特性介绍
Dynamic Vlan Assignment是接入设备与Radius服务器配合来对用户的接入端口所属的Vlan进行控制，进而控制用户访问网络的权限。用户的认证之前属于一个Vlan，用户不可以访问网络资源，对用户进行认证，认证通过后根据Radius服务器报文中的属性把认证端口加入另外一个Vlan，此时用户可以访问外部网络资源。
特性优点
网络管理员可以通过Dynamic Vlan Assignment对用户接入端口所属的Vlan进行控制，进而控制用户访问网络的权限，具有很强的灵活性和适应性。
应用场合
Dynamic Vlan Assignment可以作为EAD安全解决方案一个补充，从而实现对企业无线网络入口安全保护。
一、组网需求
本配置举例中的AP使用的是WA2200系列无线局域网接入点设备，AC使用的是WX6103系列无线控制器。Radius server的IP地址为8.1.45.67/24。Client和AP通过DHCP服务器获取IP地址。
Client没有通过802.1x认证前在VLAN 10内，通过之后在VLAN 100内。
二、使用版本以及详细命令
请下载文档查阅：http://pan.baidu.com/s/1bnEJnkz
三、主要配置步骤解释
在dot1x接入端配置802.1x和认证
# 启用端口安全port-security，配置dot1x认证方式为chap
[AC]port-security enable [AC]dot1x authentication-method chap
# 配置认证策略
[AC]radius scheme radius [AC-radius-radius]primary authentication 8.1.45.67 [AC-radius-radius]primary accounting 8.1.45.67 [AC-radius-radius]key authentication radius [AC-radius-radius]key accounting radius [AC-radius-radius]nas-ip 8.1.61.3 [AC-radius-radius]accounting-on enable [AC-radius-radius]quit
# 配置认证域
[AC]domain radius [AC-isp-radius]authentication lan-access radius-scheme radius [AC-isp-radius]authorization lan-access radius-scheme radius [AC-isp-radius]accounting lan-access radius-scheme radius [AC-isp-radius]quit
# 把配置的认证域cams设置为系统缺省域
[AC]domain default enable radius
# 配置无线口，并在无线口启用端口安全（802.1x认证）
[AC]vlan 10 [AC-vlan10]quit [AC]interface WLAN-ESS10 [AC-WLAN-ESS10]port link-type hybrid [AC-WLAN-ESS10]port hybrid pvid vlan 10 [AC-WLAN-ESS10]port hybrid vlan 100 untagged [AC-WLAN-ESS10]port-security port-mode userlogin-secure-ext [AC-WLAN-ESS10]mac-vlan enable# 配置无线服务模板
[AC]wlan service-template 10 clear [AC-wlan-st-10]ssid radius [AC-wlan-st-10]bind WLAN-ESS 10 [AC-wlan-st-10]service-template enable
# 配置AP模板并绑定无线服务模板
[AC]wlan ap wa2220x model WA2220X-AGP [AC-wlan-ap-wa2220x]serial-id 210235A29E007C000009 [AC-wlan-ap-wa2220x]radio 2 [AC-wlan-ap-wa2220x-radio-2]channel 3 [AC-wlan-ap-wa2220x-radio-2]max-power 6 [AC-wlan-ap-wa2220x-radio-2]service-template 10 [AC-wlan-ap-wa2220x-radio-2]radio enable
# 配置VLAN虚接口
[AC]vlan 210 [AC]quit [AC] interface Vlan-interface 210 [AC-Vlan-interface210]ip address 8.1.61.3 24 [AC] interface Vlan-interface 1 [AC-Vlan-interface210]ip address 7.0.0.61 24 [AC-Vlan-interface1]dhcp select relay [AC-Vlan-interface1]dhcp relay server-select 1
四、Windows IAS的配置
请参考步骤下载的文档
五、验证结果
使用display sessions查看DOT1X用户，是否用户在线，是否在下发的VLAN中
[AC]display connection ucibindex 1059
