设备环境：Cisco Catalyst 3550-24-EMI（IOS:12.1（14）EA1 EMI），Cisco Secure ACS v3.1

　　1、和802.1x相关的交换机主要配置内容：

　　aaa new-model

　　aaa authentication dot1x default group radius

　　aaa authorization network default group radius

　　!---如果只是做802.1x认证，则aaa authorization network这句可不要，如要做VLAN分配或per-user ACL,则必须做network authorization

　　dot1x system-auth-control

　　!---注意在12.1（14）EA1版以后802.1x的配置有了修改，此句enable 802.1x

　　interface FastEthernet0/1

　　description To Server_Farm

　　switchport mode access

　　dot1x port-control auto

　　dot1x max-req 3

　　spanning-tree portfast

　　!---dot1x port-control auto句在F0/1上enable dot1x,另外注意在F0/1口下我并没有给它赋VLAN

　　radius-server host 1.2.3.4 auth-port 1812 acct-port 1813 key radius_string

　　radius-server vsa send authentication

　　!---radius-server host 1.2.3.4句定义radius server信息，并给出验证字串

　　!---因为要配置VLAN分配必须使用IETF所规定的VSA（Vendor-specific attributes）值，radius-server vsa send authentication句允许交换机识别和使用这些VSA值。

　　配置802.1x动态分配VLAN所用到的VSA值规定如下：

　　[64] Tunnel-Type = VLAN

　　[65] Tunnel-Medium-Type = 802

　　[81] Tunnel-Private-Group-ID = VLAN name or VLAN ID

　　2、和802.1x相关的ACS主要配置内容：

　　这个配置要看图了，另外附带说一点，Cisco文档说ACS 3.0之前是不支持802.1x的。因为802.1x使用radius进行认证，所以在选用认证协议时我选用的是RADIUS（IETF），而缺省是Cisco的TACACS+.

　　在Interface Configuration中对RADIUS（IETF）进行配置，在组用户属性中选中[64]Tunnel-Type、[65] Tunnel-Medium-Type、[81]Tunnel-Private-Group-ID（见下图）。

　　在Group Setup中对RADIUS Vendor-Specific Attributes值进行编辑：勾选[64]Tunnel-Type,将tag 1的值选为VLAN;勾选[65] Tunnel-Medium-Type,将tag 1的值选为802;勾选[81]Tunnel-Private-Group-ID,将tag 1的值设为7,表明为VLAN 7（见下图）。设置完后，Submit+Rest.

[1] [2] 下一页