RCCP培训-认证计费技术原理及配置.pptVIP

RCCP培训 －认证计费技术原理及配置 议程 认证计费原理及技术（AAA、Radius） IEEE 802.1X协议以及应用 锐捷RG-SAM的安装与配置 锐捷安全交换机的802.1X配置 网络接入的现状 无法控制用户的接入 无法保证网络的安全 无法有效的收取费用 AAA概述 Authentication，Authorization，and Accounting三种安全功能，简称AAA。 Authentication：认证，用于判定用户是否可以获得访问权，限制非法用户 Authorization：授权，授权用户可以使用哪些服务，控制合法用户的权限 Accounting：计账，记录用户使用网络资源的情况；为收费提供依据 AAA工作过程 一个AAA的工作过程可以分为如下几步： 终端用户（客户端系统）向NAS发出网络连接请求。 NAS收集用户输入用户名和口令，并转发给AAA服务器。 AAA服务器按照一定算法和自身数据库信息匹配，然后将结果返回给NAS，可能是接受、拒绝或其他（如challenge） NAS根据返回的结果决定接通或者断开终端用户。 如果认证通过继续以下步骤： 服务器对用户进行授权，NAS根据授权结果对用户上网环境进行配置。 如需计费，NAS将在用户上下线及上网期间内收集用户网络资源使用情况，数据送交记帐服务器。 AAA承载协议 RADIUS (RFC2865/2866以及RFC2869) TACACS/TACACS+ 其他：Kerberos v5(RFC1510)等等 优缺点比较： TACACS+使用TCP可靠连接，较少应用； RADIUS使用UDP封装，开销小、可实现灵活备份，更安全的密钥管理；得到了广泛应用。 Radius协议概述 RADIUS是远程认证拨号用户服务（Remote Authentication Dial-In User Service）的简称，它是一种分布式的客户机/服务器系统，与AAA配合对试图连接的用户进行身份认证，防止未经授权的访问。 RADIUS协议主要特征： 客户/服务器模型：一般NAS为Radius客户端。 网络安全性： Radius服务器与NAS之间使用共享密钥对敏感信息进行加密，该密钥不会在网上传输。 可扩展的协议设计：Radius使用独特的类型-长度-值（TLV)数据对封装格式，用户可以自行定义其它的私有属性，扩展Radius应用。 灵活的鉴别机制：支持不同的鉴别协议，如PAP、CHAP、EAP等等。 Radius报文格式 封装在UDP数据域的RADIUS报文： Radius报文格式 Id：用于匹配request和reply Length：Radius协议报文长度 Authenticator：用来对来自于RADIUS服务器的应答进行认证，而且还用于口令隐藏算法中。 Radius属性 Radius属性类型用一个字节来表示，分别为1-255号属性，区分为三类： 标准属性——Radius最基本的属性定义在RFC2865和RFC2866中，如用户名、密码、计费和常用授权信息等； 扩展标准属性——RFC2867-2869是Radius的扩展协议，在其中定义了一些针对特殊应用（如支持隧道应用、支持EAP等）的属性； 扩展私有属性——即26号属性，属性值由厂商自己定义。 Radius与PAP、CHAP的结合 Radius提供了不同的属性来支持PAP、CHAP等本地认证方式。 如PAP及其他类似认证方式使用Radius的User-Name(1)、User-Password(2)等属性 CHAP使用User-Name(1)、CHAP-Password(3)、CHAP-Challenge(60)等属性 Radius的组网示意图 常用的认证计费技术/方式 PPPoE + Radius WEB Portal + Radius 802.1X + Radius PPPoE认证计费技术 DHCP+Web认证计费技术 802.1X认证计费技术 几种认证计费技术比较 议程 认证计费原理及技术（AAA、Radius） IEEE 802.1X协议以及应用 锐捷RG-SAM的安装与配置 锐捷安全交换机的802.1X配置 IEEE802.1X协议概述 IEEE802.1x（Port-Based Network Access Control）是一个基于端口的网络访问控制标准，为LAN接入提供点对点式的安全接入。这是IEEE标准委员会针对以太网的安全缺陷而专门制定的标准，能够在利用IEEE 802 LAN的优势基础上，提供一种对连接到局域网设备或用户进行认证的手段。 IEEE 802.1x标准定义了一种基于“客户端——服务器”（Client-Server