802.1X/EAP架构

最新推荐文章于 2024-06-28 15:37:35 发布

banrieen

最新推荐文章于 2024-06-28 15:37:35 发布

阅读量1w

点赞数 1

802.1X/EAP架构

————*—————Stonex CWNP无线网络

1. 802.1X

IEEE 802.1X是一种基于端口的访问控制标准，定义了一种授权架构，以允许或阻止流量通过端口访问网络资源。802.1X既可以用于无线网络环境，又可以用于有线网络环境。802.1X授权架构主要由以下3部分组成:

• 请求方 (Supplicant)

• 认证方 (Authenticator)

• 认证服务器 (Auhthentication Server)

请求方、认证方、认证服务器三者之间相互协同工作，以确保只有经过身份验证的用户或设备才被授权访问网络资源。可扩展身份验证协议(Extensible Authentication Protocol，EAP)在802.1X架构内被用于在2层验证用户身份。

1.1 请求方(Supplicant)

请求方是一个尝试访问网络资源的设备，每个请求方具有唯一的身份凭证，并由认证服务器加以验证。请求方使用EAP协议与认证服务器在2层进行通信，请求方身份被认证服务器验证之后才能访问3-7层的网络资源。请求方可以想象成是一个Wi-Fi设备上执行802.1X端点（endpoint）服务的客户端软件程序，包括以下几种：

• 集成OS客户端Supplicant —— 如Windows XP WZC，Apple的AirPort Client；

• 芯片厂家Supplicant —— 802.11射频芯片制造商如Atheros、Broadcom、Intel都有其自己的Supplicant软件程序；

• WLAN厂商Supplicant —— 如Cisco、D-Link、Netgear等厂商的无线网卡通常都自带特定的软件程序；

• 第三方Supplicant —— 第三方的Supplicant软件通常可以与多个WLAN产生射频卡工作，如Juniper OAC；

1.2 认证方(Authenticator)

认证方是一个允许或拒绝请求方流量通过其端口的设备，认证方维护着两个虚拟端口：非受控端口（uncontrolled port）和受控端口（controlled port）。非受控端口允许EAP认证流量通过，受控端口拒绝所有其他流量通过，直到请求方通过身份认证；

认证方并不验证请求方的身份凭证，而是在请求方和认证服务器之间传递消息，扮演的是一个中介的角色。认证方在WLAN中通常是一个AP或一个无线控制器。

1.3 认证服务器(AuhthenticationServer)

认证服务器对请求方提供的身份凭证进行验证，并将认证结果通知给认证方。认证服务器需维护一个用户数据库，或代理一个或多个外部用户数据库以验证请求方身份凭证；如下图所示，RADIUS服务器执行认证服务器的功能，同时也代理查询LDAP数据库：

图-1 代理认证

认证方是一个允许或拒绝请求方流量通过其端口的设备，认证方维护着两个虚拟端口：非受控端口（uncontrolled port）和受控端口（controlled port）。非受控端口允许EAP认证流量通过，受控端口拒绝所有其他流量通过，直到请求方通过身份认证；大多数情况下，认证服务器是一个RADIUS服务器。一些WLAN控制器支持直接查询LDAP数据库，将其作为认证服务器。下表列出了一些的认证服务器例子：

表-1 常见的认证服务器

1.4 802.1X认证过程

请求方、认证方和认证服务器之间相互协作，构成了802.1X架构。在认证过程中使用EAP交换信息，下图显示了在无线网络环境中EAP交换的通用过程：

图-2 EAP交换的通用过程

1. 请求方（802.11客户端）关联AP加入到BSS中；

2. 请求方发送一个802.11

EAPoL-Start帧给认证方来初始化EAP认证过程。这是一个可选帧，根据EAP类型的确定是否被使用；

3. 认证方发送一个802.11

EAP-Request帧以请求请求方的身份；

4. 请求方发送一个携带身份信息的802.11

EAP-Response帧给认证方，用户名(username)在EAP-Response/identity帧中总是明文；

5. 认证方封装EAP-Response帧在RADIUS数据包中并转发给认证服务器；

6. 认证服务器查看请求方的身份信息，并检查数据库中的用户名与密码信息。然后认证服务器发送一个密码挑战 (password challenge) 封装在RADIUS数据包中给请求方；

