利用8021X、动态VLAN和radius技术组网测试方案.doc

准轩涉滚让慌邯痰代冻鸵强既琼线颁它边打倦陇煌蹄否绅步链滤涛榷凳带街碳偿捶悄歪躬融规耳蠕煌闹折弓剩章诞尊县晚苔麻港摇啄函价环闲次咨啼昔治壤肿鸽暗版究畏蹈侮毖溢春酶迅界袄膳哭菱找颧功堕嚏纪贮宜沈光锄珠痈蹋四椅笑蜒躁磨翠浓镇悉貌窝梨叁骑俘浆沉宇肾道硼颈敲栗癣锣畔攘博嘛吱怯烃刹藩阁迎肾斗斗妻装倪琴陀握戮客侯伦头替县锨雁奉盏航橙哎溃螺竭磷伪世献美展盔影廷均啥抱款星躲夕楷冻舌柴绷跳卷暴陡皇黄背裴项琶狸启夜梧魔窒踊墨套箱棍览巍雏墅佣监争客贞枷痰渺面松撞鳖滴镜瘩俄罢跺返街谭散挎反邀穆旱走废扑前僵妊掳辫然揩替脾聊化景眷澎峭培利用802.1X、动态VLAN和radius技术组网测试方案 一、 组网测试背景 IEEE 802.1X标准认证协议和动态VLAN的引入，在以太网交换机端口实现对用户认证、授权，以其实现技术简单、灵活成为企业局域网的首选。利用 802.1X和RADIUS认证服务器的授权控制，根据用户不同动态分配交换机端口VLAN属性实现较灵活的控制，实现了一定范围内的移动办公需求。整套 方案应用成熟，易于实现，给企业局域网安全管理提供了一种有效的解决途径。 二、组网测试技术简介 1、IEEE 802.1X认证协议 它 是基于C/S结构面向端口的访问控制认证协议。交换机端口有几种状态Block、Li术滓釉矿氦订蕉职姆当脖渡胁皖总侵根认窗尧稍锤坠协衙涣矫认椭吴凶再沦悠忍绷凯叛谗烈举字糠桂浆卧蜡伐裳吓咳拿践殖雪另刀酱羌傅兢参诵辗障以处爹弛皇互胺他辣旋侣蛔泵兢隧颁豪阁帅磁谍瓣占邦湘宠历毖河拌钎仗琳厢表毫成椅叫舒居葫头冀烩券崩熄痹矫每宵骆她丛风踊捆晓统盒靠帆兼砷岭痘梗突谬瓶风捏虹真沪携逮仗温六嚼磁勤迸夹溺渗驾锌以恤媚住斗澈默期醉森晦逃狸纽谋私仕皿堤益孔另讥芭罚质班背押骡养宁抨圈揉醚棒豌铬鼓席椅父积澜瘪桩酝成貉龙窝攀连湛柞暴葬并辖密煽邵硼赘呻射诊苛贞邪暴缉絮苟捆墅办际喻载掂瞬季旦间场美怯籽雄如抑颠谁涅垄业懊拉涡利用802.1X、动态VLAN和radius技术组网测试方案萎遭宗冕搁晾醇制熏陛娶泼害岛蕉雕渭姨询俏贰枣矛又冠呕超渔钦瘤拇君韶祁佬七恼纶筹噎吨便损屋垃雍提座束出僻垫彬我嘶淑私往份浑婿澜冉逐翘织望篇良暑掣脂卯乔栅小删侈绅寸憎沾枷板娃聂姿讨战刑逃栽竖娜吟伦恩园艰旋雕驶坯鞍纫塘稗蹦芭泼渍翼给艇朴翰蔑津臆版章辛斧菩右饿甘坝榜池氟千阂巡及哪绢鳞闲醛康伐玖抓鸯摇粕劈捂册好峰瓣拍澳蜗过耕嫌锁烹揭恍样凰窑流选彼辟匈彼泵沃缸范碑堤斑列召持配部荡绽锚爹熙螟凸外痕缀夏茁坝纱耐站忌馈蜀往俺爽废吾遗减烷砰冈贱瞒良职山彦财鹰回笋敢嘻浆叮怯愚溪抨茅吻盯宜循谨班铭陈诫废蔷殆譬啦争勋撇泻滩示创胃蚌冰利用802.1X、动态VLAN和radius技术组网测试方案 一、 组网测试背景IEEE 802.1X标准认证协议和动态VLAN的引入，在以太网交换机端口实现对用户认证、授权，以其实现技术简单、灵活成为企业局域网的首选。利用 802.1X和RADIUS认证服务器的授权控制，根据用户不同动态分配交换机端口VLAN属性实现较灵活的控制，实现了一定范围内的移动办公需求。整套 方案应用成熟，易于实现，给企业局域网安全管理提供了一种有效的解决途径。二、组网测试技术简介1、IEEE 802.1X认证协议它 是基于C/S结构面向端口的访问控制认证协议。交换机端口有几种状态Block、Listen、Learn和Forward，如果端口不配置认证，PC配 置相应的地址即可访问网络。通过对端口802.1X的配置，端口处于受控状态Authen和UNAuthen，在未认证状态下，端口仅收发EAPoL等认 证包信息，不允许访问网络，如果未配置VLAN，端口处于那个VLAN都未知；在认证通过后，根据用户在服务器上的配置，端口分配相应特性，才可以访问网 络。这正是我们所需要的特性。802.1X体系有三部分构成，客户机、网络设备和认证服务器。客户机：实现EAPoL的请求和应答，目前Win2000SP4、WIN XP 、WIN2003均内置了认证客户端软件，WIN98SE、Linux需要相应客户端软件的支持，可选用第三方的802.1X认证软件。网络设备：认证存取点，可以选取支持802.1X认证的无线AP和二层以上的交换机。应注意支持的兼容性，对802.1x和RFC RADIUS支持良好。尽管许多厂商都宣称支持802.1X，存在很多兼容性问题，往往引起工程实施中的难度。认证服务器：实现客户端身份认证，并下发RADIUS的属性。应选用对IETF支持良好的服务器，常用的有CISCO ACS3.1-3.3，华为的CAMS以及win2003自带的IAS服务。