H3C 华为 思科 802.1x配置

最新推荐文章于 2024-08-05 11:12:42 发布
最新推荐文章于 2024-08-05 11:12:42 发布
阅读量814 收藏 14
点赞数 17
文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/normanhere/article/details/138895281
版权

H3C配置案例+联软
#设置全局默认使用哪个域做认证，端口下也可以配置，非必须配置项目，详见端口配置部分
 domain default enable leagsoft
#设置802.1X为EAP中继，以及NAS认证重试次数
 dot1x timer tx-period 10
 dot1x retry 3
 dot1x authentication-method eap
#全局启用基于MAC地址的认证，与之相对应的是port级别的认证，默认是这个，也可以在端口下配置，详见端口配置部分；指定MAC认证的默认认证域，端口下也可以配置，非必须配置项目
 mac-authentication
 mac-authentication domain leagsoft
#提前创建802.1X服务器调用
acl number 3002
 rule 5 permit ip destination 10.1.1.1 0
 rule 10 permit ip destination 10.1.1.2 0
 rule 30 permit udp destination-port eq dns
 rule 35 permit udp source-port eq bootpc destination-port eq bootps
 rule 100 deny ip
#创建RADIUS方案radius1并进入其视图。
[Device] radius scheme leagsoft
# 配置主认证/计费RADIUS服务器的IP地址。
[Device-radius-radius1] primary authentication 10.1.1.1
[Device-radius-radius1] primary accounting 10.1.1.1
# 配置备份认证/计费RADIUS服务器的IP地址。
[Device-radius-radius1] secondary authentication 10.1.1.2
[Device-radius-radius1] secondary accounting 10.1.1.2
# 配置Device与认证/计费RADIUS服务器交互报文时的共享密钥，如果只是认证而不用审计，则只需要第一行命令
[Device-radius-radius1] key authentication simple name
[Device-radius-radius1] key accounting simple money
# 配置发送给RADIUS服务器的用户名不携带域名。
[Device-radius-radius1] user-name-format without-domain
[Device-radius-radius1] quit
#进入这个认证域进行配置，调用上面配置的认证方式，备用认证方式这里选择本地
domain leagsoft
 authentication lan-access radius-scheme leagsoft local
 authorization lan-access radius-scheme leagsoft local
 access-limit disable
 state active
 idle-cut disable
 self-service-url disable
#端口也需要配置，这个端口连接AP,开启端口Ten-GigabitEthernet1/0/1的802.1X,同时使用基于MAC的认证，而不是Port这是默认的，也不需要配置
interface Ethernet1/0/1
 description "Connect to [H3C AP1]"
 port link-type trunk
 port trunk permit vlan all
 poe enable
 dot1x
 mac-authentication
# 普通接客户端的配置
[Device] interface ten-gigabitethernet 1/0/1
[Device-Ten-GigabitEthernet1/0/1] dot1x
# 配置端口的802.1X接入控制方式为MAC-based（该配置可选，因为端口的接入控制在缺省情况下就是基于MAC地址的）。
[Device-Ten-GigabitEthernet1/0/1] dot1x port-method macbased
# 指定端口上接入的802.1X用户使用强制认证域leagsoft 这个配置可以全局配置也可以在接口配置，接口的优先级更高
[Device-Ten-GigabitEthernet1/0/1] dot1x mandatory-domain leagsoft
[Device-Ten-GigabitEthernet1/0/1] quit
# 开启全局802.1X。
[Device] dot1x
验证配置
使用命令display dot1x interface可以查看端口Ten-GigabitEthernet1/0/1上的802.1X的配置情况。当802.1X用户输入正确的用户名和密码成功上线后，可使用命令display dot1x connection查看到上线用户的连接情况。
--------------------------------------------------------------------------
华为配置案例
认证点在接入层 https://support.huawei.com/enterprise/zh/doc/EDOC1100277051/eeb67ba7
认证点在汇聚层 https://support.huawei.com/enterprise/zh/doc/EDOC1100277051/f7ad4ae6
有意思的是H3C 直接可以透传802.1X 组播报文，而华为需要特殊配置。
--------------------------------------------------------------------------
思科配置
!创建认证模板名称cty，认证模式为不认证，调用到console口（线下保护）
aaa new-model
aaa authentication login cty none
line con 0
login authentication cty
!配置SW1，802.1x认证关联radius服务器，网络授权关联radius服务器，审计关联radius服务器
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius
!配置radius服务器地址，共享密钥，服务端口
radius server ac
address ipv4 192.168.234.101 auth-port 1812 acct-port 1813
key Admin@123.
