FREERESOURCE技术白皮书.docVIP

DCN交换机 FREE RESOURCE技术白皮书 文件编号 文件类别 技术白皮书 编写 日期 审核 日期 批准 日期 神州数码网络有限公司 修改记录 版本 日期 修改纪要 修改人 审核人 发现问题 V0.1 2007-04-29 创建 孙团会 [说明：技术白皮书由研发人员编写初稿（要归档到研发中心CC服务器相关项目或部门中），提交给产品经理，产品经理进行修订润色，形成可提供给外部客户的最终稿（归档到产品部知识库）。 []内蓝色字体部分为文档内容编写提要，请产品经理注意技术白皮书最终定稿后请删除[]内容。] 目 录 1. 概述 1 2. 缩写和术语 1 3. 技术介绍 2 3.1 DHCP SNOOPING功能介绍 2 3.2 用户接入控制 3 3.3 网络设计方案 4 4. 主要特性 4 5. 技术特色与优势 4 6. 典型应用指南 5 7. 参考资料 9 概述 [简要介绍本文档编写的背景和目的，主要介绍技术产生的背景，以及该技术满足了哪些实际需要，概要说明该技术及其应用场合。－备注：[]内蓝色字体部分为文档内容编写提要，实际文档完成后请删除[]内容] FREE RESOURCE技术是神州数码交换机接入管理功能，配合神州数码私有DOT1X CLIENT软件以及神州数码DCBI服务器，可以对接入用户进行严格控制，有效保证接入网的安全。其基本原理是控制用户只能访问DHCP SERVER；已经获取IP地址的受控用户可以访问一个免费网段的资源（FREE RESOURCE）；只有安全用户才可以访问所有资源。保证安全的方法是在接入交换机上下发控制表项只有完全匹配IP、MAC和交换机接入端口的ARP报文和IP报文才能被交换机转发。 接入用户可以配置静态IP地址，这时需要管理员在DCBI服务器上配置静态用户信息，包括用户IP地址、MAC地址、接入交换机端口号；这些信息会被DCBI下发到接入交换机，这些用户成了受控用户；受控用户通过DOT1X认证之后，成为安全用户。 接入用户也可以启动DHCP CLIENT，在获取动态IP地址之前用户处于控制用户状态，控制用户发出的报文中只有DHCP报文能够被交换机转发；用户获取动态IP地址之后，交换机能够捕获用户IP地址信息并下发控制用户表项；用户通过DOT1X认证之后，把的控制用户表项修改为安全用户表项。 接入用户也可以采用无需DOT1X认证的方式，交换机监听到用户获取IP地址的信息之后，直接下发安全用户表项，这时用户就可以访问所有资源。 缩写和术语 [列出本文档使用到的缩写和术语，并解释。] 绑定信息（binding data）：是指PC终端通过DHCP CLIENT方式获取IP地址时，接入交换机上启动DHCP SNOOPING功能监听到的用户信息，包括用户IP地址、MAC地址、接入端口等信息； 安全用户（authenticated user）：也叫认证用户，可以访问所有资源的用户，已经通过radius SERVER安全认证或者不需要认证的可信任用户； 受控用户（referenced user）：可以访问有限资源的用户，用户还没有通过radius SERVER安全认证； 控制用户（controlled user）：只能访问DHCP SERVER的用户，必需首先到radius SERVER由管理员登记或者访问DHCP SERVER获取IP地址。 基于MAC（mac based）接入控制方式： 基于端口（port based）接入控制方式： 基于用户（user based）接入控制方式：根据每个用户不同的认证状态控制用户可访问的资源范围。用户可处于安全用户、受控用户、控制用户状态。 ARP: Address Resolution Protocol，IPV4使用的地址解析协议 DHCP：Dynamic Host Configuration Protocol，用于网络设备从核心服务器上动态获取IP地址的协议。它减少了网管对IP地址分配的管理工作量。 DHCP SNOOPING：通过对DHCP交互流程的监听，构建Mac-IP Binding Table数据库，用于配套多种安全策略的校验。同时阻止在非信任端口上连接的伪装DHCP SERVER的发包。 信任端口：在该端口上不对指定协议包进行校验匹配。比如DHCP协议包、ARP协议包。 非信任端口：在该端口上对指定协议包进行校验匹配。比如DHCP协议包、ARP协议包。 技术介绍 [本部分详细介绍该技术的基本原理以及应用方案。] FREE RESOURCE技术涉及交换机功能，PC终端上的DOT1X CLIENT软件，以及DCBI服务器。交换机FREE RESOURCE功能基于DHCP SNOOPING监听功能以及DOT1X认证功能控制用户权