AC-Campus准入控制--802.1x

准入控制的定义：

准入控制是指出于网络安全考虑对尝试接入网络的用户进行认证 和授权，确保只有身份合法并且符合条件的用户才允许接入网络。

背景

NAC（Network Admission Control）称为网络接入控制，是一种“端到端”的安全结构，包括802.1x认证、MAC认证与Portal认证。

如图1所示，NAC作为解决网络安全接入控制的一种方案，主要包括以下几个部分：

• 接入用户：需要对其进行认证。如果采用802.1x认证，用户还需要安装客户端软件。

• NAD（Network Access Device）：网络接入设备，对接入用户进行认证和授权。一般需要和AAA服务器配合使用，防止非法终端接入，降低不安全终端的威胁；防止合法终端越权访问，保护核心资源。

• ACS（Access Control Server）：接入控制服务器，主要进行终端安全健康性检查与策略管理；用户行为管理与违规审计，强化行为审计，防止恶意终端破坏。

目的

传统的网络安全技术只考虑了外部计算机对网络的威胁，而没有考虑到内部计算机对网络的威胁，而且现有的网络设备难以有效防止内部设备对网络的威胁。

为了保证网络通信业务的安全性，可引入NAC安全构架。NAC安全构架从用户终端角度考虑内部网络安全，实现对接入用户进行安全控制，提供了“端到端”的安全保证。

802.1x简介

IEEE802 LAN/WAN委员会为解决无线局域网网络安全问题，提出了802.1x协议。后来，802.1x协议作为局域网端口的一个普通接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

802.1x协议是一种基于端口的网络接入控制协议。“基于端口的网络接入控制”是指，在局域网接入设备的端口这一级，对所接入的用户设备通过认证来控制对网络资源的访问。802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口(access port)访问LAN/WLAN。在获得交换机或LAN提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许EAPOL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。

如图1所示，802.1x系统为典型的Client/Server结构，包括三个实体：客户端（Client）、设备端（Device）和认证服务器（Server）。

• 客户端是位于局域网段一端的一个实体，由该链路另一端的设备端对其进行认证。客户端一般为一个用户终端设备，用户可以通过启动客户端软件发起802.1x认证。客户端必须支持局域网上的可扩展认证协议EAPOL（Extensible Authentication Protocol over LAN）。
• 设备端是位于局域网段一端的另一个实体，对所连接的客户端进行认证。设备端通常为支持802.1x协议的网络设备，它为客户端提供接入局域网的端口，该端口可以是物理端口，也可以是逻辑端口。
• 认证服务器是为设备端提供认证服务的实体。认证服务器用于实现对用户进行认证、授权和计费，通常为RADIUS服务器。

802.1x基本概念 

认证模式：

• 基于接口
• 基于MAC

认证方式：

• EAP透传
• EAP终结

端口控制方式：

• 自动识别
• 强行授权
• 强行非授权

1、受控/非受控端口

设备端为客户端提供接入局域网的端口，这个端口被划分为端两个逻辑口：受控端口和非受控端口。

• 非受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，保证客户端始终能够发出或接收认证报文。
• 受控端口在授权状态下处于双向连通状态，用于传递业务报文；在非授权状态下禁止从客户端接收任何报文。

2、授权/非授权状态

设备端利用认证服务器对需要接入局域网的客户端执行认证，并根据认证结果（Accept或Reject）对受控端口的授权/非授权状态进行相应地控制。

图2显示了受控端口上不同的授权状态对通过该端口报文的影响。图中对比了两个802.1x认证系统的端口状态。系统1的受控端口处于非授权状态（相当于端口开关打开），系统2的受控端口处于授权状态（相当于端口开关闭合）

802.1x的认证方式

EAP简介

可扩展身份认证协议（Extensible Authentication Portocol，EAP）最早定义在RFC2284中，是一种支持多种认证方法的认证框架，而不是一个认证机制。EAP最初被设计用于PPP，后来被RFC 3748更新，用于基于端口的802.1X访问控制，最后又被RFC 5247所更新。

EAP是一种非常灵活的二层协议，包括多种类型。有些EAP类型是产商私有的，有些EAP类型是标准的，如LEAP是Cisco私有的，PEAP是公有的标准。有些EAP仅能提供单向认证，而有些EAP可提供双向认证（mutual authenticaiton）。在双向认证中，不仅认证服务器需要对请求方的身份进行认证，请求方也必须对认证服务器的身份进行认证，以防止自己提供的用户名和密码被非法或假冒的认证服务器窃取。大部分要求双向认证的EAP采用服务器证书对认证服务器的身份进行验证。下表列出了各种EAP的特点和具体特性：

