实验三十四：使用RADIUS协议来实现AAA(新)

《实验三十四：使用RADIUS协议来实现AAA(新)》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、实验三十四:使用RADIUS协议来实现AAA一、理论基础IEEE802.lx标准（以下简称802.lx）的主要内容是一种基于端口的网络接入控制（PortBasedNetworkAccessControl）协议。"基于端口的网络接入控制”是指在局域网接入控制设备的端口这一•级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源——相当于连接被物理断开。802.lx提供了一个用户身份认证的实现方案,但是仅仅依靠802.l

2、x是不足以实现该方案的，接入设备的管理者还要对AAA方法进行配置，选择使用RADIUS或本地认证方法，以配合802.lx完成用户的身份认证。AAA是Authentication,AuthorizationandAccounting（认证、授权和计费）的简称，它捉供了一个用來对认证、授权和计费这三种安全功能进行配直的一致性框架，它是对网络安全的一•种管理。其中，认证指的是验证用户是否可获得访问权，授权指的是授权用户可使用哪些服务,计费指的是记录用户使用网络资源的情况。它对网络安全的访问控制包含如下内容

3、:哪些用户可以访问网络服务器？貝-有访问权的用户可以得到哪些服务？如何对正在使用网络资源的用户进行计费？AAA是一种管理框架，因此，它可以用多种协议来实现。在实践屮，人们最常使用RADIUS协议来实现AAA。RADIUS是RemoteAuthenticationDial-lnUserService（远程认证拨号用户服务）的简称,最初由LivingstonEnterprise公司开发,能保护网络不受未授权访问的干扰，作为一种分布式的客八机/服务器系统，能提供AAA功能。常被应用在既要求较高安全性、又要

4、求维持远程用户访问的各种网络坏境中。RADIUS服务包括三个组成部分：协议、服务器、客户端。RADIUS客户端将把用户的认证、授权和计费请求传递给RADIUS服务器。RADIUS服务器上有一个用户数据库，其中包含了所有的用户认证和网络服务访问信息。RADIUS服务器将在接收到NAS传來的川户请求后，通过对用户数据库的查找、更新，完成相应的认证、授权和计费工作，并把用户所需的配置信息和计费统计数据返回给NAS。在这里，NAS起到了控制接入用户及对应连接的作用，NAS（如路由器、交换机）作为RADIUS

5、客户端，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接入/挂断用户）。而RADIUS协议则规定了NAS与RADIUS服务器Z间如何传递川户配置信息和计费信息。在一个AAA/RAD1US框架中，Quidway系列交换机是可以作为川户接入设备即NAS。NAS和RADIUS之间信息的交互是通过将信息承载在LDP报文屮来完成的。NAS和RADIUS之间通过共亨密钥认证相互间交互的消息，用户密码釆用密文方式在网络上传输，以保证用户的配置信息（如密码）被加密后才在网络上

6、传递，从而避免它们被侦听、窃取。实验案例1、拓扑结构图:serverclient2、配置说明:客户端client的IP地址：192.168.2.15（连接Switch的EO/8）RADIUS服务端server的IP地址:192.168.2.146。Switch的管理地址:192.168.2.200。所有AAA接入用户都属于一个缺省的域：sunkecisco.com设置系统与RADIUS认证、计费服务器交互报文时的加密密码为“djv”o本地802.lx接入用户的用户名为sunke,密码为sunke。

7、3、具体配置：交换机的配置：[Quidway]sysSwitch[Switch]radiusschemesunk。NewRadiusserver[Switch-radius-sunke]accountingoptional[Switch-radius-sunke]primaryaccounting192.168.2.1461814（设置计费RADIUS服务器的IP地址）[Switch-radius-sunkc]primaryauthentication192・168.2.1461815（设置认证RA

8、DIUS服务器的IP地址）[Switch^radius-sunke]keyaccountingdjw（设置系统与计费RADIUS服务器交互报文时的加密密码）[Switch-radius-sunke]keyauthenticationdjw（设置交换机与认证RADIUS服务器交互报文时的加密密码）[Switch-radius-sunke]user-name-formatwithout-domain（指示系统从用户名中去除用户域名后再将Z传给RADIUS服务器）[Swit