终端准入--802.1X准入实施方案.doc

《终端准入--802.1X准入实施方案.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、宝界802.1X准入解决方案陈涛扣扣0510-一、需求背景1.1、为什么要用802.1X准入？在一些军队或保密的企事业,对接入内网的终端主机非常严格时才要用到802.1x准入。1.2、什么样的网络环境需要802.1X准入？802.1x准入控制需要所有交换机支持802.1x协议，接入终端都能支持802.1x，能够真正的做到对网络边界的保护。二、解决方案2.1、802.1X准入工作原理802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口访问LAN/WAN。在获得交换机或LAN提供的各种业务之前，802.1x对连接到

2、交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许EAPoL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。2.2、802.1X准入部署拓朴图网络拓朴结构网络拓朴说明：①　设备是接在三层核心交换机上，旁路方式。②　交换机都要开启802.1X，下面不允许接入非网管交换机等。2.3、802.1X准入服务相关设置2.3.1、宝界802.1X准入基本参数设置【启用802.1X准入】此复选框勾选，代表与交换机的联动的802.1X认证服务启动，终端准入网关做为一个独立的RADIUS认证服务器运行。2.3.

3、2、宝界RADIUS服务设置在802.1X准入环境中，宝界终端准入网关，充当RADIUS服务器，，802.1X客户端到与宝界终端准入系统中的用户库进行对比与认证。增加、删除监控的交换机交换机RADIUS参数设置2.3.3、802.1X交换机相关设置2.3.3.1华为交换机l配置管理VlanIP地址system-view//进入软件管理模式interfacevlan-interface1//创建并进入管理VLAN1接口视图ipaddressyouripyourmask//为管理Vlan接口指定IP地址、子网掩码l配置Telnet登录用户system-view//进入软件管

4、理模式user-interfavevty0//进入虚拟连接端口0管理setauthenticationpasswordsimpleyourpassword//添加管理Vlan密码userprivilegelevel<0-3>//提升密码权限3最高l保存信息quit//退出至最低级权限save//保存配置l配置802dot1xsystem-view//进入软件管理模式802dot1x//开启802.1x模式dot1xinterfaceethernet0/1//开启指定端口802.1X认证dot1xauthentication-methodchap//指定认证方式chapd

5、ot1xport-controlauto//使配置生效l配置Radius服务器system-view//进入软件管理模式radiusscheme192.168.1.1//创建RADIUS服务器组并进入其视图primaryauthentication192.168.1.1//设置主RADIUS认证/授权的IP地址keyauthenticationBJ-RadiusServer//设置RADIUS认证/授权的加密密钥，BJ-RadiusServer密钥不能随便更改否则导致接入控制认证失败l配置Domainsystem-view//进入软件管理模式domainDomainNa

6、me//创建Domain并进入其视图radius-schemeYourRadiusSchemeName//使用的Radius方案名domaindefaultenableDomainName//配置为默认的Domainl调试信息terminalmonitorterminaldebuggingdebuggingradiuspacket2.3.3.2H3C交换机system-viewSystemView:returntoUserViewwithCtrl+Z.#（可选）为交换机配置能够与服务器通讯的IP地址。[H3C]interfacevlan-interface1[

7、H3C-Vlan-interface1]ipaddress192.168.0.253255.255.255.0#开启全局802.1x特性。[H3C]dot1x#开启指定端口Ethernet1/0/1的802.1x特性。[H3C]dot1xinterfaceEthernet1/0/1#设定eap认证方式，以便支持eap-TLS证书认证机制。[H3C]dot1xauthentication-methodeap#（可选）设置接入控制方式（macbased代表基于MAC地址认证，适用于一个端口需要接多台主机时对每一台主机都认证；portbased