!vsa（厂商特殊属性），radius服务器下发厂商特殊属性，不开启的话只会下发标准属性（radius服务器下发的授权结果，用户可能无法识别）
radius-server vsa send authentication
radius-server vsa send accounting
!
interface gi 0/1
switchport mode access
spannning-tree portfast edge
dot1x pae authenticator
!接口下配置自动认证，当接口状态变化的时候（down-up），自动重新认证
authentication port-control auto
!认证3次失败后，使用另一种认证方式（如mab认证失败后，进行802.1x认证）
authentication event fail retry 3 action next-method
!配置aaa认证服务器，如果失败，执行vlan10的授权动作，就是失败了分配vlan10网段IP地址
authentication event server dead action authorize vlan 10
!如果服务器存活 重新开始认证
authentication event server alive action reinitialize
!认证失败 开始下一个认证
authentication event fail action next-method
!配置在当前接口下主机认证模式为多认证（允许当前接口下存在多个终端，只要通过认证，就都能接入网络）
authentication host-mode multi-auth
!ACL结合authentication open使用，认证前允许ACL内的流量通过（如果没有配置autnentication open，则ACL无意义）
ip access-group acl-user in
!配置认证前端口的行为，允许所有流量通过（但要结合ACL使用，认证通过之前只允许ACL里面规定的流量通过，）
authentication open
!配置认证违规的动作为丢包
authentication violation restrict
!测试
test aaa group radius user1 Admin@123. new-code
!SW1全局开启802.1x功能
dot1x system-auth-control
!认证前允许放通的流量包括DHCP DNS PING TFTP EDR
ip access-list extended acl-user
remark dhcp
permit udp any eq  bootpc any eq bootps
remark dns
permit udp any any eq domain
remark ping
permit icmp any any
remark tftp
permit udp any any eq tftp
remark edr
permit any host 192.168.1.250
deny ip any any log
wr
--------------------------------------------------------------------------

normanhere
关注
华为交换机802.1X配置
gotonet的专栏
11-18 4731
1         功能需求及组网说明500)this.width=500;" border="0" alt="" src="http://www.cublog.cn/u/18307/upfile/060706143534.jpg" /> 『配置环境参数』1.      交换机vlan10包含端口E0/1-E0/10接口地址10.10.1.1/242.      交换机
802.1X认证配置案列
02-11
本案例将详细介绍如何在华三（H3C）系列的S6500交换机上配置802.1X认证，实现对网络用户的访问控制。 #### 二、组网需求及架构 - **组网需求**：PC-A 和 PC-B 需要通过一个集线器连接到 S65-A 的 E1/0/1 端口。两...
