实验三十四使用RADIUS协议来实现AAA

1、实验三十四 ：使用RADIUS 协议来实现AAA一、 理论基础IEEE 802.1x 标准（以下简称802.1x）的主要内容是一种基于端口的网络接入控制（Port Based Network Access Control）协议。“基于端口的网络接入控制”是指在局域网接入控制设备的端口这一级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源相当于连接被物理断开。802.1x 提供了一个用户身份认证的实现方案，但是仅仅依靠802.1x 是不足以实现该方案的，接入设备的管理者还要对AAA 方法进行配置，选择使用RA

2、DIUS 或本地认证方法，以配合802.1x 完成用户的身份认证。AAA是Authentication，Authorization and Accounting（认证、授权和计费）的简称，它提供了一个用来对认证、授权和计费这三种安全功能进行配置的一致性框架，它是对网络安全的一种管理。其中，认证指的是验证用户是否可获得访问权，授权指的是授权用户可使用哪些服务，计费指的是记录用户使用网络资源的情况。它对网络安全的访问控制包含如下内容：哪些用户可以访问网络服务器？具有访问权的用户可以得到哪些服务？如何对正在使用网络资源的用户进行计费？AAA 是一种管理框架，因此，它可以用多种协议来实现。在实践中，人

3、们最常使用RADIUS 协议来实现AAA。RADIUS 是Remote Authentication Dial-In User Service（远程认证拨号用户服务）的简称，最初由Livingston Enterprise公司开发，能保护网络不受未授权访问的干扰，作为一种分布式的客户机/服务器系统，能提供AAA功能。常被应用在既要求较高安全性、又要求维持远程用户访问的各种网络环境中。RADIUS服务包括三个组成部分：协议、服务器、 客户端。RADIUS 客户端将把用户的认证、授权和计费请求传递给RADIUS 服务器。RADIUS 服务器上有一个用户数据库，其中包含了所有的用户认证和网络服务访问

4、信息。RADIUS 服务器将在接收到NAS 传来的用户请求后，通过对用户数据库的查找、更新，完成相应的认证、授权和计费工作，并把用户所需的配置信息和计费统计数据返回给NAS。在这里，NAS 起到了控制接入用户及对应连接的作用，NAS（如路由器、交换机）作为RADIUS客户端，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理（如接入/挂断用户）。而RADIUS 协议则规定了NAS 与RADIUS 服务器之间如何传递用户配置信息和计费信息。在一个AAA/RADIUS 框架中，Quidway 系列交换机是可以作为用户接入设备即NAS。NAS 和RADIUS 之间信息

5、的交互是通过将信息承载在UDP 报文中来完成的。NAS 和RADIUS之间通过共享密钥认证相互间交互的消息，用户密码采用密文方式在网络上传输，以保证用户的配置信息（如密码）被加密后才在网络上传递，从而避免它们被侦听、窃取。二、 实验案例1、拓扑结构图：2、配置说明：客户端client的IP地址：192.168.2.15（连接Switch的E0/8）。Switch的管理地址：。所有AAA 接入用户都属于一个缺省的域： 设置系统与RADIUS 认证、计费服务器交互报文时的加密密码为“djw”。本地802.1x 接入用户的用户名为sunke，密码为sunke。 3、具体配置：交换机的配置：Quidw

6、aysys Switch Switchradius scheme sunkeNew Radius server Switch-radius-sunkeaccounting optional Switch-radius-sunkeprimary accounting 192.168.2.146 1814（设置计费RADIUS 服务器的IP 地址）Switch-radius-sunkeprimary authentication 192.168.2.146 1815（设置认证RADIUS 服务器的IP 地址）Switch-radius-sunkekey accounting djw（设置系统与计费

7、RADIUS 服务器交互报文时的加密密码）Switch-radius-sunkekey authentication djw（设置交换机与认证RADIUS 服务器交互报文时的加密密码）Switch-radius-sunkeuser-name-format without-domain（指示系统从用户名中去除用户域名后再将之传给RADIUS 服务器）Switch-radius-sunkeserver-type standard（此时改为如下验证类型也行Switch-radius-sunkeserver-type huawei） Switchint vlan 1Switch-Vlan-interf

8、ace1%Apr 2 00:06:56 2000 Switch L2INF/5/VLANIF LINK STATUS CHANGE: Vlan-interface1: turns into UP stateSwitch-Vlan-interface1%Apr 2 00:07:08 2000 Switch IFNET/5/UPDOWN:Line protocol on the interface Vlan-interface1 turns into UP state Switchdomain （创建用户域并进入其视图）New Domain added. Switch-isp-radius-sch

9、eme sunke（指定sunke为该域用户的RADIUS 方案）Switchdomain default enable Switchdot1x（开启全局802.1x 特性）802.1x is enabled globallySwitchint e0/8 Switch-Ethernet0/8dot1x（开启指定端口Ethernet 0/8 的802.1x 特性） 802.1x is enabled on port Ethernet0/8Switchdis cur sysname Switchradius scheme system server-type huawei primary auth

10、entication 127.0.0.1 1645 primary accounting 127.0.0.1 1646 user-name-format without-domainradius scheme sunke primary authentication 192.168.2.146 1815 primary accounting 192.168.2.146 1814 accounting optional key authentication djw key accounting djw user-name-format without-domaindomain radius-sc

11、heme sunke access-limit disable state active vlan-assignment-mode integer idle-cut disable self-service-url disable messenger time disabledomain system radius-scheme system access-limit disable state active vlan-assignment-mode integer idle-cut disable self-service-url disable messenger time disable

12、domain default enable local-server nas-ip 127.0.0.1 key huawei dot1x queue-scheduler wrr 1 2 4 8vlan 1interface Vlan-interface1interface Aux0/0interface Ethernet0/1interface Ethernet0/2interface Ethernet0/3interface Ethernet0/4interface Ethernet0/5interface Ethernet0/6interface Ethernet0/7interface Ethernet0/8 dot1xinterface NULL0user-interface aux 0user-interface vty 0 4return客户端运行软件：华为802.1X认证客户端。（软件显示图）RADIUS服务端（192.168.