H3CEAD安全解决预案指导书

91/91H3CEAD安全解决方案指导书实施方案二零一零年十二月四日目录1 EAD解决方案介绍 41.1 EAD系统介绍 42 EAD解决方案实施指导 52.1 802.1x认证方式 52.1.1 协议综述 52.1.2 802.1X认证体系的结构 52.1.3 802.1x典型组网 62.1.4 802.1x与其他认证协议的简单比较 92.2 Portal认证方式 92.2.1 Portal协议概述 92.2.3 portal典型组网 122.2.4 portal协议旁挂方式认证流程图 142.2.5 portal两种方式组网的优缺点 152.3 L2TPVPNEAD 152.4 无线EAD 163 iNode客户端安装及配置 173.1 iNode客户端软件安装的软硬件环境需求 173.2 各种环境下iNode客户端的安装指导 183.2.1 802.1x环境下的iNode客户端安装过程 183.2.2 Portal环境下iNode软件的安装 213.2.3 l2tp环境下的iNode软件的安装 253.3 iNode终端配置 253.3.1 802.1x组网环境终端配置 253.3.2 Portal环境下客户端设置 303.3.3 L2TP环境下iNode软件的设置 334 接入设备端配置 374.1 8021x环境下接入层设备配置举例 384.2 portal环境下接入设备的配置 424.3 L2tp－vpn终端设备配置 445 Radius服务器配置 475.1 802.1X服务器端配置 475.1.1 接入设备配置 475.1.2 EAD安全策略创建 495.1.3 创建服务，关联创建的EAD安全策略 515.1.4 创建接入用户，关联服务 525.2 Portal环境下IMC(智能管理中心)端相应配置 535.2.1 portal部分操作 535.2.2 增加安全策略 545.2.3 增加服务,并关联安全策略 555.2.4 创建接入用户，关联服务 55EAD解决方案介绍EAD系统介绍H3CEAD（EndpointAdmissionDefense，端点准入防御）解决方案是一套融合网络设备、用户终端和第三方安全产品的全网安全体系框架，其目的是整合孤立的单点安全部件，形成完整的网络安全体系，最终为用户提供端到端的安全防护。iMCEAD组件是EAD解决方案的核心部件。通过这种防病毒软件、安全客户端、接入设备、iMC智能管理中心的整合，EAD解决方案能够防止已感染病毒或存在系统漏洞的用户终端对网络中的其他用户产生危害，保护缺乏防御能力的用户因暴露在非安全的网络中而受到威胁，避免来自网络内部的入侵；再配合传统的防火墙或IDS设备，最大限度的防止非法入侵。在EAD解决方案的框架下，用户的认证过程可以分为两个步骤：用户身份认证和安全认证。用户身份认证在iMCUAM组件上进行，通过用户名和密码来确定用户是否合法。身份认证通过后，用户处在隔离区，与此同时发起安全认证，安全认证由iMCEAD组件完成。如果安全认证通过，则用户的隔离状态被解除，可以正常访问网络资源；如果安全认证不通过，则继续隔离用户，直到用户完成相关修复操作后通过安全认证为止。iMCEAD组件、iMC智能管理平台组件（含UAM接入）必须与设备、客户端、第三方服务器等配合才能形成完整的EAD解决方案。下图是iMCEAD的结构图：EAD解决方案实施指导EAD安全解决方案适于各种网络环境中的部署,针对现网中的各种复杂应用环境和组网模式,H3C的EAD安全解决方案都提供了完善而有针对性解决方案,就目前应用场景来说,最常见的组网模式大致有以下几种:802.1x环境,Portal环境,L2tp环境.下面依次都各个组网模式进行介绍，其中的无线认证方式，是作为有线网络的补充和延伸，客户端的安装，服务器端的设置是一样的，做到了解即可。重点说明有线网络环境下的EAD安全解决方案如何实施。802.1x认证方式协议综述IEEE802.1x称为基于端口的访问控制协议（Portbasednetworkaccesscontrolprotocol）。主要是为了解决局域网用户的接入认证问题。IEEE802.1x协议的体系结构包括三个重要的部分：客户端（SupplicantSystem）、认证系统(AuthenticatorSystem)、认证服务器(AuthenticationServerSystem)。客户端用户通过启动客户端软件发起802.1x协议的认证,EAPOL报文经过认证系统的受控口和认证服务器进行认证交互后，如通过认证，则用户接入网络成功。802.1X认证体系的结构IEEE802.1X的体系结构中包括三个主要部分SupplicantSystem——客户端系统；AuthenticatorSystem——认证系统；AuthenticationSeverSystem——认证服务器系统。三者的关系如下图：IEEE802.1X的体系结构图802.1x典型组网802.1X推荐的组网推荐的组网：组网说明：1．802.1x认证起在接入层交换机上.2．采用二次ACL下发的方式（隔离acl,安全acl）来实现对安全检查不合格的用户进行隔离，对安全检查合格的用户放行.3．由于是二次acl下发的方式，要求接入层交换机为H3C交换机（具体的交换机型号请参考EAD的产品版本配套表）.4．控制点低，控制严格（采用802.1x认证方式，接入用户未通过认证前无法访问任何网络资源）5．