第12天安全认证计费技术.pptx

议程认证计费原理及技术（AAA、Radius）IEEE 802.1X协议以及应用锐捷RG-SAM的安装与配置锐捷安全交换机的802.1X配置网络接入的现状无法控制用户的接入无法保证网络的安全无法有效的收取费用AAA概述Authentication，Authorization，and Accounting三种安全功能，简称AAA。Authentication：认证，用于判定用户是否可以获得访问权，限制非法用户 Authorization：授权，授权用户可以使用哪些服务，控制合法用户的权限 Accounting：计账，记录用户使用网络资源的情况；为收费提供依据 AAA工作过程一个AAA的工作过程可以分为如下几步：终端用户（客户端系统）向NAS发出网络连接请求。NAS收集用户输入用户名和口令，并转发给AAA服务器。AAA服务器按照一定算法和自身数据库信息匹配，然后将结果返回给NAS，可能是接受、拒绝或其他（如challenge）NAS根据返回的结果决定接通或者断开终端用户。如果认证通过继续以下步骤：服务器对用户进行授权，NAS根据授权结果对用户上网环境进行配置。如需计费，NAS将在用户上下线及上网期间内收集用户网络资源使用情况，数据送交记帐服务器。AAA承载协议RADIUS (RFC2865/2866以及RFC2869)TACACS/TACACS+ 其他：Kerberos v5(RFC1510)等等优缺点比较：TACACS+使用TCP可靠连接，较少应用；RADIUS使用UDP封装，开销小、可实现灵活备份，更安全的密钥管理；得到了广泛应用。Radius协议概述RADIUS是远程认证拨号用户服务（Remote Authentication Dial-In User Service）的简称，它是一种分布式的客户机/服务器系统，与AAA配合对试图连接的用户进行身份认证，防止未经授权的访问。RADIUS协议主要特征：客户/服务器模型：一般NAS为Radius客户端。网络安全性： Radius服务器与NAS之间使用共享密钥对敏感信息进行加密，该密钥不会在网上传输。可扩展的协议设计：Radius使用独特的类型-长度-值（TLV)数据对封装格式，用户可以自行定义其它的私有属性，扩展Radius应用。灵活的鉴别机制：支持不同的鉴别协议，如PAP、CHAP、EAP等等。TypeLenValuecodeidlengthAuthenticatorCode： 1 Access-Request 2 Access-Accept 3 Access-Reject 4 Accounting-Request 5 Accounting-Response 11 Access-Challenge 其他的尚在试验或保留TLVTLVTLV……Radius报文格式封装在UDP数据域的RADIUS报文：Radius报文格式Id：用于匹配request和replyLength：Radius协议报文长度Authenticator：用来对来自于RADIUS服务器的应答进行认证，而且还用于口令隐藏算法中。Radius属性 Radius属性类型用一个字节来表示，分别为1-255号属性，区分为三类：标准属性——Radius最基本的属性定义在RFC2865和RFC2866中，如用户名、密码、计费和常用授权信息等；扩展标准属性——RFC2867-2869是Radius的扩展协议，在其中定义了一些针对特殊应用（如支持隧道应用、支持EAP等）的属性；扩展私有属性——即26号属性，属性值由厂商自己定义。Radius与PAP、CHAP的结合Radius提供了不同的属性来支持PAP、CHAP等本地认证方式。如PAP及其他类似认证方式使用Radius的User-Name(1)、User-Password(2)等属性CHAP使用User-Name(1)、CHAP-Password(3)、CHAP-Challenge(60)等属性Radius的组网示意图常用的认证计费技术/方式PPPoE + RadiusWEB Portal + Radius802.1X + RadiusPPPoE + RadiusPPPoE是以太网点对点通信协议(Point to Point Protocol over Ethernet)的简称。在以太网上建立一个PPP连接。典型应用：ADSL瓶颈WEB Portal + Radius在传统的Web/Portal认证中，无论什么用户都可以先获得IP地址，再上网通过客户端认证。Web/Portal方式在认证前就为用户分配了IP地址。产品： 城市热点DR.COM计费系统瓶颈802.1X + Radius在接入层交换机端口上进行认证