Добрый день!
Подскажите, пожалуйста, возможно ли реализовать сценарий с каскадным подключением (ПК+Телефон), где телефон должен проходить аутентификацию по MAB, а ПК по EAP-TLS(для ааа используем RADIUS-server)?
На данный момент конфигурация порта выглядит так:
interface ethernet x
no snmp trap link-status
dot1x timeout tx-period 3
dot1x pae authenticator
switchport hybrid native vlan y
switchport hybrid allowed vlan remove 1
switchport hybrid allowed vlan untagged y
mac-auth enable
authentication timer restart 10800
authentication periodic

Проблемы, которые встретил:
1) Без настройки switchport hybrid native vlan y коммутатор не отправляет RADIUS-запросы типа MAB
2) При каскадном подключении (ПК+Телефон) ПК перестает проходить аутентификацию через EAP-TLS, отправляются RADIUS-запросы типа MAB
3) При выключении mac-auth enable, ПК проходит аутентификацию через EAP-TLS(как и нужно)


Switch# show authentication sessions interface ethernet x

Interface: eth x
MAC Address: mac
Authentication VLAN: y
Authentication State: Success
Accounting Session ID: 0001000716C4
Assigned VLAN: z
Aging Time: 3249 sec
Method State
802.1X : No Information
MAC-based Access Control: Success, Selected

Interface: eth x
MAC Address: mac
Authentication VLAN: y
Authentication State: Success
Accounting Session ID: 0001000716C4
Aging Time: 3249 sec
Method State
802.1X : No Information
MAC-based Access Control: Success, Selected

Total Authenticating Hosts: 0
Total Authenticated Hosts: 2
Total Blocked Hosts: 0

Добрый день.

Для MAB на Radius сервере формат должен быть такой:
C8D3.A38D.51D9 Cleartext-Password := "C8D3.A38D.51D9"

Пример общего конфига(для mac-auth обязательно нужно задавать метод default group radius)

aaa new-model
!
radius-server host <ip> key <key>
aaa authentication dot1x default group radius
aaa authentication mac-auth default group radius
!
interface ethernet 1/0/x
switchport hybrid native vlan y
switchport hybrid allowed vlan remove 1
switchport hybrid allowed vlan untagged y
dot1x timeout tx-period 3
dot1x pae authenticator
mac-auth enable
authentication timer restart 10800
authentication periodic
!
mac-auth system-auth-control
!
!
end

Добрый день!
Спасибо за ответ!
Правильно ли я понимаю, что проблема невозможности совместимой работы EAP-TLS и MAB на одном порту коммутатора, при каскадном подключении, связано с тем что при настройке aaa authentication mac-auth default group radius, мы указали конкретное название группы(aaa authentication mac-auth default group TEST)?
Других отличий в конфигурации не вижу.

Команда mac-auth system-auth-control присутствует в конфигурации?