由于802.1x控制非常严格，非通过认证的用户无法访问任何网络资源，但有些场景下用户需要用户未认证前能访问一些服务器，如DHCP,DNS,AD(activedirectory域控)，此时可采用802.1x的免认证规则，具体配置参照华三相关设备操作手册。6．为确保性能，iMCEAD一般要求分布式部署7．对于不支持二次acl下发的交换机（我司部分设备及所有第三方厂家交换机），可以通过使用iNode的客户端acl功能来实现隔离区的构造，即将原本下发到设备上的acl下发到iNode客户端上，中间设备只需做到能透传EAP封装radius属性即可8．二次acl下发需要iNode定制“客户端acl特性”，该特性需要iNode安装额外的驱动，对终端操作系统的稳定性有较高的要求。9．在接入层设备不是H3C交换机的情况下，由于设备不支持二次acl下发无法采用二次acl下发的方式来构造隔离区，此时可以通过下线＋不安全提示阈值的方式来模拟构造隔离区，实现EAD功能。具体实现为：用户安全检查不合格时，EAD不立即将终端用户下线而是给出一定的修复时间（不安全提示阈值），终端用户可以如果在该时间内完成的安全策略修复则可以正常通过EAD认证访问网络，如果在该时间内未完成安全策略修复则被下线。组网说明：802.1x认证起在接入层交换机上（要求接入层交换机对802.1x协议有很好的支持），控制点低，控制严格终端用户DHCP或静态IP地址均可采用下线＋不安全提示阈值方式认证过程简单，稳定。由于终端用户在不安全时在“不安全提示阈值”时间内与安全用户访问网络的权限是一样的，安全性上不如二次acl下发方式好。802.1X的认证过程802.1x的基本认证过程是：最初通道的状态为unauthorized，认证系统处于Initial状态，此时客户端和认证系统通道上只能通过EAPOL报文；用户端返回response报文后，认证系统接收到EAP报文后承载在Radius格式的报文中，再发送到认证服务器，认证服务器接受到认证系统传递过来的认证需求，认证完成后将认证结果下发给认证系统，完成对端口的管理。认证通过后，通道的状态切换为authorized，用户的流量就将接受VLAN、CAR参数、优先级、用户的访问控制列表等参数的监管，此时该通道可以通过任何报文。认证通过之后的保持：认证系统Authenticator可以定时要求Client重新认证，时间可设。重新认证的过程对User是透明的。802.1x与其他认证协议的简单比较认证协议802.1xPppoeweb是否需安装客户端软件需要（Windowsxp系统不需）需要不需业务报文传送效率高低高组播支持能力好不好好设备端要求低高较高处理流程清晰清晰复杂有线网上安全性扩展后可用可用可用Portal认证方式Portal协议概述Portal协议在英语中是“入口”的意思，portal认证通常称为“web认证”。基本思想为未认证用户访问网络时会被强制重定向到某站点，进行身份认证只有通过身份认证才能访问网络资源。portal协议原理Portal协议框架如上所示，portal的认证方式分为两种，一种为IE浏览器，也即web认证方式；另一种为inode客户端认证方式。Portal协议是一种基于UDP报文，包括portalserver和portal设备两个协议主体的认证协议。交互流程如下所示。对于这两种认证方式，认证的流程用下Web认证方式：用户输入域名或者ip地址后发起http请求，portal设备经处理后，反馈给用户一个强制认证的页面，需要用户输入账号和密码进行验证。用户浏览器将用户名和密码发送给portaweb后，经过中间bas设备将portal报文转换为radius报文，将用户名和密码封装后发送给后方的端点准入控制服务器进行验证，认证成功后，用户即能正常访问网络资源。否则提示用户验证失败，访问受限。采用inode客户端方式认证：这种方式用户直接在inode客户端中输入用户名和密码（总局人员只有第一次安装时输入，以后每次开机自启动），经bas设备（中间的交换设备）重定向给inode后，剩下的报文在inode客户端和portal核心之间交互。Portal核心通过和bas设备的交互，将用户名和密码传送给bas设备，bas设备和端点准入控制服务器之间进行radius报文的交互，认证成功后，用户即可访问网络资源，认证失败给出提示，禁止用户访问网络资源portal典型组网portal的直连方式（二层模式）Portal直连方式（三层模式）三层Portal认证与二层Portal认证的比较组网方式上，三层认证方式的认证客户端和接入设备之间可以跨接三层转发设备；非三层认证方式则要求认证客户端和接入设备之间没有三层转发。三层Portal认证仅以IP地址唯一标识用户；而二层Portal认证以IP和MAC地址的组合来唯一标识用户，即到portal设备的报文为带vlan-tag的二层报文。portal的旁挂方式当用户网关和bas设备不是同一个设备或者在原有网络上需要采用portal认证时，需要采用旁挂方式组网。如下图所示Portal设备侧挂在网关上，由网关将需要portalEAD认证的流量策略路由到Portal设备上做EAD认证，这种组网方式对现场改动小，策略灵活（仅将需要认证的流量策略路由到portal设备上，不需要认证的流量可以正常通过网关转发）一般采用下线的方式即可实现将终端用户放入隔离区来实现EADPortal设备的具体型号请参考EAD的版本说明书网关设备需要支持策略路由终端用户与iMC之间不能有NAT终端用户到iMC的流量一定要经过portal设备，不能出现终端用户不经过portal设备直接访问iMC的情况，否则portal认证会异常。