802.1x认证及相关配置.docVIP

1、802.1x协议简介 802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口 access port 访问LAN/WLAN。在获得交换机或LAN提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许EAPoL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。认证者--对接入的用户/设备进行认证的端口请求者--被认证的用户/设备；认证服务器--根据认证者的信息，对请求访问网络资源的用户/设备进行实际认证功能的设备。以太网的每个物理端口被分为受控和不受控的两个逻辑端口，物理端口收到的每个帧都被送到受控和不受控端口。其中，不受控端口始终处于双向联通状态，主要用于传输认证信息。而受控端口的联通或断开是由该端口的授权状态决定的。受控端口与不受控端口的划分，分离了认证数据和业务数据，提高了系统的接入管理和接入服务提供的工作效率。（1.客户端程序将发出请求认证的报文给交换机，开始启动一次认证过程。（2.交换机收到请求认证的后，将发出一个要求用户的客户端程序将输入的用户送上来。 （3.客户端程序响应交换机发出的请求，将用户名信息通过送给交换机。交换机将客户端送上来的数据帧经过封包处理后送给认证服务器进行处理。 （4.认证 5.交换机收到Radius-Access-Challenge报文后，向客户端发送一个EAP-Request/MD5-Challenge报文。 （（.交换机将Challenge，Challenged Password和用户名一起送到认证服务器，由认证服务器进行认证 （.认证服务器根据用户信息，做MD5算法，判断用户是否合法，然后回应报文（.交换机把Radius-Accept（Rejected）/EAP-Success（Failure）的EAP字段提取出来，转发给客户端，并确定是否开放接口。 3、802.1x配置 CISCO交换机的802.1x配置 Switch#configure terminal Switch config #aaa new-model Switch config #aaa authentication dot1x default group radius Switch config #dot1x system-auth-control Switch config #radius-server host 172.18.100.236 auth-port 1812 key secospace Switch config #interface gigabitEthernet 0/1 Switch config-if #switchport mode access Switch config-if #dot1x port-control auto Switch config-if #dot1x guest-vlan 200 2. 华为交换机配置 [Quidway]dot1x [Quidway]dot1x authentication-method eap [Quidway] interface Ethernet1/0/1 [Quidway-interface]dot1x port-control auto [Quidway-interface]dot1x port-method portbased [Quidway-interface]dot1x guest-vlan 200 [Quidway-interface]dot1x Radius配置 [Quidway]radius-server template test [Quidway-radius-test]radius-server authentication 172.18.12.234 1812 [Quidway-radius-test]radius-server shared-key secospace [Quidway-radius-test]undo radius-server user-name domain-included [Quidway]aaa [Quidway-aaa] authentication-scheme test [Quidway-aaa-authen-test] authentication-mode radius [Quidway-aaa] accounting-scheme test [Quidway-aaa-accounting-test] accounting-mode none [Quidway-aaa] domain default