服务器故障回切和身份验证

您可以配置身份验证回退选项，以指定在 RADIUS 身份验证服务器不可用时如何支持连接到交换机的身份验证设备。

在交换机上设置 802.1X 或 MAC RADIUS 身份验证时，请指定一个主身份验证服务器以及一个或多个备用身份验证服务器。如果交换机无法访问主身份验证服务器，且辅助身份验证服务器也无法访问，则会发生 RADIUS 服务器超时。如果发生这种情况，由于是身份验证服务器授予或拒绝对等待身份验证的终端设备的访问权限，因此交换机不会收到尝试访问 LAN 的终端设备的访问指令，因此无法完成正常身份验证。

您可以配置服务器故障回退功能，以指定在身份验证服务器不可用时交换机应用于终端设备的操作。交换机可以接受或拒绝对请求方的访问，也可以保留在 RADIUS 超时之前已授予请求方的访问权限。您还可以将交换机配置为将请求方移动到特定的 VLAN。

您还可以为从身份验证服务器接收 RADIUS 访问拒绝消息的终端设备配置服务器拒绝回退功能。对于启用了 802.1X 但发送了错误凭据的响应式终端设备，服务器拒绝回退功能提供对 LAN（通常仅限互联网）的有限访问。

从 14.1X53-D40 和 15.1R4 版本开始，语音流量支持服务器故障回退。要为发送语音流量的 VoIP 客户端配置服务器故障回退操作，请使用 server-fail-voip 该语句。对于所有数据流量，请使用 server-fail 该语句。交换机根据客户端发送的流量类型确定要使用的回退方法。未标记的数据帧受使用 server-fail配置的操作的约束，即使它们是由 VoIP 客户端发送的也是如此。标记的 VoIP VLAN 帧受使用 配置 server-fail-voip的操作的约束。如果未配置，则 server-fail-voip 语音流量将被丢弃。

注意：

VoIP VLAN 标记流量不支持服务器拒绝回退。如果 VoIP 客户端通过向 VLAN 发送未标记的数据流量来启动身份验证，而服务器拒绝回退生效，则允许 VoIP 客户端访问回退 VLAN。如果同一客户端随后发送带标记的语音流量，则语音流量将被丢弃。

如果 VoIP 客户端通过发送标记的语音流量来启动身份验证，而服务器拒绝回退生效，则 VoIP 客户端将被拒绝访问回退 VLAN。

您可以使用以下过程为数据客户端配置服务器故障操作。要为发送语音流量的 VoIP 客户端配置服务器故障回退，请使用 server-fail-voip 语句代替 server-fail 语句。

要配置服务器故障回退操作：

当身份验证尝试触发服务器故障回退时，终端设备可以在一段时间后重新尝试身份验证。终端设备必须等待重新验证的默认时间间隔为 60 分钟。可以使用 CLI 语句配置 reauthentication 重新验证时间间隔。

服务器可能会在重新验证计时器到期之前变为可用状态。启用 RADIUS 可达性功能后，一旦检测到服务器可访问，就会触发重新验证，而无需等待重新验证计时器过期。一旦会话转移到服务器故障回退，身份验证器将通过启动该会话的身份验证来定期查询服务器。当验证器收到指示服务器可访问的响应时，它将为所有服务器故障会话启动身份验证。

要启用 RADIUS 可访问性，您必须配置查询周期，该周期确定验证方查询服务器可访问性的频率。使用以下命令配置查询周期：

注意：

静默期必须短于查询期。静默期是指接口在身份验证尝试失败后在重新尝试身份验证之前保持等待状态的时间段。