portal协议旁挂方式认证流程图旁挂方式中，用户流量在gateway设备处匹配策略路由进行重定向给portalBAS设备，触发portal认证，portal将用户输入的账号和密码封装成radius报文发送端点准入服务器，经过服务器的验证后，用户获取到访问网络的权限。报文回送给gateway设备，之后进行正常的报文转发。用户数据流量回来后，通过路由进行正常的报文转发。如下图所示。portal两种方式组网的优缺点1．从适用范围来讲，直连方式常应用于新建的网络，如果原来网络已经建设好，为了不对现有网络产生大的影响，可以采用旁挂的方式；2．从对网络的影响程度上，直连方式对现有网络影响最大，因此对于那些网络已经建设好的地方，不建议采用直连portal方式；而旁挂方式能很好的解决这个问题，只需要增加配置将原有流量有选择的重定向给portal设备即可，对网络影响较小。而且可以平滑过渡。L2TPVPNEAD终端用户身份认证采用l2tp方式,EAD通过二次acl下发到安全联动网关来实现EAD。组网说明：终端用户采用l2tp方式做身份认证如果需要安全性防护可以采用l2tpoverIPSec的方案二次acl下发均下发到安全联动VPN网关上，网关的具体型号请参考EAD版本说明书附件:iNode客户端经过L2TP远端拨号认证接入内网案例无线EAD无线EAD目前只支持Portal方式的EAD，不支持基于802.1x认证方式的EAD。组网说明：AC除了完成AP的注册及控制外，同时起用portal认证一般采用下线的方式即可实现将终端用户放入隔离区来实现EAD支持EADAC的具体型号请参考EAD的版本说明书终端用户与iMC之间不能有NAT终端用户到iMC的流量一定要经过portal设备，不能出现终端用户不经过portal设备直接访问iMC的情况，否则portal认证会异常。由于AC转发性能的考虑，用户的网关不要设在AC上附件:某大学图书馆无线portal与网络中心认证案例iNode客户端安装及配置iNode客户端软件安装的软硬件环境需求硬件需求iNode智能客户端可安装和运行在普通PC机上，其基本硬件需求为：主频为667MHz或更高的CPU；128MB以上内存；20MB以上的硬盘空间软件需求iNode智能客户端所支持的操作系统如下：Windows2000SP4；WindowsXP；WindowsServer2003；Windowsvista。各种环境下iNode客户端的安装指导802.1x环境下的iNode客户端安装过程出现iNode客户端安装欢迎界面，点击下一步接受许可协议中的条款，点击下一步选择安装路径，建议默认安装路径，确认后点击下一步确认后，点击安装Inode客户端需要VisualC++2005的开发环境，安装过程中，系统会检查该环境安装与否，如果没有安装，会默认安装安装完成后，重新启动系统生效Portal环境下iNode软件的安装出现欢迎界面,点击下一步接受许可证协议条款,点击下一步选择文件安装位置,点击下一步准备就绪后点击安装安装进度条,安装过程中,有可能出现此提示框,需要先关闭360等杀毒软件,否则会影响客户端的正常安装客户端采用了C++的环境,需要具备此环境才能正常运行.安装过程中系统会自动检查是否已经安装,否则会出现上面所示画面安装完成后重新启动系统完成客户端的安装l2tp环境下的iNode软件的安装L2tp环境下的iNode软件安装过程和802.1X类似，在此不赘述，如果需要写iNode的安装指导，参考8021x的安装指导iNode终端配置802.1x组网环境终端配置点击新建连接，选择“是”出现欢迎界面，点击下一步选择802.1x协议，点击下一步选择连接类型“普通连接”，点击下一步输入分配的用户名和密码，如果环境中存在mac认证或者结合USB-KEY进行证书认证的话，可以选中“启用高级认证”，点击下一步选择认证时采用的网卡，同时选择“运行时自动认证”，“上传IPV4地址”，至于“上传客户端版本”，虽然默认是选中的，但是在特殊环境下，需要将其关闭，比如在无线的证书认证中。根据实际需求选择后点击，完成客户端的设置完成界面，点击“创建”点击新建的连接，认证成功如下Portal环境下客户端设置新建连接向导，点击下一步选择认证协议“portal协议”根据需求选择不同连接类型，这里我选择普通连接设置连接用户名和密码,点击下一步进入创建快捷方式界面点击图标的属性,输入portal服务器的地址(这个地址一定不能修改,不然会影响到客户端和服务器端的正常通讯)完成设置后，点击进行认证，认证成功如下图认证成功后在imc端的在线用户列表、L2TP环境下iNode软件的设置进入新建向导，点击下一步选择连接协议“l2tpovervpn协议”，点击下一步选择连接类型“普通连接”输入用户名和密码，点击下一步根据实际情况设置，点击高级选择认证模式“chap”，默认为pap认证模式重点设置网关名字和对端网关设备名字，建议选中keepalive报文完成设置后，点击认证成功如下（没有关联EAD安全策略）注意点:在做l2tp的接入认证中,用户名/密码认证正确后,是需要在域地址池中分配一个地址给用户的.,用户使用这个地址和IMC进行直接通讯.,也就是路由必须可达.