實(shí)訓(xùn)4-3Radius認(rèn)證服務(wù)器的配置.ppt

第1章交換機(jī)安全配置實(shí)訓(xùn)4 3 Radius認(rèn)證服務(wù)器的配置 學(xué)時(shí) 本次課要點(diǎn) 學(xué)習(xí)目標(biāo)重點(diǎn)難點(diǎn) 實(shí)訓(xùn)目的 掌握安裝RADIUS服務(wù)器掌握遠(yuǎn)程訪問策略的配置掌握RADIUS客戶端的創(chuàng)建學(xué)會在交換機(jī)上配置AAA認(rèn)證 并能查看配置結(jié)果學(xué)會在客戶端建立802 1x認(rèn)證接入 實(shí)訓(xùn)背景 某企業(yè)要求用戶在連接到網(wǎng)絡(luò)之前需要輸入用戶名和密碼 只有合法用戶才能連接到企業(yè)網(wǎng)絡(luò) 防止非法用戶竊取企業(yè)信息或?qū)W(wǎng)絡(luò)進(jìn)行攻擊 802 1x協(xié)議是基于Client Server的訪問控制和認(rèn)證協(xié)議 它可以限制未經(jīng)授權(quán)的用戶 設(shè)備通過接入端口訪問局域網(wǎng)或廣域網(wǎng) 在獲得交換機(jī)或局域網(wǎng)提供的各種業(yè)務(wù)之前 802 1x對連接到交換機(jī)端口上的用戶 設(shè)備進(jìn)行認(rèn)證 在認(rèn)證通過之前 802 1x只允許EAPoL 基于局域網(wǎng)的擴(kuò)展認(rèn)證協(xié)議 數(shù)據(jù)通過設(shè)備連接的交換機(jī)端口 認(rèn)證通過以后 正常的數(shù)據(jù)可以順利地通過以太網(wǎng)端口 實(shí)訓(xùn)拓?fù)?實(shí)訓(xùn)設(shè)備 實(shí)訓(xùn)步驟 1 安裝RADIUS服務(wù)器2 修改密碼策略3 創(chuàng)建用戶賬戶4 設(shè)置遠(yuǎn)程訪問策略5 創(chuàng)建RADIUS客戶端6 在交換機(jī)上啟用認(rèn)證機(jī)制7 測試802 1x認(rèn)證接入8 在交換機(jī)上查詢配置結(jié)果 1 安裝RADIUS服務(wù)器 1 安裝RADIUS服務(wù)器 如果這臺計(jì)算機(jī)是一臺WindowsServer2003的獨(dú)立服務(wù)器 未升級成為域控制器 也未加入域 則可以利用SAM來管理用戶賬戶信息 如果是一臺WindowsServer2003域控制器 則利用活動目錄數(shù)據(jù)庫來管理用戶賬戶信息 雖然活動目錄數(shù)據(jù)庫管理用戶賬戶信息要比利用SAM來安全 穩(wěn)定 但RADIUS服務(wù)器提供的認(rèn)證功能相同 為便于實(shí)訓(xùn) 下面以一臺運(yùn)行WindowsServer2003的獨(dú)立服務(wù)器為例進(jìn)行介紹 該計(jì)算機(jī)的IP地址為192 168 1 200 1 安裝RADIUS服務(wù)器 1 選擇 開始 控制面板 添加或刪除程序 菜單 在打開的對話框中選擇 添加 刪除Windows組件 如所示 1 安裝RADIUS服務(wù)器 2 選擇 網(wǎng)絡(luò)服務(wù) 組件 單擊按鈕 打開 網(wǎng)絡(luò)服務(wù) 對話框 如所示 1 安裝RADIUS服務(wù)器 3 選中 Internet驗(yàn)證服務(wù) 子組件 單擊按鈕 然后單擊按鈕進(jìn)行安裝 如所示 4 選擇 開始 管理工具 Internet驗(yàn)證服務(wù) 菜單 顯示 Internet驗(yàn)證服務(wù) 窗口 如所示 2 修改密碼策略 2 修改密碼策略 1 選擇 開始 管理工具 