實訓4-3Radius認證服務(wù)器的配置.ppt

第1章交換機安全配置實訓4 3 Radius認證服務(wù)器的配置 學時 本次課要點 學習目標重點難點 實訓目的 掌握安裝RADIUS服務(wù)器掌握遠程訪問策略的配置掌握RADIUS客戶端的創(chuàng)建學會在交換機上配置AAA認證 并能查看配置結(jié)果學會在客戶端建立802 1x認證接入 實訓背景 某企業(yè)要求用戶在連接到網(wǎng)絡(luò)之前需要輸入用戶名和密碼 只有合法用戶才能連接到企業(yè)網(wǎng)絡(luò) 防止非法用戶竊取企業(yè)信息或?qū)W(wǎng)絡(luò)進行攻擊 802 1x協(xié)議是基于Client Server的訪問控制和認證協(xié)議 它可以限制未經(jīng)授權(quán)的用戶 設(shè)備通過接入端口訪問局域網(wǎng)或廣域網(wǎng) 在獲得交換機或局域網(wǎng)提供的各種業(yè)務(wù)之前 802 1x對連接到交換機端口上的用戶 設(shè)備進行認證 在認證通過之前 802 1x只允許EAPoL 基于局域網(wǎng)的擴展認證協(xié)議 數(shù)據(jù)通過設(shè)備連接的交換機端口 認證通過以后 正常的數(shù)據(jù)可以順利地通過以太網(wǎng)端口 實訓拓撲 實訓設(shè)備 實訓步驟 1 安裝RADIUS服務(wù)器2 修改密碼策略3 創(chuàng)建用戶賬戶4 設(shè)置遠程訪問策略5 創(chuàng)建RADIUS客戶端6 在交換機上啟用認證機制7 測試802 1x認證接入8 在交換機上查詢配置結(jié)果 1 安裝RADIUS服務(wù)器 1 安裝RADIUS服務(wù)器 如果這臺計算機是一臺WindowsServer2003的獨立服務(wù)器 未升級成為域控制器 也未加入域 則可以利用SAM來管理用戶賬戶信息 如果是一臺WindowsServer2003域控制器 則利用活動目錄數(shù)據(jù)庫來管理用戶賬戶信息 雖然活動目錄數(shù)據(jù)庫管理用戶賬戶信息要比利用SAM來安全 穩(wěn)定 但RADIUS服務(wù)器提供的認證功能相同 為便于實訓 下面以一臺運行WindowsServer2003的獨立服務(wù)器為例進行介紹 該計算機的IP地址為192 168 1 200 1 安裝RADIUS服務(wù)器 1 選擇 開始 控制面板 添加或刪除程序 菜單 在打開的對話框中選擇 添加 刪除Windows組件 如所示 1 安裝RADIUS服務(wù)器 2 選擇 網(wǎng)絡(luò)服務(wù) 組件 單擊按鈕 打開 網(wǎng)絡(luò)服務(wù) 對話框 如所示 1 安裝RADIUS服務(wù)器 3 選中 Internet驗證服務(wù) 子組件 單擊按鈕 然后單擊按鈕進行安裝 如所示 4 選擇 開始 管理工具 Internet驗證服務(wù) 菜單 顯示 Internet驗證服務(wù) 窗口 如所示 2 修改密碼策略 2 修改密碼策略 1 選擇 開始 管理工具 本地安全策略 菜單 打開 本地安全設(shè)置 窗口 依次選擇 賬戶策略 密碼策略 啟用 用可還原的加密來儲存密碼 策略項 如所示 3 創(chuàng)建用戶賬戶 3 創(chuàng)建用戶賬戶 RADIUS服務(wù)器安裝好之后 需要為所有通過認證才能夠訪問網(wǎng)絡(luò)的用戶在RADIUS服務(wù)器中創(chuàng)建賬戶 這樣 當用戶的計算機連接到啟用了端口認證功能的交換機上的端口上時 啟用了IEEE802 1x認證功能的客戶端計算機需要用戶輸入正確的賬戶和密碼后 才能夠訪問網(wǎng)絡(luò)中的資源 3 創(chuàng)建用戶賬戶 1 選擇 開始 管理工具 計算機管理 菜單 打開 計算機管理 窗口 為了方便管理 我們創(chuàng)建一個用戶組 8021x 專門用于管理需要經(jīng)過IEEE802 1x認證的用戶賬戶 選擇 計算機管理 本地 系統(tǒng)工具 本地用戶和組 組 右擊 組 選擇 新建組 菜單 輸入組名 如所示 3 創(chuàng)建用戶賬戶 2 右擊 用戶 選擇 新用戶 菜單 輸入用戶名和密碼 如所示 3 創(chuàng)建用戶賬戶 3 右擊用戶 tongjun 選擇 屬性 菜單 打開 屬性 對話框 選擇 隸屬于 標簽 單擊按鈕 然后將其加入 802 1x 用戶組中 結(jié)果如所示 4 設(shè)置遠程訪問策略 4 設(shè)置遠程訪問策略 在RADIUS服務(wù)器的 Internet驗證服務(wù) 窗口中 需要為交換機以及通過該交換機進行認證的用戶設(shè)置遠程訪問策略 具體方法如下 1 選擇 開始 管理工具 Internet驗證服務(wù) 菜單 右擊 遠程訪問策略 選擇 新建遠程訪問策略 菜單 如所示 4 設(shè)置遠程訪問策略 2 在 策略配置方法 窗口 選擇配置方式為 使用向?qū)Ｊ?