安全操作8

1、1目錄第1章802.1x配置配置............................................................................................................................................................21.1802.1x簡介....................................

2、.......................................................................................................................21.1.1802.1x標(biāo)準(zhǔn)簡介.....................................................................................

3、...................................................21.1.2802.1x體系結(jié)構(gòu)........................................................................................................................................21.1.3802.1x的認(rèn)證過程

4、....................................................................................................................................31.1.4802.1x在以太網(wǎng)交換機(jī)中的實(shí)現(xiàn).................................................................

5、...........................................31.2802.1x配置...........................................................................................................................................................41.2.1開啟關(guān)閉

6、802.1x特性.............................................................................................................................41.2.2設(shè)置端口接入控制的模式......................................................................

7、..................................................41.2.3設(shè)置端口接入控制方式............................................................................................................................51.2.4檢測通過代理登錄交換機(jī)的用戶..........

8、..................................................................................................51.2.5設(shè)置端口接入用戶數(shù)量的最大值......................................................................................................

9、......61.2.6設(shè)置允許DHCP觸發(fā)認(rèn)證......................................................................................................................61.2.7設(shè)置802.1x用戶的認(rèn)證方法.........................................................

10、.........................................................61.2.8設(shè)置認(rèn)證請求幀的最大可重復(fù)發(fā)送次數(shù)................................................................................................71.2.9設(shè)置802.1x的握手報(bào)文的發(fā)送時(shí)間間隔..................

11、............................................................................71.2.10配置定時(shí)器參數(shù)..................................................................................................................................

12、...71.2.11打開關(guān)閉quietperiod定時(shí)器.............................................................................................................81.3802.1x的顯示和調(diào)試...................................................................

13、........................................................................81.4802.1x典型配置舉例....................................................................................................................................

14、.......9第2章AAA和RADIUS協(xié)議配置協(xié)議配置................................................................................................................................122.1AAA和RADIUS協(xié)議簡介............................................

15、....................................................................................122.1.1AAA概述............................................................................................................................

16、......................122.1.2RADIUS協(xié)議概述..................................................................................................................................122.1.3AAARADIUS在以太網(wǎng)交換機(jī)中的實(shí)現(xiàn)........................

17、.....................................................................132.2AAA配置.............................................................................................................................................

18、................132.2.1創(chuàng)建刪除ISP域....................................................................................................................................132.2.2配置ISP域的相關(guān)屬性.......................................

19、..................................................................................142.2.3創(chuàng)建本地用戶.............................................................................................................................

20、.............152.2.4設(shè)置本地用戶的屬性..............................................................................................................................152.2.5強(qiáng)制切斷用戶連接..................................................

21、................................................................................162.3RADIUS協(xié)議配置.............................................................................................................................

22、.................162.3.1創(chuàng)建刪除RADIUS服務(wù)器組...............................................................................................................172.3.2設(shè)置RADIUS服務(wù)器的IP地址和端口號(hào)............................................

23、...............................................172.3.3設(shè)置RADIUS報(bào)文的加密密鑰.............................................................................................................182.3.4設(shè)置RADIUS服務(wù)器響應(yīng)超時(shí)定時(shí)器.................

24、................................................................................182.3.5設(shè)置RADIUS請求報(bào)文的最大傳送次數(shù).............................................................................................192.3.6設(shè)置實(shí)時(shí)計(jì)費(fèi)間隔......

25、............................................................................................................................192.3.7設(shè)置允許實(shí)時(shí)計(jì)費(fèi)請求無響應(yīng)的最大次數(shù).......................................................................

26、...................202.3.8使能停止計(jì)費(fèi)報(bào)文緩存功能..................................................................................................................202.3.9停止計(jì)費(fèi)報(bào)文最大重發(fā)次數(shù)設(shè)置...............................................

27、...........................................................212.3.10設(shè)置支持何種類型的RADIUS服務(wù)器..............................................................................................212.3.11設(shè)置RADIUS服務(wù)器的狀態(tài)...................

