企业组网建设方案——基于802.1x+AD+DHCP+NPS实现网络权限动态分配

企业组网建设方案——基于802.1x+AD+DHCP+NPS实现网络权限动态分配 

2017-09-29 09:05

作者简介：王志强，五阿哥钢铁电商平台（wauge.com） 运维部IT高级工程师

近年，网络安全被企业经常所提及，对安全越来越重视。在企业组建局域网中如何能对网络接入用户身份进行确认，用户接入网络后，如何能随着办公地点的转移而保证网络权限不变，在本方案进行阐述和表达，本方案在公司内已经运行多年，成熟、稳定，希望能帮助那些还在奔波在手动调整网络权限、识别接入网络用户身份的同学脱离水深火热的“坑”走向自动化，提高企业网络准入的安全性。

组网规划方案

1. 需求描述

   1.1 LDAP统一帐户管理，无终端管理软件

   1.2 使用用户名与密码认证就接入网络

   1.3 用户可支持多个终端，在手机、笔记本、台式机上登录，具有同样网络权限

   1.4 各部门获得自己独立IP网段，且具有各自网络权限

   1.5 方便部署后运维管理，减少网络维护工作

2. 实现方案

   2.1 基于802.1x协议，实现端口访问控制和认证

   2.2 搭建Windows Server系统环境，实现AD+DHCP+NP（Radius）统一用户认证管理以及方便运维管理

   2.3 选择支持802.1x协议认证网络设备，实现动态VLAN实现获得各终端网络登录具有各自网络权限，减少网络维护工作

3．组网环境

IBM服务器

Cisco网络设备

客户端网络

注：在核心网络交换机中把划分的VLAN对应到用户所在安全组，这样在调整用户所在安全组后，即继承了划分VLAN的网络权限。

4、架构图

一、 组网实施部署

这里AD、DHCP、无线AC服务配置本文忽略，本文主要介绍关键配置有线网络设备上开启802.1X认证和认证服务器NPS(Radius)的配置。

1. 接入交换机（WS-C2960X-48LPS-L）开启802.1x认证，以Cisco 2960为例（注：不同IOS版本命令略有差异）

   第一步：进入配置模式开启802.1x认证、指定radius-server

   aaa new-model

   ! 启用 aaa

   aaa authentication dot1x default group radius

   ! dot1x使用radius做认证

   aaa authorization network default group radius

   ! 使用802.1x协议去动态分配vlan的话,上边的这句命令一定要有

   dot1x system-auth-control

   ! 允许802.1x port-based 认证

   dot1x guest-vlan supplicant

   ! 允许交换机在端口802.1x认证失败后,指定vlan到guest-vlan

   radius-server host IP auth-port 1812 acct-port 1813 key Password

   ! 指定radius服务器IP、端口号和进行交互的使用的密码

   radius-server retry method reorder

   ! 允许有多个radius服务器冗余切换

   radius-server timeout 10

   ! 指定radius服务认证超时时间

注：把预规划好的所有部门VLAN配置到每台接入交换机和无线AC控制器上，并在核心交换机中配置指向到DHCP服务器地址，这样既可实现不同用户安全组获得动态VLAN地址。

第二步进入网络端口下启用802.1x配置

interface GigabitEthernet1/0/46

switchport mode access

! dot1x指定vlan, switchport mode必须为access

switchport voice vlan 195

! dot1x指定语音vlan

authentication event fail action authorize vlan 107

! 认证失败获得隔离vlan

authentication event no-response action authorize vlan 107

! 认证无响应获得隔离vlan

authentication port-control auto

! 端口认证控制

authentication timer inactivity 30

! 认证响应超时

dot1x pae authenticator

! 认证端口开启

2.NPS（Radius）策略配置

2.1 使用配置向导新建连接策略

2.2添加NPS客户端（接入交换机和无线AC），输入交接机IP和与其认证交互的Password

2.3 选择EAP类型为Microsoft:受保护的EAP（PEAP）

2.4 NPS(Radius)服务器申请计算机证书

2.5 添加账号认证系统AD中的用户test01所在部门“全局作用域安全组”

2.6 配置网络策略，动态VLAN和访问控制列表（ACL）

Tunnel-Type： VLAN

Tunnel-Medium-Type: 802.1x

Tunnel-Pvt-Group-ID: 100 (为VLAN ID)，这样不同用户安全组对应不同网络VLAN即可得到不同的网络访问权限，从而大大减少网络层对终端接入设备访问权限的频繁设置。

2.7 配置完成，NPS（Radius）客户端显示状态

2.8 配置完成，连接请求策略显示状态

2.9 配置完成，网络策略显示状态

2.10 注意：网络策略中，通过配置向导创建的默认是“windows组”，需要手动改为“用户组”，后续熟练后可对NPS（Radius）客户端、连接请求策略和网络策略分开逐一按需求创建。

2.11 注意：连接请求策略，如无线和有线IP段分开，需分开创建，如不分开，创建一条把无线和有线都勾选即可。

2.12 其他部门网络策略，可右键选择重复策略进行创建

至此基于802.1x+AD+DHCP+NPS认证实现动态VLAN配置完成，可开始在PC、移动客户端等设备接入网络，使用域账号及密码进行登录尝试。

二、客户端连接网络，网卡验证配置

Windows 7系统客户端:

1.开始菜单运行输入services.msc打开本地服务设置

2.设置有线网络（Wired AutoConfig）和无线网络(WLAN AutoConfig)服务开机自动启动802.1x服务

3.有线网卡属性“身份验证”选项，启用802.1X和受保护的EAP选项，然后打开“设置”EAP属性，取消“验证证书服务器”，点击配置属性，将自动使用的登录和密码选项取消，然后确定保存关闭。

4.返回网卡属性“身份验证”选项，打开“其他设置”，勾选“指定身份验证模式”，确定保存。

6.弹出如下网络身份验证窗口，输入自己公司的域账号(或用户名)和密码点击确定即可。

注：使用无线的用户需先配置连接网络的SSID，然后对其进行身份验证设置再连接登录。推荐以上所有设置规则在AD中使用组策略推送配置，方便域账号登录系统自动连接网络。