基于园区网络的Web认证设计与实现课程设计Word格式.docx
《基于园区网络的Web认证设计与实现课程设计Word格式.docx》由会员分享,可在线阅读,更多相关《基于园区网络的Web认证设计与实现课程设计Word格式.docx(32页珍藏版)》请在冰豆网上搜索。
(5)书写格式
a.设计报告要求用A4纸打印成册:
b.一级标题用3号黑体,二级标题用四号宋体加粗,正文用小四号宋体;
行距为22。
3.2考核方式
指导老师负责验收课题的设计结果,并结合学生的工作态度、实际动手能力、创新精神和设计报告等进行综合考评,并按优秀、良好、中等、及格和不及格五个等级给出每位同学的课程设计成绩。
具体考核标准包含以下几个部分:
(1)平时出勤(占10%)
(2)设计步骤、设计内容、及总体操作过程合理与否(占10%)
(3)步骤是否正确、内容是否完整及设计效果是否符合要求,个人能否独立、熟练地进行操作(占40%)
(4)设计报告(占30%)
注意:
不得抄袭他人的报告(或给他人抄袭),一旦发现,成绩为零分,同一组的同学,设计报告单独完成,不能雷同。
3.3课程验收要求
(1)完整操作所设计的内容。
(2)回答有关问题。
(3)提交课程设计报告。
(5)依操作的熟练程度、内容的创新程度,内容的完善情况打分。
上机安排
时间
8:
00-12:
00
15:
00—18:
18:
00-22:
12月19日
信管0901
12月20日
12月21日
信管0902
12月22日
附:
课程设计报告装订顺序:
封面、任务书、目录、正文、评分表。
正文的格式:
一级标题用3号黑体,二级标题用四号宋体加粗,正文用小四号宋体;
1总体概述和拓扑结构
1.1总体概述
WEB认证接入方式采用重定向技术,客户端无需安装任何软件,用户只需打开浏览器,输入任意网址就会弹出认证界面,引导用户输入用户名密码进行认证,合法用户认证通过后可以正常访问网络,非法用户的网络访问被拒绝。
同时WEB认证接入服务器端对用户的时长流量等计费信息进行采集,可以对用户进行计费,适应各种资费策略。
用户认证通过后会弹出一个计时小窗口,供用户观察上网时长,计时小窗口自带注销按钮供用户下网时注销。
WEB认证的页面可以根据用户的需要进行定制,运营商可以定制自己的名字、Logo以及各种通告信息等,方便运营商的运营。
WEB认证接入技术组网方式灵活,客户维护成本低,适应各种资费策略,当它工作在二层时可以实现用户名、IP地址和Mac地址的绑定,非常方便运营商的运营。
NAT:
网络地址转换(NAT,NetworkAddressTranslation)属接入广域网(WAN)技术,是一种将私有(保留)地址转化为合法IP地址的转换技术,它被广泛应用于各种类型Internet接入方式和各种类型的网络中。
原因很简单,NAT不仅完美地解决了lP地址不足的问题,而且还能够有效地避免来自网络外部的攻击,隐藏并保护网络内部的计算机。
NAT将自动修改IP报文的源IP地址和目的IP地址,Ip地址校验则在NAT处理过程中自动完成。
有些应用程序将源IP地址嵌入到IP报文的数据部分中,所以还需要同时对报文进行修改,以匹配IP头中已经修改过的源IP地址。
DHCP:
(动态主机设置协议(DynamicHostConfigurationProtocol,DHCP)是一个局域网的网络协议,使用UDP协议工作,主要有两个用途:
给内部网络或网络服务供应商自动分配IP地址给用户给内部网络管理员作为对所有计算机作中央管理的手段。
Radius:
RADIUS是一种C/S结构的协议,它的客户端最初就是NAS(NetAccessServer)服务器,现在任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。
RADIUS协议认证机制灵活,可以采用PAP、CHAP或者Unix登录认证等多种方式。
是目前应用最广泛的AAA协议。
1.2拓扑图
图1.1总体拓扑图设计
1、DHCP服务器和Radius服务器在VLAN1里面,也就是2626A的1-2端口,2626A的25号端口连接在三层交换机5308的B1端口连接。
2、PC2连接在2626B的3-4号端口上,划分为VLAN4里面,pc3连接在2626B的1-2号端口上面,此两个端口划分在VLAN4里面。
2626B的25号端口连接在5308的C4端口上。
3、无线AP420连接在三层交换机5308的C2端口上面。
4、7102路由器连接在5308的B3端口上面。
5、在5308上分别在每个VLAN里面定义中继端口:
B1,B3,C2,C4。
6、分别设定每个VLAN的IP地址,在eth0/2,eth0/1设置内外网的IP地址,是的能够连通外网。
2准备过程
2.1CA证书的导入与活动目录创建用户
2.1.1CA安装过程
在C盘内的根目录下选定证书,单击右键,选择“安装证书”子菜单
图2.1.1
图2.1.2
2.1.2用户新建过程
1、在开始的菜单下点击“管理工具”,然后点击“ActiveDirectory用户和计算机”
图2.1.3
2、在活动目录中创建student这个全局组,为student创建五个用户stu1,stu2,stu3,stu4,stu5,创建过程如下图所示
图2.1.4
图2.1.5
图2.1.6
输入用户名,建立这里以stuX。
图2.1.7
为了实验的方便性,密码统一设置为“procurve”,选中“密码永不过期”选项。
3、点击完成,完成创建。
为了使后面实验中的基于WEB方式的身份认证,我们还需要修改用户的帐户属性,如下图所示,选中“使用可逆的加密保存密码”。
