Cisco Systems 3130 User Manual

For examples of vendor-specific attributes, see the 

. For more information about configuring ACLs, see 

To configure per-user ACLs, you need to perform these tasks:

Enable AAA authentication.

Enable AAA authorization by using the network keyword to allow interface configuration from the 
RADIUS server.

Enable IEEE 802.1x authentication.

Configure the user profile and VSAs on the RADIUS server.

Configure the IEEE 802.1x port for single-host mode.

You can configure a guest VLAN for each IEEE 802.1x port on the switch to provide limited services to 
clients, such as downloading the IEEE 802.1x client. These clients might be upgrading their system for 
IEEE 802.1x authentication, and some hosts, such as Windows 98 systems, might not be 
IEEE 802.1x-capable.

When you enable a guest VLAN on an IEEE 802.1x port, the switch assigns clients to a guest VLAN 
when the switch does not receive a response to its EAP request/identity frame or when EAPOL packets 
are not sent by the client.

The switch maintains the EAPOL packet history. If an EAPOL packet is detected on the interface during 
the lifetime of the link, the switch determines that the device connected to that interface is an 
IEEE 802.1x-capable supplicant, and the interface does not change to the guest VLAN state. EAPOL 
history is cleared if the interface link status goes down. If no EAPOL packet is detected on the interface, 
the interface changes to the guest VLAN state.

If the switch is trying to authorize an IEEE 802.1x-capable voice device and the AAA server is 
unavailable, the authorization attempt fails, but the detection of the EAPOL packet is saved in the 
EAPOL history. When the AAA server becomes available, the switch authorizes the voice device. 
However, the switch no longer allows other devices access to the guest VLAN. To prevent this situation, 
use one of these command sequences: 

Enter the dot1x guest-vlan supplicant global configuration command to allow access to the guest 
VLAN.

Enter the shutdown interface configuration command followed by the no shutdown interface 
configuration command to restart the port.

Use a restricted VLAN to allow clients that failed authentication access to the network by entering the 
dot1x auth-fail vlan vlan-id interface configuration command.

If devices send EAPOL packets to the switch during the lifetime of the link, the switch no longer allows 
clients that fail authentication access to the guest VLAN.

If an EAPOL packet is detected after the interface has changed to the guest VLAN, the interface reverts 
to an unauthorized state, and IEEE 802.1x authentication restarts.