cisco2960dot1x配置
10-23
cisco2960dot1x配置 文档ciscodot1x配置
CISCO交换机配置AAA、802.1X以及VACL
01-02
CISCO交换机配置AAA、802.1X以及VACL CISCO交换机配置AAA、802.1X以及VACL 一 启用AAA、禁用Telnet 以及启用 ssh 1.启用aaa身份验证，以进行SSH访问： Switch# conf t Switch(config)# aaa new-model 2.配置主机名 Switch(config)# hostname sw1 3.配置本地用户名口令，以便在带外服务器不可用时能够访问交换机 sw1(config)# username cisco password cisco 4.配置SSH sw1(config)# ipdomain-name cisco.com sw1(config)# crypto key generate rsa 5.配置交换机，使得只能通过SSH以带内方式访问交换机 sw1(config)# line vty 0 15 sw1(config-line)# transport input ssh sw1(config-line)# exit sw1(config)# exit 二 配置vty的aaa身份验证方式，首先使用radius 服务器，如果服务器不可用，使用本地用户名口令数据库 sw1(config)# aaa authentication login TEST group radius line sw1(config)# line vty 0 15 sw1(config-line)# login authentication TEST sw1(config-line)# exit 三 在接口上配置802.1x 1.为radius身份验证启用802.1x sw1(config)# aaa authentication dot1x default group radius 2.全局启用802.1x sw1(config)#dot1x system-auth-control 3.在接口上配置802.1x sw1(config)# int range fa0/2 - 10 sw1(config-if-range)# swtichport access vlan 10 sw1(config-if-range)# dot1x port-control auto 四 配置vacl以丢弃所有通过tcp端口8889进入的桢 1.配置一个acl，以判断数据包是否通过tcp端口8889进入： sw1(config)# access-list 100 permit tcp any any eq 8889 2.配置vlan访问映射表： sw1(config)# vlan access-map DROP_WORM 100 sw1(config-access-map)# match ip address 100 sw1(config-access-map)# action drop sw1(config-access-map)# exit 3.将vlan访问表应用于合适的vlan sw1(config)#vlan filter DROP_WORM vlan 10-20 802.1x工程笔记 在某网络测试时，工作笔记。 一、802.1x协议起源于802.11协议，后者是标准的无线局域网协议，802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。现在已经开始被应用于一般的有线LAN的接入。为了对端口加以控制，以实现用户级的接入控制。802.1x就是IEEE为了解决基于端口的接入控制（Port-Based Access Control）而定义的一个标准。 1、802.1X首先是一个认证协议，是一种对用户进行认证的方法和策略。 2、802.1X是基于端口的认证策略（这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口，对于无线局域网来说个“端口”就是一条信道） 3、802.1X的认证的最终目的就是确定一个端口是否可用。对于一个端口，如果认证成功那么就“打开”这个端口，允许文所有的报文通过；如果认证不成功就使这个端口保持“关闭”，此时只允许802.1X的认证报文EAPOL（Extensible Authentication Protocol over LAN）通过。 