企业级AP中8021x协议的应用.doc

企业级 AP 中 802.1x 协议的应用 一、802.1x端口认证原理 为什么需要IEEE802.1x？随着宽带以太网建设规模的迅速扩大， HYPERLINK /html/Safe/ 网络上原有的认证系统已经不能很好地适应用户数量急剧增加和宽带业务多样性的要求。IEEE802.1x HYPERLINK /html/Network/3/ 协议具有完备的用户认证、管理功能，可以很好地支撑宽带 HYPERLINK /html/Safe/ 网络的计费、安全、运营和管理要求，对宽带IP城域网等电信级 HYPERLINK /html/Safe/ 网络的运营和管理具有极大的优势。IEEE802.1x HYPERLINK /html/Network/3/ 协议对认证方式和认证体系结构上进行了优化，解决了传统PPPOE和WEB/PORTAL认证方式带来的瓶颈问题，更加适合在宽带以太网中的使用。 IEEE802.1x是IEEE在2001年6月通过的基于端口访问控???的接入管理 HYPERLINK /html/Network/3/ 协议标。 IEEE802系列LAN标准是目前居于主导地位的局域 HYPERLINK /html/Safe/ 网络标准，传统的IEEE802 HYPERLINK /html/Network/3/ 协议定义的局域网不提供接入认证，只要用户能接入局域网控制设备，如传统的LanSwitch，用户就可以访问局域网中的设备或资源，这是一个安全隐患。对于移动办公，驻地网运营等应用，设备提供者希望能对用户的接入进行控制和配置，此外还存在计费的需求。因此，802.1x产生了。 IEEE802.1x是一种基于端口的 HYPERLINK /html/Safe/ 网络接入控制技术，在 LAN 设备的物理接入级对接入设备进行认证和控制，此处的物理接入级指的是 LanSwitch设备的端口。连接在该类端口上的用户设备如果能通过认证，就可以访问 LAN 内的资源；如果不能通过认证，则无法访问 LAN 内的资源，相当于物理上断开连接。下面首先让我们了解一下IEEE802.1x端口访问控制 HYPERLINK /html/Network/3/ 协议的体系结构。1．IEEE802.1x 体系介绍虽然IEEE802.1x定义了基于端口的 HYPERLINK /html/Safe/ 网络接入控制 HYPERLINK /html/Network/3/ 协议，但是需要注意的是该 HYPERLINK /html/Network/3/ 协议仅适用于接入设备与接入端口间点到点的连接方式，其中端口可以是物理端口，也可以是逻辑端口。典型的应用方式有：LanSwitch 的一个物理端口仅连接一个 End Station，这是基于物理端口的； IEEE 802.11定义的无线 LAN 接入方式是基于逻辑端口的。 图1 IEEE802.1x的体系结构IEEE802.1x的体系结构中包括三个部分：Supplicant System，用户接入设备；Authenticator System，接入控制单元；Authentication Sever System，认证服务器。在用户接入层设备（如LanSwitch）实现 IEEE802.1x的认证系统部分，即Authenticator；IEEE802.1x的客户端一般安装在用户PC中，典型的为Windows XP操作系统自带的客户端，或其他第三方的免费802.1x客户端；认证服务器系统一般驻留在运营商的AAA中心。 Supplicant与Authenticator间运行IEEE802.1x定义的EAPOL HYPERLINK /html/Network/3/ 协议；Authenticator 与 Authentication Sever 间同样运行 EAP  HYPERLINK /html/Network/3/ 协议，EAP 帧中封装了认证数据，将该 HYPERLINK /html/Network/3/ 协议承载在其他高层次 HYPERLINK /html/Network/3/ 协议中，如 Radius，以便穿越复杂的 HYPERLINK /html/Safe/ 网络到达认证服务器。 Authenticator每个物理端口内部有受控端口（Controlled Port）和非受控端口（unControlled Port）等逻辑划分。非受控端口始终处于双向连通状态，主要用来传递 EAPOL  HYPERLINK /html/Network/3/ 协议帧，可保证随时接收Supplicant发出的认证EAPOL报