利用802.1X、动态VLAN和radius技术组网测试方案.doc

《利用802.1X、动态VLAN和radius技术组网测试方案.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、利用802.1X、动态VLAN和radius技术组网测试方案一、组网测试背景IEEE802.1X标准认证协议和动态VLAN的引入，在以太网交换机端口实现对用户认证、授权，，以其实现技术简单、灵活成为企业局域网的首选。利用802.1X和RADIUS认证服务器的授权控制，根据用户不同动态分配交换机端口VLAN属性实现较灵活的控制，实现了一定范围内的移动办公需求。整套方案应用成熟，易于实现，给企业局域网安全管理提供了一种有效的解决途径。二、组网测试技术简介1、IEEE802.1X认证协议它是基于C/S结构面

2、向端口的访问控制认证协议。交换机端口有几种状态Block、Listen、Learn和Forward，如果端口不配置认证，PC配置相应的地址即可访问网络。通过对端口802.1X的配置，端口处于受控状态Authen和UNAuthen，在未认证状态下，端口仅收发EAPoL等认证包信息，不允许访问网络，如果未配置VLAN，端口处于那个VLAN都未知；在认证通过后，根据用户在服务器上的配置，端口分配相应特性，才可以访问网络。这正是我们所需要的特性。802.1X体系有三部分构成，客户机、网络设备和认证服务器。客户

3、机：实现EAPoL的请求和应答，目前Win2000SP4、WINXP、WIN2003均内置了认证客户端软件，WIN98SE、Linux需要相应客户端软件的支持，可选用第三方的802.1X认证软件。网络设备：认证存取点，可以选取支持802.1X认证的无线AP和二层以上的交换机。应注意支持的兼容性，对802.1x和RFCRADIUS支持良好。尽管许多厂商都宣称支持802.1X，存在很多兼容性问题，往往引起工程实施中的难度。认证服务器：实现客户端身份认证，并下发RADIUS的属性。应选用对IETF支持良好的

4、服务器，常用的有CISCOACS3.1-3.3，华为的CAMS以及win2003自带的IAS服务。总之，在工程实施中，应选用对802.1X、RFCRADIUS支持兼容好，注意各应用系统的软件版本，如Windows、交换机IOS和RADIUS的版本，这是工程成功的很重要的部分。2、动态VLAN是指根据交换机的某个设定，将端口划分到一个VLAN中。划分VLAN的条件有很多，根据MAC地址（MACBase）、不同的身份认证。RFCRADIUS服务器支持VLAN信息属性，可以把基于064(Tunnel-Typ

5、e),065(Tunnel-Medium-Type),081(Tunnel-Private-Group-ID)的VLAN设定端口。所有用户及相关信息存于RADIUS服务器上，可以根据用户的变化调整用户的配置.三、相关要求1、认证服务器:支持IETF标准的服务器，本测试采用win2003自带的IAS服务作为认证服务器2、交换机支持VLAN划分和802.1X协议，为了实现动态VLAN和多个二层交换机的Trunk接入，核心应选用三层交换机。本测试采用华为S2008二层交换机和华为S3328三层交换机3、客户

6、端操作系统比较常用的Windws，Linux等。Win2000SP4，WinXP以上，Win2003均内置了对802.1X的支持，Win98、Linux需要客户端软件的支持。比较常见的802.1X客户端有cisco、华为和XP系统内置802.1x认证等。本测试采用华为802.1X拨号器进行测试。四、解决方案1、测试组网图2、测试组网说明测试场景：一台华为S3328三层交换机，version5.30，作为汇聚核心层，启用路由交换功能；一台华为S2008二层交换机，version3.10,作为接入层，启用

7、802.1x认证功能；一台服务器，预装windows2003操作系统，并添加Internet验证服务组件(IAS)，确保IAS能和启用802.1x的交换机通信在3328交换机上建立3个VLAN，见下表：VlanIDVLAN接口地址掩码网络地址备注VLAN100192.168.0.1255.255.255.0192.168.0.0管理VLANVLAN200192.168.1.1255.255.255.0192.168.1.0业务测试VLAN1VLAN300192.168.2.1255.255.255.0

8、192.168.2.0业务测试VLAN2S2008的管理接口地址配置在Vlan100上，ip地址为192.168.0.2/24(华为二层交换机可以将一个VLAN设置成管理VLAN，并能配置IP地址使该VLAN具备三层功能),并建立vlan200和VLAN300两个业务VLAN，不加入任何端口，级联口改为TRUNK模式，允许VLAN100、VLAN200、VLAN300通过，同S3328级联，S3328交换机接S2008端口做相同设置。交换机和IAS的Ra