IEEE 802.1x模块指南

《IEEE 802.1x模块指南》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、IEEE802.1x模块指南IEEE802.1X模块使用指南目录1.前言31.1关于本文档31.2背景知识31.2.1802.1X技术的介绍31.2.2802.1X的认证原理31.2.3802.1X的认证流程41.3术语52.IEEE802.1X模块介绍52.1客户端功能62.2认证者的功能62.3认证服务器的功能62.4802.1x模块的软件实现-开源组件hostapd63.关于hostapd开源组件73.1hostapd开源组件介绍74.hostapd的帮助程序使用94.1关于帮助程序94.2命令参数实现及说明94.3usage

2、程序使用实例1010IEEE802.1x模块指南HistoryDateVersionChanges2011-11-30DraftA完成第一稿10IEEE802.1x模块指南1.前言1.1关于本文档本文档对dot1x模块的的基本情况、编译方法、配置参数、基本工作原理作了详细的阐述，可以使开发人员依据该文档可较好的掌握模块的使用，为开发人员节约时间。1.2背景知识802.1X是IEEE为了解决基于端口的接入控制而定义的标准，被称为基于端口的访问控制协议(Portbasednetworkaceesscontrolprotocol)。为运营

3、商建设可运营、可管理的电信级宽带以太网提供了良好的支持。1.2.1802.1X技术的介绍IEEE802.1x协议的体系结构包括3个重要的组成部分：客户端、认证系统、认证服务器，图1.1描述了三者之间的关系以及相互之间的通信。图1.1802.1X认证体系1.2.2802.1X的认证原理客户端系统通常需要安装一个客户端软件，用户通过启动这个客户端软件发起802.1x协议的认证过程，为了支持基于端口的接入控制，客户端系统需支持EAPOL(extensible10IEEE802.1x模块指南authenticationprotocolove

4、rLAN)协议。认证系统一般运行于NAS（networkaccessserver）之上，给用户提供接入服务。认证系统有两个逻辑端口：受控（controlledport）端口和不受控端口(uncontrolledport)。不受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，用于承载用户的认证信息，可保证客户端始终能够发出或接受认证；受控端口只有在认证通过的状态下才可打开，用于传递网络资源和服务。PAE是端口访问实体(portaccessentity)，分为客户端PAE和认证系统PAE。客户端PAE位于客户端，主要负责响应来

5、自认证系统建立信任关系的请求。认证系统PAE位于认证系统，负责与客户端的通信，把从客户端收到的信息传送给认证服务器以完成认证。认证系统的PAE通过不受控端口与客户端PAE进行通信，两者之间运行EAPOL协议；认证系统的PAE与认证服务器之间运行EAP(extensibleauthenticationprotocol)协议。认证服务器通常为RADIUS服务器，该服务器对于认证系统中继的用户客户端信息进行验证，当验证通过时，返回与用户相关的上网信息给认证系统，认证系统根据返回信息进行设置，例如打开受控端口，或者向客户端传送验证失败的信息

6、。1.2.3802.1X的认证流程典型的802.1x体系的认证流程如图1.2所示。图1.2：802.1X认证流程1）当用户有上网需求时打开802.1X客户端程序，输入用户名和口令，发起连接请求。此时客户端程序将发出请求认证的报文EAPOL-Start给认证者，启动一次认证过程。2）认证者在收到请求认证的数据帧后，将发出一个EAP-Request/Identity报文请求帧要求客户端程序发送用户输入的用户名。3）客户端程序响应认证者的请求，将包含用户名信息的一个EAP-Response/Identity送给交换机，认证者将客户端送来的

7、数据帧经过封包处理后生成RADIUSAccess-Request报文送给认证服务器进行处理。4）认证服务器收到交换机转发上来的用户名信息后，将该信息与数据库中的用户名表相比对，找到该用户名对应的口令信息，用随机生成的一个加密字Challenge对它进行加密处理（MD5），通过接入设备将RADIUSAccess-Challenge报文发送给客户端，其中包含有10IEEE802.1x模块指南EAP-Request/MD5-Challenge。5）客户端收到EAP-Request/MD5-Challenge报文后，用该加密字对口令部分进行

8、加密处理（MD5）给认证者发送在EAP-Response/MD5-Challenge回应，认证者将Challenge，ChallengedPassword和用户名一起送到RADIUS服务器进行认证。6）认证服务器将送上来的加密后的口令