准入控制技术之802.1x

% F# w) S7 \& ^* F! v) c

园区网络的安全威胁一般来说来自两方面，其一是通常大家能想到的外网入侵，面对这种威胁，我们可以部署防火墙、沙箱等安全产品去抵御；另一方面则正如列宁所说：堡垒往往是从内部开始瓦解的----网络中接入的设备可能会有意或无意地造成攻击，这样的威胁我们就需要验证设备的合法性后才允许它们接入到我们的园区网络中，这就是准入控制技术。

目前华为的准入控制技术有5种，分别是MAC认证，RADIUS认证，802.1X认证，PORTAL认证以及SACG。其中802.1X认证可能大家有些陌生，今天我们就来介绍下这种常见的认证技术。

概述
9 t$ x6 a3 E1 y% A: a. u5 v

802.1x认证，又称EAPOE认证，主要目的是为了解决局域网用户的接入认证问题。

IEEE802 LAN/WAN委员会为解决无线局域网网络安全问题，提出了802.1x协议。后来，802.1x协议作为局域网端口的一个普通接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

它是一种基于端口的网络接入控制协议。“基于端口的网络接入控制”是指，在局域网接入设备的端口这一级，对所接入的用户设备通过认证来控制对网络资源的访问。仅关注接入端口的状态，当合法用户接入时，该端口打开；当非法用户接入或没有用户接入时，该端口处于关闭状态。认证的结果在于端口状态的改变，而不涉及通常认证技术必须考虑的IP地址协商和分配问题，是各种认证技术中最简化的实现方案。

组件
, G% k, }$ c/ a* A: _$ Q- v

802.1x系统为典型的Client/Server结构，包括三个实体：客户端（Client）、设备端（Device）和认证服务器（Server）。

8 b/ v# R: X) f' m, ^) e. u8 g* C
( W+ @' s6 r+ k6 o0 n9 x$ t+ n7 U

准入控制技术之802.1x

, R$ b0 b" R/ R  {1 [

客户端：局域网用户终端设备，但必须是支持EAPOL的设备，如PC机。可通过启动客户端设备上安装的802.1x客户端软件发起802.1x认证。

$ W2 X0 h; f" Z3 C9 D* Z

设备端：支持802.1x协议的网络设备（如交换机），对所连接的客户端进行认证。它为客户端提供接入局域网的端口，可以是物理端口，也可以是逻辑端口（如Eth-trunk口）。

认证服务器：为设备端802.1x协议提供认证服务的设备，是真正进行认证的设备，实现对用户进行认证、授权和计费，通常为Radius服务器。

准入控制技术之802.1x

基本概念
. u  H) o: ?1 [认证模式

1. 基于接口：当采用基于端口方式时，只要该端口下的第一个用户认证成功后，其他接入用户无须认证就可使用网络资源。但是当第一个用户下线后，其他用户也会被拒绝使用网络。

2. 基于MAC：当采用基于MAC地址方式时，该端口下的所有接入用户均需要单独认证。

认证方式

1. EAP终结认证：由网络接入设备终结用户的EAP报文，解析出用户名和密码，并对密码进行加密，再发送到AAA服务器进行认证。

/ G( G' z3 l8 M1 W

2. EAP透传认证：也叫EAP中继认证，由网络接入设备直接把802.1x用户的认证信息以及EAP报文直接封装到Radius报文的属性（26）字段中，发送给Radius服务器，而无须将EAP报文转换成标准的Radius报文后再发给Radius服务器来完成认证。

