网络管理基于端口的认证管理配置 实验报告.docx
- 文档编号:9584947
- 上传时间:2023-05-20
- 格式:DOCX
- 页数:14
- 大小:468.68KB
网络管理基于端口的认证管理配置 实验报告.docx
《网络管理基于端口的认证管理配置 实验报告.docx》由会员分享,可在线阅读,更多相关《网络管理基于端口的认证管理配置 实验报告.docx(14页珍藏版)》请在冰点文库上搜索。
网络管理基于端口的认证管理配置实验报告
网络管理实验报告
—基于端口的认证管理配置
学院:
计算机学院
班级:
姓名:
学号:
实验二基于端口的认证管理配置
【实验目的】
1、熟练掌握IEEE802.1X的工作原理
2、熟悉AAA身份认证机制
3、掌握RADIUS服务器的配置
【预备知识】
1、AAA概念和基本原理
2、IEEE802.1X
3、配置交换机与RADIUSSERVER之间通讯
【实现功能】
实现LAN接入的安全身份认证。
【实验拓扑】
【实验原理】
无线局域网技术标准自1997年公布以来,使人们能更方便、灵活、快捷地访问网络资源,摆脱了传统有线网络的线缆束缚,随时随地的访问使用Internet网络。
手机、笔记本电脑等个人无线接入终端设备和无线组网设备因为价格不断下降的大规模普及,越来越多的单位和家庭使用无线局域网进行组网,导致无线网络安全问题日益凸显。
早期的无线局域网安全防范仅靠WEP协议[1],即有线等效加密(WiredEquivalentPrivacy)保护网络的安全。
由于无线电的开放性,以及WEP技术本身的缺陷导致它特别容易被窃听和破解。
根据资料显示在一个繁忙的WEP无线网通过嗅探工具可以在短短的数分钟内破解,并且现在大量的破解工具流传于网络并有相关专用设备出售,严重危害无线网络的安全。
因此WEP标准在2003年被Wi-FiProtectedAccess(WPA)淘汰,又在2004年由完整的IEEE802.11i标准(又称为WPA2)所取代[2]。
无线局域网802.11i标准中使用802.1x认证和密钥管理方式保障无线网络的安全性。
尽管802.11i支持预WPA和WPA2加密下的共享密码,但如果只使用预共享密码保障校园网安全,可能面临密码外泄后,知道密码的非授权用户也能使用校园网络的安全隐患。
所以校园无线网建设过程中建立一套安全可靠高效的用户认证机制显得尤为迫切。
本文就在Windows系统平台下使用免费Radius软件TekRadius构建基于PEAP技术的Radius认证服务器,保护校园无线局域网的安全进行探讨。
1802.1X概述
IEEE802.1X[3]是IEEE制定关于用户接入网络的认证标准,全称是“基于端口的网络接入控制”协议,早期802.1x标准仅为有线网设计,并广泛应用于有线以太网中。
最新版802.1X协议针对无线局域网的特点进行修订,针对无线局域网的认证方式和认证体系结构进行了相关技术优化。
IEEE802.1X协议在用户接入网络之前运行,运行于网络中的数据链路层,EAP协议RADIUS协议。
无线局域网中802.1X协议的体系结构包括三个重要的部分:
客户端系统、认证系统和认证服务器,无线局域网中802.1X的拓扑结构如图1所示。
客户端系统(SupplicantSystem)通常是一个用户终端系统,在无线局域网中即为支持WiFi的笔记本电脑、手机等终端系统,该系统通常无需安装第三方客户软件,windowsXP系统内置了相关模块,能够发起并完成802.1x协议的认证过程。
认证系统(AuthenticatorSystem)即认证者,在无线局域网中就是无线接入点AP(AccessPoint)或路由器,在认证过程中起“转发”作用。
认证系统只是把客户端发起的认证信息转发到认证服务器完成相关认证。
认证服务器(AuthenticationServerSystem)通常为RADIUS服务器,在该服务器上存储用户名和密码、访问控制列表等相关用户信息。
在客户端发起认证时,由认证服务器对客户端用户信息与储存资料进行鉴别验证,该申请者是否为授权用户。
2PEAP协议
EAP可扩展认证机制(ExtensibleAuthenticationProtocol)是一个普遍使用的认证机制,它常被用于无线网络或点到点的连接中。
EAP不仅可以用于无线局域网,而且可以用于有线局域网,但它在无线局域网中使用的更频繁。
PEAP受保护的可扩展身份验证协议是由CISCO、微软和RSASecurity联合提出的开放标准,是WPA2标准[4]中被正式采纳的7类认证机制之一。
并已被广泛的运用在各种产品中,为网络提供安全保障。