二、802.1X的认证体系分为三部分结构： Supplicant System，客户端(PC/网络设备) Authenticator System，认证系统 Authentication Server System，认证服务器 三、认证过程 1、认证通过前，通道的状态为unauthorized，此时只能通过EAPOL的802.1X认证报文；2、认证通过时，通道的状态切换为authorized，此时从远端认证服务器可以传递来用户的信息，比如VLAN、CAR参数、优先级、用户的访问控制列表等等； 3、认证通过后，用户的流量就将接受上述参数的监管，此时该通道可以通过任何报文，注意只有认证通过后才有DHCP等过程。 4、Supplicant System- Client（客户端）是—需要接入LAN，及享受switch提供服务的设备（如PC机），客户端需要支持EAPOL协议，客户端必须运行802.1X客户端软件，如：802.1X-complain、Windows XP等 四、配置 1、先配置switch到radius server的通讯 全局启用802.1x身份验证功能 Switch# configure terminal Switch(config)# aaa new-model Switch(config)# aaa authentication dot1x {default} method1[method2...] 指定radius服务器和密钥 switch(config)#radius-server host ip_add key string 2、在port上起用802.1x Switch# configure terminal Switch(config)# interface fastethernet0/1 Switch(config-if)# switchport mode access Switch(config-if)# dot1x port-control auto Switch(config-if)# end 802.1x的安全机制 编者按：IEEE 802.1x作为一种新生的链路层验证机制协议，其原理、组成、工作进程以及功能等到底如何呢？本文揭示了这项协议在网络安全方面的运行机理及其突出应用。 虽然大多数组织的IT基础设施已经加强了边界防御，但其内部仍然容易受到攻击。这种脆弱性具体表现为内部用户可未经授权访问或者恶意破坏关键的IT资源。作为全面的“深层防御”安全架构的一部分，关键内部基础设施的访问权只能提供给授权用户。 局域网（LAN）历来是大门敞开。IEEE 802.1x这项最新标准定义了为LAN实施访问控制的机制，允许授权用户进来，而把非授权用户拒之门外。因此，有了802.1x，LAN便不再是一道敞开的门，其本身也成为安全架构和政策执行的一个重要部分，并有助于消除来自组织内部的安全威胁。 802.1x验证机制及其优点 IEEE 802.1x是一种链路层验证机制协议，控制着对网络访问端口即网络连接点的访问，如实施在无线接入点的物理交换端口或逻辑端口。通过控制网络访问，用户可以在多层安全架构部署第一道防线。在连接设备得到验证之前，网络访问权完全被禁止。得到验证之后，用户可以被提供第2层交换机通常提供的服务以外的附加服务。这些服务包括第3层过滤、速率限制和第4层过滤，而不仅仅是简单的“开/关（on/off）”服务。 链路层验证方案的一个优点是，它只要求存在链路层连接，客户端（在802.1x中称为请求者）不需要分配供验证用的第3层地址，因而降低了风险。此外，链路层验证涉及了所有能够在链路上工作的协议，从而不必为每种协议提供网络层验证。802.1x还能够使执行点尽可能地接近网络边缘，因此可以针对连接设备的特定需求定制细粒度访问规则。 IEEE 802.1x的组成 IEEE　802.1x定义了下列逻辑单元： 网络访问端口：即网络上的连接点，它可能是物理端口，也可能是逻辑端口。 请求者：连接到网络、请求其服务的设备，通常是终端站。请求者是请求验证的设备，但也有可能是一种网络设备。 验证者：为验证服务提供便利的网络单元，验证者实际上并不提供验证服务，它充当请求者和验证服务器之间的代理，并且充当政策执行点。 端口访问实体：参与验证过程的固件。请求者和验证者都拥有端口访问实体（PAE）单元，请求者的PAE负责对验证信息请求做出响应，验证者的PAE负责与请求者之间的通信，代理授予通过验证服务器验证的证书，并且控制端口的授权状态。 验证服务器：提供向验证者申请验证服务的实体，它根据证书提供授权，既可以同验证者放在一起，也可以放在远地。 扩展验证协议（EAP） 由于使用了扩展验证协议（EAP），802.1x在请求者和验证者之间采用的实际验证机制相当灵活。EAP原先是为点对点（PPP）链路上的应用而定义的， 在因特网工程任务组的请求评论文档（RFC）2284中得到了明确定义。 基于以上所述，IEEE定义了一种封装模式，允许EAP通过LAN传输，EAP over LAN（EAPoL）于是应运而生。各种验证服务都可以通过这种协议运行，包括用户名/口令、Kerberos、数字证书、一次性口令和生物检测术等服务。