北信源桌面终端标准化管理系统基于802.1x协议的准入控制方案

北信源终端安全管理系统802.1x准入流程1．802.1x的认证过程可以描述如下(1) 客户端（PC）向接入设备（交换机）发送一个EAPoL-Start 报文，开始802.1x认证接入;(2) 接入设备（交换机）向客户端（PC）发送EAP-Request/Identity报文，要求客户端（PC）将用户名送上来;(3) 客户端（PC）回应一个EAP-Response/Identity给接入设备（交换机）的请求，其中包括用户名;(4) 接入设备（交换机）将EAP-Response/Identity报文封装到RADIUS Access-Request报文中，通过路由器发送给认证服务器;(5) 认证服务器产生一个Challenge，通过接入设备（交换机）将RADIUS Access-Challenge报文发送给客户端（PC），其中包含有EAP-Request/MD5-Challenge;(6) 接入设备（交换机）通过EAP-Request/MD5-Challenge发送给客户端（PC），要求客户端（PC）进行认证(7) 客户端（PC）收到EAP-Request/MD5-Challenge报文后，将密码和Challenge做MD5算法后的Challenged-Pass-word，在EAP-Response/MD5-Challenge回应给接入设备（交换机）(8) 接入设备（交换机）将Challenge，Challenged Password 和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证(9)RADIUS服务器根据用户信息，做MD5算法，判断用户是否合法，然后回应认证成功/失败报文到接入设备（交换机）。

如果成功，携带协商参数，以及用户的相关业务属性给用户授权。

如果认证失败，则流程到此结束;(10) 如果认证通过，用户通过标准的DHCP协议(可以是DHCP Relay) ，通过接入设备（交换机）获取规划的IP地址;(11) 如果认证通过，用户正常上网。

北信源终端安全管理系统802.1x准入流程北信源终端安全管理系统802.1x准入流程1．802.1x的认证过程可以描述如下(1) 客户端（PC）向接入设备（交换机）发送一个EAPoL-Start 报文，开始802.1x认证接入;(2) 接入设备（交换机）向客户端（PC）发送EAP-Request/Identity 报文，要求客户端（PC）将用户名送上来;(3) 客户端（PC）回应一个EAP-Response/Identity给接入设备（交换机）的请求，其中包括用户名;(4) 接入设备（交换机）将EAP-Response/Identity报文封装到RADIUS Access-Request报文中，通过路由器发送给认证服务器;(5) 认证服务器产生一个Challenge，通过接入设备（交换机）将RADIUS Access-Challenge报文发送给客户端（PC），其中包含有EAP-Request/MD5-Challenge;(6) 接入设备（交换机）通过EAP-Request/MD5-Challenge发送给客户端（PC），要求客户端（PC）进行认证(7) 客户端（PC）收到EAP-Request/MD5-Challenge报文后，将密码和Challenge做MD5算法后的Challenged-Pass-word，在EAP-Response/MD5-Challenge回应给接入设备（交换机）(8) 接入设备（交换机）将Challenge，Challenged Password和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证(9)RADIUS服务器根据用户信息，做MD5算法，判断用户是否合法，然后回应认证成功/失败报文到接入设备（交换机）。

如果成功，携带协商参数，以及用户的相关业务属性给用户授权。

如果认证失败，则流程到此结束;(10) 如果认证通过，用户通过标准的DHCP协议(可以是DHCP Relay) ，通过接入设备（交换机）获取规划的IP地址;(11) 如果认证通过，用户正常上网。

北信源网络接入控制管理系统产品白皮书北京北信源软件股份有限公司版权声明本手册的所有内容，其版权属于北京北信源软件股份有限公司（以下简称北信源公司）所有，未经北信源许可，任何人不得仿制、拷贝、转译或任意引用。

