8021x认证类似参考CCNA安全的东西
《8021x认证类似参考CCNA安全的东西》由会员分享,可在线阅读,更多相关《8021x认证类似参考CCNA安全的东西(14页珍藏版)》请在装配图网上搜索。
1、精品文档精品文档SwitchingIEEE802.1x(DOT1)XAuthentication简单的说,IEEE802.1x是一种认证技术,是对交换机上的2层接口所连接的主机做认证,当主机接到开启了IEEE802.1x认证的接口上,就有可能被认证,否则就有可能被拒绝访问网络。在接口上开启IEEE802.1x认证后,在没有通过认证之前,只有IEEE802.1x认证消息,CDP以及STP的数据包能够通过。因为主机接到开启了IEEE802.1x认证的接口后,需要通过认证才能访问网络,要通过认证,只要输入合法的用户名和密码即可。交换机收到用户输入的账户信息后,要判断该账户是否合法,就必须和用户数据库
2、做个较对,如果是数据库中存在的,则认证通过,否则认证失败,最后拒绝该用户访问网络。交换机提供给IEEE802.1x认证的数据库可以是交换机本地的,也可以是远程服务器上的,这需要通过AAA来定义,如果AAA指定认证方式为本地用户数据库(Local),则读取本地的账户信息,如果AAA指定的认证方式为远程服务器,则读取远程服务器的账户信息,AAA为IEEE802.1x提供的远程服务器认证只能是RADIUS务器,该RADIUSR务器只要运行AccessControlServerVersion3.0(ACS3.0)或更高版本即可。当开启IEEE802.1x后,并且连接的主机支持IEEE802.1x认证时
3、,将得出如下结果:如果认证通过,交换机将接口放在配置好的VLAN中,并放行主机的流量。如果认证超时,交换机则将接口放入guestvlan。 如果认证不通过,但是定义了失败VLAN交换机则将接口放入定义好的失败VLAN中。如果服务器无响应,定义放行,则放行。注:不支持IEEE802.1x认证的主机,也会被放到guestvlan中。提示:当交换机使用IEEE802.1x对主机进行认证时,如果主机通过了认证,交换机还可以根据主机输入的不同账户而将接口划入不同的VLAN,此方式称为IEEE802.1x动态VLANM证技术,并且需要在RADIUS服务器上做更多的设置。本文档并不对IEEE802.1x动态
4、VLAN认证技术做更多的介绍,如有需要,本文档将补充对IEEE802.1x动态VLAN认证技术的详细介绍与配置说明。当主机认证失败后,交换机可以让主机多次尝试认证,称为重认证(re-authentication),在交换机上开启re-authentication功能即可,默认是关闭的。并且还可以配置认证时间间隔,默认60秒,默认可以尝试2次重认证。如果要手工对某接口重认证,在enable模式输入命令dot1xre-authenticateinterface在交换机接口上开启认证后,只要接口从down状态到up状态,就需要再次认证。dot1xport-controlauto接口开认证对于开启了认
5、证的接口,分为两种状态,unauthorized(未认证的)和authorized(认证过的)。接口的状态,可以手工强制配置,接口可选的配置状态分以下3种:force-authorized:就是强制将接口直接变认证后的状态,即authorized状态。force-unauthorized:就是强制将接口直接变没有认证的状态,即unauthorized状态。Auto:就是正常认证状态,主机通过认证,则接口在authorized状态,认证失败,则在unauthorized状态。.注:当交换机接口从up到down,或者主机离开了发送logoff,都将合接口重新变成unauthorized状态。开启了
6、IEEE802.1x认证的接口除了有状态之外,还有主机模式,称为HostMode,分两种模式:single-host和multiple-host。在single-host模式(默认),表示只有一台主机能连上来。在multiple-hosts模式,表示可以有多台主机连上来,并且一台主机认证通过后,所有主机都可以访问网络。当认证超时或主机不支持认证时,接口将被划到guestVLAN,当认证失败时,将被划失败VLAN也就是受限制的VLAN(restrictedVLAN),guestVLAN和restrictedVLAN可以定义为同一个VLAN,并且每接配置的。其实即使划入这个VLAN后,也会告诉客户
7、是认证通过,要不然会得不到DHCP注: IEEE802.1x认证只能配置在静态access模式的接口上。 正常工作在IEEE802.1x的接口被称为portaccessentity(PAE)authenticator。在认证超时或主机不支持认证时,才会将接口划入guest-vlan,在IOS12.2(25)SE之前,是不会将支持认证但认证失败的接口划入guest-vlan的,如果要开启guest-vlansupplicant功能,要全局配置dot1xguest-vlansupplicant。配置1.定义认证方式(1)定义IEEE802.1x使用本地账户数据库认证sw1(config)#aaan