图2.1.8
4、将用户添加到对应的组
图2.1.9
选择添加到组“菜单”,弹出如下对话框:
图2.1.10
在“输入要选择的对象名称”中输入组名称,单击检查名称按钮进行检查,当组名称下出现下划线后,单击确定完成关联。
同理,完成其他用户组与用户的联系。
2.2DHCP服务器的配置
2.2.1配置过程
1.我们需要在DHCP服务器上建立VLAN1,VLAN3.VLAN4三个作用域。
VLAN1:
172.16.9.10——172.16.9.250255.255.255.0
VLAN3:
10.1.10.50——10.1.10.150255.255.255.0
VLAN4:
10.1.20.2——10.1.20.20255.255.255.0
按照下面的图示来完成DHCP服务器的配置:
(以一个VLAN为例,剩下的同理)
图2.2.1
下面这个图中,这个地址是该作用域的路由器IP地址,在前面就必须要设置,不然完成不了下面连接外网的功能。
图2.2.2
使用类似的办法在DHCP服务器中创建VLAN1,VLAN4这两个作用域。
2.3Radius服务器的配置
2.3.1创建Radius客户端
下面我们开始创建RADIUS客户端的,在“开始”->
“管理工具”中选择“Internet验证服务”。
在创建RADIUS客户前,将IAS注册到域服务器中。
图2.3.1
按下面的步骤来创建RADIUS客户端
图2.3.2
点击“新建RADIUS客户端”,弹出如下对话框,按照下面的步骤来创建2626B的RADIUS客户端。
图2.3.3
图2.3.4
共享的机密统一使用“procurve”,点击确定完成创建,用同样的方法为其他的设备创建RADIUS客户端。
图2.3.5
2.3.2配置访问策略
点击“新建远程访问策略”,将弹出如下对话框,按照下面的步骤来创建student的远程访问策略。
图2.3.6
选择设置自定义策略,策略名填入“student”,单击下一步
图2.3.7
添加属性,选择“Authencation-Type”,单击添加。
图2.3.8
然后选择“EAP”协议,点击确定即可。
图2.3.9
选择授予远程访问权限,单击下一步。
图2.3.10
单击编辑配置文件,弹出如下对话框:
图2.3.11
在“身份验证”选项中,单击EAP方法,弹出如下对话框:
图2.3.12
选择受保护的EAP,单击确定,然后再单击编辑
图2.3.13
检查是否有证书,有则单击“确定“进入下一步,若没有则需要重新启动计算机,然后进行检查。
完成后点击“确定”,然后按照向导完成操作。
在高级选项中添加“Tunnel—Type”、“Tunnel—Mediu—Type”和“Tunnel—Pvt—Group—ID”三个属性,
最后,如果需要的话,可以启用计费策略。
如下图选中远程访问记录:
图2.3.14
双击本地文件,将出现如下对话框:
图2.3.15
3无验证动态分配IP地址的实现
3.12626A配置
代码如下:
enable
configure
Runningconfiguration:
;
J4900BConfigurationEditor;
Createdonrelease#H.10.83
hostname"
2626A"
snmp-servercommunity"
public"
Unrestricted
vlan1
name"
DEFAULT_VLAN"
untagged1-26
ipaddress172.16.9.253255.255.255.0
iphelper-address172.16.9.5
exit
vlan3
VLAN3"
tagged25
vlan4
VLAN4"
3.25308配置
代码如下
J4819AConfigurationEditor;
Createdonrelease#E.11.03
ProCurveSwitch5308xl"
module2typeJ4821B
module5typeJ4820B
module3typeJ8161A
module4typeJ8161A
interfaceC1
nolacp
exit
iprouting
untaggedB1,B3-B4,C2-C3,C5-C24,D1-D24,E1-E24
ipaddress172.16.9.254255.255.255.0
taggedB2,C1,C4
vlan2
VLAN2"
ipaddress192.168.0.1255.255.255.0
taggedB1,C1,C3
ipaddress10.1.10.1255.255.255.0
taggedB1,C1-C4
ipaddress10.1.20.1255.255.255.0
taggedB1,B4,C1-C4
ipauthorized-managers172.16.9.5255.255.255.0
iproute0.0.0.00.0.0.0172.16.9.10
3.32626B配置
enable
configure
untagged5-26
ipaddress172.16.9.20255.255.255.0
nountagged1-4
untagged1-2
ipaddress10.1.10.2255.255.255.0
untagged3-4
ipaddress10.1.20.2255.255.255.0
3.4实现结果
把PC3连入2626B的端口1—4都可行,比如接入到端口3—4时分配的是vlan4的地址,如下图所示:
图3.4.1NO.2客户机分配到的地址
4AAA方法实现有线的Web认证
4.1实现代码
