实验三十四 使用RADIUS 协议来实现AAA.docVIP

实验三十四 ：使用RADIUS 协议来实现AAA 理论基础 IEEE 802.1x 标准（以下简称802.1x）的主要内容是一种基于端口的网络接入控制 （Port Based Network Access Control）协议。“基于端口的网络接入控制”是指在局域网接入控制设备的端口这一级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源——相当于连接被物理断开。 802.1x 提供了一个用户身份认证的实现方案，但是仅仅依靠802.1x 是不足以实现该方案的，接入设备的管理者还要对AAA 方法进行配置，选择使用RADIUS 或本地认证方法，以配合802.1x 完成用户的身份认证。 AAA是Authentication，Authorization and Accounting（认证、授权和计费）的简称，它提供了一个用来对认证、授权和计费这三种安全功能进行配置的一致性框架，它是对网络安全的一种管理。 其中，认证指的是验证用户是否可获得访问权，授权指的是授权用户可使用哪些服务，计费指的是记录用户使用网络资源的情况。 它对网络安全的访问控制包含如下内容：哪些用户可以访问网络服务器？具有访问权的用户可以得到哪些服务？如何对正在使用网络资源的用户进行计费？ AAA 是一种管理框架，因此，它可以用多种协议来实现。在实践中，人们最常使用RADIUS 协议来实现AAA。RADIUS 是Remote Authentication Dial-In User Service（远程认证拨号用户服务）的简称，最初由Livingston Enterprise公司开发，能保护网络不受未授权访问的干扰，作为一种分布式的客户机/服务器系统，能提供AAA功能。常被应用在既要求较高安全性、又要求维持远程用户访问的各种网络环境中。RADIUS服务包括三个组成部分：协议、服务器、? 客户端。 RADIUS 客户端将把用户的认证、授权和计费请求传递给RADIUS 服务器。RADIUS 服务器上有一个用户数据库，其中包含了所有的用户认证和网络服务访问信息。RADIUS 服务器将在接收到NAS 传来的用户请求后，通过对用户数据库的查找、更新，完成相应的认证、授权和计费工作，并把用户所需的配置信息和计费统计数据返回给NAS。在这里，NAS 起到了控制接入用户及对应连接的作用，NAS（如路由器、交换机）作为RADIUS客户端，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接入/挂断用户）。 而RADIUS 协议则规定了NAS 与RADIUS 服务器之间如何传递用户配置信息和计费信息。 在一个AAA/RADIUS 框架中，Quidway 系列交换机是可以作为用户接入设备即NAS。 NAS 和RADIUS 之间信息的交互是通过将信息承载在UDP 报文中来完成的。NAS 和RADIUS之间通过共享密钥认证相互间交互的消息，用户密码采用密文方式在网络上传输，以保证用户的配置信息（如密码）被加密后才在网络上传递，从而避免它们被侦听、窃取。 实验案例 1、拓扑结构图： 2、配置说明： 客户端client的IP地址：5（连接Switch的E0/8） RADIUS服务端server的IP地址：46。 Switch的管理地址：00。 所有AAA 接入用户都属于一个缺省的域： 设置系统与RADIUS 认证、计费服务器交互报文时的加密密码为“djw”。 本地802.1x 接入用户的用户名为sunke，密码为sunke。 3、具体配置： 交换机的配置： [Quidway]sys Switch [Switch]radius scheme sunke New Radius server [Switch-radius-sunke]accounting optional [Switch-radius-sunke]primary accounting 46 1814 （设置计费RADIUS 服务器的IP 地址） [Switch-radius-sunke]primary authentication 46 1815 （设置认证RADIUS 服务器的IP 地址） [Switch-radius-sunke]key accounting djw （设置系统与计费RADIUS 服务器交互报文时的加密密码） [Switch-radius-sunke]key authentication djw （设置交换机与认证RADIUS 服务器交互报文时的加密密码） [Switch-radius-sunke]user-name-format without-domain（指示系统从用户名中去除用户域名