实验三十四使用RADIUS协议来实现AAA

实验三十四：使用RADIUS协议来实现AAA一、理论基础IEEE802.1x标准（以下简称802.1x）的主要内容是一种基于端口的网络接入控制（PortBasedNetworkAccessControl）协议。“基于端口的网络接入控制”是指在局域网接入控制设备的端口这一级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源——相当于连接被物理断开。802.1x提供了一个用户身份认证的实现方案，但是仅仅依靠802.1x是不足以实现该方案的，接入设备的管理者还要对AAA方法进行配置，选择使用RADIUS或本地认证方法，以配合802.1x完成用户的身份认证。AAA是Authentication，AuthorizationandAccounting（认证、授权和计费）的简称，它提供了一个用来对认证、授权和计费这三种安全功能进行配置的一致性框架，它是对网络安全的一种管理。其中，认证指的是验证用户是否可获得访问权，授权指的是授权用户可使用哪些服务，计费指的是记录用户使用网络资源的情况。它对网络安全的访问控制包含如下内容：哪些用户可以访问网络服务器？具有访问权的用户可以得到哪些服务？如何对正在使用网络资源的用户进行计费？AAA是一种管理框架，因此，它可以用多种协议来实现。在实践中，人们最常使用RADIUS协议来实现AAA。RADIUS是RemoteAuthenticationDial-InUserService（远程认证拨号用户服务）的简称，最初由LivingstonEnterprise公司开发，能保护网络不受未授权访问的干扰，作为一种分布式的客户机/服务器系统，能提供AAA功能。常被应用在既要求较高安全性、又要求维持远程用户访问的各种网络环境中。RADIUS服务包括三个组成部分：协议、服务器、客户端。RADIUS客户端将把用户的认证、授权和计费请求传递给RADIUS服务器。RADIUS服务器上有一个用户数据库，其中包含了所有的用户认证和网络服务访问信息。RADIUS服务器将在接收到NAS传来的用户请求后，通过对用户数据库的查找、更新，完成相应的认证、授权和计费工作，并把用户所需的配置信息和计费统计数据返回给NAS。在这里，NAS起到了控制接入用户及对应连接的作用，NAS（如路由器、交换机）作为RADIUS客户端，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接入/挂断用户）。而RADIUS协议则规定了NAS与RADIUS服务器之间如何传递用户配置信息和计费信息。在一个AAA/RADIUS框架中，Quidway系列交换机是可以作为用户接入设备即NAS。NAS和RADIUS之间信息的交互是通过将信息承载在UDP报文中来完成的。NAS和RADIUS之间通过共享密钥认证相互间交互的消息，用户密码采用密文方式在网络上传输，以保证用户的配置信息（如密码）被加密后才在网络上传递，从而避免它们被侦听、窃取。二、实验案例1、拓扑结构图：2、配置说明：客户端client的IP地址：192.168.2.15（连接Switch的E0/8）RADIUS服务端server的IP地址：192.168.2.146。Switch的管理地址：192.168.2.200。所有AAA接入用户都属于一个缺省的域：sunkecisco.com设置系统与RADIUS认证、计费服务器交互报文时的加密密码为“djw”。本地802.1x接入用户的用户名为sunke，密码为sunke。3、具体配置：交换机的配置：[Quidway]sysSwitch[Switch]radiusschemesunkeNewRadiusserver[Switch-radius-sunke]accountingoptional[Switch-radius-sunke]primaryaccounting192.168.2.1461814（设置计费RADIUS服务器的IP地址）[Switch-radius-sunke]primaryauthentication192.168.2.1461815（设置认证RADIUS服务器的IP地址）[Switch-radius-sunke]keyaccountingdjw（设置系统与计费RADIUS服务器交互报文时的加密密码）[Switch-radius-sunke]keyauthenticationdjw（设置交换机与认证RADIUS服务器交互报文时的加密密码）[Switch-radius-sunke]user-name-formatwithout-domain（指示系统从用户名中去除用户域名后再将之传给RADIUS服务器）[Switch-radius-sunke]server-typestandard（此时改为如下验证类型也行[Switch-radius-sunke]server-typehuawei）[Switch]intvlan1[Switch-Vlan-interface1]%Apr200:06:562000SwitchL2INF/5/VLANIFLINKSTATUSCHANGE:Vlan-interface1:turnsintoUPstate[Switch-Vlan-interface1]ipaddress192.168.2.200255.255.255.0[Switch-Vlan-interface1]%Apr200:07:082000SwitchIFNET/5/UPDOWN:LineprotocolontheinterfaceVlan-interface1turnsintoUPstate[Switch]domainsunkecisco.com（创建用户域sunkecisco.com并进入其视图）NewDomainadded.[Switch-isp-sunkecisco.com]radius-schemesunke（指定sunke为该域用户的RADIUS方案）[Switch]domaindefaultenablesunkecisco.com[Switch]dot1x（开启全局802.1x特性）802.1xisenabledglobally[Switch]inte0/8[Switch-Ethernet0/8]dot1x（开启指定端口Ethernet0/8的802.1x特性）802.1xisenabledonportEthernet0/8[Switch]discursysnameSwitchradiusschemesystemserver-typehuaweiprimaryauthentication127.0.0.11645primaryaccounting127.0.0.11646user-name-formatwithout-domainradiusschemesunkeprimaryauthentication192.168.2.1461815primaryaccounting192.168.2.1461814accountingoptionalkeyauthenticationdjwkeyaccountingdjwuser-name-formatwithout-domaindomainsunkecisco.comradius-schemesunkeaccess-limitdisablestateactivevlan-assignment-modeintegeridle-cutdisableself-service-urldisablemessengertimedisabledomainsystemradius-schemesystemaccess-limitdisablestateactivevlan-assignment-modeintegeridle-cutdisableself-service-urldisablemessengertimedisabledomaindefaultenablesunkecisco.comlocal-servernas-ip127.0.0.1keyhuaweidot1xqueue-schedulerwrr1248vlan1interfaceVlan-interface1ipaddress192.168.2.200255.255.255.0interfaceAux0/0interfaceEthernet0/1interfaceEthernet0/2interfaceEthernet0/3interfaceEthernet0/4interfaceEthernet0/5interfaceEthernet0/6interfaceEthernet0/7interfaceEthernet0/8dot1xinterfaceNULL0user-interfaceaux0user-interfacevty04return客户端运行软件：华为802.1X认证客户端。（软件显示图）RADIUS服务端（192.168.2.146）运行的软件：WinRadius(服务端参数设置图)三、实验总结验证通过后时，Server显示图：验证通过后时交换机的显示结果：[Switch]#Apr200:11:592000Switch8021X/2/AUTH_SUCCEED:Trap1.3.6.1.4.1.2011.5.22.1.0.2AuthenticationsucceedPort:Ethernet0/8MACAddr:0011-0949-41bd.