它在设计上和EAP-TLS相似,但只需要通过服务器端的证书来建立一个安全的传输层安全通道(TLS)以保护用户认证信息的安全。
它分两个阶段进行:
第一阶段建立单项服务器认证的TLS隧道;第二阶段在该隧道保护下,对客户端进行EAP-MS-CHAPv2等基于EAP的方式认证。
与EAP-TLS采用的双向证书验证方式相比,PEAP较好的在保障无线网络安全性和认证系统的布署难度之间找到一个平衡点。
在校园无线网络访问控制中应用基于PEAP技术认证802.1X,可以为无线局域网提供安全可靠的授权访问控制解决方案。
3TekRadius系统安装与配置
TekRADIUS是一个windows下使用的功能强大并免费的RADIUS服务器软件,使用微软SQL数据库作为支撑数据库,支持EAP-MD5,EAP-MS-CHAPv2,PEAP(PEAPv0-EAP-MS-CHAPv2)等多种接入认证方式。
安装平台
1)安装SQL数据库设置sa账户;Radius默认情况下以sa用户访问使用SQL数据库。
2)安装TekRadius软件:
从下载软件安装包“TekRADIUS.zip”解压缩后找到setup.exe双击根据提示完成安装。
程序将会安装管理工具TekRADIUSManager和TekRADIUS服务在电脑中。
版本不低于“.NETFramework2.0”的运行库必须安装于系统上。
3)依次点击“开始/程序/TekRADIUS/TekRADIUSManager”启动GUI管理界面,配置TekRadius。
必须用具有管理员权限的账户登录windows才能以管理员身份对程序进行设置操作。
4)点击“settingtab”选项卡开始配置系统。
5)连接SQL数据库设置:
在“SQLserver”中填入SQL数据库主机地址,如果Radius服务器与SQL数据库安装在同一台电脑上则填写本机IP;“username”当中输入连接SQL数据库的用户名,系统默认用户名为sa容易被注入攻击,建议另外设置SQL同权限用户名使用提高系统安全性。
如果SQL数据库使用windows整合认证则还需要更改设置数据库到“用户名/密码”登录模式。
其他保持默认配置,完成配置后点击“TestConnection”,当系统反馈“ConnectionSuccessfulbutdatabasenotexists”或者“ConnectionSuccessfulbuttherewasmissingtable(s)”表示我们数据库连接设置正确,就可以在下一步中进行创建数据库和数据表操作。
6)创建数据库和表:
连接到SQL数据库后通过点击“DatabaseTable”开始创建TekRadius需要的数据库和数据表。
在“Databasename”后文本框输入数据库名称然后点击后边“CreatDatabase”,然后根据系统需要在下方四组Table中选择所需的数据库表后点击“CreatTable”创建数据库表。
由于本校园无线局域网主要提供给教师办公教学使用,故仅添加了Users和Groups项数据库表。
创建的SQL数据库和相关表用于用户属性数据存贮,提供给Radius检查核对,只有经过认证核对的用户才能有权访问网络。
7)设置服务参数:
设置Radius服务器监听IP地址和认证端口,默认情况下认证端口为1812,可自行在1-65535之间进行设置但必须与AP当中配置一致,并且需要确保此端口未被占用而影响系统运行。
设置系统自动启动服务,在Startup下拉菜单中选择为Automatic选项。
PEAP内部认证方式保持默认EAP-MS-CHAP-v2认证方式。
FailureCount中设置登录失败系统自动禁用账户的次数,设置为0时本功能禁用。
8)配置用户组和用户:
点击“Groups”选项卡,添加用户组“WlanGroup”;点击“Users”选项卡,添加用户并设置登录密码:
在user后的文本框中输入用户名test,后边选择新增加用户所在用户组,然后点击下方Add按钮。
选择test设置其密码:
添加Attribute属性check和user-password,在最后的文本框中设置密码“wasd1234”然后点Add/Update按钮。
9)增加Client客户端:
点击Client选项卡,再输入NAS客户端地址192.168.0.1,设置预共享密码:
zxc12345,verdor:
ietf,将校园无线网络中存在的多个NAS客户端IP地址依照此操作反复添加即可。
10)安装证书:
在PEAP身份验证方式下,至少需要在验证服务器端需要安装符合X.509标准的数字证书用于PEAP身份验证时安全信道的建立。