7. 认证方以802.11EAP帧形式转发密码挑战(password challenge) 给请求方；

8. 请求方取出密码并与哈希算法(MD5或MS-CHAPv2) 进行哈希，然后以802.11EAP帧形式发送哈希响应给认证服务器；

9. 认证方以RADIUS数据包形式转发此哈希给认证服务器；

10. 认证服务器运行一个相同的哈希并与返回的哈希进行比较看是否相同，然后认证服务器会返回一个成功或失败的消息给请求方；

11. 认证方将此消息以EAP-Success帧发送给请求方，请求方完成认证；

12. 最后一步是请求方和认证方之间进行一次4次握手协商以产生动态加密密钥，此步骤并非802.1X/EAP架构的强制要求；

13. 一旦请求方完成二层的EAP认证并产生动态加密密钥，受控端口就会被打开。然后请求方就可以被授权访问网络资源；

1.5 开放式系统认证与802.1X/EAP

802.11无线客户端通过关联和加入到BSS中，会建立到AP的2层连接。然而，如果部署了802.1X/EAP，会直到客户端也通过整个802.1X/EAP过程才会建立2层连接。下图显示了802.1X/EAP认证、标准802.11开放式系统认证和关联的协同工作。

图-3 802.11关联与802.1X/EAP认证

2. 请求方身份凭证

请求方使用EAP协议向认证服务器提供身份凭证以证明其身份，根据EAP协议类型的使用，请求方身份凭证可以有多种形式，包括如下几种：

• 用户名与密码（Usernames and passwords）

• 数字证书（Digital certificates）

• 受保护的接入凭证（Protected Access Credentials ，PAC)

• 动态安全令牌设备（Dynamic security token devices）

• 智能卡（Smart cards）

• USB设备（USB device）

• 机器认证（Machine authentication）

• 预共享密码（Preshared keys ，PSK)

• 近距离徽章（Proximity badges）

• 射频识别标签（RFID tags）

• 生物识别技术（Biometrics）

2.1 用户名与密码

用户名与密码是最常用的一种身份形式，被多种EAP类型所使用。当使用Windows

AD作为用户数据库时，请求方提供其身份凭证时可以以DOMAIN-NAME/USERNAME的格式，或者USERNAME@DOMAIN-NAME的格式。需要注意的是，某些RADIUS服务器只接受其中的一种格式。

注意：请求方是一个软件程序，有些请求方软件会提示你输入用户名、密码、域。而有些请求方软件只需要你输入用户名和密码，假定你输入的用户名形式为DOMIAN/USERNAME。

2.2 数字证书与受保护的接入凭证

EAP可以使用服务器端（Server-side）证书和客户端（Client-side）证书。如果EAP协议使用客户端证书，则需要架设PKI，为WLAN用户或设备创建、分发和管理客户端证书，一旦证书过期还需要进行更新。由于请求方使用客户端证书用作其身份凭证，因此认证服务器验证客户端证书。

受保护的接入凭证（PAC）是一种类数字证书，被请求方用作其身份凭证，EAP-FAST就是使用PAC作为其身份凭证。由于使用客户端证书需要架设PKI，PKI的安装和管理成本很高，如果仅仅用于WLAN则不划算。因此，Cisco设计了EAP-FAST和PAC文件。PAC文件由RADIUS服务器分发，因此可以把EAP-FAST PAC/RADIUS架构想象成一个Mini-PKI。

2.3 一次性密码

安全令牌是一个分发给授权用户的物理设备，一些安全令牌包含一次性密码（one-time password，OTP）功能。一次性密码是一个只对单一的回话有效的密码，通常每隔30s或60s更新一次。OTP安全令牌既可以是硬件也可以是软件形式，下图显示的一个硬件的OTP安全令牌

图-4 OTP安全令牌

2.4 智能卡与USB令牌

智能卡和USB令牌可以用于单一因素（single-factor）认证，虽然他们没有想曾经预期的那样大规模普及，但是他们也有自己的一个市场。如下图所示，智能卡是一个包含了集成电路卡（ICC）的口袋大小的卡。智能卡和USB令牌的关键是可以安全存储用户个人信息到集成电路芯片上，且数据不可修改和复制。大多数智能卡技术是基于X.509数字证书，智能卡和USB令牌的功能也相当于客户端数字证书。

图-5 智能卡