1、利用8021x动态vlan和radius技术组网测试方案利用802.1X、动态VLAN和radius技术组网测试方案 一、 组网测试背景IEEE 802.1X标准认证协议和动态VLAN的引入,在以太网交换机端口实现对用户认证、授权,以其实现技术简单、灵敏成为企业局域网的首选。利用 802.1X和RADIUS认证效劳器的授权控制,根据用户不同动态分配交换机端口VLAN属性实现较灵敏的控制,实现了一定范围内的挪动办公需求。整套 方案应用成熟,易于实现,给企业局域网平安管理提供了一种有效的解决途径。二、组网测试技术简介它 是基于C/S构造面向端口的访问控制认证协议。交换机端口有几种状态Block、L
2、isten、Learn和Forward,假设端口不配置认证,PC配 置相应的地址即可访问网络。通过对端口802.1X的配置,端口处于受控状态Authen和UNAuthen,在未认证状态下,端口仅收发EAPoL等认 证包信息,不允许访问网络,假设未配置VLAN,端口处于那个VLAN都未知;在认证通过后,根据用户在效劳器上的配置,端口分配相应特性,才可以访问网 络。这正是我们所需要的特性。802.1X体系有三部分构成,客户机、网络设备和认证效劳器。客户机:实现EAPoL的恳求和应答,目前Win2000SP4、WIN XP 、WIN2003均内置了认证客户端软件,WIN98SE、Linux需要相应客
3、户端软件的支持,可选用第三方的802.1X认证软件。网络设备:认证存取点,可以选取支持802.1X认证的无线AP和二层以上的交换机。应注意支持的兼容性,对802.1x和RFC RADIUS支持良好。尽管许多厂商都声称支持802.1X,存在很多兼容性问题,往往引起工程施行中的难度。认证效劳器:实现客户端身份认证,并下发RADIUS的属性。应选用对IETF支持良好的效劳器,常用的有CISCO ACS3.1-3.3,华为的CAMS以及win2003自带的IAS效劳。总之,在工程施行中,应选用对802.1X、RFC RADIUS支持兼容好,注意各应用系统的软件版本,如Windows、交换机IOS和RA
4、DIUS的版本,这是工程成功的很重要的部分。 2、动态VLAN是 指根据交换机的某个设定,将端口划分到一个VLAN中。划分VLAN的条件有很多,根据MAC地址MACBase、不同的身份认证。RFC RADIUS效劳器支持VLAN信息属性,可以把基于064(Tunnel-Type),065(Tunnel-Medium- Type),081(Tunnel-Private-Group-ID)的VLAN设定端口。所有用户及相关信息存于RADIUS效劳器上,可以根据用户 的变化调整用户的配置.三、相关要求1、认证效劳器:支持IETF标准的效劳器,本测试采用win2003自带的IAS效劳作为认证效劳器2、
5、交换机支持VLAN划分和802.1X协议,为了实现动态VLAN和多个二层交换机的Trunk接入,核心应选用三层交换机。本测试采用华为S2021二层交换机和华为S3328三层交换机3、 客户端操作系统比较常用的Windws,Linux等。Win 2000SP4,Win XP以上,Win2003均内置了对802.1X的支持,Win98、Linux需要客户端软件的支持。比较常见的802.1X客户端有cisco、华为 和XP系统内置802.1x认证等。本测试采用华为802.1X拨号器进展测试。四、解决方案1、测试组网图2、测试组网说明在3328交换机上建立3个VLAN,见下表: Vlan IDVLAN
6、接口地址掩码网络地址备注VLAN 100管理VLANVLAN 200业务测试VLAN1VLAN 300业务测试VLAN2sysname S3328 - 交换机命名为S3928#vlan batch 100 200 300 -建立VLAN100、VLAN200、VLAN300#interface Vlanif100#interface Vlanif200 配置各VLAN接口地址#interface Vlanif300#interface Ethernet0/0/1port link-type trunk 将交换机端口1定义成trunk形式,并允许 vlan100 200 300通过,同华为S20
7、21级联 port trunk allow-pass vlan 100 200 300bpdu enablentdp enablendp enable#interface Ethernet0/0/24port link-type accessport default vlan 100 将交换机端口24定义成access形式,参加VLAN100 接Radius效劳器bpdu enablentdp enablendp enable3华为S2021交换机主要配置内容sysname S2021 - 交换机命名为S2021#domain default enable test - 设置缺省域为test
8、#dot1xdot1x authentication-method chap -开启全局802.1X认证协议,认证形式采用chap#radius scheme testserver-type standardkey authentication testkey accounting testuser-name-format without-domain -配置账号可不加域名#domain test scheme radius-scheme test 建立test 域,该域采用radius test方案认证 ,将VLAN分配用字符串形式,便于RADIUS下vlan-assignment-mode
9、 string 发动态VLAN信息#vlan 100#vlan 200 根据测试规划,建立3个VLAN#vlan 300#interface Vlan-interface100 - 建立管理VLAN接口IP,已使交换机与Radius互通#interface Ethernet1/0/1 -交换机端口1设置TRUNK形式,允许通过vlan100、port link-type trunk 200、300,同S3328级联port trunk permit vlan 100 200 300#interface Ethernet1/0/24 -交换机端口24开启802.1x认证,形式为端口认证dot1x
10、 port-method portbaseddot1x5、认证效劳器主要配置在windows活动目录中建立VLAN200、VLAN300两个用户组,建立test200、test300两个用户账号,test200参加VLAN200用户组中,test300参加VLAN300用户组中Test200和test300两个账户均需如下设置在windows IAS中创立客户端交换机NAS,地址为S2021交换机管理VLAN接口IP地址在windows IAS中,新建两个远程访问策略策略一,名称VLAN200,添加允许全时段接入和匹配活动目录VLAN200用户组, 在策略VLAN200中,编辑拨入配置文件,身
11、份验证选取CHAP验证,同交换机一致在编辑拨号策略高级选项中,添加064(Tunnel-Type) 值=VLAN,065(Tunnel-Medium-Type) 值=802081(Tunnel-Private-Group-ID) 值=200 string形式,作用是认证成功后,对拨入账号所属交换机下发VLAN 200信息,交换机根据信息自动将该账户接入端口参加VLAN200,实现动态VLAN。策略二,名称vlan300,匹配活动目录VLAN300用户组,在拨号配置文件中081(Tunnel-Private-Group-ID) 值=300 string形式,其余配置同策略一,图略。五、测试经过上述组网配置完成后,我们进展方案可行性测试。首先,在PC机上安装华为802.1X客户端,测试PC机mac地址为00-40-CA-CB-CB-38在客户端中输入test200账号和密码,根据前面配置,该账号应该使PC机接入VLAN200中,在连接前,首先查看S2021交换机vlan200状态图中,我们可以看出,在认证前VLAN200除级联口外未包含其他端口。如今PC机上进展连接,在看交换机状态通过认证后,pc客户端状态
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1