接入層802.1x 認證

1、接入層802.1x 認證【實驗名稱】接入層802.1x?！緦嶒災康摹?使用交換機的802.1x功能增強網(wǎng)絡(luò)接入安全?！颈尘懊枋觥?某企業(yè)的網(wǎng)絡(luò)管理員為了防止有公司外部的用戶將電腦接入到公司網(wǎng)絡(luò)中，造成公司信息資源受到損失，希望員工的電腦在接入到公司網(wǎng)絡(luò)之前進行身份驗證，只有具有合法身份憑證的用戶才可以接入到公司網(wǎng)絡(luò)?！拘枨蠓治觥?要實現(xiàn)網(wǎng)絡(luò)中基于端口的認證，交換機的802.1x特性可以滿足這個要求。只有用戶認證通過后交換機端口才會“打開”，允許用戶訪問網(wǎng)絡(luò)資源。【實驗拓撲】 【實驗設(shè)備】交換機 1臺PC機 2臺（其中1臺需安裝802.1x客戶端軟件，本實驗中使用銳捷802.1x客戶端軟件） R

2、ADIUS服務(wù)器 1臺（支持標準RADIUS協(xié)議的RADIUS服務(wù)器，本例中使用第三方RADIUS服務(wù)器軟件WinRadius，）【實驗原理】 802.1x協(xié)議是一種基于端口的網(wǎng)絡(luò)接入控制（Port Based Network Access Control）協(xié)議?！盎诙丝诘木W(wǎng)絡(luò)接入控制”是指在局域網(wǎng)接入設(shè)備的端口級別對所接入的設(shè)備進行認證和控制。如果連接到端口上的設(shè)備能夠通過認證，則端口就被開放，終端設(shè)備就被允許訪問局域網(wǎng)中的資源；如果連接到端口上的設(shè)備不能通過認證，則端口就相當于被關(guān)閉，使終端設(shè)備無法訪問局域網(wǎng)中的資源?！緦嶒灢襟E】 步驟1 驗證網(wǎng)絡(luò)連通性。按照拓撲配置PC機、RADIUS

3、服務(wù)器的IP地址，在PC機上ping 其網(wǎng)關(guān)地址，應(yīng)該可以，可以ping通。步驟2 配置交換機802.1x認證。Switch#configure Switch(config)#aaa new-model /開啟3A認證Switch(config)#aaa authentication dot1x list100 group radius /選擇radius服務(wù)器認證方式Switch(config)#dot1x authentication list100 / 802.1x協(xié)議執(zhí)行l(wèi)ist100列表Switch(config)#radius-server host 192.168.5.x aut

4、h-port 1800 acct-port 1801 /1、配置RADIUS服務(wù)器的IP地址 2、auth-port參數(shù)表示配置RADIUS服務(wù)器的認證和授權(quán)端口號，默認情況下RADIUS服務(wù)器的認證和授權(quán)端口號為UDP 1812；acct-port參數(shù)表示配置RADIUS服務(wù)器的計費端口號，默認情況下RADIUS服務(wù)器的計費端口號為UDP 1813。 Switch(config)#radius-server key 12345 /配置RADIUS服務(wù)器秘鑰 ！此處配置的密鑰要與RADIUS服務(wù)器上配置的一致Switch(config)#interface vlan 1 Switch(conf

5、ig-if)#ip address 192.168.5.200 255.255.255.0 /配置交換同管理IP地址Switch(config-if)#exit Switch(config)#interface fastEthernet 0/1 Switch(config-if)#dot1x port-control auto / 啟用F0/1端口的802.1x認證Switch(config-if)#end 步驟3 驗證測試。此時用PC1 ping 網(wǎng)關(guān)地址，看能否ping 通？由于F0/1端口啟用了802.1x認證，在PC機沒有認證的情況下，無法訪問網(wǎng)絡(luò)。步驟4 配置RADIUS服務(wù)器。運行WinRadius服務(wù)器，并添加賬戶信息設(shè)置賬戶信息，用戶名為test，密碼為testpass，如圖26-5所示。圖26-5 設(shè)置RADIUS服務(wù)器的系統(tǒng)屬性，將端口如圖26-6所示。設(shè)置RADIUS服務(wù)器的密鑰，要與交換機上配置的密鑰保持一致；驗證端口號和計費端口號都保持默認的標準端口號，如果設(shè)置其他的端口號，也需要在交換機上的RADIUS服務(wù)器配置中進行相應(yīng)的設(shè)置，如圖26-7所示。圖26-7 步驟5 啟用802.1x客戶端進行驗證。在PC1上啟動銳捷802.1x客戶端，輸入用戶名（test）和密碼（testpass），單擊“