CISCO Mac authentication实现重定向

774530750

　　近来研究CISCO的dot1x在无法认证时候如何提示用户进行802.1x客户端的下载功能。
　　802.1x在设计的时候可以通过radius下发vlan来实现该功能，但是该功能有一个要求就是必须是DHCP的，这个在国内的环境比较麻烦（有厂家有技术可以实现静态地址下面的vlan切换的引导功能）。
　　cisco现在在ios里面将以前的mac认证和dot1x认证可以共存了。这样在dot1x认证不通过的时候可以进行mac认证，我们可以利用这个机制来实现静态地址下面的页面转向，这样没有安装客户端的电脑可以进行页面转向然后安装客户端了（当然也可以做更多的其它业务）。
　　主要的技术细节有
　　1：要求IOS的版本是12.2（50）之后，目前可以支持3550，2960等以后的型号，2950够呛
　　2：按照dot1x先进行配置好
　　3：在接口下面启用mab认证
　　4：在接口下面配置好缺省的acl
　　5：启用ip device track功能
　　6：将aaa authorization network default group 指向到radius服务器
　　7：radius服务器下发 Cisco-AVPair = "url-redirect=http://192.168.0.1" 和 Cisco-AVPair = "url-redirect-acl=RedirectAcl"属性
　　可以参考cisco的文档进行设置：
　　http://www.cisco.com/en/US/docs/switches/lan/catalyst3750/software/release/12.2_50_se/configuration/guide/sw8021x.html