輸入 策略名 如所示 4 設(shè)置遠程訪問策略 3 在 訪問方法 窗口 選擇訪問方法為 以太網(wǎng) 如所示 4 設(shè)置遠程訪問策略 4 在 用戶或組訪問 窗口 選擇授權(quán)方式 將之前添加的 802 1x 用戶組加入許可列表 如所示 4 設(shè)置遠程訪問策略 5 在 身份驗證方法 窗口 選擇身份驗證方法為 MD5 質(zhì)詢 如所示 4 設(shè)置遠程訪問策略 6 確認設(shè)置 單擊按鈕 完成策略的配置 如所示 4 設(shè)置遠程訪問策略 7 在 Internet驗證服務(wù) 窗口 刪掉其它的策略 只保留新建的訪問策略 如所示 5 創(chuàng)建RADIUS客戶端 5 創(chuàng)建RADIUS客戶端 RADIUS客戶端 是指本實訓中的交換機設(shè)備 在實際應(yīng)用中也可以是VPN服務(wù)器 無線AP等 而不是用戶端的計算機 RADIUS服務(wù)器只會接受由RADIUS客戶端設(shè)備發(fā)過來的請求 為此需要在RADIUS服務(wù)器上來指定RADIUS客戶端 1 在 Internet驗證服務(wù) 窗口 右擊 RADIUS客戶端 選擇 新建RADIUS客戶端 菜單 如所示 5 創(chuàng)建RADIUS客戶端 2 在 名稱和地址 窗口 設(shè)置RADIUS客戶端的名稱和IP地址 客戶端IP地址即交換機的管理IP地址 我們這里是192 168 1 254 如所示 5 創(chuàng)建RADIUS客戶端 3 在 其他信息 窗口 設(shè)置共享密鑰和認證方式 認證方式選擇 RADIUSStandard 要記住密鑰 后面配置交換機的密鑰要保持一致 如所示 5 創(chuàng)建RADIUS客戶端 4 配置完成后 在 Internet驗證服務(wù) 窗口 會顯示已創(chuàng)建的RADIUS客戶端 如所示 6 在交換機上啟用認證機制 6 在交換機上啟用認證機制 1 在交換機上啟用AAA認證SW config aaanew model 啟用AAA認證 SW config aaaauthenticationdot1xruijiegroupradius 啟用dot1x認證 SW config dot1xauthenticationruijieSW config interfacevlan1SW config if ipaddress192 168 1 254255 255 255 0SW config if exit 6 在交換機上啟用認證機制 2 指定RADIUS服務(wù)器的IP地址和交換機與RADIUS服務(wù)器之間的共享密鑰 此處配置的密鑰要與RADIUS服務(wù)器上配置的一致 SW config radius serverhost192 168 1 200SW config radius serverkeycqcet 3 啟用F0 24端口的802 1x認證SW config interfacefastEthernet0 3SW config if dot1xport controlauto 7 測試802 1x認證接入 7 測試802 1x認證接入 1 將要進行認證接入的計算機接入交換機的FastEthernet0 3端口 設(shè)置IP地址為192 168 1 1 隨便設(shè)置 只要不跟認證服務(wù)器IP及交換機管理IP沖突即可 2 為保證計算機支持802 1x驗證 請確認 WirelessConfiguration 服務(wù)正常開啟 如所示 7 測試802 1x認證接入 3 右擊桌面上的 網(wǎng)上鄰居 選擇 屬性 菜單 進入 網(wǎng)絡(luò)連接 窗口 如所示 7 測試802 1x認證接入 4 右擊 本地連接 選擇 屬性 菜單 在打開的窗口中選擇 身份驗證 標簽 選中 啟用IEEE802 1x驗證 EAP類型設(shè)置為 MD5 質(zhì)詢 如所示 7 測試802 1x認證接入 5 單擊按鈕 過一會即可看到任務(wù)欄右側(cè)的托盤信息 如所示 7 測試802 1x認證接入 6 單擊該信息提示 打開 輸入憑據(jù) 窗口 要求輸入用戶名和密碼 這里我們輸入之前配置的用戶名和密碼 單擊按鈕 7 測試802 1x認證接入 7 驗證成功后能夠ping通服務(wù)器 同時可以觀察到交換機FastEthernet0 3端口指示燈已經(jīng)由黃色變?yōu)榫G色 8 選擇 開始 管理工具 事件查看器 菜單 選擇 系統(tǒng) 雙擊右側(cè)的事件 可找到802 1x的驗證日志 如所示 8 在交換機上查詢配置結(jié)果 8 在交換機上查詢配置結(jié)果 1 查詢radi