首先在2626B输入如下的代码:
aaaauthenticationport-accesseap-radius
radius-serverhost172.16.9.5keyprocurve
aaaport-accessauthenticatoractive
aaaport-accessweb-based5-6
aaaport-accessweb-based5unauth-vid4
aaaport-accessweb-based6unauth-vid4
4.2实现结果
认证前的IP地址,是原本VLAN4内的地址,如下图:
图4.2.1
插到认证端口时,交换机会自动分配一个私有IP地址给客户机,如下图:
图4.2.2
认证WEB界面,输入用户名和密钥,如下图所示:
图4.2.3
认证通过后,radius服务器自动分配一个VLAN3的IP地址给该客户机,如下图所示:
图4.2.4
在Radius服务器的管理工具的事件查看器中可查看RADIUS认证情况。
图4.2.5
5无线AP420的配置
5.1无线AP的国家代码修改
进入管理员执行模式之后,输入命令“country?
”:
ProCurveAP420#country?
ProCurveAP420#countrycn
AP重起之后生效。
保证AP的发送接收频率满足使用国家的许可要求后,AP方可正常工作。
5.2网页配置
把控制主机与AP420调到同一个网段,然后在WEB中输入网页中输入网址,如172.16.9.11
即可进入AP420网页配置的界面,首先就必须开启AP:
图5.2.1
图5.2.2
当Inactive变成Active时,无线AP就开启了,然后进入配置界面,配置一些地址和有关动态分配IP地址的相关配置:
举配置动态分配界面为例,要点击Dynamic才是正确的
图5.2.3
然后在超级终端中打开AP420,查看大体的相关配置:
图5.2.4
设置完成后,将会出现如下提示,点击提示框。
图5.2.5
输入登陆凭据后确定,如果认证成功将显示已连接上,否则将显示身份认证失败。
如果失败,请认真检查配置,并查看RADIUS服务器的事件查看器。
经过身份认证后,该PC得到了IP地址,说明验证成功。
图5.2.7
6路由器7102的配置
6.1实现代码
Buildingconfiguration...
!
ProCurveSecureRouter7102dlSROSversionJ14.04
BootROMversionJ06.06
Platform:
ProCurveSecureRouter7102dl,partnumberJ8752A
SerialnumberUS520UA100
Flash:
33554432bytesDRAM:
134217727bytes
Date/Time:
ThuMar022000,07:
10:
37GMT+05:
45
ProCurveSR7102dl"
noenablepassword
clocktimezone+5:
ipsubnet-zero
ipclassless
event-historyon
nologgingforwarding
nologgingemail
noservicepassword-encryption
ipfirewall
noipfirewallalgmsn
noipfirewallalgmszone
noipfirewallalgh323
noautosynch-mode
nosafe-mode
interfaceeth0/1
ipaddress172.16.9.10255.255.255.0
access-policyNATinside
noshutdown
interfaceeth0/2
ipaddress59.71.15.100255.255.255.128
interfacee11/1
shutdown
ipaccess-liststandardinside
permitany
ippolicy-classNATinside
natsourcelistinsideaddress59.71.15.100overload
iproute0.0.0.00.0.0.059.71.15.1
iproute10.1.0.0255.255.0.0172.16.9.254
iproute172.16.0.0255.255.0.0172.16.9.254
noiptftpserver
noiptftpserveroverwrite
noiphttpserver
noiphttpsecure-server
noipsnmpagent
noipftpserver
ipftpserverdefault-filesystemflash
noipscpserver
noipsntpserver
nosnmp-serverenabletraps
ipsip
noipsipproxytransparent
linecon0
nologin
linetelnet04
login
linessh04
loginlocal-userlist
End
6.2连接外网
在此处外网的连接IP为59.71.15.100。
我们在客户机的命令界面ping59.71.15.100
图6.2.1
图示已经Ping通了外网,所以此台客户机已经能够访问外网了。
在内网中,三个VLAN里面的客户机都能互相的平通对方,如下图所示:
图6.2.2
图6.2.3
图6.2.4
7wireshark抓包的实现
如图所示:
图7.1
图7.2
从这个抓包的结果来看,抓到的包有TCP的,也有UDP的,还能抓到上网的账户和密码噢。