数字证书可以从Verisign公司等第三方证书发行机构购买,或者由公司内部证书发行机构获取,企业内部证书。
我们在校园无线网中使用IIS6.0自带的SelfSSL1.0组件获取根证书,安装SelfSSL组件后,启动命令提示符并转到程序安装目录下,输入以下命令“selfssl/N:
CN=Servername/K:
1024/V:
365/S:
1/P:
443”产生并获取系统所需数字证书[6],至此Radius服务器的配置完成。
4无线AP配置步骤
无线AP配置:
登录Dlink-615无线路由器,依次点击“安装→无线安装→手动无线因特网安装→设置无线模式为AccessPoint,SSID为WlanTest安全模式设置为WPA2,密码类型选择AES,设置为EAP模式,802.1X中填写服务器地址、认证端口及通信密码(与Radius服务器相同)”。
5PC客户端配置
在笔记本上打开无线网卡Atheros客户端程序[7]点击“配置文件管理→新建,填写配置文件名,SSID为Wlan(与AP中相同)→点击安全,设置安全项802.1X,类型设为PEAP(EAP-MSCHAPv2),然后点击配置,选择使用用户名和密码进行连接,设置用于登录的用户名和密码,再点设置设置服务器域名和用户名”,确定完成设置并启用设置文件,笔记本通过验证正常介入并访问使用因特网。
6讨论
经过上述的配置服务器数据库中的合法用户就可以在连接到无线网络时,在WPA2保护的无线网络中通过PEAP方式进行身份验证,访问使用Internet网络。
由于SQL数据库的使用,可以方便的用户数据管理备份等工作提高了管理效率,并解决了WEP保护下的无线网络存在WEP密码被暴力破解带来的安全问题和使用预共享密码接入网络存在的共享密码泄露可能带来的网络安全风险。
较好地解决了校园无线局域网的安全性问题,使得授权用户访问Internet网络应用摆脱线缆的束缚更加方便并阻止非法用户的入侵。
由于应用的PEAP认证方式在服务器安装数字证书大大的提高了无线局域网的安全性。
【实验步骤】
1、交换机配置
第一步:
查看交换机版本信息
验证测试:
查看交换机版本信息:
Switch>showversion
Systemdescription:
Red-GiantGigabitIntelligentSwitch(S2126G)By
RuijieNetwork
Systemuptime:
0d:
0h:
8m:
40s
Systemhardwareversion:
3.3
Systemsoftwareversion:
1.5
(1)BuildMar32005Temp
SystemBOOTversion:
RG-S2126G-BOOT03-02-02
SystemCTRLversion:
RG-S2126G-CTRL03-05-02
RunningSwitchingImage:
Layer2
Switch>
第二步:
初始化交换机配置
所有的交换机在开始进行配置前,必需先进行初始化,清除原有的一切配置,命令如下:
Switch>
Switch>enable
Switch#deleteflash:
config.text!
删除配置
Switch#reload
…..
Switch#configureterminal!
进入配置层
Switch(config)#
验证测试:
使用命令showrunning-config命令查看配置信息,删除原始配置信息后该命令的打印结果如下:
Switch#showrunning-config
Buildingconfiguration...
Currentconfiguration:
318bytes
!
version1.0
!
hostnameSwitch
vlan1
!
end
Switch#
第三步:
Switch#configureterminal
Enterconfigurationcommands,oneperline.EndwithCNTL/Z.
Switch(config)#ipdefault-gateway192.168.0.1!
!
!
设置交换机默认网关,实现跨网段管理交换机
Switch(config)#interfacevlan1
Switch(config-if)#ipaddress192.168.0.2255.255.255.0
Switch(config)#exit
Switch(config)#radius-serverhost192.168.0.185auth-port1812
!