本地安全策略 菜單 打開 本地安全設(shè)置 窗口 依次選擇 賬戶策略 密碼策略 啟用 用可還原的加密來儲存密碼 策略項(xiàng) 如所示 3 創(chuàng)建用戶賬戶 3 創(chuàng)建用戶賬戶 RADIUS服務(wù)器安裝好之后 需要為所有通過認(rèn)證才能夠訪問網(wǎng)絡(luò)的用戶在RADIUS服務(wù)器中創(chuàng)建賬戶 這樣 當(dāng)用戶的計(jì)算機(jī)連接到啟用了端口認(rèn)證功能的交換機(jī)上的端口上時(shí) 啟用了IEEE802 1x認(rèn)證功能的客戶端計(jì)算機(jī)需要用戶輸入正確的賬戶和密碼后 才能夠訪問網(wǎng)絡(luò)中的資源 3 創(chuàng)建用戶賬戶 1 選擇 開始 管理工具 計(jì)算機(jī)管理 菜單 打開 計(jì)算機(jī)管理 窗口 為了方便管理 我們創(chuàng)建一個(gè)用戶組 8021x 專門用于管理需要經(jīng)過IEEE802 1x認(rèn)證的用戶賬戶 選擇 計(jì)算機(jī)管理 本地 系統(tǒng)工具 本地用戶和組 組 右擊 組 選擇 新建組 菜單 輸入組名 如所示 3 創(chuàng)建用戶賬戶 2 右擊 用戶 選擇 新用戶 菜單 輸入用戶名和密碼 如所示 3 創(chuàng)建用戶賬戶 3 右擊用戶 tongjun 選擇 屬性 菜單 打開 屬性 對話框 選擇 隸屬于 標(biāo)簽 單擊按鈕 然后將其加入 802 1x 用戶組中 結(jié)果如所示 4 設(shè)置遠(yuǎn)程訪問策略 4 設(shè)置遠(yuǎn)程訪問策略 在RADIUS服務(wù)器的 Internet驗(yàn)證服務(wù) 窗口中 需要為交換機(jī)以及通過該交換機(jī)進(jìn)行認(rèn)證的用戶設(shè)置遠(yuǎn)程訪問策略 具體方法如下 1 選擇 開始 管理工具 Internet驗(yàn)證服務(wù) 菜單 右擊 遠(yuǎn)程訪問策略 選擇 新建遠(yuǎn)程訪問策略 菜單 如所示 4 設(shè)置遠(yuǎn)程訪問策略 2 在 策略配置方法 窗口 選擇配置方式為 使用向?qū)Ｊ?輸入 策略名 如所示 4 設(shè)置遠(yuǎn)程訪問策略 3 在 訪問方法 窗口 選擇訪問方法為 以太網(wǎng) 如所示 4 設(shè)置遠(yuǎn)程訪問策略 4 在 用戶或組訪問 窗口 選擇授權(quán)方式 將之前添加的 802 1x 用戶組加入許可列表 如所示 4 設(shè)置遠(yuǎn)程訪問策略 5 在 身份驗(yàn)證方法 窗口 選擇身份驗(yàn)證方法為 MD5 質(zhì)詢 如所示 4 設(shè)置遠(yuǎn)程訪問策略 6 確認(rèn)設(shè)置 單擊按鈕 完成策略的配置 如所示 4 設(shè)置遠(yuǎn)程訪問策略 7 在 Internet驗(yàn)證服務(wù) 窗口 刪掉其它的策略 只保留新建的訪問策略 如所示 5 創(chuàng)建RADIUS客戶端 5 創(chuàng)建RADIUS客戶端 RADIUS客戶端 是指本實(shí)訓(xùn)中的交換機(jī)設(shè)備 在實(shí)際應(yīng)用中也可以是VPN服務(wù)器 無線AP等 而不是用戶端的計(jì)算機(jī) RADIUS服務(wù)器只會接受由RADIUS客戶端設(shè)備發(fā)過來的請求 為此需要在RADIUS服務(wù)器上來指定RADIUS客戶端 1 在 Internet驗(yàn)證服務(wù) 窗口 右擊 RADIUS客戶端 選擇 新建RADIUS客戶端 菜單 如所示 5 創(chuàng)建RADIUS客戶端 2 在 名稱和地址 窗口 設(shè)置RADIUS客戶端的名稱和IP地址 