EAP数据包在请求者和验证者之间的链路层上传输，并通过验证者与验证服务器之间的IP/RADIUS连接。 EAP本身并不为流量传输明确规定任何保护机制，如加密等。相反，EAP内运行的验证协议（在RFC 2284当中定义为验证类型）为安全操作提供了数据的机密性和完整性。验证类型的一个例子就是EAP传输层安全（EAP-TLS），它利用了在RFC 2246中明确定义的传输层协议（TLS）。 受控端口和不受控端口 802.1x标准定义了两种逻辑抽象：受控端口和不受控端口。这两种端口都连接到网络访问端口上。受控端口提供了访问请求者所用的网络服务的功能，根据验证操作成功与否实现打开或关闭操作。不受控端口始终处于连接状态，为验证服务的进行提供了始终连通的状态。受控端口需验证通过后才处于连接状态，从而提供给请求者网络服务。 802.1x的工作过程 802.1x的工作相当简单。值得注意的是请求者和验证者之间的流量通过EAPoL传输，验证者与验证服务器之间的流量则通过RADIUS传输。 开始时，受控端口处于中断状态，所以请求者无法访问LAN本身。请求者向验证者发出EAPoL起始消息，或者验证者会向请求者发出EAP请求身份消息。请求者接到请求身份消息后，就会把证书提供给验证者，然后验证者进行封装后把RADIUS数据包里面的消息发送给验证服务器。 RADIUS服务器随后向请求者发出质问请求，该请求由验证者充当代理。请求者对质问做出响应后，验证者又一次充当数据通过验证服务器的代理。验证服务器确认证书后，就会做出请求者可不可以使用LAN服务的决定。只要让受控端口由中断状态转换到连接状态，即可实现这一步。 增强授权功能 因为802.1x只明确规定了基本的开/关功能，其他功能甚少，大多数安全专家提到了AAA，即验证、授权和审计，而802.1x仅仅提供了最基本的验证功能，即开/关。部分厂商于是提供了另一层保护，因为许多组织需要比“开/关”所能够实现的更高一级的细粒度。厂商为受控端口增添逻辑以提高保真度，从而大大增强了授权功能。这种所谓的授权服务可以提供高保真度的第2、第3和第4层过滤功能，而且可以进行扩展，以获得动态自我配置的数据包过滤防火墙。授权服务可以提供如下的一些服务： ● 第2层协议过滤，去除了网络中不接受的第2层协议。 ● 第3层过滤，对提供特定单元访问权的网络执行逻辑视图。 ● 第4层过滤，禁止不允许的协议进入网络。 ● 速率限制，控制可能有害的信息进入网络的速率。 如果利用为每个端口进行编程的授权服务，就能针对特定用户或用户级制订相应的细粒度安全策略，为它们提供仅供访问所需服务的功能，其它服务一概禁止。 举一例，即使网络管理员能访问SNMP，会计部门的人却没有理由同样能访问。如果有可能确定一个用户属于哪个组，那么在验证期间就可以实施特定的授权策略。就本例而言，SNMP访问权应该授予网络管理组的成员，不然需收回权限，从而防止网络管理员之外的人无意或恶意对网络设备乱加配置。 CISCO交换机配置AAA、802.1X以及VACL 一 启用AAA、禁用Telnet 以及启用 ssh 1.启用aaa身份验证，以进行SSH访问： Switch# conf t Switch(config)# aaa new-model 2.配置主机名 Switch(config)# hostname sw1 3.配置本地用户名口令，以便在带外服务器不可用时能够访问交换机 sw1(config)# username cisco password cisco 4.配置SSH sw1(config)# ipdomain-name cisco.com sw1(config)# crypto key generate rsa 5.配置交换机，使得只能通过SSH以带内方式访问交换机 sw1(config)# line vty 0 15 sw1(config-line)# transport input ssh sw1(config-line)# exit sw1(config)# exit 二 配置vty的aaa身份验证方式，首先使用radius 服务器，如果服务器不可用，使用本地用户名口令数据库 sw1(config)# aaa authentication login TEST group radius line sw1(config)# line vty 0 15 sw1(config-line)# login authentication TEST sw1(config-line)# exit 三 在接口上配置802.1x 1.为radius身份验证启用802.1x sw1(config)# aaa authentication dot1x default group radius 2.全局启用802.1x sw1(config)#dot1x system-auth-control 3.