不然用户的EAD安全检查是无法进行的,并且在一段时间连接超时后,提示”无法连接到策略服务器,连接超时”,这点是需要注意的.接入设备端配置8021x环境下接入层设备配置举例要求：认证用户属于这个默认域，radius服务器地址为/24,密码H3c,指定验证后进行EAD安全检查配置脚本如下[5120_EI]dicu#version5.20,Release2202P06#sysname5120_EI配置系统名称#domaindefaultenable#telnetserverenable#undolldpenable关闭lldp协议#dot1x全局启动dot1xdot1xauthentication-methodeap验证dot1x方式为eap透传dot1xfree-ip55到域控的数据流允许不经过认证即放行dot1xfree-ip55同上#aclnumber3000配置安全acl3000（必须和imc上的acl配置一致）rule1permitipaclnumber3001配置隔离acl3001(必须和imc上的acl配置一致)rule1permitipdestination0rule2permitipdestination0#vlan1#vlan701to702#vlan902创建管理vlan#radiusschemesystemserver-typeextendedprimaryauthentication1645primaryaccounting1646user-name-formatwithout-domainradiusschemeh3c创建radius模版h3cserver-typeextended服务类型为扩展，支持EAD安全检查primaryauthentication2首选认证服务器地址primaryaccounting2首选计费服务器地址keyauthenticationh3c接入层交换机和radius服务器之间的验证密码keyaccountingh3c接入层交换机和radius服务器之间的计费密码user-name-formatwithout-domain用户名格式为不带域名后缀#domain新建域名authenticationlan-accessradius-schemeh3c--关联新建radius模版h3cauthorizationlan-accessradius-schemeh3c关联新建radius模版h3caccountinglan-accessradius-schemeh3c同上access-limitdisablestateactiveidle-cutdisableself-service-urldisable#interfaceVlan-interface1#interfaceVlan-interface902配置网管地址，和imc进行radius报文交互的ip地址ipaddress892#interfaceGigabitEthernet1/0/1#interfaceGigabitEthernet1/0/2在想认证的接口上开启dot1x认证，其它接口依次类推portaccessvlan702dot1x#interfaceGigabitEthernet1/0/3#interfaceGigabitEthernet1/0/4#interfaceGigabitEthernet1/0/5#interfaceGigabitEthernet1/0/6#interfaceGigabitEthernet1/0/7#interfaceGigabitEthernet1/0/8#interfaceGigabitEthernet1/0/9#interfaceGigabitEthernet1/0/10#interfaceGigabitEthernet1/0/11#interfaceGigabitEthernet1/0/12#interfaceGigabitEthernet1/0/13#interfaceGigabitEthernet1/0/14#interfaceGigabitEthernet1/0/15#interfaceGigabitEthernet1/0/16#interfaceGigabitEthernet1/0/17#interfaceGigabitEthernet1/0/18#interfaceGigabitEthernet1/0/19#interfaceGigabitEthernet1/0/20#interfaceGigabitEthernet1/0/21#interfaceGigabitEthernet1/0/22#interfaceGigabitEthernet1/0/23#interfaceGigabitEthernet1/0/24#interfaceGigabitEthernet1/0/25#interfaceGigabitEthernet1/0/26#interfaceGigabitEthernet1/0/27#interfaceGigabitEthernet1/0/28#interfaceGigabitEthernet1/0/29#interfaceGigabitEthernet1/0/30#interfaceGigabitEthernet1/0/31#interfaceGigabitEthernet1/0/32#interfaceGigabitEthernet1/0/33#interfaceGigabitEthernet1/0/34#interfaceGigabitEthernet1/0/35#interfaceGigabitEthernet1/0/36#interfaceGigabitEthernet1/0/37#interfaceGigabitEthernet1/0/38#interfaceGigabitEthernet1/0/39#interfaceGigabitEthernet1/0/40portaccessvlan702poeenable#interfaceGigabitEthernet1/0/41#interfaceGigabitEthernet1/0/42#interfaceGigabitEthernet1/0/43#interfaceGigabitEthernet1/0/44#interfaceGigabitEthernet1/0/45#interfaceGigabitEthernet1/0/46#interfaceGigabitEthernet1/0/47#interfaceGigabitEthernet1/0/48上联口，配置为trunk类型，允许业务vlan和管理vlan通过portlink-typetrunkporttrunkpermitvlanall#interfaceGigabitEthernet1/0/49shutdown#interfaceGigabitEthernet1/0/50shutdown#interfaceGigabitEthernet1/0/51shutdown#interfaceGigabitEthernet1/0/52shutdown#nqaentryimcl2topopingtypeicmp-echodestinationip23frequency270000#iproute-static26配置默认路由#snmp-agent启用snmp简单网络管理协议snmp-agentlocal-engineid800063A2033CE5A60Csnmp-agentcommunityreadpublicsnmp-agentcommunitywriteprivatesnmp-agentsys-infoversionallsnmp-agenttarget-hosttrapaddressudp-domain2paramssecuritynamepublic#nqascheduleimcl2topopingstart-timenowlifetime630720000#user-interfaceaux03user-interfacevty04authentication-modenoneuserprivilegelevel3#Returnportal环境下接入设备的配置[H3C]dicu#version5.20,Release1910#sysnameH3C#domaindefaultenable指定默认域为#telnetserverenable#portalserver1ip2keyh3curl2/portal指定portal服务器为2,使用默认端口50100，密钥为h3c#vlan1#domain新建域authenticationlan-accessradius-schemeh3c指定验证的radius模版为h3cauthorizationlan-accessradius-schemeh3c指定授权的radius模版为h3caccountinglan-accessradius-schemeh3c指定计费的radius模版为h3caccess-limitdisablestateactiveidle-cutdisableself-service-urldisable#dhcpserverip-pool1为内网分配地址networkmaskgateway-listdns-list0#interfaceEthernet0/0连接外网的接口portlink-moderouteipaddress7undoipv6fast-forwarding#interfaceSerial0/0link-protocolpppundoipv6fast-forwarding#interfaceNULL0#interfaceVlan-interface1应用刚新建的portal服务器到内网接口上ipaddressundoipv6fast-forwardingportalserver1methoddirect#iproute-static缺省路由#snmp-agentsnmp-agentlocal-engineid800063A203000FE2A25B0Csnmp-agentcommunityreadpublicsnmp-agentcommunitywriteprivatesnmp-agentsys-infoversionallsnmp-agenttarget-hosttrapaddressudp-domain2paramssecuritynamepublic#dhcpenable#loadxml-configuration#loadtr069-configuration#user-interfacetty12user-interfaceaux0user-interfacevty04authentication-modenoneuserprivilegelevel3#returnL2tp－vpn终端设备配置[H3C]dicu#version5.20,Release1910#sysnameH3C#l2tpenable开启L2TP协议#ikelocal-nameremoteIKE的本地名字，需要和inode客户端设备的“对端安全设备网关名字”保持一致#firewallenable#domaindefaultenable修改默认域为#radiusschemeh3c新建radius模版h3cserver-typeextended如需关联EAD策略，必须指定为扩展primaryauthentication2primaryaccounting2keyauthenticationh3ckeyaccountingh3csecurity-policy-server2指定安全策略服务器地址，试用于分布式系统（EAD和UAM组件没有安装在一起）user-name-formatwithout-domain#domain指定域使用刚新建的radius模版authenticationpppradius-schemeh3cauthorizationpppradius-schemeh3caccountingpppradius-schemeh3caccess-limitdisablestateactiveidle-cutdisableself-service-urldisableaccountingoptionalippool10分配的地址池#ikepeerremoteIKE对等体名称exchange-modeaggressive野蛮模式，适用于分部地址不固定情况pre-shared-keysimple123456id-typenameremote-namelocalnattraversalnat穿越，试用LNS和LAC之间有nat设备的情况#ipsecproposal1定义ipsec安全提议，采用默认封装格式和加密类型#ipsecpolicy-template11关联ike对等体和安全提议ike-peerremoteproposal1#ipsecpolicyh3c1isakmptemplate1#dhcpserverip-pool1networkmaskgateway-listdns-list0#user-groupsystem#cwmpundocwmpenable#l2tp-group1启用L2TP-GROUP组，取消隧道验证，强制LCP阶段协商undotunnelauthenticationmandatory-lcpallowl2tpvirtual-template1#interfaceAux0asyncmodeflowlink-protocolppp#interfaceCellular0/0asyncmodeprotocollink-protocolppp#interfaceEthernet0/0连接内网接口，连接IMC服务器portlink-moderouteipaddress7undoipv6fast-forwarding#interfaceSerial0/0link-protocolpppundoipv6fast-forwarding#interfaceVirtual-Template1新建虚拟模版，验证模式和Inode客户端中的验证模式保持一致，关联域

pppauthentication-modechapdomainremoteaddresspool1ipaddress54虚拟模版的地址，做为分配地址池的虚拟网关#interfaceNULL0#interfaceVlan-interface1ipaddressipsecpolicyh3cundoipv6fast-forwarding#iproute-static#dhcpenable#loadxml-configuration#loadtr069-configuration#user-interfacetty12user-interfaceaux0user-interfacevty04#Return说明：1.L2TP阶段PC和Lns设备通信，只要配置L2TP/IPSEC参数正确就能获取到地址池的地址，但是获取到地址后所做的EAD安全检查是以获得的地址和IMC服务器通信，如果不通，EAD安全检查无法继续同时提示“未收到服务器回应，您的计算机可能只能访问隔离区的网络资源，请检查终端能否正常访问网络或者与管理员联系”，因此地址池的网段一定要发布到内网中，保证PC和IMC直接通信。2.如果是防火墙做LNS，则还要考虑将虚拟模版加入到安全区域中，不然不通；Radius服务器配置说明：这里的radius服务器以H3C公司推出的IMC（智能管理中心）为例802.1X服务器端配置802．1x认证配置在服务器端分为如下步骤1．接入设备配置；2．EAD安全策略配置3．服务创建，关联创建的EAD安全策略；4．创建接入用户，关联服务下面结合截图说明配置流程接入设备配置增加设备，路径：资源－增加设备增加接入设备，选择前期增加设备，路径：业务－接入业务－接入设备配置增加接入设备，在上截图基础上，点击设备列表中的选择，在设备视图中选择前面增加的设备，点击确定点击确定，增加接入设备完成，这里的共享密钥需要和接入设备上配置的验证/计费密码保持一致EAD安全策略创建说明：由于EAD功能强大，涉及功能较多，有系统补丁检查，病毒检查，流量监控，系