端口控制方式

1. 自动识别模式：端口初始状态为非授权状态，仅允许EAPOL报文收发，不允许用户访问网络资源；如果认证流程通过，则端口切换到授权状态，允许用户访问网络资源。

2. 强制授权模式；端口始终处于授权状态，允许用户不经认证授权即可访问网络资源。

3. 强制非授权模式；端口始终处于非授权状态，不允许用户访问网络资源。

: v' P( ^. K" X* L) f5 \# O# rEAP体系结构

2 N; J2 ^' C) A& m/ j4 ^0 Q% s
5 V& y( s% A  L( m

. Y( J4 R* P: e9 p% @2 m% j
" @0 c- C. t+ l% O' K+ FEAP：拓展认证协议。它本身不是一个认证机制，而是一个通用架构。用来传输实际的认证协议。EAP的好处就是当一个新的认证协议发展出来的时候，基础的EAP机制不需要随着改变。目前有超过20中不同的EAP协议。 EAP是一组以插件模块的形式为任何EAP类型提供结构支持的内部组件 它的设计理念是满足任何链路层的身份验证需求，支持多种链路层认证方式。EAP协议是IEEE802.1x认证机制的核心，它将实现细节交由附属的EAP Method协议完成，如何选取EAP method由认证系统特征决定。这样实现了EAP的扩展性及灵活性，如图所示，EAP可以提供不同的方法分别支持PPP，以太网、无线局域网的链路验证。 EAP可分为四层：EAP底层，EAP层，EAP对等和认证层和EAP方法层。
EAP底层负责转发和接收被认证端（peer）和认证端之间的EAP frames；EAP层接收和转发通过底层的EAP包；EAP对等和认证层在EAP对等层和EAP认证层之间对到来的EAP包进行多路分离；EAP方法层实现认证算法接收和转发EAP信息。基于EAP衍生了许多认证协议，如EAP-TLS [RFC5216]和EAP-pwd [RFC5931]等。其中EAP-SIM，EAP-smartcard和LEAP可以较好的适用于资源受限的设备。

6 w0 ^. k! E* o/ x* p! L802.1X认证触发机制
8 G4 r8 b5 `+ {4 X" f8 m

1.客户端主动触发方式：

8 G7 s/ q# d; k, ~  z; }

1. 客户端主动向设备端发送EAPOL-Start报文来触发认证，该报文目的地址为IEEE 802.1X协议分配的一个组播MAC地址：01-80-C2-00-00-03。

2. 另外，由于网络中有些设备不支持上述的组播报文，使得认证设备无法收到客户端的认证请求，因此设备端还支持广播触发方式，即，可以接收客户端发送的目的地址为广播MAC地址的EAPOL-Start报文。

% {0 n6 B$ r' Q+ `

2. 设备端主动触发方式：

# @  N; f! [, k" s

设备端触发方式用于支持不能主动发送EAPOL-Start报文的客户端，例如Windows XP自带的802.1X客户端。根据发送EAPOL-Start报文的方式不同，有以下两种触发方式：

7 j* c0 X# f7 f

1. 组播触发：设备每隔N秒（缺省为30秒）主动向客户端发送组播EAP-Request/Identity报文来触发认证。

2. 单播触发：当设备收到源MAC地址未知的报文时，主动向该MAC地址发送单播报文来触发认证。若设备端在设置的时长内没有收到客户端的响应，则重发该报文。

$ i6 w+ T( f3 y; H802.1X：EAP终结认证
- z/ n& l, j0 _2 S0 `. q

准入控制技术之802.1x

8 [) J2 T% Y4 q: w5 k1. EAP终结认证是将EAP报文在设备端终结并映射到RADIUS报文中，利用标准RADIUS协议完成认证、授权和计费。设备端与RADIUS服务器之间可以采用PAP或者CHAP认证方法。
2. EAP终结认证过程如下：1. EAP客户端发送EAP-Start报文给设备。2. 设备发送EAP-Request/Identity报文给客户端。3. 客户端回应EAP-Response/Identity报文，报文携带用户名信息。4. 设备发送EAP-Request/MD5-Challenge报文给客户端。5. 客户端回应EAP-Response /MD5-Challenge报文，设备获取客户端的密码信息。6. 设备携带用户账户信息，到AAA系统进行认证。7. 认证通过后设备通知客户端认证成功，端口打开。8. 设备通过EAP探测判断EAP客户端是否维持在线。
& @+ x! D2 \( A3 Y& \' l% Q8 {802.1X：EAP透传认证

