利用801X动态VLAN和radius技术组网测试方案

1、利用802.1X、动态VLAM口radius技术组网测试方案一、组网测试背景IEEE802.1X标准认证协议和动态VLANW引入，在以太网交换机端口实现对用户认证、授权，以其实现技术简单、灵活成为企业局域网的首选。利用802.1X和RADIU纵证服务器的授权控制，根据用户不同动态分配交换机端口VLANS性实现较灵活的控制，实现了一定范围内的移动办公需求。整套方案应用成熟，易于实现，给企业局域网安全管理提供了一种有效的解决途径。二、组网测试技术简介1、IEEE802.1X认证协议它是基于C/S结构面向端口的访问控制认证协议。交换机端口有几种状态Block、Listen、Learn和Forward

2、,如果端口不配置认证，PC配置相应的地址即可访问网络。通过对端口802.1X的配置，端口处于受控状态Authen和UNAuthen,在未认证状态下，端口仅收发EAPoL等认证包信息，不允许访问网络，如果未配置VLAN端口处于那个VLANffi未知；在认证通过后，根据用户在服务器上的配置，端口分配相应特性，才可以访问网络。这正是我们所需要的特性。802.1X体系有三部分构成，客户机、网络设备和认证服务器。客户机：实现EAPoL的请求和应答，目前Win2000SP4WINXP、WIN200鸡内置了认证客户端软件，WIN98SELinux需要相应客户端软件的支持，可选用第三方的802.1X认证软件。

3、网络设备：认证存取点，可以选取支持802.1X认证的无线AP和二层以上的交换机。应注意支持的兼容性，对802.1x和RFCRADIUSt持良好。尽管许多厂商都宣称支持802.1X,存在很多兼容性问题，往往引起工程实施中的难度。认证服务器：实现客户端身份认证，并下发RADIUS勺属性。应选用对IETF支持良好的服务器，常用的有CISCOACS3.1-3.3,华为的CAMSU及win2003自带的IAS服务。总之，在工程实施中，应选用对802.1X、RFCRADIUSg持兼容好，注意各应用系统的软件版本，如Windows交换机IOS和RADIUS勺版本，这是工程成功的很重要的部分。2、动态VLAN

4、是指根据交换机的某个设定，将端口划分到一个VLAN中。划分VLAN的条件有很多，根据MAO址(MACBaSe、不同的身份认证。RFCRADIUS!务器支持VLAN信息属性，可以把基于064(Tunnel-Type),065(Tunnel-Medium-Type),081(Tunnel-Private-Group-ID)的VLANiS定端口。所有用户及相关信息存于RADIUS!务器上，可以根据用户的变化调整用户的配置.三、相关要求1、认证服务器：支持IETF标准的服务器，本测试采用win2003自带的IAS服务作为认证服务器2、交换机支持VLA破U分和802.1X协议，为了实现动态VLANO多个

5、二层交换机的Trunk接入，核心应选用三层交换机。本测试采用华为S2008二层交换机和华为S3328三层交换机3、客户端操作系统比较常用的WindwsLinux等。Win2000SP4WinXP以上,Win2003均内置了对802.1X的支持，Win9&Linux需要客户端软件的支持。比较常见的802.1X客户端有cisco、华为和XP系统内置802.1x认证等。本测试采用华为802.1X拨号器进行测试。四、解决方案1、测试组网图2、测试组网说明测试场景：一台华为S3328三层交换机，version5.30,作为汇聚核心层，启用路由交换功能；一台华为S2008二层交换机，version

6、3.10,作为接入层，启用802.1x认证功能；一台服务器，预装windows2003操作系统，并添加Internet验证服务组件(IAS),确保IAS能和启用802.1x的交换机通信在3328交换机上建立3个VLAN见下表:IDVLANg口地址掩码-255.255.255.0192.168.0.0管理VLAN100192.168.0.1网络地址备注VLAN200192.168.1.1255.255.255.0192.168.1.0业务测试VLANVLAN300192.168.2.1255.255.255.0192.168.2.0业务测试VLANS2008的管理接口地址配置在Vlan100上，

