- PDF Free Download

Size: px

Start display at page:

Download ""

干蝙江
5 years ago
Views:

1 802.1X 环境搭建及话机配置使用说明版本 : <2.0> 发布日期 : < >

2 目录 1 修订历史 X 介绍概述 x 认证体系及流程 x 环境搭建服务器配置修改配置文件交换机配置 ( 以深圳锐捷交换机 RG-S2312-P 为例 ) x 的三种认证配置证书制作设备端配置 EAP-MD5 认证 EAP-TLS 认证 PEAP-mschapv2 认证认证过程抓包服务器端抓包设备端抓包可能遇到的问题解决方法...17

3 1 修订历史修订历史 : 版本作者发布时间说明 1.0 < 刘蕾 > < > < 初始版本 > 2.0 < 宋蒙蒙 > < > < 更新认证抓包示例, 添加设备端配置截图, 添加交换机配置说明, 更新文档格式和部分技术相关介绍 > 1

2 802.1X 介绍 2.1 概述 802.1X 协议起源于 802.11 协议, 后者是 IEEE 的无线局域网协议, 制订 802.

4 X 介绍 2.1 概述 802.1X 协议起源于协议, 后者是 IEEE 的无线局域网协议, 制订 802.1X 协议的初衷是为了解决无线局域网用户的接入认证问题 IEEE802LAN 协议定义的局域网并不提供接入认证, 只要用户能接入局域网控制设备 ( 如 LANS witch), 就可以访问局域网中的设备或资源这在早期企业网有线 LAN 应用环境下并不存在明显的安全隐患随着移动办公及驻地网运营等应用的大规模发展, 服务提供者需要对用户的接入进行控制和配置尤其是 WLAN 的应用和 LAN 接入在电信网上大规模开展, 有必要对端口加以控制以实现用户级的接入控制,802.1X 就是 IEEE 为了解决基于端口的接入控制 (Port-Based Network Access Control) 而定义的一个标准 x 认证体系及流程 802.1x 是根据用户 ID 或设备, 对网络客户端 ( 或端口 ) 进行鉴权的标准该流程被称为端口级别的鉴权它采用 RADIUS( 远程认证拨号用户服务 ) 方法, 并将其划分为三个不同小组 : 请求方认证方和授权服务器图 X 认证的体系结构 802.1x 标准应用于试图连接到端口或其它设备 ( 如 Cisco Catalyst 交换机或 Cisco Aironet 系列接入点 )( 认证方 ) 的终端设备和用户 ( 请求方 ) 认证和授权都通过鉴权服务器 ( 如 Cisco Secure ACS) 后端通信实现 IEEE 802.1x 提供自动用户身份识别, 集中进行鉴权密钥管理和 LAN 连接配置整个 802.1x 的实现设计三个部分, 请求者系统认证系统和认证服务器系统认证过程 : (1) 客户端向接入设备发送一个 EAPoL-Start 报文, 开始 802.1x 认证接入 ; (2) 接入设备向客户端发送 EAP-Request/Identity 报文, 要求客户端将用户名送上来 ; (3) 客户端回应一个 EAP-Response/Identity 给接入设备的请求, 其中包括用户名 ; (4) 接入设备将 EAP-Response/Identity 报文封装到 RADIUS Access-Request 报文中, 发送给认证服务器 ; (5) 认证服务器产生一个 Challenge, 通过接入设备将 RADIUS Access-Challenge 报 2

5 文发送给客户端, 其中包含有 EAP-Request/MD5-Challenge; (6) 接入设备通过 EAP-Request/MD5-Challenge 发送给客户端, 要求客户端进行认证 (7) 客户端收到 EAP-Request/MD5-Challenge 报文后, 将密码和 Challenge 做 MD5 算法后的 Challenged-Pass-word, 在 EAP-Response/MD5-Challenge 回应给接入设备 (8) 接入设备将 Challenge,Challenged Password 和用户名一起送到 RADIUS 服务器, 由 RADIUS 服务器进行认证 (9)RADIUS 服务器根据用户信息, 做 MD5 算法, 判断用户是否合法, 然后回应认证成功 / 失败报文到接入设备如果成功, 携带协商参数, 以及用户的相关业务属性给用户授权如果认证失败, 则流程到此结束 ; (10) 如果认证通过, 用户通过标准的 DHCP 协议 ( 可以是 DHCP Relay), 通过接入设备获取规划的 IP 地址 ; (11) 如果认证通过, 接入设备发起计费开始请求给 RADIUS 用户认证服务器 ; (12)RADIUS 用户认证服务器回应计费开始请求报文用户上线完毕图 2 基于 EAP-MD5 的 802.1X 认证流程 3

