接入層802.1x 認(rèn)證

1、接入層802.1x 認(rèn)證【實(shí)驗(yàn)名稱】接入層802.1x?！緦?shí)驗(yàn)?zāi)康摹?使用交換機(jī)的802.1x功能增強(qiáng)網(wǎng)絡(luò)接入安全?！颈尘懊枋觥?某企業(yè)的網(wǎng)絡(luò)管理員為了防止有公司外部的用戶將電腦接入到公司網(wǎng)絡(luò)中，造成公司信息資源受到損失，希望員工的電腦在接入到公司網(wǎng)絡(luò)之前進(jìn)行身份驗(yàn)證，只有具有合法身份憑證的用戶才可以接入到公司網(wǎng)絡(luò)?！拘枨蠓治觥?要實(shí)現(xiàn)網(wǎng)絡(luò)中基于端口的認(rèn)證，交換機(jī)的802.1x特性可以滿足這個(gè)要求。只有用戶認(rèn)證通過(guò)后交換機(jī)端口才會(huì)“打開(kāi)”，允許用戶訪問(wèn)網(wǎng)絡(luò)資源?！緦?shí)驗(yàn)拓?fù)洹?【實(shí)驗(yàn)設(shè)備】交換機(jī) 1臺(tái)PC機(jī) 2臺(tái)（其中1臺(tái)需安裝802.1x客戶端軟件，本實(shí)驗(yàn)中使用銳捷802.1x客戶端軟件） R

2、ADIUS服務(wù)器 1臺(tái)（支持標(biāo)準(zhǔn)RADIUS協(xié)議的RADIUS服務(wù)器，本例中使用第三方RADIUS服務(wù)器軟件WinRadius，）【實(shí)驗(yàn)原理】 802.1x協(xié)議是一種基于端口的網(wǎng)絡(luò)接入控制（Port Based Network Access Control）協(xié)議?！盎诙丝诘木W(wǎng)絡(luò)接入控制”是指在局域網(wǎng)接入設(shè)備的端口級(jí)別對(duì)所接入的設(shè)備進(jìn)行認(rèn)證和控制。如果連接到端口上的設(shè)備能夠通過(guò)認(rèn)證，則端口就被開(kāi)放，終端設(shè)備就被允許訪問(wèn)局域網(wǎng)中的資源；如果連接到端口上的設(shè)備不能通過(guò)認(rèn)證，則端口就相當(dāng)于被關(guān)閉，使終端設(shè)備無(wú)法訪問(wèn)局域網(wǎng)中的資源?！緦?shí)驗(yàn)步驟】 步驟1 驗(yàn)證網(wǎng)絡(luò)連通性。按照拓?fù)渑渲肞C機(jī)、RADIUS

3、服務(wù)器的IP地址，在PC機(jī)上ping 其網(wǎng)關(guān)地址，應(yīng)該可以，可以ping通。步驟2 配置交換機(jī)802.1x認(rèn)證。Switch#configure Switch(config)#aaa new-model /開(kāi)啟3A認(rèn)證Switch(config)#aaa authentication dot1x list100 group radius /選擇radius服務(wù)器認(rèn)證方式Switch(config)#dot1x authentication list100 / 802.1x協(xié)議執(zhí)行l(wèi)ist100列表Switch(config)#radius-server host 192.168.5.x aut

4、h-port 1800 acct-port 1801 /1、配置RADIUS服務(wù)器的IP地址 2、auth-port參數(shù)表示配置RADIUS服務(wù)器的認(rèn)證和授權(quán)端口號(hào)，默認(rèn)情況下RADIUS服務(wù)器的認(rèn)證和授權(quán)端口號(hào)為UDP 1812；acct-port參數(shù)表示配置RADIUS服務(wù)器的計(jì)費(fèi)端口號(hào)，默認(rèn)情況下RADIUS服務(wù)器的計(jì)費(fèi)端口號(hào)為UDP 1813。 Switch(config)#radius-server key 12345 /配置RADIUS服務(wù)器秘鑰 ！此處配置的密鑰要與RADIUS服務(wù)器上配置的一致Switch(config)#interface vlan 1 Switch(conf

5、ig-if)#ip address 192.168.5.200 255.255.255.0 /配置交換同管理IP地址Switch(config-if)#exit Switch(config)#interface fastEthernet 0/1 Switch(config-if)#dot1x port-control auto / 啟用F0/1端口的802.1x認(rèn)證Switch(config-if)#end 步驟3 驗(yàn)證測(cè)試。此時(shí)用PC1 ping 網(wǎng)關(guān)地址，看能否ping 通？由于F0/1端口啟用了802.1x認(rèn)證，在PC機(jī)沒(méi)有認(rèn)證的情況下，無(wú)法訪問(wèn)網(wǎng)絡(luò)。步驟4 配置RADIUS服務(wù)器。運(yùn)行WinRadius服務(wù)器，并添加賬戶信息設(shè)置賬戶信息，用戶名為test，密碼為testpass，如圖26-5所示。圖26-5 設(shè)置RADIUS服務(wù)器的系統(tǒng)屬性，將端口如圖26-6所示。設(shè)置RADIUS服務(wù)器的密鑰，要與交換機(jī)上配置的密鑰保持一致；驗(yàn)證端口號(hào)和計(jì)費(fèi)端口號(hào)都保持默認(rèn)的標(biāo)準(zhǔn)端口號(hào)，如果設(shè)置其他的端口號(hào)，也需要在交換機(jī)上的RADIUS服務(wù)器配置中進(jìn)行相應(yīng)的設(shè)置，如圖26-7所示。圖26-7 步驟5 啟用802.1x客戶端進(jìn)行驗(yàn)證。在PC1上啟動(dòng)銳捷802.1x客戶端，輸入用戶名（test）和密碼（testpass），單擊“