使用无线路由器解决共享锐捷认证上网的方案及存在的问题

monkey243

方案实现的前提：

1、TP-LINK TL-MR3420 300M无线3G路由器
2、路由器刷论中：OpenWRT 0512openwrt-ar71xx-集成-mr3420-v1-squashfs-sysupgrade固件
3、锐捷接入层交换机相应的接入端口no掉security address-bind enable这条命令


    如果你的环境能满足上述条件的话，那你就可以使用无线路由器共享上网了，接入终端无须认证。比如你的iPad、N9手机等终端设备，有过WIFI连接到无线路由器就可以上网了。


    对于第3点的说明：
    要从锐捷客户端认证上网过程说起。正常情况下，锐捷接入层的交换机所有端口只转终端的锐捷广播数据包，其它数据包都禁止转发，所以在认证前接入的终端是不能上网。其认证过程是这样的，在电脑上打开锐捷客户端后：
    1、锐捷客户端发送锐捷专用广播数据包（包含认证客户的帐户信息）
    2、锐捷认证服务器收到数据包后比对认证客户账户信息，账户信息正确则发送认证成功的数据包
    3、接入层相应的交换机收到通过认证的数据包后，打开对应接入的端口的转发DHCP广播数据包功能
    4、锐捷客户端通过DHCP获取到IP地址
    5、锐捷客户端向接入层交换机发送锐捷数据包，此数据包包括客户端的网卡MAC地址和IP地址
    6、接入层交换机接收到此锐捷数据包后，把客户端的MAC地址和IP地址绑定到对应的端口，并打开此端口的所有数据包转发，至此接入的客户端可以正常上网了

    而锐捷接入层交换机的security address-bind enable这条命令就是实现上面第6步的。如果no掉security address-bind enable这条命令，就会跳过第6步的绑定客户端的MAC地址和IP地址绑定到对应的端口，直接给客户端接入的端口转发所有数据包，允许接入的终端上网。
    我们刷的集成锐捷认证客户的这个固件是不能实现上面所说的第5步的，因此如果锐捷接入层交换机上有security address-bind enable这条命令的话，虽然能通过锐捷认证和正常获取IP地址，但是因为锐捷接入层交换机对应的端口不给客户终端转数据包，所以无法正常上网的。如下图所示，刷好这个固件的无线路由器，如果接到端口5能正常上网；但接到端口6就不能正常上网：


    因此，这也是为什么刷了此固件的无线路由器还是不能正常通过锐捷认证上网的原因。

请不要胡乱输入以及粘贴、复制等方式灌水

请尊重作者、并共同维护网站的正常阅读，否则账户将会被限制发帖、回帖，并且积分可能会被清零，站内短信以及阅读权限等都会受到影响，谢谢。 具体限制方式：https://www.right.com.cn/forum/thread-8307840-1-1.html

q741451

security address-bind enable 是锐捷网关arp静态绑定，开了这个选项以后，网关将不再发送arp包，锐捷客户端会在认证成功以后通过锐捷私有协议来获取网关的arp地址，并把本机这个地址设置绑定为静态。而路由器上的mentohust貌似没有这个功能。

此时可以通过手动设置路由器的静态arp表来解决这个问题，把网关的MAC通过官方锐捷电脑认证成功后用arp -a命令获取到，然后到路由器上绑定一下即可。具体openwrt绑定静态arp方法我也不清楚了。

monkey243

security address-bind enable 是锐捷网关arp静态绑定，开了这个选项以后，网关将不再发送arp包，锐捷客户端会在认证成功以后通过锐捷私有协议来获取网关的arp地址，并把本机这个地址设置绑定为静态。而路由器上的me ...
q741451 发表于 2011-12-29 10:10

要在交换机上绑定才行。

wzywzy74

这交换机是不是锐捷的工程师配置的啊

q741451

3# monkey243


路由器找不到网关地址啊

shin10

其实我有点没看懂

luckydevil

同样没看懂，晕

菜鸟'''初学

LZ懂不懂的DB120-wg 实现锐捷认证啊， 要刷什么固件？  锐捷版本是3.63的   求教育啊

‘下一页’Vsky

求指教