BHBIN_网络知识和基础操作分册_第六章_802

《BHBIN_网络知识和基础操作分册_第六章_802》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、课程目标Ø802.1x认证的原理和过程§几种认证方式的优缺点§802.1x认证在港湾网络解决方案中的应用§典型案例介绍Copyright©2004,港湾网络培训中心www.harbournetworks.comBHBIN6-1BHBIN—802.1x认证技术6-1Copyright©2004,港湾网络培训中心.802.1x认证的原理和过程协议的开发背景Ø802.1x起源于EAPoW，802.11Ø802.1x是IEEE为了解决基于端口的接入控制（Port-BasedNetworkAccessControl）而定义的一个标准Ø可以加强传统园区网安全性特性，适

2、用于以太接入运营网的安全认证，廉价而且易于实现Ø协议状态：Draft11，协议号已经分配Ø世界著名网络厂家都在加紧研究ØWindowsXP支持客户端Copyright©2004,港湾网络培训中心www.harbournetworks.comBHBIN6-2在IEEE802LAN所定义的局域网环境中，只要存在物理的连接口，未经授权的网络设备就可以接入局域网，或者是未经授权的用户可以通过连接到局域网的设备进入网络。例如：一个可以访问公共网络的大厦的办公网，或者是某个组织机构与其他组织连接的网络。在这样的网络环境中，往往不希望未经授权的设备或用户连接到网络，使用

3、网络提供的服务。后来，随着局域网技术的广泛应用，特别是在运营网络中的应用，对其安全认证的要求已经提到了议事日程上。如何既能够利用局域网技术简单、廉价的组网特点，同时又能够对用户或设备访问网络的合法性提供认证，是目前业界讨论的焦点。IEEE802.1x协议正是在这样的背景下提出的。IEEE802.1x称为基于端口的访问控制协议（Portbasednetworkaccesscontrolprotocol）。基于端口的访问控制（Portbasednetworkaccesscontrol）能够在利用IEEE802LAN的优势基础上提供一种对连接到局域网（LAN）设

4、备或用户进行认证和授权的手段。通过这种方式的认证，能够在LAN这种多点访问环境中提供一种点对点的识别用户的方式。这里端口是指连接到LAN的一个单点结构，可以是被认证系统的MAC地址，也可以是服务器或网络设备连接LAN的物理端口，或者是在IEEE802.11无线LAN环境中定义的工作站和访问点。BHBIN—802.1x认证技术6-2Copyright©2004,港湾网络培训中心.802.1x认证的原理和过程802.1x协议的体系结构客户端认证系统认证服务器Copyright©2004,港湾网络培训中心www.harbournetworks.comBHBIN6

5、-3IEEE802.1x协议的体系结构包括三个重要的部分：SupplicantSystem客户端、AuthenticatorSystem认证系统、AuthenticationServerSystem认证服务器。上图描述了三者之间的关系以及互相之间的通信。客户端系统一般为一个用户终端系统，该终端系统通常要安装一个客户端软件，用户通过启动这个客户端软件发起802.1x协议的认证过程。为支持基于端口的接入控制，客户端系统需支持EAPOL（ExtensibleAuthenticationProtocolOverLAN）协议。认证系统通常为支持802.1x协议的网络

6、设备。该设备对应于不同用户的端口（可以是物理端口，也可以是用户设备的MAC地址）有两个逻辑端口：受控（controlledPort）端口和不受控端口（uncontrolledPort）。不受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，可保证客户端始终可以发出或接受认证。受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务。受控端口可配置为双向受控、仅输入受控两种方式，以适应不同的应用环境。如果用户未通过认证，则受控端口处于未认证状态，则用户无法访问认证系统提供的服务。图中认证系统的受控端口处于未认证状态，因此无法访问认证系统提供的服务

7、。认证系统的PAE通过不受控端口与SupplicantPAE进行通信，二者之间运行EAPOL协议。认证系统的PAE与认证服务器之间运行EAP（ExtensibleAuthenticationProtocol）协议。认证系统和认证服务器之间的通信可以通过网络进行，也可以使用其他的通信通道，例如如果认证系统和认证服务器集成在一起，二个实体之间的通信就可以不采用EAP协议。BHBIN—802.1x认证技术6-3Copyright©2004,港湾网络培训中心.认证服务器通常为RADIUS服务器，该服务器可以存储有关用户的信息，比如用户所属的VLAN、CAR参数、优

8、先级、用户的访问控制列表等等。当用户通过认证后，认证服务器会把用户