8021x协议原理与实现

《8021x协议原理与实现》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、【简介】　　随着宽带以太网建设规模的迅速扩大，网络上原有的认证系统已经不能很好地适应用户数量急剧增加和宽带业务多样性的要求。IEEE802.1x协议具有完备的用户认证、管理功能，可以很好地支撑宽带网络的计费、安全、运营和管理要求，对宽带IP城域网等电信级网络的运营和管理具有极大的优势。　　　　加入收藏　设为首页　　为什么要实现IEEE802.1x？随着宽带以太网建设规模的迅速扩大，网络上原有的认证系统已经不能很好地适应用户数量急剧增加和宽带业务多样性的要求。IEEE802.1x协议具有完备的用户认证、管理

2、功能，可以很好地支撑宽带网络的计费、安全、运营和管理要求，对宽带IP城域网等电信级网络的运营和管理具有极大的优势。IEEE802.1x协议对认证方式和认证体系结构上进行了优化，解决了传统PPPOE和WEB/PORTAL认证方式带来的问题，更加适合在宽带以太网中的使用。　　IEEE802.1x是IEEE2001年6月通过的基于端口访问控制的接入管理协议标准。　　IEEE802系列LAN标准是目前居于主导地位的局域网络标准，传统的IEEE802协议定义的局域网不提供接入认证，只要用户能接入局域网控制设备，如传

3、统的LanSwitch，用户就可以访问局域网中的设备或资源，这是一个安全隐患。对于移动办公，驻地网运营等应用，设备提供者希望能对用户的接入进行控制和配置，此外还存在计费的需求。　　IEEE802.1x是一种基于端口的网络接入控制技术，在LAN设备的物理接入级对接入设备进行认证和控制，此处的物理接入级指的是LanSwitch设备的端口。连接在该类端口上的用户设备如果能通过认证，就可以访问LAN内的资源；如果不能通过认证，则无法访问LAN内的资源，相当于物理上断开连接。　　下面首先让我们了解一下IEEE802

4、.1x端口访问控制协议的体系结构。　　1．IEEE802.1x体系介绍　　虽然IEEE802.1x定义了基于端口的网络接入控制协议，但是需要注意的是该协议仅适用于接入设备与接入端口间点到点的连接方式，其中端口可以是物理端口，也可以是逻辑端口。典型的应用方式有：LanSwitch的一个物理端口仅连接一个EndStation，这是基于物理端口的；IEEE802.11定义的无线LAN接入方式是基于逻辑端口的。　　　　图1IEEE802.1x的体系结构　　IEEE802.1x的体系结构中包括三个部分：Suppli

5、cantSystem，用户接入设备；AuthenticatorSystem，接入控制单元；AuthenticationSeverSystem，认证服务器。　　在用户接入层设备（如LanSwitch）实现IEEE802.1x的认证系统部分，即Authenticator；IEEE802.1x的客户端一般安装在用户PC中，典型的为WindowsXP操作系统自带的客户端；IEEE802.1x的认证服务器系统一般驻留在运营商的AAA中心。　　Supplicant与Authenticator间运行IEEE802.1x

6、定义的EAPOL协议；Authenticator与AuthenticationSever间同样运行EAP协议，EAP帧中封装了认证数据，将该协议承载在其他高层次协议中，如Radius，以便穿越复杂的网络到达认证服务器。　　Authenticator每个物理端口内部有受控端口（ControlledPort）和非受控端口（unControlledPort）等逻辑划分。非受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，可保证随时接收Supplicant发出的认证EAPOL报文。受控端口只有在认证通过

7、的状态下才打开，用于传递网络资源和服务。受控端口可配置为双向受控、仅输入受控两种方式，以适应不同的应用环境。输入受控方式应用在需要桌面管理的场合，例如管理员远程唤醒一台计算机(supplicant)。　　2．IEEE802.1x认证过程简介　　　　图2IEEE802.1x的认证过程　　IEEE802.1x通过EAP承载认证信息，共定义了如下EAP包类型：　　lEAP-Packet，认证信息帧，用于承载认证信息；　　lEAPOL-Start，认证发起帧，Supplicant和Authenticator均可以

8、发起；　　lEAPOL-Logoff，退出请求帧，可主动终止已认证状态；　　lEAPOL-Key，密钥信息帧，支持对EAP报文的加密；　　lEAPOL-Encapsulated-ASF-Alert，用于支持AlertStandardForum（ASF）的Alerting消息；　　其中EAPOL-Start，EAPOL-Logoff和EAPOL-Key仅在Supplicant和Authenticator间存在，在交换机和认证服务