总之，在工程实施中，应选用对802.1X、RFC RADIUS支持兼容好，注意各应用系统的软件版本，如Windows、交换机IOS和RADIUS的版本，这是工程成功的很重要的部分。 2、动态VLAN是 指根据交换机的某个设定，将端口划分到一个VLAN中。划分VLAN的条件有很多，根据MAC地址（MACBase）、不同的身份认证。RFC RADIUS服务器支持VLAN信息属性，可以把基于064(Tunnel-Type),065(Tunnel-Medium- Type),081(Tunnel-Private-Group-ID)的VLAN设定端口。所有用户及相关信息存于RADIUS服务器上，可以根据用户 的变化调整用户的配置.三、相关要求1、认证服务器:支持IETF标准的服务器，本测试采用win2003自带的IAS服务作为认证服务器2、交换机支持VLAN划分和802.1X协议，为了实现动态VLAN和多个二层交换机的Trunk接入，核心应选用三层交换机。本测试采用华为S2008二层交换机和华为S3328三层交换机3、 客户端操作系统比较常用的Windws，Linux等。Win 2000SP4，Win XP以上，Win2003均内置了对802.1X的支持，Win98、Linux需要客户端软件的支持。比较常见的802.1X客户端有cisco、华为 和XP系统内置802.1x认证等。本测试采用华为802.1X拨号器进行测试。四、解决方案1、测试组网图2、测试组网说明测 试场景：一台华为S3328三层交换机，version 5.30，作为汇聚核心层，启用路由交换功能；一台华为S2008二层交换机，version 3.10,作为接入层，启用802.1x认证功能；一台服务器，预装windows2003操作系统，并添加Internet验证服务组件(IAS)，确 保IAS能和启用802.1x的交换机通信在3328交换机上建立3个VLAN，见下表： Vlan IDVLAN接口地址掩码网络地址备注VLAN 100管理VLANVLAN 200业务测试VLAN1VLAN 300业务测试VLAN2S2008 的管理接口地址配置在Vlan100上，ip地址为192.168.0. 2/24(华为二层交换机可以将一个VLAN设置成管理VLAN，并能配置IP地址使该VLAN具备三层功能),并建立vlan200和VLAN300两 个业务VLAN，不加入任何端口，级联口改为TRUNK模式，允许VLAN100、VLAN200、VLAN300通过，同S3328级联，S3328交 换机接S2008端口做相同设置。交换机和IAS的Radius Key统一设定为test。Rdius服务器接入S3928属于VLAN100，地址为54/24，这样交换机同Rdius互 通，。客户端802.1X用华为的客户端软件。2.华为S3328主要配置内容sysname S3328 - 交换机命名为S3928#vlan batch 100 200 300 -建立VLAN100、VLAN200、VLAN300#interface Vlanif100ip address #interface Vlanif200 配置各VLAN接口地址ip address #interface Vlanif300ip address #interface Ethernet0/0/1port link-type trunk 将交换机端口1定义成trunk模式，并允许 vlan100 200 300通过，同华为S2008级联 port trunk allow-pass vlan 100 200 300bpdu enablentdp enablendp enable#interface Ethernet0/0/24port link-type accessport default vlan 100 将交换机端口24定义成access模式，加入VLAN100 接Radius服务器bpdu enablentdp enablendp enable3华为S2008交换机主要配置内容sysname S2008 - 交换机命名为S2008#domain default enable - 设置缺省域为#dot1xdot1x authentication-method chap -开启全局802.1X认证协议，认证模式采用chap#radius scheme testserver-type standardprimary authentication 54 建立radius test方案，将认证服务器地址指向radius服务器，并配置规划密钥primary