!
!
指定RADIUS服务器的地址及UDP认证端口
Switch(config)#aaaaccountingserver192.168.0.185!
!
!
指定记账服务器的地址
Switch(config)#aaaaccountingacc-port1813!
!
!
指定记账服务器的UDP端口
Switch(config)#aaaauthenticationdot1x!
!
!
开启AAA功能中的802.1x认证功能
Switch(config)#aaaaccounting!
!
!
开启AAA功能中的记账功能
Switch(config)#radius-serverkeystar!
!
!
设置RADIUS服务器认证字
Switch(config)#snmp-servercommunitypublicrw
!
!
!
为通过简单网络管理协议访问交换机设置认证名(public为缺省认证名)并分配读写权限
Switch(config)#interfacefastEthernet0/4!
!
!
实验中将在4号接口启动802.1x的认证
Switch(config-if)#dot1xport-controlauto!
!
!
设置该接口参与802.1x认证
Switch(config-if)#exit
Switch(config)#exit
Switch#write
Buildingconfiguration...
[OK]
Switch#
2、交换机配置的截图
2、安装SQLserver
3、使用软件TekRADIUS进行用户名和密码管理
RadiusServer维护了所有用户的信息:
用户名、密码、该用户的授权信息以及该用户的记帐信息。
所有的用户集中于RadiusServer管理,而不必分散于每台交换机,便于管理员对用户的集中管理。
RadiusServer端:
要注册一个RadiusClient。
注册时要告知RadiusServer交换机的IP、认证的UDP端口若记帐还要添记帐的UDP端口)、交换机与RadiusServer通讯的约定密码,还要选上对该Client支持EAP扩展认证方式)。
交换机端:
设置RadiusServer的IP地址,认证(记帐)的UDP端口,与服务器通讯的约定密码。
【实验体会】
相比上次实验,这次实验更加复杂。
尽管是在小组的互动与合作下,本次实验还是没有成功。
原因是实验要求的环境较多,对TekRADIUS软件的使用不是很熟悉短时间内无法完全掌握它的原理及应用,导致在使用软件TekRADIUS进行配置时,创建数据库和表时不成功,最后的4步骤“设置服务参数、配置用户组和用户、增加Client客户端、安装证书”无法完成,而且实验时间也到了,电脑也自动关机了,无法再进行下去了,我们就这样结束了实验。
从课程的内容来看,本次实验十分重要,独立完成实验内容是对我们很好的一次锻炼,没有全面完成它,但是课后我对802.1X配置的相关知识做了一次更深的了解。
一、802.1x协议起源于802.11协议,后者是标准的无线局域网协议,802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。
现在已经开始被应用于一般的有线LAN的接入。
为了对端口加以控制,以实现用户级的接入控制。
802.1x就是IEEE为了解决基于端口的接入控制(Port-BasedAccessControl)而定义的一个标准。
1、802.1X首先是一个认证协议,是一种对用户进行认证的方法和策略。
2、802.1X是基于端口的认证策略(这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口,对于无线局域网来说个“端口”就是一条信道)
3、802.1X的认证的最终目的就是确定一个端口是否可用。
对于一个端口,如果认证成功那么就“打开”这个端口,允许文所有的报文通过;如果认证不成功就使这个端口保持“关闭”,此时只允许802.1X的认证报文EAPOL(ExtensibleAuthenticationProtocoloverLAN)通过。
二、802.1X的认证体系分为三部分结构:
SupplicantSystem,客户端(PC/网络设备)AuthenticatorSystem,认证系统
AuthenticationServerSystem,认证服务器
三、认证过程
1、认证通过前,通道的状态为unauthorized,此时只能通过EAPOL的802.1X认证报文;2、认证通过时,通道的状态切换为authorized,此时从远端认证服务器可以传递来用户的信息,比如VLAN、CAR参数、优先级、用户的访问控制列表等等;
3、认证通过后,用户的流量就将接受上述参数的监管,此时该通道可以通过任何报文,注意只有认证通过后才有DHCP等过程。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络管理基于端口的认证管理配置 实验报告 网络 管理 基于 端口 认证 配置 实验 报告