28、...........................................................................................212.3.12設(shè)置發(fā)送給RADIUS服務(wù)器的用戶名格式......................................................................................223圖11802.1x體系結(jié)

29、構(gòu)1.1.3802.1x的認(rèn)證過程802.1x通過EAP幀承載認(rèn)證信息。標(biāo)準(zhǔn)中共定義了如下幾種類型的EAP幀：?EAPPacket：認(rèn)證信息幀，用于承載認(rèn)證信息。?EAPoLStart：認(rèn)證發(fā)起幀，Supplicant主動(dòng)發(fā)起的認(rèn)證發(fā)起幀。?EAPoLLogoff：退出請求幀，主動(dòng)終止已認(rèn)證狀態(tài)。?EAPoLKey：密鑰信息幀，支持對EAP報(bào)文的加密。?EAPoLEncapsulatedASFAlert：用于支持AlertStardFu

30、m（ASF）的Alerting消息。其中EAPoLStart、EAPoLLogoff和EAPoLKey僅在Supplicant和Authenticat間存在；EAPPacket信息由AuthenticatSystem重新封裝后傳遞到AuthenticationServerSystem；EAPoLEncapsulatedASFAlert與網(wǎng)管信息相關(guān)，由Authenticat終結(jié)。由上述的原理我們可以看到，802.1x提供了一個(gè)用戶身份認(rèn)

31、證的實(shí)現(xiàn)方案，但是僅僅依靠802.1x是不足以實(shí)現(xiàn)該方案的——接入設(shè)備的管理者還要對AAA方法進(jìn)行配置，選擇使用RADIUS或本地認(rèn)證方法，以配合802.1x完成用戶的身份認(rèn)證。AAA方法的具體配置細(xì)節(jié)，請參見本書的“AAA和RADIUS協(xié)議配置”章節(jié)。1.1.4802.1x在以太網(wǎng)交換機(jī)中的實(shí)現(xiàn)Quidway系列以太網(wǎng)交換機(jī)在802.1x的實(shí)現(xiàn)中，不僅支持協(xié)議所規(guī)定的端口接入認(rèn)證方式，還對其進(jìn)行了擴(kuò)展、優(yōu)化：?支持一個(gè)物理端口下掛接多

32、個(gè)用戶的應(yīng)用場合；?接入控制方式（即對用戶的認(rèn)證方式）不僅可以基于端口，還可以基于MAC地址。這樣可極大地提高系統(tǒng)的安全性和可管理性。1.2802.1x配置802.1x本身的各項(xiàng)配置任務(wù)都可以在以太網(wǎng)交換機(jī)的系統(tǒng)視圖下完成。當(dāng)全局802.1x沒有開啟時(shí)，可以對端口的802.1x狀態(tài)進(jìn)行配置，其配置項(xiàng)會(huì)在開啟全局802.1x后生效。?說明：(1)請不要同時(shí)啟動(dòng)802.1x與RSTP（或MSTP），兩者同時(shí)啟動(dòng)時(shí)不能保證交換機(jī)的正常工作。(

33、2)如果端口啟動(dòng)了802.1x，則不能配置該端口的最大MAC地址學(xué)習(xí)個(gè)數(shù)（通過命令macaddressmaxmaccount配置），反之，如果端口配置了最大MAC地址學(xué)習(xí)個(gè)數(shù)，則禁止在該端口上啟動(dòng)802.1x。802.1x的配置包括：?開啟關(guān)閉802.1x特性?設(shè)置端口接入控制的模式?設(shè)置端口接入控制方式?檢測通過代理登錄交換機(jī)的用戶?設(shè)置端口接入用戶數(shù)量的最大值?配置802.1x用戶的認(rèn)證方法?設(shè)置允許DHCP觸發(fā)認(rèn)證?設(shè)置認(rèn)證請求幀