利用802.1x协议实现局域网接入的可控管理

《利用802.1x协议实现局域网接入的可控管理》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、利用802.1x协议实现局域网接入的可控管理王谦（南通供电公司信息中心南通226006）摘　要：802.1x协议可以为企业内联网提供一种安全的用户管理方式。本文介绍了802．1x协议体系结构，重点分析了协议的工作原理及机制，并与目前流行的宽带认证方式进行了比较，最后给出了其在企业局域网接入中实际应用的方案及配置方法。关键词：802.1x协议；认证；局域网；接入ControllableManagementinLANaccessBasedon802.1xProtocolWangQian（InformationCen

2、terofNantongPowerSupplyCompany,Jiangsu,226006）Abstract:802.1xProtocolsupplyasecurityuser-managementforLANaccess.Thispaperintroducesthesystemstructureandtheworkingmechanismof802.1xprotocol,andCompareditwithsomepopularauthenticationmodeofBroadBand.Intheend,the

3、paperpresentsaschemefortheapplicationofanIntranet.Keywords:802.1xprotocol；authentication；LAN;access一、　引　言近年来，电力企业的网络建设已经有一定的规模，随着信息技术的广泛应用，网络与信息系统的基础性、安全性作用日益增强，网络与信息安全已经成为电网安全的重要组成部分。但是，由于传统的以太网接入方式采用广播机制，其安全性较差，一旦用户接入企业内联网，就意味着其拥有了访问所有网络资源的权限，所以对接入用户的可控管理成

4、为信息安全建设的一个非常紧迫与现实的问题。802.1x正是基于这一需求而出现的一种认证技术。其实现基于以太网交换机，可以对用户进行认证、授权，从而提供了一种实用、安全的接入用户管理方式。本文主要介绍802．1x协议的基本原理及其在企业局域网中的应用实例。二、802．1x协议结构和基本原理2.1802．1x协议90年代后期，IEEE802LAN／WAN委员会为解决无线局域网网络安全问题，提出了802．1x协议。后来，802．1x协议作为局域网端口的一个普通接入控制机制用在以太网中，主要解决以太网内认证和安全方面的

5、问题。802．1x协议称为基于端口的访问控制协议（portbasednetworkaccesscontrolprotocol），该协议的核心内容如图1所示。靠近用户一侧的以太网交换机上放置一个EAP（ExtensibleAuthenticationProtocol）代理，用户PC机运行EAPoE（EAPOverEthernet）的客户端软件与交换机通信。初始状态下，交换机上的所有端口处于关闭状态，只有802．1x数据流才能通过，而另外一些类型的网络数据流，如动态主机配置协议、超文本传输协议（HTTP）、文件传输

6、协议（FTP）、简单邮件传输协议（SMTP）和邮局协议（POP3）等都被禁止传输。当用户通过EAPoE登录交换机时，交换机将用户同时提供的用户名口令传送到后台的Radius认证服务器上。如果用户名及口令通过了验证，则相应的以太网端口打开，允许用户访问。2．2　802．1x协议的体系结构802．1x协议的体系结构包括3个重要部分：客户端（supplicantsystem）、认证系统（authenticatorsystem）、认证服务器（authenticationserversystem）。图2描述了三者之间的关

7、系以及互相之间的通信。客户端系统一般为一个用户终端系统，该终端系统通常要安装一个客户端软件，用户通过启动这个客户端软件发起IEEE802.1x协议的认证过程。为支持基于端口的接入控制，客户端系统需支持EAPOL（ExtensibleAuthenticationProtocolOverLAN）协议。认证系统通常为支持IEEE802.1x协议的网络设备。该设备对应于不同用户的端口（可以是物理端口，也可以是用户设备的MAC地址、VLAN、IP等）有两个逻辑端口：受控（controlledPort）端口和不受控端口（u

8、ncontrolledPort）。不受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，可保证客户端始终可以发出或接受认证。受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务。受控端口可配置为双向受控、仅输入受控两种方式，以适应不同的应用环境。如果用户未通过认证，则受控端口处于未认证状态，则用户无法访问认证系统提供的服务。认证系统的端口访问实体通过不受控端口与客户端端