freeradius和xsuppicant进行eaptls验证ieee8021x安全性

《freeradius和xsuppicant进行eaptls验证ieee8021x安全性》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、一、IEEE802.1X简介当前802.11无线网络的安全性还是非常脆弱的，很多情况下无线客户端如果得到接入点（AP）的SSID，就可以获得网络的访问权限。而且由于管理员的懒惰没有修改AP厂商默认设置的SSID，甚至配置AP向外广播其SSID，那么安全性还将更低。最常见　　一、IEEE802.1X简介当前802.11无线网络的安全性还是非常脆弱的，很多情况下无线客户端如果得到接入点（AP）的SSID，就可以获得网络的访问权限。而且由于管理员的懒惰没有修改AP厂商默认设置的SSID，甚至配置AP向外广播其SSID，那么安全性还将更低。最常见的解决方法是使用WE

2、P加密，在链路层采用RC4对称加密技术，用户的加密金钥必须与AP的密钥相同时才能获准存取网络的资源，从而防止非授权用户的监听以及非法用户的访问。WEP提供了40位（有时也称为64位）和128位长度的密钥机制，但是它仍然存在许多缺陷，例如一个服务区内的所有用户都共享同一个密钥，一个用户丢失或者泄漏密钥将使整个网络不安全。而且由于WEP加密被发现有安全缺陷，可以在几个小时内被破解。一些常见AP厂商的默认SSID和默认WEP密钥、密码可以参考如下链接：http://www.wi2600.org/mediawhore/nf0/wireless/ssid_defaul

3、ts/ssid_defaults-1.0.5.txtIEEE802.1X是IEEE在2001年6月发布的一个标准，用于对IEEE802局域网（包括以太网、TokenRing和FDDI）的认证和密钥管理。802.1X不是加密算法，不同于WEP、3DES、AES或其它的算法，IEEE802.1X只关注认证和密钥管理，不关心来源密钥使用什么安全服务传送。所以它可以对认证来源和密钥使用任意的加密算法，还可以周期性的更新密钥和重新认证来保证密钥的安全。IEEE802.1X不是一个单独的认证方法，它利用可扩展认证协议（EAP）作为它的认证框架。这意味着有802.1X功能

4、的交换机和AP可以支持各种认证方式，包括基于证书的认证、智能卡、标记卡（tokencards）、一次性口令等。然而802.1X本身并没有指定和要求使用何种认证方式，交换机和AP只是EAP的一个通道，所以可以只需在主机和后台认证服务器安装软件而无需对交换机和AP升级就可以添加一个新的认证方式。IEEE802.1X没有对包进行封装（不像PPPOE或VPN），实现起来不会对交换机和AP的性能有所影响。这意味着IEEE802.1X处理的速度可以从11Mbps(802.11)到10+Gbps，并且只要升级交换机的固件而不必购买新的硬件就可以实现。对于主机，IEEE80

5、2.1X可以由网卡驱动来实现，不必使用新的操作系统。RADIUS服务器（包括Windows2000IAS）支持EAP，可以用来管理基于IEEE802.1X网络的访问。通过RADIUS，IEEE802.1X允许管理每个用户的授权，包括过滤（2层或3层）、隧道、动态VLANs、速率控制等。EAP/TLS是802.1X架构的一种认证方式，802.1X和EAP/TLS是无线网络一个越来越受欢迎的安全解决方案。以下是AdamSulmicki的一个基于开放源码软件的802.1X解决方案。二、网络结构图AdamSulmicki的无线网络结构如下图：从右边至左边配置如下：1

6、.验证服务器－radius服务器硬件：IBMTHINKPADT232647-2KU100Mbps以太网卡软件：LinuxRedHat7.2FreeRadius(cvs)OpenSSL(snapshot)2.验证端－接入点（AP）硬件：CISCOAIRONET340series11MbpsACCESSPOINTAIR-AP342E2C主板:MPC86050MHz,2048KBFLASH,16384KBDRAM,Revision21100Mbps以太网卡软件：系统：EnterpriseAPSys11.103.请求端－radius服务器硬件：IBMTHINKPAD

7、T232647-2KUCISCOAIRONET340SERIES11MbpsWIRELESSADAPTERAIR-PCM342软件：LinuxRedHat7.2xsupplicant(cvstarball)三、软件安装1.OpenSSLFreeRADIUS和Xsuppicant需要使用稳定版本的OpenSSL，而FreeRADIUS的EAP/TLS模块却需要使用最新的非稳定snapshot版本OpenSSL（或者是2002年3月份以后的稳定版本，OpenSSL0.9.7或更新），所以要安装两个版本的OpenSSL。注意非稳定版本的SSL不要使用文件名带sta

8、ble的，也不要使用带”e”的版本，那一般是用于硬件