准入控制技术之802.1x

. z! g9 j( L; y- i+ |+ F, c5 u; X0 REAP透传认证，又叫做EAP中继认证，这种方式是IEEE 802.1X标准规定的，将EAP（可扩展认证协议）承载在其它高层协议中，如EAP over RADIUS，以便扩展认证协议报文穿越复杂的网络到达认证服务器。一般来说，EAP中继方式需要RADIUS服务器支持EAP属性：EAP-Message和Message-Authenticator，分别用来封装EAP报文及对携带EAP-Message的RADIUS报文进行保护。
EAP透传认证的过程如下：1. EAP客户端发送EAP-Start报文给设备。2. 设备发送EAP-Request/Identity报文给客户端。3. 客户端回应EAP-Response/Identity报文，设备透传报文给RADIUS服务器。4. 设备收到RADIUS挑战报文后，发送EAP挑战报文EAP-Request/MD5-Challenge给客户端。5. 客户端回应EAP-Response/MD5-Challenge报文，设备透传报文给RADIUS服务器。6. 设备认证成功后，通知客户端认证成功，端口打开。7. 客户端在线过程中，设备通过EAP握手报文进行探测客户端是否保持在线。
6 |7 X, Z; B: K; d( I8 E% yEAP 其他协议

目前MD5不再安全，那有什么更好的机制来保证数据的安全性吗？

. e7 W; d) P6 I5 {' w

准入控制技术之802.1x

准入控制技术之802.1x

802.1x协议对比

准入控制技术之802.1x

  i" O6 F7 ~+ V' I5 q准入控制配置部署
( Z; C* @' l5 W

准入控制技术之802.1x

环境介绍：

该网络环境如图所示，某企业中含有以下设备。台式机，哑终端，笔记本以及个人手机PAD。现在要是这些设备都能被安全的接入到网络中。

部署方案：

1. 在接入层/汇聚交换机或者AC开启802.1X功能，通过VLAN、ACL、UCL（敏捷交换机支持）控制权限。

2. 在交换机或者AC上配置FREE-RULE或者Guest VLAN放开认证前域资源。

3. 哑终端采用MAC旁路认证的方式，接入网络。

依赖：

1. PC、笔记本实施802.1X的需安装AnyOffice客户端；手机和PAD当前需要手动配置802.1x参数。

2. 目前哑终端的MAC旁路认证，仅支持HW的交换机。

3. 如果在汇聚侧开启802.1x，接入侧交换机要配置EAP报文透传。

$ m, H( q+ {" m$ D* d配置思路
$ k) x. u2 \8 Z- e

准入控制技术之802.1x

准入控制技术之802.1x

准入控制技术之802.1x

准入控制技术之802.1x

四、根据需求，配置802.1x的其他参数，具体参见设备产品文档。

准入控制技术之802.1x

实验

准入控制技术之802.1x

Sw3:

int vlanif 11

ip add 10.1.11.13 24

Ping 10.1.11.30

Radius-server test

  radius-server authentication 10.1.11.30 1812

  radius-server accounting 10.1.11.30 1813

  radius-server shared-key simple Huawei@123

Radius-server authorization 10.1.11.30 shared-key simple Huawei@123

Aaa

  authentication-scheme test

    authentication-mode radius

  accounting-scheme test

    accounting-mode radius

Domain default_admin

  authentication-scheme test

  accounting-scheme test

  radius-server temple test

Domain  default_admin

Dot1x enable

Dot1x authenation-mode eap

$ h2 u3 @% Y  N6 w3 F6 A( \

Interface e0/0/6

dot1x enable

! J3 k$ G# w" i0 ?

另外还需要到controller上把路由修改下

ip route-static 10.1.13.0 mask 255.255.255.0 10.1.11.13

+ i3 J1 M" Q, z9 e4 V

到controller上创建相应的接入设备以及用户

( B- F9 k: l+ n7 S$ x$ Z% O

准入控制技术之802.1x

% M4 X4 d9 o, [. R: ^+ F+ a测试：
' g# W/ Y* A1 e  C在testpc2上能使用anyoffice登录
/ `, h2 c: F0 I' |$ C, k2 x在sw3上，使用display access-user
             display access-user user-id 19
             display domain
% H) B! M+ [) L优劣特点：
* t0 W/ y" J" B802.1x (优点）
1.部署点低，控制能力强
2.支持哑终端认证
（缺点）
% _/ v6 C$ B8 @2 b8 {. |1.需要客户端
2.控制点低，部署和维护比较复杂

1.部署和维护比较复杂
2.公司交换机不同厂商，不能用脚本刷配置，RADIUS的26属性不通用