7、ip地址为192.168.0.2/24（华为二层交换机可以将一个VLANS置成管理VLAN并能配置IP地址使该VLANR备三层功能），并建立vlan200和VLAN300W个业务VLAN不加入任何端口，级联口改为TRUN板式，允许VLAN100VLAN200VLAN300!过，同S3328级联，S3328交换机接S2008端口做相同设置。交换机和IAS的RadiusKey统一设定为test。Rdius服务器接入S3928属于VLAN100地址为192.168.0.254/24,这样交换机同Rdius互通，。客户端802.1X用华为的客户端软件。2.华为S3328主要配置内容sysnameS33

8、28-交换机命名为S3928#vlanbatch100200300建立VLAN100VLAN200VLAN300一#interfaceVlanif100ipaddress192.168.0.1255.255.255.0#interfaceVlanif200配置各VLAN®口地址ipaddress192.168.1.1255.255.255.0#interfaceVlanif300ipaddress192.168.2.1255.255.255.0JinterfaceEthernet0/0/1portlink-typetrunk将交换机端口1定义成trunk模式，并允许vlan10020

9、0300通过，同华为S2008级联porttrunkallow-passvlan100200300bpduenablentdpenablendpenable#AainterfaceEthernet0/0/24portlink-typeaccessportdefaultvlan100将交换机端口24定义成access模式，加入VLAN100接Radius服务器bpduenablentdpenablendpenable3.华为S2008交换机主要配置内容sysnameS2008-交换机命名为S2008#-设置缺省域为dotlxdotlxauthentication-methodchap-开启全局8

10、02.1X认证协议，认证模式采用chap#一Aradiusschemetestserver-typestandardprimaryauthentication192.168.0.254建立radiustest方案，将认证服务器地址指向radius服务器，并配置规划密钥primaryaccounting192.168.0.254keyauthenticationtestkeyaccountingtestuser-name-formatwithout-domain-配置账号可不力口域名#-schemeradius-schemetest建立域，该域采用radiustest方案认证，将VLAN&

11、;配用字符串模式，便于RADIUSvlan-assignment-modestring发动态VLAN言息#vlan100vlan200根据测试规划，建立3个VLAN#vlan300#interfaceVlan-interface100-建立管理VLAN8口IP,已使交换机与Radiusipaddress192.168.0.2255.255.255.0#interfaceEthernet1/0/1-交换机端口1设置TRUNKS；,允许通过vlan100、portlink-typetrunk200、300,同S3328级联porttrunkpermitvlan100200300#interface

12、Ethernet1/0/24-交换机端口24开启802.1x认证，模式为端口认证dot1xport-methodportbaseddot1x5、认证服务器主要配置在windows活动目录中建立VLAN200VLAN300M个用户组，建立test200、test300两个用户账号，test200加入VLAN20皿户组中，test300力口入VLAN300用户组中Test200和test300两个账户均需如下设置在windowsIAS中创建客户端交换机（NAS,地址为S2008交换机管理VLAN接口IP地址在windowsIAS中，新建两个远程访问策略策略一，名称VLAN200添加允许全时段接入和

13、匹配活动目录VLAN20M户组,在策略VLAN200,编辑拨入配置文件，身份验证选取CHAP佥证，同交换机一致在编辑拨号策略高级选项中，添加064(Tunnel-Type)值=VLAN065(Tunnel-Medium-Type)值=802081(Tunnel-Private-Group-ID)值=200(string模式)，作用是认证成功后，对拨入账号所属交换机下发VLAN200信息，交换机根据信息自动将该账户接入端口加入VLAN200实现动态VLAN策略二，名称vlan300,匹配活动目录VLAN300W户组，在拨号配置文件中081(Tunnel-Private-Group-ID)值=300(string模式),其余配置同策略一,图略。五、测试经过上述组网配置完成后，我们进行方案可行性测试。首先，在PC机上安装华为802.1X客户端，测试PC机mac地址为00-40-CA-CB-CB-38在客户端中输入test200账号和密码，根据前面配置，该账号应该使VLAN200K在连接前,首先查看S2008交换机vlan200状态PC机接入图中,我们可以看出，在认证前VLAN20O级联口外未包含其他端口现在PC机上进行连接，在看交换机状态通过认证后，pc客户端状态在S2008交换机中查看VLA