OSV配合WindoWS 2008 r2 NPS 搭建802.1X认证环境.pdfVIP

OSV 配合windows 2008 r2 NPS 搭建802.1X 认证 环境 作者 OSV 在 22 二月 2013, 2:30 下午 前言 802.1x 协议是基于Client/Server 的访问控制和认证协议。它可以限制未经授权的用户/设备通过接 入端口(access port)访问LAN/WLAN。在获得交换机或LAN 提供的各种业务之前，802.1x 对连接到交 换机端口上的用户/设备进行认证。在认证通过之前，802.1x 只允许EAPoL （基于局域网的扩展认证 协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。 802.1X 提供安全的接入认证，但数据（包括操作系统）存储于本地，数据可能有失窃的危险，比如 富士康和比亚迪的官司，在比如陈冠希事件。一些对数据安全要求比较高的企业，政府，一直寻求， 即要管好接入端的安全，又要管好数据端安全，做到本地无存储，对数据随需所取的PC 应用环境。 OSV 配合自己实现的802.1X 认证客户端，即实现了对网络接入的数据安全性要求，也实现了对PC 的 IO 虚拟化，通过对数据实现虚拟化派发，用户桌面环境的认证派发，和数据的集中存储，集中管理。 通过windows AD 服务器，对用户帐户进行统一管理。 实施准备 1，支持802.1X 认证交换机一台 实验环境：Cisco 2960 （ip:192.168.88.249 netmask 255.255.255.0） 2， Windows 2008 r2 AD 域服务器一台（ip: 192.168.88.188 Netmask:255.255.255.0 ） 3， Windows 2008 r2 NPS 服务器一台 (ip: 192.168.88.189 Netmask:255.255.255.0 DNS:192.168.88.188) 4， 客户机一台 5， 已安装，配置好的OSV 服务器一台 （IP：192.168.88.10） Cisco 交换机配置 ciscoen 进入特权模式 Password: cisco#configure terminal 进入全局配置模式 cisco(config)#interface vlan1 进入接口配置模式，配置Vlan1 cisco(config-if)#ip address 192.168.88.249 255.255.255.0 配置Vlan1 的IP cisco(config-if)#exit 通出 cisco(config)#aaa new-model cisco(config)#aaa authentication dot1x default group radius cisco(config)#aaa authorization network default group radius cisco(config)#dot1x system-auth-control cisco(config)#radius-server host 192.168.88.251 auth-port 1812 acct-port 1813 key OSV 配 置802.1X 的认证服务器IP，密钥为OSV 记住此密钥，配置RADIUS 时用到。 cisco(config)#interface fastEthernet 0/X 配置需要进行认证的端口 cisco(config-if)#switchport mode access cisco(config-if)# authentication port-control auto cisco(config-if)#dot1x port-control auto cisco(config-if)#dot1x reauthentication cisco(config-if)#dot1x timeout reauth-period 300 cisco(config-if)#authentication host-mode multi-auth/multi-host/signal-host/mulit-domain 交换机端口下连接多台PC 时(通过Hub 或交换机)需要配置这个命令，默认只支持对一台PC 认证。 cisco(config-if)#authentication violation shutdown/pretect/replace/restrict 802.1X shutdown 规则 cisco(config-if)#dot1x pae both cisco(config-if)#spanning-tree po