8、ew-modelsw1(config)#aaaauthenticationdot1xdefaultlocal(2)定义IEEE802.1x使用RADIUS服务器认证sw1(config)#aaanew-modelsw1(config)#aaa authentication dot1x default group radius精品文档精品文档(3)定义RADIUS服务器sw1(config)#radius-serverhost10.1.1.1auth-port1645acct-port1646keycisco说明:定义RADIUS服务器地址为10.1.1.1,密码为cisco,认证端口UDP16
9、4a默认为1812,accounting端口为1646,默认为1813.。2. 开启IEEE802.1x认证(1)全局开启IEEE802.1x认证sw1(config)#dot1xsystem-auth-control说明:必须在全局开启IEEE802.1x认证。(2)在接口下开启IEEE802.1x认证说明:接口模式必须为静态accesssw1(config)#intf0/1sw1(config-if)#swisw1(config-if)#switchportmosw1(config-if)#switchportmodeaccesw1(config-if)#switchportmodeacc
10、esssw1(config-if)#dot1xport-controlauto说明:将接口设置为auto状态,即正常认证状态。(3)定义guestVLAN和restrictedVLANsw1(config)#vlan10sw1(config-vlan)#exitsw1(config)#vlan20sw1(config-vlan)#exitsw1(config)#intf0/1sw1(config-if)#dot1xguest-vlan10sw1(config-if)#dot1xauth-failvlan20说明:先在交换机上配置好VLAN然后定义guest-vlan和restrictedVLA
11、N(auth-failvlan),两个VLAN可以设置为同一个。3. 查看配置(1)查看接口配置信息sw1#shrunintf0/1Buildingconfiguration.Currentconfiguration:153bytes!interfaceFastEthernet0/1switchportmodeaccessdot1xpaeauthenticatordot1xport-controlautodot1xguest-vlan10dot1xauth-failvlan20endsw1#说明:可以看到,将接口配置为IEEE802.1x后,接口自动设置为dot1xpaeauthenticat
12、or。(2)查看接口IEEE802.1x状态sw1#shdot1xinterfacef0/1Dot1xInfoforFastEthernet0/1PAEPortControlControlDirectionHostMode=AUTHENTICATOR=AUTO=Both=SINGLE_HOST精品文档ReAuthenticationQuietPeriodServerTimeoutSuppTimeoutReAuthPeriodReAuthMaxMaxReqTxPeriodRateLimitPeriodAuth-Fail-VlanAuth-Fail-Max-attemptsGuest-Vlansw
13、1#说明:以上是IEEE802.1x的默认参数。4. 设置其它IEEE802.1x参数(1)开启重认证功能(默认关闭)sw1(config)#intf0/1sw1(config-if)#dot1xreauthentication(2)重认证次数(默认2次)sw1(config)#intf0/1sw1(config-if)#dot1xmax-reauth-req3=Disabled=60=30=30=3600(Locallyconfigured)=2=2=30=0=20=3=103 次)(3)在划到限制VLAN之前,可以尝试几次输入(默认是sw1(config)#intf0/1sw1(confi
14、g-if)#dot1xauth-failmax-attempts2(4)设置主机模式(默认Single-host)sw1(config)#intf0/1sw1(config-if)#dot1xhost-modemulti-host(5)查看配置sw1#shdot1xinterfacef0/1Dot1xInfoforFastEthernet0/1PAEPortControlControlDirectionHostModeReAuthenticationQuietPeriodServerTimeoutSuppTimeoutReAuthPeriodReAuthMaxMaxReqTxPeriodRat
15、eLimitPeriodAuth-Fail-VlanAuth-Fail-Max-attemptsGuest-Vlansw1#=AUTHENTICATOR=AUTO=Both=MULTI_HOST=Enabled=60=30=30=3600(Locallyconfigured)=3=2=30=0=20=2=10精品文档说明:以上的配置已经显示。5.强制接口为authorized状态(1)直接将接口F0/2配置为authorized状态sw1(config)#intf0/2sw1(config-if)#switchportmodeaccesssw1(config-if)#dot1xport-con