客戶端IP地址即交換機(jī)的管理IP地址 我們這里是192 168 1 254 如所示 5 創(chuàng)建RADIUS客戶端 3 在 其他信息 窗口 設(shè)置共享密鑰和認(rèn)證方式 認(rèn)證方式選擇 RADIUSStandard 要記住密鑰 后面配置交換機(jī)的密鑰要保持一致 如所示 5 創(chuàng)建RADIUS客戶端 4 配置完成后 在 Internet驗(yàn)證服務(wù) 窗口 會顯示已創(chuàng)建的RADIUS客戶端 如所示 6 在交換機(jī)上啟用認(rèn)證機(jī)制 6 在交換機(jī)上啟用認(rèn)證機(jī)制 1 在交換機(jī)上啟用AAA認(rèn)證SW config aaanew model 啟用AAA認(rèn)證 SW config aaaauthenticationdot1xruijiegroupradius 啟用dot1x認(rèn)證 SW config dot1xauthenticationruijieSW config interfacevlan1SW config if ipaddress192 168 1 254255 255 255 0SW config if exit 6 在交換機(jī)上啟用認(rèn)證機(jī)制 2 指定RADIUS服務(wù)器的IP地址和交換機(jī)與RADIUS服務(wù)器之間的共享密鑰 此處配置的密鑰要與RADIUS服務(wù)器上配置的一致 SW config radius serverhost192 168 1 200SW config radius serverkeycqcet 3 啟用F0 24端口的802 1x認(rèn)證SW config interfacefastEthernet0 3SW config if dot1xport controlauto 7 測試802 1x認(rèn)證接入 7 測試802 1x認(rèn)證接入 1 將要進(jìn)行認(rèn)證接入的計(jì)算機(jī)接入交換機(jī)的FastEthernet0 3端口 設(shè)置IP地址為192 168 1 1 隨便設(shè)置 只要不跟認(rèn)證服務(wù)器IP及交換機(jī)管理IP沖突即可 2 為保證計(jì)算機(jī)支持802 1x驗(yàn)證 請確認(rèn) WirelessConfiguration 服務(wù)正常開啟 如所示 7 測試802 1x認(rèn)證接入 3 右擊桌面上的 網(wǎng)上鄰居 選擇 屬性 菜單 進(jìn)入 網(wǎng)絡(luò)連接 窗口 如所示 7 測試802 1x認(rèn)證接入 4 右擊 本地連接 選擇 屬性 菜單 在打開的窗口中選擇 身份驗(yàn)證 標(biāo)簽 選中 啟用IEEE802 1x驗(yàn)證 EAP類型設(shè)置為 MD5 質(zhì)詢 如所示 7 測試802 1x認(rèn)證接入 5 單擊按鈕 過一會即可看到任務(wù)欄右側(cè)的托盤信息 如所示 7 測試802 1x認(rèn)證接入 6 單擊該信息提示 打開 輸入憑據(jù) 窗口 要求輸入用戶名和密碼 這里我們輸入之前配置的用戶名和密碼 單擊按鈕 7 測試802 1x認(rèn)證接入 7 驗(yàn)證成功后能夠ping通服務(wù)器 同時(shí)可以觀察到交換機(jī)FastEthernet0 3端口指示燈已經(jīng)由黃色變?yōu)榫G色 8 選擇 開始 管理工具 事件查看器 菜單 選擇 系統(tǒng) 雙擊右側(cè)的事件 可找到802 1x的驗(yàn)證日志 如所示 8 在交換機(jī)上查詢配置結(jié)果 8 在交換機(jī)上查詢配置結(jié)果 1 查詢r(jià)adi