在接口上配置802.1x sw1(config)# int range fa0/2 - 10 sw1(config-if-range)# swtichport access vlan 10 sw1(config-if-range)# dot1x port-control auto 四 配置vacl以丢弃所有通过tcp端口8889进入的桢 1.配置一个acl，以判断数据包是否通过tcp端口8889进入： sw1(config)# access-list 100 permit tcp any any eq 8889 2.配置vlan访问映射表： sw1(config)# vlan access-map DROP_WORM 100 sw1(config-access-map)# match ip address 100 sw1(config-access-map)# action drop sw1(config-access-map)# exit 3.将vlan访问表应用于合适的vlan sw1(config)#vlan filter DROP_WORM vlan 10-20 802.1x工程笔记 在某网络测试时，工作笔记。 一、802.1x协议起源于802.11协议，后者是标准的无线局域网协议，802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。现在已经开始被应用于一般的有线LAN的接入。为了对端口加以控制，以实现用户级的接入控制。802.1x就是IEEE为了解决基于端口的接入控制（Port-Based Access Control）而定义的一个标准。 1、802.1X首先是一个认证协议，是一种对用户进行认证的方法和策略。 2、802.1X是基于端口的认证策略（这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口，对于无线局域网来说个“端口”就是一条信道） 3、802.1X的认证的最终目的就是确定一个端口是否可用。对于一个端口，如果认证成功那么就“打开”这个端口，允许文所有的报文通过；如果认证不成功就使这个端口保持“关闭”，此时只允许802.1X的认证报文EAPOL（Extensible Authentication Protocol over LAN）通过。 二、802.1X的认证体系分为三部分结构： Supplicant System，客户端(PC/网络设备) Authenticator System，认证系统 Authentication Server System，认证服务器 三、认证过程 1、认证通过前，通道的状态为unauthorized，此时只能通过EAPOL的802.1X认证报文；2、认证通过时，通道的状态切换为authorized，此时从远端认证服务器可以传递来用户的信息，比如VLAN、CAR参数、优先级、用户的访问控制列表等等； 3、认证通过后，用户的流量就将接受上述参数的监管，此时该通道可以通过任何报文，注意只有认证通过后才有DHCP等过程。 4、Supplicant System- Client（客户端）是—需要接入LAN，及享受switch提供服务的设备（如PC机），客户端需要支持EAPOL协议，客户端必须运行802.1X客户端软件，如：802.1X-complain、Windows XP等 四、配置 1、先配置switch到radius server的通讯 全局启用802.1x身份验证功能 Switch# configure terminal Switch(config)# aaa new-model Switch(config)# aaa authentication dot1x {default} method1[method2...] 指定radius服务器和密钥 switch(config)#radius-server host ip_add key string 2、在port上起用802.1x Switch# configure terminal Switch(config)# interface fastethernet0/1 Switch(config-if)# switchport mode access Switch(config-if)# dot1x port-control auto Switch(config-if)# end 802.1x的安全机制 编者按：IEEE 802.1x作为一种新生的链路层验证机制协议，其原理、组成、工作进程以及功能等到底如何呢？本文揭示了这项协议在网络安全方面的运行机理及其突出应用。 虽然大多数组织的IT基础设施已经加强了边界防御，但其内部仍然容易受到攻击。这种脆弱性具体表现为内部用户可未经授权访问或者恶意破坏关键的IT资源。