柳斌博士论文答辩PPT课件

.,1,使用集中式802.1X构建校园网认证系统,柳斌华中科技大学网络与计算中心运行部2014.8,.,2,802.1X认证体系结构,客户端系统：终端系统通常要安装一个客户端软件，用户通过启动这个客户端软件发起IEEE802.1x协议的认证过程。客户端系统需支持EAPOL（ExtensibleAuthenticationProtocolOverLAN）协议。认证系统：通常为支持IEEE802.1x协议的网络设备，它为客户端提供接入局域网的端口，该端口可以是物理端口，也可以是用户设备的MAC地址、VLAN、IP等逻辑端口。认证服务器通常为RADIUS服务器，该服务器可以存储有关用户的信息，比如用户所属的VLAN、CAR参数、优先级、用户的访问控制列表等等。,.,3,802.1X认证部署方式-分布式部署,可以对用户进行精细化的管理和控制。大量的接入层设备给网络管理和认证管理带来不便。接入交换机作为NAS设备与后台的认证系统联系比较密切，这导致数量众多的接入交换机在购置，更新选型时受制于认证系统。,.,4,802.1X认证部署方式-集中式部署,NAS设备数少，这有利于管理。集中式部署无法对用户终端进行物理的定位,所有认证用户都从一个NASIP（一台汇聚或核心交换机），一个NASport（一个端口）上来.,.,5,解决集中式802.1X模式下终端定位问题,Port+Vlan的方式进行用户终端位置的标识。（port，vlan）二元组表示用户位置SuperVlan每个SubVLAN与普通VLAN具有相同的功能，不同的SubVLAN属于不同的广播域，二层相互隔离无法互访；当SubVLAN需要三层通讯时，依靠SuperVLAN的虚拟接口的IP地址作为网关地址进行寻址转发；SubVLAN间需要互访时，需要通过SuperVLAN下的ARP代理与ND代理来实现互通。基于Port+Vlan的IP地址管理IP地址段的管理（port1，vlan1），（port2，vlan1）,.,6,集中式802.1X在校园网中的部署,.,7,接入设备部署,有线部分：每个与终端相连的端口都配置成Access口，并且每个端口都属于一个VLAN，上联汇聚的端口配置成属于这些VLAN的Trunk口。无线部分：每个AP或者同一区域的多个AP都属于一个VLAN。AP内要求STA之间通信隔离。AC上配置不允许同一个VLAN的AP之间通信。,.,8,核心设备部署,通过SuperVlan作为网关，SuperVlan配置多个IP网段，每个接入的终端属于一个SubVlan，核心不同端口下的终端允许在同一个SubVlan内，这样每个端口都要配置成属于所有SubVlan的trunk口，为了确保这些终端之间二层通信隔离，开启这些端口的二层端口保护功能。,.,9,汇聚设备部署,和核心相连的上链口配置成属于所有SubVLAN的trunk口，而下联接入的端口也配置成Trunk口，并根据接入设备所分配的VLAN范围进行裁剪,.,10,SuperVlan基本配置,SuperVlan配置Vlan161SuperVlanSubVlan561,661；interfaceVLAN161ipaddress10.12.113.254255.255.254.0；,.,11,IP地址管理配置,Ruijie(config)#address-manageRuijie(config-address-manage)#matchip10.1.5.0255.255.255.0Gi5/3Vlan1005来自Gi5/3且Vlan号为1005分配10.1.5.0这段地址。,.,12,802.1X认证配置,aaanew-modelaaaaccountingnetworkdefaultstart-stopgroupradiusaaaauthenticationweb-authdefaultgroupradiusinterfacexxxdot1xport-controlauto,.,13,免认证,方法1：安全通道N18K配置安全通道，基于ACL的方式放行需要免认证的设备。方法2：MAC认证,.,14,运行情况,.,15,上网用户数,.,16,设备信息：,.,17,结论,随着核心设备性能的不断提高，