利用802.1X、动态VLAN和radius技术组网测试方案.pdfVIP

利用 802.1X 、动态 VLAN和 radius 技术组网测试方案 一、 组网测试背景 IEEE 802.1X 标准认证协议和动态 VLAN的引入，在以太网交换机端口实现对用 户认证、授权， ，以其实现技术简单、 灵活成为企业局域网的首选。 利用 802.1X 和 RADIUS认证服务器的授权控制， 根据用户不同动态分配交换机端口 VLAN属性 实现较灵活的控制，实现了一定范围内的移动办公需求。整套 方案应用成熟， 易于实现，给企业局域网安全管理提供了一种有效的解决途径。 二、组网测试技术简介 1、IEEE 802.1X 认证协议 它 是基于 C/S 结构面向端口的访问控制认证协议。交换机端口有几种状态 Block 、Listen 、Learn 和 Forward ，如果端口不配置认证， PC配 置相应的地址 即可访问网络。通过对端口 802.1X 的配置，端口处于受控状态 Authen 和 UNAuthen，在未认证状态下，端口仅收发 EAPoL等认 证包信息，不允许访问网 络，如果未配置 VLAN，端口处于那个 VLAN都未知；在认证通过后，根据用户在 服务器上的配置，端口分配相应特性，才可以访问网 络。这正是我们所需要的 特性。 802.1X 体系有三部分构成，客户机、网络设备和认证服务器。 客户机：实现 EAPoL的请求和应答，目前 Win2000SP4、WIN XP 、WIN2003均内 置了认证客户端软件， WIN98SE、Linux 需要相应客户端软件的支持，可选用第 三方的 802.1X 认证软件。 网络设备：认证存取点， 可以选取支持 802.1X 认证的无线 AP和二层以上的交换 机。应注意支持的兼容性，对 802.1x 和 RFCRADIUS支持良好。尽管许多厂商都 宣称支持 802.1X ，存在很多兼容性问题，往往引起工程实施中的难度。 认证服务器： 实现客户端身份认证， 并下发 RADIUS的属性。 应选用对 IETF 支持 良好的服务器，常用的有 CISCOACS3.1-3.3 ，华为的 CAMS以及 win2003 自带的 IAS 服务。 总之，在工程实施中，应选用对 802.1X 、RFC RADIUS支持兼容好，注意各应用 系统的软件版本，如 Windows、交换机 IOS和 RADIUS的版本，这是工程成功的 很重要的部分。 2、动态 VLAN 是 指根据交换机的某个设定，将端口划分到一个 VLAN中。划分 VLAN的条件有 很多，根据 MAC地址 （MACBase）、不同的身份认证。 RFCRADIUS服务器支持 VLAN 信息属性，可以把基于 064(Tunnel-Type),065(Tunnel-Medium- Type),081(Tunnel-Private-Group-ID) 的 VLAN设定端口。所有用户及相关信息 存于 RADIUS服务器上，可以根据用户 的变化调整用户的配置 . 三、相关要求 1、认证服务器 : 支持 IETF 标准的服务器，本测试采用 win2003 自带的 IAS 服务 作为认证服务器 2、交换机支持 VLAN划分和 802.1X 协议，为了实现动态 VLAN和多个二层交换机 的 Trunk 接入，核心应选用三层交换机。 本测试采用华为 S2008二层交换机和华 为 S3328 三层交换机 3、 客户端操作系统比较常用的 Windws，Linux 等。Win 2000SP4，Win XP 以上， Win2003均内置了对 802.1X 的支持， Win98、Linux 需要客户端软件的支持。