde do unauthorized stavu po odhlášení uživatele nebo po vypršení session (pak se musí uživatel znovu přihlásit)

Ordered List ItemZapnutí AAA na switchi:

• Switch(config)# aaa new-model

Definování externích RADIUS serverů:

• Switch(config)# radius-server host {hostname | ip-address} [key string]

Nastavení auth. metody pro 802.1x:

• Switch(config)# aaa authentication dot1x default group radius

Zapnutí 802.1x na switchi:

• Switch(config)# dot1x system-auth-control

Zapnutí 802.1x na portu:

• Switch(config)# interface type mod/num
• Switch(config-if)# dot1x port-control {force-authorized | force-unauthorized | auto}
• force-authorized - port nevyžaduje žádnou authentikaci, kdokoli se může připojit, (defaultní stav)
• force-unauthorized - port nikdy nikoho neautorizuje ⇒ nikdo se nemůže připojit
• auto - Pokud klient podporuje 802.1x a authentikuje se, může komunikovat

Povolení více uživatelů na portu:

• Switch(config-if)# dot1x host-mode multi-host

• Switch# show dot1x all