Agent-Auth-Logic安全助手认证逻辑.doc

LeagView UniAccessAgent 准入认证相关逻辑 UniAccessAgent（下面简称Agent）的认证相关的逻辑非常复杂，分叉多，处理的场景也很多，下面是其中一些主要的逻辑点。这个文档通过“逻辑点”来整理流程，简单方便；如果使用全流程的方法，罄竹难书。 预置用户名 Agent启动后，如果用户名为空，并且配置了： 则Agent自动使用配置的用户名去填充，方便管理员和用户： 证书认证 如果配置了： 并且Windows版本是XP或者以上，则Agent界面显示（Windows 2000 不支持证书功能）： “确定”按钮 如果下图的“保存用户名和密码”没有勾上，并且仅配置了802.1x认证（无EOU和内置认证），则“确定”按钮消失，这时候，输入用户名和密码后回车直接开始认证（程序自动点了“登录网络”），然后，对话框马上消失，只能点桌面右下角的图标才能出来。这个功能有点像Windows的ADSL拨号上网，输入ADSL的用户名和密码后，ADSL对话框缩到桌面右下角开始默默认证，除非有问题（拨号失败），否则不再出来。 下图是有“确定”按钮的效果，一般情况下，这个按钮是现身的： AD密码修改同步 如果配置了： 并且配置了任意一种或者多种认证方式，并且用户使用AD用户名登录机器，并且登录名和Agent认证界面的用户名一致，则Agent会自动检查用户是否在本地通过Windows修改了AD的密码，如果发现，几秒钟后会弹出框提醒用户记得也顺便修改Agent认证界面的密码，以免导致下次开机登录时Agent的准入你认证失败，弹出的提示是： 5. “确定”按钮的主流程 点了下图的“确定”后的大概流程： 下面根据各种不同的配置来逐一说明。 如果配置了： 则Agent自动到IE里面找有没有对应用户名的证书： 如果找到，则保存到： 这样，后面的所有认证都从这里读证书，送到后台Radius认证。 检查用户名的长度：必须在0和32之间，即开区间(0,32)，使用闭区间来描述是[1,31]。 检查密码的长度：必须在0和16之间，即开区间(0,16)，使用闭区间来描述是[1,15]。 用户名中不能包含”/”号。 如果配置了： Agent会根据规则自动检查密码是否弱密码，如果是弱密码，则显示下面的红圈提示。这仅仅是一个友好的提示，没有任何其他限制。点了红圈后，会告诉用户什么样的规则是弱密码。 如果配置了： 并且Agent能连上后台（在线），则Agent立即上传自动获取到的AD用户名，这样后台页面的设备概要信息马上能刷到最新的AD用户名。 如果配置了： 则马上到后台认证用户名密码的正确性，并且根据后台页面的配置决定是否限制网络： 如果没有配置： ， 并且用户名不是空，并且没有配置： ， 并且，没有配置： 并且Agent在线： 则Agent会马上使用填写的用户名，密码到后台去认证，确定这个用户名密码是否正确，如果不正确，马上提示用户当场修改，以免用户随意填写密码导致日后的准入失败。 6．内建用户修改密码 如果配置了： 则界面出现如下图的红圈按钮： 点击后出来后台的Web页面，如下： 7. 自动使用AD用户名 如果配置了： Agent会不断检测用户的登录状态。如果发现用户使用的是本地用户登陆，则马上清空： 迫使用户无法成功接入。 如果发现用户正常登陆AD，则马上获取其用户名，自动更新到上面的框中。 如果发现用户没有登录，或者注销了，则马上使用host\\hostnamexxx 填充上面的框，并且使用host\\hostnamexxx 去认证，让后台知道现在是未登录或者注销状态，至于这个状态是让他接入还是拒绝，由后台选择，目前后台简化的处理是：统一拒绝接入。 如果发现使用了跟刚才的用户名不同的用户名登录AD（即切换用户名），并且配置了802.1x认证，则程序自动点“断开网络”，0.5秒后，自动点“登录网络”，强迫使用不同的用户名认证；如果配置了EOU，则通知EOU模块用户名有变更，EOU模块通过不响应交换机的状态查询来强迫交换机重新发起认证，进而完成用户名的切换。 8. 自动DCHP 802.1x模块收到交换机发过来的认证成功信息后，等待4秒钟，然后获取当前配置的网关IP，发出ARP请求包请求其MAC地址，如果收不到回应，说明网关地址不对，进而说明本机极有可能刚刚被Radius切换到另外一个VLAN里面了，然后Agent会自动完成ipconfig/release, ipconfig/renew的功能，希望重新DHCP获取一个新的合适的IP地址和相应的网关。