16、trolforce-authorized(2)查看接口F0/2的配置sw1#shrunintf0/2Buildingconfiguration.Currentconfiguration:82bytes!interfaceFastEthernet0/2switchportmodeaccessdot1xpaeauthenticatorendsw1#说明:可以看到,接口只有dot1xpaeauthenticator,没有auto字样(3)查看接口F0/2的状态sw1#shdot1xinterfacef0/2Dot1xInfoforFastEthernet0/2PAEPortControlContro
17、lDirection=AUTHENTICATOR=FORCE_AUTHORIZED=Both精品文档HostModeReAuthenticationQuietPeriodServerTimeoutSuppTimeoutReAuthPeriodReAuthMaxMaxReqTxPeriodRateLimitPeriodsw1#说明:接口已经为 authorized 状态。(4)直接将接口 F0/3 配置为 authorized 状态= SINGLE_HOST= Disabled= 60= 30= 30= 3600 (Locally configured)= 2= 2= 30= 0sw1(conf
18、ig)#intf0/3sw1(config-if)#switchportmodeaccesssw1(config-if)#dot1xpaeauthenticator说明:命令dot1xpaeauthenticator也将接口直接设置为authorized状态。(5)查看接口F0/3的配置sw1#shrunintf0/3Buildingconfiguration.Currentconfiguration:82bytesinterfaceFastEthernet0/3switchportmodeaccess精品文档精品文档PAEPortControlControlDirectionHostMode
19、ReAuthenticationQuietPeriodServerTimeoutSuppTimeoutReAuthPeriodReAuthMaxMaxReqTxPeriodRateLimitPerioddot1xpaeauthenticatorendsw1#说明:可以看到,命令dot1xpaeauthenticator等同命令dot1xport-controlforce-authorized。(6)查看接口F0/2的状态sw1#shdot1xinterfacef0/3Dot1xInfoforFastEthernet0/3=AUTHENTICATOR=FORCE_AUTHORIZED=Both=
20、SINGLE_HOST=Disabled=60=30=30=3600(Locallyconfigured)=2=2=30=0sw1#说明:接口已经为authorized状态。6 .guest-vlansupplicant说明:在认证超时或主机不支持认证时,才会将接口划入guest-vlan,在IOS12.2(25)SE之前,是不会将支持认证但认证失败的接口划入guest-vlan的,如果要开启guest-vlansupplicant功能,做如下配置:sw1(config)#dot1xguest-vlansupplicant说明:某些IOS版本,此命令是隐藏命令,需要手工全部输入。7 .主机设置
21、网卡IEEE802.1x认证说明:下面以XP操作系统的主机说明如何开启网卡的IEEE802.1x认证(1)点击本地连接的“属性”,出现如下窗口:精品文档,本地连揍届性祠flHE访I选择此选项以提供访问以太阿所需的垃证.回启用此网络的H1E802.1X龄证。受保护的Ed用EAF性皿回当计算机信患可用时险证为计机&)当用尸或评整机信息不可用时骏证为来客)EAP (PEAP)” ,然说明:勾选“启用此网络的IEEE802.1x验证”,并选择EAP类型为“受保护的后点“属性”,出现如下窗口:受保护的EAP属性|?区连接时:Cl# MKTCA RotCA 1口赴证服务盟证书(Y)CtrtipoiitCl
22、iKFtrinhtC*rt】p”L*S*rvturCrti11fn-AtitortdkdtCtrtLfictdort-ACSik1* ft A lai1 1 r A v r t ! 一 .;L*选择验证方法安全密码面JTSCW磴)口启用快速重新i至接U)薛定取消说明:请不要勾选“验证服务器证书”,选择验证方法为“安全密码(EAP-MSCHAPv2),然后点击“配置”,出现如下窗口:说明:请不要勾选“自动使用Windows登录名和密码(以及域,如果有的话)”。(2)当将此网卡连上开启IEEE802.1x认证的交换机端口后,如出现如下提示:说明:点击对话框,会弹出输入用户名和密码的窗口,如下图:说明:只要在此对话框中输入正确的用户名和密码,即可通过IEEE802.1x认证
- 温馨提示:
1: 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
2: 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
3.本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
5. 装配图网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。