示例：在会议室中设置 802.1X，以便为 MX 系列路由器上的企业访客提供互联网访问
MX 系列路由器上的 802.1X 可为 RADIUS 数据库中没有凭据的用户提供 LAN 访问。这些用户（称为访客）经过身份验证，通常可以访问互联网。
此示例介绍如何创建访客 VLAN 并为其配置 802.1X 身份验证。
要求
此示例使用以下硬件和软件组件：
-
在增强型 LAN 模式下运行的 MX 系列路由器。
-
一个路由器充当验证器端口访问实体 （PAE）。验证器 PAE 上的端口形成一个控制门，用于阻止进出请求方的所有流量，直至请求方通过身份验证。
-
一台支持 802.1X 的 RADIUS 身份验证服务器。身份验证服务器充当后端数据库，包含有权连接到网络的主机（请求方）的证书信息。
在将服务器连接到路由器之前，请确保您已：
-
在路由器上配置增强型 LAN 模式。
-
在路由器上执行了基本桥接和 VLAN 配置。
-
在 RADIUS 身份验证服务器上配置的用户。
概述和拓扑
MX 系列路由器充当身份验证器端口访问实体 （PAE）。它会拦截所有流量并充当控制网，直到服务器对请求方（客户端）进行身份验证。所有其他用户和设备都将被拒绝访问。
考虑使用充当验证器端口的 MX 系列路由器。它使用接口 ge-0/0/10 通过 IP 网络连接到 RADIUS 服务器。该路由器还通过接口 ge-0/0/1 连接到会议室，连接到使用接口 ge-0/0/20 的打印机，连接到使用接口 ge-0/0/8 的集线器，并通过接口分别链接到两个请求方或客户端 ge-0/0/2 和 ge-0/0/9。
| 属性 | 设置 |
|---|---|
|
路由器硬件 |
MX 系列路由器 |
|
VLAN 名称 |
默认 |
|
一台 RADIUS 服务器 |
地址为 10.0.0.100 的后端数据库连接到端口 ge-0/0/10 的交换机 |
在此示例中，接入接口 ge-0/0/1 在会议室中提供 LAN 连接。配置此接入接口，以便为会议室中未经公司 VLAN 身份验证的访客提供 LAN 连接。
配置包含 802.1X 身份验证的访客 VLAN
过程
CLI 快速配置
要使用 802.1X 身份验证快速配置访客 VLAN，请将以下命令复制粘贴到交换机终端窗口中：
[edit] set vlans bridge-domain-name vlan-id 300 set protocols dot1x authenticator interface all guest-bridge-domain bridge-domain-name
分步程序
要在 MX 系列路由器上配置包含 802.1X 身份验证的访客 VLAN，请执行以下操作：
-
配置访客 VLAN 的 VLAN ID：
[edit] user@switch# set bridge-domains bridge-domain-name vlan-id 300
-
在 dot1x 协议下配置访客 VLAN：
[edit] user@switch# set protocols dot1x authenticator interface all guest-bridge-domain bridge-domain-name
结果
检查配置结果：
user@switch> show configuration
protocols {
dot1x {
authenticator {
interface {
all {
guest-bridge-domain {
bridge-domain-name;
}
}
}
}
}
}
}
bridge-domains {
bridge-domain-name {
vlan-id 300;
}
}
验证
要确认配置工作正常，请执行以下任务：
验证访客 VLAN 是否已配置
目的
验证是否已创建访客 VLAN，以及接口是否身份验证失败并已移至访客 VLAN。
行动
使用操作模式命令：
user@switch> show bridge-domain
Instance Bridging Domain Type
Primary Table Active
vs1 dynamic bridge
bridge.0 2
vs1 guest bridge
bridge.0 0
vs1 guest-vlan bridge
bridge.0 0
vs1 vlan_dyn bridge
bridge.0 0
user@switch> show dot1x interface ge-0/0/1.0 detail
ge-0/0/1.0
Role: Authenticator
Administrative state: Auto
Supplicant mode: Single
Number of retries: 3
Quiet period: 60 seconds
Transmit period: 30 seconds
Mac Radius: Enabled
Mac Radius Restrict: Disabled
Reauthentication: Enabled
Configured Reauthentication interval: 3600 seconds
Supplicant timeout: 30 seconds
Server timeout: 30 seconds
Maximum EAPOL requests: 2
Guest VLAN member: guest-vlan
Number of connected supplicants: 1
Supplicant: user1, 00:00:00:00:13:23
Operational state: Authenticated
Authentication method: Radius
Authenticated VLAN: vo11
Dynamic Filter: match source-dot1q-tag 10 action deny
Session Reauth interval: 60 seconds
Reauthentication due in 50 seconds
意义
命令 show bridge domain 输出显示 bridge-domain-name 为 VLAN 名称，VLAN ID 为 300。
命令 show dot1x interface ge-0/0/1.0 detail 输出显示网桥域名，表示此接口上的请求方未通过802.1X身份验证，并已传递至网桥域名。