DHCPOption82在校园网的应用与实现.docVIP

经过近几年的建设，各高校大体完成了校园网基础环境建设，将建设重点逐步转移到信息资源与应用服务上，校园网的安全也越来越受重视，迫使网络管理员比以往 更加需要在加强网络安全和便于使用之间找到一个平衡点。笔者认为在具备802.1x认证的硬件条件下，引入Option 82构建一个权限分配清晰的校园网是一项可行的措施。 DHCP Option 82说明和关键点 DHCP报文最后有一个312字节的Option段，在RFC3046中定义了DHCP Relay Agent Information Option，也就是DHCP Option 82，该选项有两个子选项：Circuit ID和Remote ID。在实际应用中，Circuit ID和Remote ID子选项将分别对应“用户权限”和“VLAN ID”。因此，要使用Option 82认证就必须具备以下两个条件：第一，DHCP Relay Agent通常在接入交换机上工作，因此交换机必须支持RFC 3046；第二，要有一个过程或动作给Circuit ID和Remote ID赋值，以确定用户端的信息，在本文中是利用802.1x认证配合来赋值的。 Option 82认证步骤 为节省篇幅，本文假定校园网已成功实现了802.1x认证，各交换机和服务器已完成设置。引入Option 82后，以网络拓扑图中的用户tuser在PC-test登录为例，认证步骤如下： 1. 在认证服务器中赋给用户（tuser）一个权限值，如10； 2. 将该用户的接入端口（fastEthernet 0/10）划到VLAN82中，或将所有需要Option 82认证的端口都划入到VLAN82。虽然在二层交换机中没有特意声明，但在三层交换机中，明确了这是一个Tag VLAN； 3. 用户经过接入交换机（216.70.208.10）的DHCP Relay向DHCP Server（216.70.208.19）申请IP地址； 4. 由于交换机已经启用了Option 82认证，用户在没有认证之前，Circuit ID的值是0，如果用户通过了802.1x认证，认证服务器将会通过接入交换机将用户（tuser）的权限值10赋给Circuit ID，即agent.circuit-id=00:0a:00:52（十六进制）； 5. 将用户的Tagged VLAN的Tag和权限与事先在DHCP Server中定义好的约定进行匹配，从相应的IP地址池获得IP地址。 技术实现 １． Ｌｉｎｕｘ ＤＨＣＰ Ｓｅｒｖｅｒ设置 ddns-update-style ad-hoc; default-lease-time 28800; max-lease-time 43200; ignore client-updates; class “nvlan831”{ //vlan831用户不认证时匹配 match if option agent.circuit-id=00:00:03:3f; } //前两个字节匹配用户权限值，为0表示不认证；后两个字节匹配VLAN ID 831，用十六进制表示。 class “vlan831”{ //vlan831用户认证时匹配 match if option agent.circuit-id=00:0a:03:3f; } //前两个字节匹配用户权限值10；后两个字节匹配VLAN ID 831。 class “nvlan82”{ //vlan82用户不认证时匹配 match if option agent.circuit-id=00:00:00:52; } class “vlan82”{ //vlan82用户认证时匹配 match if option agent.circuit-id=00:0a:00:52; } //前两个字节匹配用户权限值10；后两个字节匹配VLAN ID 82。 shared-network subnet208 { // subnet 192.168.1.0和subnet 216.70.208.0在三层交换机上属于相同的物理端口，因此要先定义一个shared-network。 subnet 192.168.1.0 netmask 255.255.255.0 { option routers 192.168.1.2; option domain-name-servers 192.168.1.9; } subnet 216.70.208.0 netmask 255.255.255.0 { option subnet-mask 255.255.255.0; option broadcast-address 2