IEEE802.1x

为什么要实现IEEE802.1x？随着宽带以太网建设规模的迅速扩大，网络上原有的认证系统已经不能很好的适应用户数量急剧增加和宽带业务多样性的要求。

IEEE802.1x协议具有完备的用户认证、管理功能，可以很好地支撑宽带网络的计费、安全、运营和管理要求，对宽带IP城域网等电信级网络的运营和管理具有极大的优势。IEEE802.1x协议对认证方式和认证体系结构上进行了优化，解决了传统PPPOE和WEB/PORTAL认证方式带来的问题，更加适合在宽带以太网中的使用。
　　
　　IEEE802.1x是IEEE2001年6月通过的基于端口访问控制的接入管理协议标准。
　　
　　IEEE802系列LAN标准是目前居于主导地位的局域网络标准，传统的IEEE802协议定义的局域网不提供接入认证，只要用户能接入局域网控制设备，如传统的LanSwitch，用户就可以访问局域网中的设备或资源，这是一个安全隐患。对于移动办公，驻地网运营等应用，设备提供者希望能对用户的接入进行控制和配置，此外还存在计费的需求。
　　
　　IEEE802.1x是一种基于端口的网络接入控制技术，在 LAN 设备的物理接入级对接入设备进行认证和控制，此处的物理接入级指的是 LANSWITCH设备的端口。连接在该类端口上的用户设备如果能通过认证，就可以访问 LAN 内的资源；如果不能通过认证，则无法访问 LAN 内的资源，相当于物理上断开连接。
　　
　　下面首先让我们了解一下IEEE802.1x端口访问控制协议的体系结构。
　　
　　 1．IEEE802.1x体系介绍

　　虽然IEEE802.1x定义了基于端口的网络接入控制协议，但是需要注意的是该协议仅适用于接入设备与接入端口间点到点的连接方式，其中端口可以是物理端口，也可以是逻辑端口。典型的应用方式有：LanSwitch 的一个物理端口仅连接一个 End Station，这是基于物理端口的； IEEE 802.11定义的无线 LAN 接入方式是基于逻辑端口的。

　　 图1　IEEE802.1x的体系结构

　　IEEE802.1x的体系结构中包括三个部分：Supplicant System，用户接入设备；Authenticator System，接入控制单元；Authentication Sever System，认证服务器。
　　
　　在用户接入层设备（如LANSWITCH）实现 IEEE802.1x的认证系统部分，即Authenticator；IEEE802.1x的客户端一般安装在用户PC中，典型的为Windows XP操作系统自带的客户端； IEEE802.1x的认证服务器系统一般驻留在运营商的AAA中心。
　　
　　Supplicant与Authenticator间运行 IEEE IEEE802.1x定义的EAPOL协议；Authenticator 与 Authentication Sever 间同样运行 EAP 协议，EAP 帧中封装了认证数据，将该协议承载在其他高层次协议中，如 Radius，以便穿越复杂的网络到达认证服务器。
　　
　　Authenticator每个物理端口内部有受控端口（Controlled Port）和非受控端口（unControlled Port）等逻辑划分。非受控端口始终处于双向连通状态，主要用来传递 EAPOL 协议帧，可保证随时接收Supplicant发出的认证EAPoL报文。受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务。受控端口可配置为双向受控、仅输入受控两种方式，以适应不同的应用环境。输入受控方式应用在需要桌面管理的场合，例如管理员远程唤醒一台计算机(supplicant)。
　　
　　 2．IEEE802.1x认证过程简介
　　 图2　IEEE802.1x的认证过程

　　