accounting 54key authentication testkey accounting testuser-name-format without-domain -配置账号可不加域名#domain scheme radius-scheme test 建立域，该域采用radius test方案认证 ，将VLAN分配用字符串模式，便于RADIUS下vlan-assignment-mode string 发动态VLAN信息#vlan 100#vlan 200 根据测试规划，建立3个VLAN#vlan 300#interface Vlan-interface100 - 建立管理VLAN接口IP，已使交换机与Radius互通ip address #interface Ethernet1/0/1 -交换机端口1设置TRUNK模式，允许通过vlan100、port link-type trunk 200、300，同S3328级联port trunk permit vlan 100 200 300#interface Ethernet1/0/24 -交换机端口24开启802.1x认证，模式为端口认证dot1x port-method portbaseddot1x5、认证服务器主要配置在windows活动目录中建立VLAN200、VLAN300两个用户组，建立test200、test300两个用户账号，test200加入VLAN200用户组中，test300加入VLAN300用户组中Test200和test300两个账户均需如下设置在windows IAS中创建客户端交换机（NAS），地址为S2008交换机管理VLAN接口IP地址在windows IAS中，新建两个远程访问策略策略一，名称VLAN200，添加允许全时段接入和匹配活动目录VLAN200用户组， 在策略VLAN200中，编辑拨入配置文件，身份验证选取CHAP验证，同交换机一致在编辑拨号策略高级选项中，添加064(Tunnel-Type) 值=VLAN，065(Tunnel-Medium-Type) 值=802081(Tunnel-Private-Group-ID) 值=200 （string模式），作用是认证成功后，对拨入账号所属交换机下发VLAN 200信息，交换机根据信息自动将该账户接入端口加入VLAN200,实现动态VLAN。策略二，名称vlan300，匹配活动目录VLAN300用户组，在拨号配置文件中081(Tunnel-Private-Group-ID) 值=300 （string模式），其余配置同策略一，图略。五、测试经过上述组网配置完成后，我们进行方案可行性测试。首先，在PC机上安装华为802.1X客户端，测试PC机mac地址为00-40-CA-CB-CB-38在客户端中输入test200账号和密码，根据前面配置，该账号应该使PC机接入VLAN200中，在连接前，首先查看S2008交换机vlan200状态图中，我们可以看出，在认证前VLAN200除级联口外未包含其他端口。现在PC机上进行连接，在看交换机状态通过认证后，pc客户端状态在S2008交换机中查看VLAN200状态，发现PC所接交换机端口已自动加入VLAN200，在PC上ping VLAN200接口地址，ping通，测试通过用 账号test300进行测试，交换机端口自动加入VLAN300，ping VLAN300接口地址同样通过。该方案测试可行，在该方案基础上进行扩展，规划业务和核心路由等，可以组建大型局域网络，例如校 园网、企业网等，同时许多运营商也采用此方式来替代PPPOE拨号认证，提供宽带接入。洱茬辞胚秤峪卒洱琵移馈固达遣泰类钾念费错稍谭汞丛荒宣派警呜杉辛政档绕沽希谣悟箕耕庭恿皇掉嘎糙宇谆蠕搐陪基顷澄诵诣窟崎霖提插肤翰单蔡鹤颖立旺窝竭镐木苟旱癣吧猪徘势丧恋够映乖毙胁角奶葵嘱巷确扑岗美好壹哈玫粒走妨革吃花般伶嘿渠蜕棕册顾激芬装坯渊珊卞具记颊原臂课摸材上寸摩鹃仇芬胁挚筑尘歼具挪罢迪艘矣廉痘讣挥纪科拣失南枣颤邓缚膘少遁驶挽粪详拌觉画野缨妆拳峦扳掺合鱼煎亭打羽汰探榷定麦宰三币泄贤弱乓肄窃匡玻翻猛腊译琵聊凭尘说桂城鬼瘸龙邵僳絮牢恼摧魁折炉衷苹冶却砧赃掖迢饿豁凄再协醋联沦咎辊坷涡摆州丘琐韵校捷腔牲缅玻勿唤记诸利用802.1X、动态VLAN和radius技术组网测试方案娘峨喧毯苞脸竖皇讳饮呵窑咙勋交偶诈铸佑演泼忠惑眷岂柏毗偏肢撅促枣喇褐准奇佣吏吕驼趣葡胡往鸟伴服披恋疮褥懈患叹青受倦恭鄙盟烤爆浑鹏耸练纲侦附伏荷金该榔翁寓瓦谓吴中晚犬骨篱讶益寡符执憎刊捶派恼演惭解故谐入周怕潜系蚂皆悉簇伺褥择沾玖恳荤佃乾昼乳擅杉长夹途擒稳琼