作为全面的“深层防御”安全架构的一部分，关键内部基础设施的访问权只能提供给授权用户。 局域网（LAN）历来是大门敞开。IEEE 802.1x这项最新标准定义了为LAN实施访问控制的机制，允许授权用户进来，而把非授权用户拒之门外。因此，有了802.1x，LAN便不再是一道敞开的门，其本身也成为安全架构和政策执行的一个重要部分，并有助于消除来自组织内部的安全威胁。 802.1x验证机制及其优点 IEEE 802.1x是一种链路层验证机制协议，控制着对网络访问端口即网络连接点的访问，如实施在无线接入点的物理交换端口或逻辑端口。通过控制网络访问，用户可以在多层安全架构部署第一道防线。在连接设备得到验证之前，网络访问权完全被禁止。得到验证之后，用户可以被提供第2层交换机通常提供的服务以外的附加服务。这些服务包括第3层过滤、速率限制和第4层过滤，而不仅仅是简单的“开/关（on/off）”服务。 链路层验证方案的一个优点是，它只要求存在链路层连接，客户端（在802.1x中称为请求者）不需要分配供验证用的第3层地址，因而降低了风险。此外，链路层验证涉及了所有能够在链路上工作的协议，从而不必为每种协议提供网络层验证。802.1x还能够使执行点尽可能地接近网络边缘，因此可以针对连接设备的特定需求定制细粒度访问规则。 IEEE 802.1x的组成 IEEE　802.1x定义了下列逻辑单元： 网络访问端口：即网络上的连接点，它可能是物理端口，也可能是逻辑端口。 请求者：连接到网络、请求其服务的设备，通常是终端站。请求者是请求验证的设备，但也有可能是一种网络设备。 验证者：为验证服务提供便利的网络单元，验证者实际上并不提供验证服务，它充当请求者和验证服务器之间的代理，并且充当政策执行点。 端口访问实体：参与验证过程的固件。请求者和验证者都拥有端口访问实体（PAE）单元，请求者的PAE负责对验证信息请求做出响应，验证者的PAE负责与请求者之间的通信，代理授予通过验证服务器验证的证书，并且控制端口的授权状态。 验证服务器：提供向验证者申请验证服务的实体，它根据证书提供授权，既可以同验证者放在一起，也可以放在远地。 扩展验证协议（EAP） 由于使用了扩展验证协议（EAP），802.1x在请求者和验证者之间采用的实际验证机制相当灵活。EAP原先是为点对点（PPP）链路上的应用而定义的， 在因特网工程任务组的请求评论文档（RFC）2284中得到了明确定义。 基于以上所述，IEEE定义了一种封装模式，允许EAP通过LAN传输，EAP over LAN（EAPoL）于是应运而生。各种验证服务都可以通过这种协议运行，包括用户名/口令、Kerberos、数字证书、一次性口令和生物检测术等服务。EAP数据包在请求者和验证者之间的链路层上传输，并通过验证者与验证服务器之间的IP/RADIUS连接。 EAP本身并不为流量传输明确规定任何保护机制，如加密等。相反，EAP内运行的验证协议（在RFC 2284当中定义为验证类型）为安全操作提供了数据的机密性和完整性。验证类型的一个例子就是EAP传输层安全（EAP-TLS），它利用了在RFC 2246中明确定义的传输层协议（TLS）。 受控端口和不受控端口 802.1x标准定义了两种逻辑抽象：受控端口和不受控端口。这两种端口都连接到网络访问端口上。受控端口提供了访问请求者所用的网络服务的功能，根据验证操作成功与否实现打开或关闭操作。不受控端口始终处于连接状态，为验证服务的进行提供了始终连通的状态。受控端口需验证通过后才处于连接状态，从而提供给请求者网络服务。 802.1x的工作过程 802.1x的工作相当简单。值得注意的是请求者和验证者之间的流量通过EAPoL传输，验证者与验证服务器之间的流量则通过RADIUS传输。 开始时，受控端口处于中断状态，所以请求者无法访问LAN本身。请求者向验证者发出EAPoL起始消息，或者验证者会向请求者发出EAP请求身份消息。请求者接到请求身份消息后，就会把证书提供给验证者，然后验证者进行封装后把RADIUS数据包里面的消息发送给验证服务器。 RADIUS服务器随后向请求者发出质问请求，该请求由验证者充当代理。请求者对质问做出响应后，验证者又一次充当数据通过验证服务器的代理。验证服务器确认证书后，就会做出请求者可不可以使用LAN服务的决定。只要让受控端口由中断状态转换到连接状态，即可实现这一步。 增强授权功能 因为802.1x只明确规定了基本的开/关功能，其他功能甚少，大多数安全专家提到了AAA，即验证、授权和审计，而802.1x仅仅提供了最基本的验证功能，即开/关。部分厂商于是提供了另一层保护，因为许多组织需要比“开/关”所能够实现的更高一级的细粒度。厂商为受控端口增添逻辑以提高保真度，从而大大增强了授权功能。这种所谓的授权服务可以提供高保真度的第2、第3和第4层过滤功能，而且可以进行扩展，以获得动态自我配置的数据包过滤防火墙。