　
　　IEEE802.1x通过 EAP 承载认证信息，共定义了如下 EAP 包类型：
　　
　　EAP-Packet，认证信息帧，用于承载认证信息；
　　
　　EAPOL-Start，认证发起帧，Supplicant 和 Authenticator 均可以发起；
　　
　　EAPOL-Logoff，退出请求帧，可主动终止已认证状态；
　　
　　EAPOL-Key，密钥信息帧，支持对 EAP 报文的加密；
　　
　　EAPOL-Encapsulated-ASF-Alert，用于支持 Alert Standard Forum （ASF）的 Alerting 消息；
　　
　　其中 EAPOL-Start，EAPOL-Logoff 和 EAPOL-Key 仅在 Supplicant 和 Authenticator 间存在，在交换机和认证服务器间，EAP-Packet报文重新封装承载于Radius协议之上，以便穿越复杂的网络到达认证服务器。 EAPOL-Encapsulated-ASF-Alert 封装与网管相关信息，例如各种告警信息，由 Authenticator 终结。
　　
　　 3．IEEE802.1x的特点
　　1．协议实现简单
　　
　　IEEE802.1x协议为二层协议，不需要到达三层，对设备的整体性能要求不高，可以有效降低建网成本。
　　
　　2．认证和业务分离
　　
　　IEEE802.1x的认证体系结构中采用了"可控端口"和"不可控端口"的逻辑功能，从而可以实现业务与认证的分离，由Radius服务器和以太网交换机利用不可控的逻辑端口共同完成对用户的认证与控制，业务报文直接承载在正常的二层报文上通过可控端口进行交换；所以通过认证之后的数据包是无需封装的纯数据包。认证系统简化了PPPOE方式中对每个数据包进行拆包和封装等繁琐的工作，所以802 .1x封装效率高，消除了网络瓶颈；同时，由于IEEE802.1x认证包采用了在不可控通道中的独立处理的方式，因此认证处理容量可以很大，远远高于传统的BAS，无需要购买昂贵设备，降低了建网成本。
　　
　　3．和其他认证方式的比较：
　　
　　IEEE802.1x协议虽然源于IEEE 802.11无线以太网（EAPOW），但是，它在以太网中的引入，解决了传统的PPPOE和WEB/PORTAL认证方式带来的问题，消除了网络瓶颈，减轻了网络封装开销，降低了建网成本。
　　
　　众所周知，PPPOE是从基于ATM的窄带网引入到宽带以太网的，由此可以看出，PPPOE并不是为宽带以太网量身定做的认证技术，将其应用于宽带以太网，必然会有其局限性，虽然其方式较灵活，在窄带网中有较丰富的应用经验，但是，它的封装方式，也造成了宽带以太网的种种等问题。在PPPOE认证中，认证系统必须将每个包进行拆解才能判断和识别用户是否合法，一旦用户增多或者数据包增大，封装速度必然跟不上，成为了网络瓶颈；其次这样大量的拆包解包过程必须由一个功能强劲同时价格昂贵的设备来完成，这个设备就是我们传统的BAS，每个用户发出的每个数据包BAS必须进行拆包识别和封装转发；为了解决瓶颈问题，厂商想出了提高BAS性能，或者采用大量分布式BAS等方式来解决问题，但是BAS的功能就决定了它是一个昂贵的设备，这样一来建设成本就会越来越高。
　　
　　WEB/PORTAL认证是基于业务类型的认证，不需要安装其他客户端软件，只需要浏览器就能完成，就用户来说较为方便。但是由于WEB认证走的是7层协议，从逻辑上来说为了达到网络2层的连接而跑到7层做认证，这首先不符合网络逻辑。其次由于认证走的是7层协议，对设备必然提出更高要求，增加了建网成本。第三，WEB是在认证前就为用户分配了IP地址，对目前网络珍贵的IP地址来说造成了浪费，而且分配IP地址的DHCP对用户而言是完全裸露的，容易造成被恶意攻击，一旦受攻击瘫痪，整网就没法认证；为了解决易受攻击问题，就必须加装一个防火墙，这样一来又大大增加了建网成本。WEB/PORTAL认证用户连接性差，不容易检测用户离线，基于时间的计费较难实现；用户在访问网络前，不管是 TELNET、FTP还是其它业务，必须使用浏览器进行WEB认证，易用性不够好；而且认证前后业务流和数据流无法区分。所以，在以太网中，WEB/PORTAL认证目前只是限于在酒店,校园等网络环境中使用。
　　
　　 4．IEEE802.1x应用
　　 图3　IEEE802.1x应用于有线和无线网络

　　

　　移动办公为企业网用户带来了灵活方便的使用环境。但同时也带来了相应的安全和管理问题。IEEE802.1x协议的出现有效地解决了上述问题。
　　
　　如上图，移动办公环境中的接入层交换机Quidway S3026和Quidway AccessPoint位于在企业网的最边缘，所有接入PC的的端口被配置为IEEE802.1x Authenticator管理，这些端口在初始化时处于阻塞状态，除了IEEE802.1x的控制协议报文，所有其他报文在端口处都将被丢弃。
　　
　　用户的PC机充当IEEE802.1x的supplicant客户端，典型的IEEE802.1x客户端是Windows XP自带的身份认证系统。用户的用户名和口令信息(或者证书）被送到认证服务器。在认证服务器认证通过后，服务器将认证结果和相关附属配置下发到边缘交换机，边缘交换机根据认证结果报文打开或继续关闭边缘端口，配置端口属性，例如，此端口（用户）的VLAN-ID，缺省802.1p优先级，ACL访问控制列表，802.11WLAN用户40bit/128bit动态密钥等。其中VLAN配置可以通过动态VLAN协议自动扩散到企业LAN的其他交换机，通过这种方式，一个用户可以搬迁、漫游到企业网的不同工作位置，不需要管理人员参与任何配置工作就能迅速地接入工作网络，同时又保证了用户群组的安全隔离，例如，工作核心人员的便携机即使漫游到开放的休息室也能接入到特定VLAN。
　　
　　网络管理员通过管理集中的认证服务器数据库可以实现对整个企业网用户的有效管理。 Authentication Sever可以采用标准的Radius认证服务器，也可以选用业务交换机来实现，后者主要用在网络规模不大的(300用户左右)情况中，华为3Com的Quidway 3000系列以上交换机在新的软件版本中，都提供内嵌Authentication Sever（认证服务器）的功能，通过华为3Com内部集群通讯协议高效完成对用户的认证配置功能。
　　
　　IEEE802.1x通过对Radius的支持，还能提供计费功能，通过监控边缘用户接入端口的会话时间和流量，向计费服务器发出计费报文，从而方便的实现对流量、时间计费等运营需求。