802.1x认证系统使用可扩展认证协议EAP（Extensible Authentication Protocol）来实现客户端、设备端和认证服务器之间认证信息的交换，各实体之间EAP协议报文的交互形式如下：

1. 在客户端与设备端之间，EAP协议报文使用EAPOL封装格式，并直接承载于LAN环境中。
2. 在设备端与RADIUS服务器之间，EAP协议报文可以使用以下两种方式进行交互。
   • EAP中继（透传）：EAP协议报文由设备端进行中继，设备将EAP报文使用EAPOR（EAP over RADIUS）封装格式承载于RADIUS协议中，发送给RADIUS服务器进行认证。该认证方式的优点是：设备处理简单，可支持多种类型的EAP认证方法，例如MD5-Challenge、EAP-TLS、PEAP等，但要求服务器端支持相应的认证方法。
   • EAP终结：EAP协议报文由设备端进行终结，设备将客户端认证信息封装在标准RADIUS报文中，与服务器之间采用密码验证协议PAP（Password Authentication Protocol）或质询握手验证协议CHAP（Challenge Handshake Authentication Protocol）方式进行认证。该认证方式的优点是：现有的RADIUS服务器基本均可支持PAP和CHAP认证，无需升级服务器，但设备处理较为复杂，且不能支持除MD5-Challenge之外的其它EAP认证方法。

802.1x系统支持EAP中继方式和EAP终结方式与远端RADIUS服务器交互完成认证。图3与图4关于两种认证方式的过程描述，都以客户端主动发起认证为例。

EAP终结方式与EAP中继方式的认证流程相比，不同之处在于步骤(4)中用来对用户密码信息进行加密处理的MD5 challenge由设备端生成，之后设备端会把用户名、MD5 challenge和客户端加密后的密码信息一起送给RADIUS服务器，进行相关的认证处理。

EAP中继认证的过程如下：

1. 当用户需要访问外部网络时打开802.1x客户端程序，输入已经申请、登记过的用户名和密码，发起连接请求。此时，客户端程序将向设备端发出认证请求帧（EAPOL-Start），开始启动一次认证过程。

2. 设备端收到认证请求帧后，将发出一个Identity类型的请求帧（EAP-Request/Identity）要求用户的客户端程序发送输入的用户名。

3. 客户端程序响应设备端发出的请求，将用户名信息通过Identity类型的响应帧（EAP-Response/Identity）发送给设备端。

4. 设备端将客户端发送的响应帧中的EAP报文封装在RADIUS报文（ RADIUS Access-Request）中发送给认证服务器进行处理。

5. RADIUS服务器收到设备端转发的用户名信息后，将该信息与数据库中的用户名列表中对比，找到该用户名对应的密码信息，用随机生成的一个MD5 Challenge对密码进行加密处理，同时将此MD5 Challenge通过RADIUS Access-Challenge报文发送给设备端。

6. 设备端将RADIUS服务器发送的MD5 Challenge转发给客户端。

7. 客户端收到由设备端传来的MD5 Challenge后，用该Challenge对密码部分进行加密处理，生成EAP-Response/MD5 Challenge报文，并发送给设备端。

8. 设备端将此EAP-Response/MD5 Challenge报文封装在RADIUS报文（ RADIUS Access-Request）中发送给RADIUS服务器。
9. RADIUS服务器将收到的已加密的密码信息和本地经过加密运算后的密码信息进行对比，如果相同，则认为该用户为合法用户，并向设备端发送认证通过报文（RADIUS Access-Accept）。
10. 设备收到认证通过报文后向客户端发送认证成功帧（EAP-Success），并将端口改为授权状态，允许用户通过端口访问网络。
11. 用户在线期间，设备端会通过向客户端定期发送握手报文的方法，对用户的在线情况进行监测。
12. 客户端收到握手报文后，向设备发送应答报文，表示用户仍然在线。缺省情况下，若设备端发送的两次握手请求报文都未得到客户端应答，设备端就会让用户下线，防止用户因为异常原因下线而设备无法感知。
13. 客户端可以发送EAPOL-Logoff帧给设备端，主动要求下线。
14. 设备端把端口状态从授权状态改变成未授权状态，并向客户端发送EAP-Failure报文。

 802.1x认证触发方式

客端户主动触发方式

• 组播方式
• 广播方式

设备主动触发方式

• 组播触发
• 单播触发