16 802.X认证.docVIP

IEEE 802.1X认证 IEEE 802.1X认证 P323　 EAP 可扩展的认证协议，也叫做基于端口的认证（将非法用户隔离在端口之外）。可以用于802.3以太网用户的接入验证，也可用于802.11无线局域网用户的接入。 ● 服务器 radius 远程验证拨入用户服务 1. 建立帐号： A 123A B 123B C 123C D 123D 2. 指定服务器可以为哪个客户端（SW或无线访问点AP）a new-model 启用AAA功能（ 验证、授权、审计 ） # username rich priv 15 pass rich 说明： 一旦启用了AAA，再次登录设备console和VTY接口时，将被要求输入用户名+密码才能登录。 # dot1x system-auth-control 启用802.1X 认证 # aaa authentication dot1x default group radius # radius-server host 192.168.1.61 key 123 S1(config)#int f0/15 Sw host dot1x port-control auto sw2950#debug dot1x events 01:59:37: dot1x-ev:dot1x_tx_eap: EAP Ptk 01:59:37: dot1x-ev:EAP-code=SUCCESS 01:59:37: dot1x-ev:EAP Type= MD5 CHALLENGE 802.1X认证类型 第一种类型： MD5-Challenge认证MD5-Challenge认证。 原理： 　向发送一个EAPoL-Start报文，开始802.1x认证接入; 　向发送EAP-Request报文，要求将用户名送上来; 　回应一个EAP-Response给的请求，其中包括用户名; 将EAP-Response报文封装到RADIUS Access-Request报文中，发送给认证服务器; PC客户端连接时，ACS认证服务器将它的证书传给PC，证书中包含ACS的公钥； PC随机生成一个密钥，用ACS的公钥进行加密，然后传给ACS；ACS用私钥解密，得到PC生成的密钥。 第二个阶段，PEAP 客户端和认证服务器通过安全遂道进行EAP会话。 PEAP 客户端和ACS认证服务器之间后续的会话，包括用户名和密码，都是被封装在SSL安全遂道中（用PC随机生成的密钥进行加密），就保证了认证信息的安全性。 （ 具体配置，见补充资料：交换机使用PEAP进行802.1x认证 ） Guest VLAN （ CCIE扩展 ） 在 802.1X的应用中，可以为交换机端口指定Guest VLAN，当端口下的接入用户认证失败或根本没有用户账号的话，会成为Guest VLAN 组的成员（端口自动加入Guest VLAN）。用户访问该VLAN 内的资源不需要认证，此时只能访问Guest VLAN有限的网络资源，不能够访问其他网络资源 。 认证成功后，端口离开Guest VLAN，回到端口的正常VLAN，用户可以正常访问网络资源。 Guest VLAN是一种十分灵活的网络访问解决方案。为网络应用的某一些群体开放最低限度的资源，并为整个网络提供了一个最外围的接入安全。 dot1x guest-vlan supplicant 启用guest-vlan功能 （ SW2950默认启用） interface FastEthernet0/1 sw mode acc dot1x接口必须为access dot1x port-control auto dot1x guest-vlan 20 认证失败后guest-vlan （vlan 20）的成员 dot1x timeout quiet-period 10 switch在与认证失败后的静默时间。默认是60s dot1x timeout tx-period 2 dot1x timeout supp-timeout 2 switch和之间认证等待的时间默认是0s dot1x timeout server-timeout 2 switch 到radius server的 timeout时间 sw3#sh vlan ---- -------------------------------- --------- ------------------------------- 1 d