$3 802.1x 环境搭建 3.1 服务器配置 1. 安装 FreeRadius 软件下载路径 :\\172.16.1.9\share\Testing department\software 安装 FreeRADIUS-server-2.2.0-x86.$

6 x 环境搭建 3.1 服务器配置 1. 安装 FreeRadius 软件下载路径 :\\ \share\Testing department\software 安装 FreeRADIUS-server x86.rar( 此版本就是将 linux 的 freeradius 编译成 windows 版本了 ), 或是去官网下载这里以 FreeRADIUS-server x86.rar 为例解压 FreeRADIUS-server x86.rar, 双击 FreeRADIUS-server x86.exe, 安装程序, 这里按默认路径安装, 如图 : 图 3 图 4 4

7 图 5 图 6 5

8 图 7 图 8 6

2. 测试软件图 9 点击开始 - 所有程序 -FreeRADIUS Server 2.2.0-Start RADIUS Server, 如图 : 成功后, 显示如下信息 : 图 10 3.

$安装完成后, 进入 C:\FreeRADIUS\etc\raddb 目录, 修改 clients.$ 0.1 #127.0.0.1 是服务器保留测试地址 port = 1812 # 服务器默认的认证端口

9 2. 测试软件图 9 点击开始 - 所有程序 -FreeRADIUS Server Start RADIUS Server, 如图 : 成功后, 显示如下信息 : 图修改配置文件 1. 安装完成后, 进入 C:\FreeRADIUS\etc\raddb 目录, 修改 clients.conf: client_server localhost { ipaddr = # 是服务器保留测试地址 port = 1812 # 服务器默认的认证端口 type = "auth" # 认证类型为 auth secret = "testing123" # 共享秘钥 7

10 response_window = 20 # 响应端口 max_outstanding = # require_message_authenticator = yes # 是否进行消息认证 zombie_period = 40 # status_check = "status-server" # 服务器状态检查 ping_interval = 30 # check_interval = 30 # 检查时间间隔 num_answers_to_alive = 3 # num_pings_to_alive = 3 # revive_interval = 120 # 恢复时间间隔 status_check_timeout = 4 # 状态检查超时时间 coa { irt = 2 # 初始重传时间 mrt = 16 # 最大重传时间 mrc = 5 # 最大重传次数 mrd = 30 # 最大重传持续时间 } } # 这里的 client 是指交换机 client /8 { # 服务器地址 / 子网掩码为 require_message_authenticator = yes # 是否认证信息 secret = qq # NAS 与 radius 间的通信密码 key shortname = ruijie # 域名, 可以随便写, 这里的 ruijie 是我们要认证交换机的型号 } 2. 进入 C:\FreeRADIUS\etc\raddb 目录, 打开 users, 在里面设置用户名密码 ( 也可以使用默认的 ), 如图 : 所以设备的 802.1x 认证的用户名 :qq, 密码是 :qq 相应的服务器端也要配置为此用户名及密码注 : 如果话机认证不能通过, 将 testing Cleartext-Password := testing 加在第一行, 用此用户名密码进行认证. 3. 运行服务器, 看是否正常, 正常会显示如下信息 8

图 11 3.3 交换机配置 ( 以深圳锐捷交换机 RG-S2312-P 为例 ) 1. 认证服务器必须能与 pc 互通, 目前没有找到修改交换机 IP 的方法, 所以只能修改自己 pc 网段和交换机 IP 在同一网段即可交换机 IP 地址 :10.1.1.1./8 2.