授权服务可以提供如下的一些服务： ● 第2层协议过滤，去除了网络中不接受的第2层协议。 ● 第3层过滤，对提供特定单元访问权的网络执行逻辑视图。 ● 第4层过滤，禁止不允许的协议进入网络。 ● 速率限制，控制可能有害的信息进入网络的速率。 如果利用为每个端口进行编程的授权服务，就能针对特定用户或用户级制订相应的细粒度安全策略，为它们提供仅供访问所需服务的功能，其它服务一概禁止。 举一例，即使网络管理员能访问SNMP，会计部门的人却没有理由同样能访问。如果有可能确定一个用户属于哪个组，那么在验证期间就可以实施特定的授权策略。就本例而言，SNMP访问权应该授予网络管理组的成员，不然需收回权限，从而防止网络管理员之外的人无意或恶意对网络设备乱加配置。 发表于： 2010-03-01，修改于： 2010-03-01 08:56 已浏览168次，有评论0条 推荐 投诉
思科无线控制器配置802.1x认证
最新发布
Arouroua的博客
08-05 293
思科无线控制器配置802.1x认证
主流交换机厂商802.1x参考配置.docx
05-06
主流厂商802.1X认证配置
openwrt 有线wired802.1x认证
weixin_44053794的博客
09-14 1209
主要的参考来源。
H3C交换机802.1x配置资料
04-22
配置H3C交换机的802.1x相关配置参数和命令
H3C交换机802.1x配置步骤详细说明
01-30
H3C交换机802.1x配置步骤详细说明
H3C 802.1X基本配置
weixin_30800807的博客
07-08 801
转载于:https://www.cnblogs.com/fanweisheng/p/11153511.html
h3c交换机802.1x配置
weixin_34221276的博客
03-17 667
dis cu sys 进入系统视图 dot1x 开启全局802.1x config 配置模式 interface e0/1/30 进入端口模式下 dot1x quit 退出当前 radius scheme CRI 创建RADIUS方案CRI并进入其视图 primary authenticati...
华为交换机（802.1X准入配置）.txt
04-09
详细描述了802.1x的配置步骤，以及每一步的含义。如： 全局下配置： dot1x enable //全局下使能802.1x dot1x authentication-method eap //认证协议为eap dot1x retry 5 //认证最大重尝试数设置为5 dot1x timer tx-period 10 //命令用来配置发送认证请求的时间间隔 domain c
华为交换机配置802.1X
10-16
华为交换机配置802.1X 经过验证无误
h3c 802.1x配置实例
05-27
h3c 802.1x配置实例
802.1x配置原理（总结）
07-27
H3C交换机802.1x终端认证
windows NPS 结合 Cisco 交换机实现802.1x身份验证
08-29
### Windows NPS 结合 Cisco 交换机实现802.1x身份验证 #### 实验背景及目标 本文档详细介绍了如何使用Windows Server 2008 R2上的网络策略服务器(NPS)服务与Cisco交换机相结合来实现802.1x身份验证的过程。实验的...
港湾802.1x客户端
04-28
港湾802.1x客户端是一款专门设计用于与华为、H3C和思科等知名网络设备配合使用的认证客户端软件。802.1X协议是IEEE制定的一种基于端口的网络访问控制协议，主要用于局域网（LAN）的安全接入控制。这个协议允许网络...
ACS 802.1x 设置
02-03
**注释**: 华为客户端也支持 802.1x 认证，并且可以根据实际情况调整配置选项以适应不同场景。 #### 四、交换机配置 ##### 1. 交换机信息 - 使用 Cisco IOS (tm) C3550 Software (C3550-I5Q3L2-M), Version 12.1...
H3C接入层交换机和AC配置802.1x
zz960226的博客
11-01 1114
配置Radius方案。全局配置802.1x。端口802.1x配置。
华为交换机802.1X准入配置指南
本文档详细介绍了在华为交换机上配置802.1X准入控制的步骤，包括全局配置、RADIUS服务器设置、AAA方案创建以及接口配置等关键环节。 802.1X是一种基于端口的网络访问控制协议，它允许网络设备在用户试图接入网络时...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值