ACS上的配置：System Configuration
打开ACS的配置界面，点Network Configuration，在AAA Servers里点击Add Entry配置AAA服务器。
配置AAA报务器 如上图所示，填写好AAA服务器的名字、服务器的IP地址、密钥（密钥一定要为这个值，否则会出错），其它保持默认，再点击Submit+Apply提交并应用。
添加AAA客户 在AAA Clients里点击Add Entry，进行AAA客户配置。
AAA客户配置 如上图所示，填写好客户名，客户的IP地址（一般路由器三层交换机为LOOPBACK，二层交换机为网管地址）、密钥、认证使用RADIUS IETF，提交并应用。
添加用户 点user steup进入用户配置，输入你要建立的用户名，点击添加。
用户配置 为用户配置密码，其它保持默认，提交。
进入system configuration －global authentication setup配置
在LEAP选项中去掉钩，钩选EAP-MD5,提交并重启。
其它配置就不说了，要保证连通性，才能部署AAA。
SW3配置如下：
SW3（config）#
aaa new-model //开启AAA认证
radius-server host 172.16.25.25 key cisco //配置RADIUS服务器地址和密钥（与服务器一致）
ip radius source-interface vlan 19 //指定以此IP为源发送RADIUS报文，也就是服务器上的客户地址
aaa authentication login default group radius local //login登录为AAA认证，认证失败后启用本地认证
在用户PC测试如下：
认证没问题！
现在在接口上配置802.1x认证：
SW3：
SW3（config）#
dot1x system-auth-control //开启802.1x认证
aaa authentication dot1x default group radius //认证使用radius服务器的默认组
int f1/3
SW3(config-if)#
dot1x port-control auto //开启端口认证，认证通过为授权状态
//dot1x port-control force-authorized //端口始终处于授权状态（不需认证）
//dot1x port-control force-unauthorized //端口始终于处于非授权状态（不允许用户认证，不提供认证服务）
//dot1x host-mode single-host|multi-host //默认为single-host在该接口下，只有1台主机能通过认证和访问网络 multi-host在该接口下，只需1台主机通过认证，所有主机能访问网络
在启用802.1x认证后接口会变成down
*Mar 1 00:26:57.887: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/3, changed state to down
在通过认证后，接口协协为up
*Mar 1 00:29:27.695: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet1/3, changed state to up
在接入设备上启用dot1x计费：
SW3(config-if)#
aaa accounting dot1x default start-stop group radius
注意：802.1x的端口类型分为受控端口和非受控端口。受控端口，有授权状态下始终处于双向连通状态，用于传递用户数据，在非受权状态下禁止客户端接收任何报文。非受控端口，始终处于双向连通状态，主要用来EAPOL协议帧，保证客户端始终能够发出或接收认证报文，也可以传递交换机的协议报文。
在PC机上认证时，需开启这两个服务
在本地连接属性中选择身份认证，启用802.1x认证，验证方法为MD5-质询
点击弹出的信息（有时需等待几十秒才会弹出信息）
输入AAA服务器上存放的用户名和密码
现在认证成功，进行测试，能PING通！
