终端准入--802.1X准入实施方案.doc

宝界802.1X准入解决方案 陈涛 扣扣1204673254 0510一、需求背景 1.1、为什么要用802.1X准入？ 在一些军队或保密的企事业, 对接入内网的终端主机非常严格时才要用到 802.1x准入。 1.2、什么样的网络环境需要802.1X准入？ 802.1x准入控制需要所有交换机支持802.1x协议，接入终端都能支持802.1x，能够真正的做到对网络边界的保护。 二、解决方案 2.1、802.1X准入工作原理 802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口访问LAN/WAN。在获得交换机或LAN提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许EAPoL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。 2.2、802.1X准入部署拓朴图 网络拓朴结构 网络拓朴说明： 设备是接在三层核心交换机上，旁路方式。 交换机都 要开启802.1X，下面不允许接入非网管交换机等。 2.3、802.1X准入服务相关设置 2.3.1、宝界802.1X准入基本参数设置 【启用802.1X准入】 此复选框勾选，代表与交换机的联动的802.1X认证服务启动，终端准入网关做为一个独立的RADIUS认证服务器运行。 2.3.2、宝界RADIUS服务设置 在802.1X准入环境中，宝界终端准入网关，充当RADIUS服务器，，802.1X客户端到与宝界终端准入系统中的用户库进行对比与认证。 增加、删除监控的交换机 交换机RADIUS参数设置 2.3.3、802.1X交换机相关设置 华为交换机 配置管理VlanIP地址 system-view // 进入软件管理模式 interface vlan-interface 1 // 创建并进入管理VLAN1接口视图 ip address yourip yourmask // 为管理Vlan接口指定IP地址、子网掩码 配置Telnet登录用户 system-view // 进入软件管理模式 user-interfave vty0 // 进入虚拟连接端口0管理 set authentication password simple yourpassword // 添加管理Vlan密码 user privilege level 0-3 // 提升密码权限 3最高 保存信息 quit // 退出至最低级权限 save // 保存配置 配置802dot1x system-view // 进入软件管理模式 802dot1x // 开启802.1x模式 dot1x interface ethernet 0/1 // 开启指定端口802.1X认证 dot1x authentication-method chap // 指定认证方式chap dot1x port-control auto // 使配置生效 配置Radius服务器 system-view // 进入软件管理模式 radius scheme // 创建RADIUS服务器组并进入其视图 primary authentication // 设置主RADIUS认证/授权的IP地址 key authentication BJ-RadiusServer // 设置RADIUS认证/授权的加密密钥，BJ-RadiusServer密钥不能随便更改否则导致接入控制认证失败 配置Domain system-view // 进入软件管理模式 domain DomainName // 创建Domain并进入其视图 radius-scheme YourRadiusSchemeName // 使用的Radius方案名 domain default enable DomainName // 配置为默认的Domain 调试信息 terminal monitor terminal debugging debugging radius packet H3C交换机 H3C system-view System View: return to User View with Ctrl+Z. # （可选）为交换机配置能够与服务器通讯的IP地址。 [H3C] interface vlan-interface 1 [H3C-Vlan-interface1] ip address