Radius认证服务器的配置与应用.ppt

网络配置与应用★学习目标★熟悉身份认证的概念熟悉IEEE802.1x协议的工作特点掌握基于WindowsServer2003的Radius服务器的安装和配置方法掌握交换机上IEEE802.1x及相关协议的启用和配置方法掌握Radius认证系统的应用和故障排除方法重点难点掌握基于WindowsServer2003的Radius服务器的安装和配置方法掌握交换机上IEEE802.1x及相关协议的启用和配置方法掌握Radius认证系统的应用和故障排除方法10.1.1身份认证的概念身份认证（Authentication）是系统审查用户身份的过程从而确定该用户是否具有对某种资源的访问和使用权限。身份认证通过标识和鉴别用户的身份提供一种判别和确认用户身份的机制。身份认证需要依赖其他相关技术确认系统访问者的身份和权限使计算机和网络系统的访问策略能够可靠、有效地执行防止攻击者假冒合法用户获得资源的访问权限从而保证系统和数据的安全以及授权访问者的合法利益。计算机网络中的身份认证是通过将一个证据与实体身份绑定来实现的。实体可能是用户、主机、应用程序甚至是进程。证据与身份之间是一一对应的关系双方通信过程中一方实体向另一方实体提供这个证据证明自已的身份另一方通过相应的机制来验证证据以确定该实体是否与证据所显示的身份一致。10.1.2认证、授权与审计在计算机网络安全领域将认证、授权与审计统称为AAA或3A即英文Authentication（认证）、Authorization（授权）和Accounting（审计）。1．认证认证是一个解决确定某一个用户或其他实体是否被允许访问特定的系统或资源的问题。2．授权授权是指当用户或实体的身份被确定为合法后赋予该用户的系统访问或资源使用权限。3．审计审计也称为记帐（Accounting）或审核出于安全考虑所有用户的行为都要留下记录以便进行核查。安全性评估（securityassessment）是审计操作的进一步扩展。在安全性评估中专业人员对网络中容易受到入侵者攻击的部分进行内部检查对网络存在的薄弱环节进行阶段性评估。通过对评估结果的分析既可以发现网络中存在的设计缺陷也可以为今后的网络调整提供权威的数据支撑。用户对资源的访问过程如图1所示IEEE802.1x是一个基于端口的网络访问控制协议该协议的认证体系结构中采用了“可控端口”和“不可控端口”的逻辑功能从而实现认证与业务的分离保证了网络传输的效率。IEEE802系列局域网（LAN）标准占据着目前局域网应用的主要份额但是传统的IEEE802体系定义的局域网不提供接入认证只要用户能接入集线器、交换机等控制设备用户就可以访问局域网中其他设备上的资源这是一个安全隐患同时也不便于实现对局域网接入用户的管理。IEEE802.1x是一种基于端口的网络接入控制技术在局域网设备的物理接入级对接入设备（主要是计算机）进行认证和控制。连接在交换机端口上的用户设备如果能通过认证就可以访问局域网内的资源也可以接入外部网络（如Internet）；如果不能通过认证则无法访问局域网内部的资源同样也无法接入Internet相当于物理上断开了连接。IEEE802.1x协议采用现有的可扩展认证协议（ExtensibleAuthenticationProtocolEAP）它是IETF提出的PPP协议的扩展最早是为解决基于IEEE802.11标准的无线局域网的认证而开发的。虽然IEEE802.1x定义了基于端口的网络接入控制协议但是在实际应用中该协议仅适用于接入设备与接入端口间的点到点的连接方式其中端口可以是物理端口也可以是逻辑端口。典型的应用方式有两种：一种是以太网交换机的一个物理端口仅连接一个计算机；另一种是基于无线局域网（WLAN）的接入方式。其中前者是基于物理端口的而后者是基于逻辑端口的。目前几乎所有的以太网交换机都支持IEEE802.1x协议。10.2.2RADIUS服务器RADIUS（RemoteAuthenticationDialInUserService远程用户拨号认证服务）服务器提供了三种基本的功能：认证（Authentication）、授权（Authorization）和审计（Accounting）即提供了3A功能。其中审计也称为“记账”或“计费”。RADIUS协议采用了客户机/服务器（C/S）工作模式。网络接入服务器（NetworkAccessServerNAS）是RADIUS的客户端它负责将用户的验证信息传递给指定的RADIUS服务器然后处理返回的响应。RADIUS服务器负责接收用户的连接请求并验证用户身份然后返回所有必须要配置的信息给客户端用户也可以作为其他RADIUS服务器或其他类认证服务器的代理客户端。服务器和客