11 图交换机配置 ( 以深圳锐捷交换机 RG-S2312-P 为例 ) 1. 认证服务器必须能与 pc 互通, 目前没有找到修改交换机 IP 的方法, 所以只能修改自己 pc 网段和交换机 IP 在同一网段即可交换机 IP 地址 : /8 2. 进入交换机 web 配置界面 ( 配置 802.1x 认证也可以使用命令来配置 ( 具体参考交换机的命令配置文档 ) 3. 配置交换机 802.1x 功能, 注意交换机与认证服务器通信密钥, 认证用户名 / 密码必须配置正确通信秘钥认证名密码等在本文 3.2 中已作说明 9

12 图 12 图 13 10

$4 802.1x 的三种认证配置 1. EAP-MD5 认证打开 C:\FreeRADIUS\etc\raddb\eap.conf 确认 eap { default_eap_type = md5 ( 一般默认为 md5) 2.$ EAP-TLS 认证将 default_eap_type = md5 改为 default_eap_type = tls 3.

EAP-TLS 认证将 default_eap_type = md5 改为 default_eap_type = tls 3.

13 图认证服务器连接在绿色标示对应的对口, 认证客户端连接在红线标识的端口即可图 15 注 : 认证服务器端抓包过滤 EAP 看到服务器与认证交换机之间的数据往来, 所以要使用借助 hub 来抓取设备认证过程的数据包 x 的三种认证配置 1. EAP-MD5 认证打开 C:\FreeRADIUS\etc\raddb\eap.conf 确认 eap { default_eap_type = md5 ( 一般默认为 md5) 2. EAP-TLS 认证将 default_eap_type = md5 改为 default_eap_type = tls 3. PEAP-mschapv2 认证将 default_eap_type = md5 改为 default_eap_type = peap 3.5 证书制作参考 openvpn 文档, 将 openvpn 制作的 4 个证书做成 802.1x 的认证证书 : 1. client.pem: 将 client.key 中的全部内容 copy 到 client.crt 文件的最后 11

14 2. RootCA.pem: 将 ca.crt 改名为 RootCA.pem 3. server.pem: 将 server.crt 改名为 server.pem 4. server-key.pem: 将 server.key 改名为 server-key.pem 制作的 4 个证书放在 FreeRADIUS\etc\raddb\certs 下 12

15 4 设备端配置本文以 X6 为准 4.1 EAP-MD5 认证图 EAP-TLS 认证图 17 13

16 4.3 PEAP-mschapv2 认证注意 : 图 18 认证需要上传的两个证书, 请按照如下所示格式来命名证书文件注 :1. PEAP-mschapv2 认证只需要上传 RootCA.pem(RootCA.pem-DOT1X_CA-) 这一个证书即可,tls 认证需要同时上传 RootCA.pem-DOT1X_CA- 和 client.pem-dot1x_client- 这 2 个证书 2. 测 802.1x 时, 话机 ip 为静态, 需要用到证书的, 话机时间要确保在证书使用范围内, 时间最好设置为 (date -s " :18")) 14

17 5 认证过程抓包 5.1 服务器端抓包可以看到 user-name(1): qq 字段图设备端抓包 1. EAP-MD5 认证 2. EAP-TLS 认证图 20 15

18 3. PEAP-mschapv2 认证图 21 图 22 16

19 6 可能遇到的问题解决方法 1. 找到对应目录下的 clients.conf 文件, 将下面几行屏蔽 2. 找到对应目录下的 radiusd.conf 文件, 将下面几行屏蔽 3. 找到对应目录下的 radiusd.conf 文件, 将下面几行屏蔽 17

三安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/

三安装 openssl 及 freeradius sudo apt-get install openssl sudo apt-get install freeradius 四 openssl 环境准备 1. 在 ubuntu1 和 ubuntu2 的当前用户文件夹 ( 例如 /home/jeff/ FortiGate 结合 Openssl + freeradius 实现多级 CA 环境下的无线用户 EAP-TLS 认证一 EAP-TLS 简介简而言之, 使用数字证书来保护 radius 认证, 与 802.1x 结合, 可以用数字证书认证无线上网用户, 是最安全的无线认证方法之一参考 :http://zh.wikipedia.org/wiki/eap#eap-tls 二实验环境如上图所示,