本手册没有任何形式的担保、立场倾向或其他暗示。

商标声明本手册中所谈及的产品名称仅做识别之用，而这些名称可能属于其他公司的注册商标或是版权，其他提到的商标，均属各该商标注册人所有，恕不逐一列明。

产品声明本手册中提到的产品功能或性能可能因产品具体型号、配备环境、配置方法不同而有所差异，由此可能产生的差异为正常现象，相关问题请咨询北信源公司技术服务人员。

免责声明若因本手册或其所提到的任何信息引起的直接或间接的资料流失、利益损失，北信源公司及其员工均不承担任何责任。

目录1.系统概述 (4)2.系统架构 (4)3.系统组成 (6)3.1.策略服务器 (6)3.2.认证客户端 (6)3.3.Radius认证服务器 (7)3.4.Radius认证系统 (7)3.5.硬件接入网关（可选配） (8)4.系统特性 (8)4.1.全面的安全检查 (8)4.2.技术的先进性 (8)4.3.功能的可扩展性 (8)4.4.系统可整合性 (9)4.5.无缝扩展与升级 (9)5.系统功能 (9)5.1.准入身份认证 (9)5.2.完整性检查功能 (10)5.3.安全修复功能 (10)5.4.管理与报表 (11)5.5.终端安全策略设置 (12)6.典型应用 (13)6.1.802.1x环境应用 (13)6.2.非802.1x环境应用 (14)6.3.VPN环境应用 (15)6.4.域环境应用 (15)1.系统概述北信源网络接入控制管理系统能够强制提升企业网络终端的接入安全，保证企业网络保护机制不被间断，使网络安全得到更有效提升。

与此同时，还可以对于远程接入企业内部网络的计算机进行身份、唯一性及安全认证。

通过网络安全准入控制不仅能够将终端设备接入控制扩展到超出简单远程访问及路由器、专有协议和已管理设备的限定之外，还能够覆盖到企业网络的每一个角落，甚至是当使用者的移动设备离开企业网络时，仍能有效的提供终端设备接入控制的执行。

802.1X 认证客户端软件安装使用说明一、设置要求对于 Windows 用户，在保证计算机系统没问题的情况下，请在使用 802.1X 认证客户端之前进行如下设置：如下图所示，点击桌面的“开始”菜单，选择“设置”里面的“控制面板”，在“控制面板”窗口里，双击“网络连接”图标。

在打开的窗口中，右键点击“本地连接”图标，在弹出菜单中选择“属性”，打开本地连接“属性”的对话框。

如下图所示，选择“Internet 协议（TCP/IP）”点击“属性”按钮，选择“自动获得IP地址”和“自动获得DNS服务器地址”，点“确定”按钮。

二、客户端安装执行桌面“”，启动安装程序，如下图所示：在安装过程中，若出现“Mircrosoft Visual C++2005”则属于正常需求安装，如下图所示：注意：若用户系统装有诺顿、瑞星、360等杀毒软件或者防火墙，在安装本软件过程中，会提示用户是否允许继续安装等提示信息，则用户必须点允许安装，否则安装失败，用户不能正常认证上网。

认证客户端软件安装完成时，则显示如下图所示：可以选择“是”立即重新启动计算机或者“否”稍后重新启动计算机，点击“完成”。

三、连接网络认证双击“INode智能客户端”，如下图所示：选中“1x预设连接”按钮，点击“连接”按钮，如下图所示：然后点击1x预设连接的“属性”，打开属性对话框，若多网卡，则选择上网所用的网卡，点击“确定”，如下图所示：用户名填写的格式如下图说明：注意：技术中心的域为：tech // 公共教学的域为：teach // 宿舍的域为：dorm // 食堂的域为：mess // 机房的域为：jifang // 辅导员的域为：coach1.部门在技术中心楼的人员，用户名：自己的教工号后6位@tech2.部门在公共教学楼的人员，用户名：自己的教工号后6位@teach3.部门在食堂楼的人员，用户名：自己的教工号后6位@mess4.辅导员的用户名：自己的教工号后6位@coach5.宿舍学生的用户名：学生号@dorm举例：若部门在技术中心楼里的人员，教工号是test，则技术中心规定的域为tech，如下图所示：点击“连接”按钮，则显示连接认证信息的内容，显示连接成功，如下图所示：四、密码修改选中“1x预设按钮”，点击“操作”，选择“在线修改密码”，如下图所示:按提示输入密码信息，然后点击“确定”，显示用户密码修改成功，则如下图所示：五、断开网络认证选中“1x预设连接”，点击“断开”按钮，如上图所示，认证信息显示连接已经断开。

北信源内网终端管理问题解决方案-局域网解决方案计算机终端面临的安全问题一直以来，计算机安全防御一直局限在常规的网关、网络边界（防火墙、漏洞扫描、防病毒、IDS）等方面的防御，重要的安全设施大致集中于机房或网络入口处，来自网络外部的安全威胁确实可以大大减小。

相反，来自网络内部的计算机终端的安全威胁却是众多安全管理人员所普遍反映的问题。

近两年的安全防御调查也表明，政府、企业单位中超过80%的管理和安全问题来自终端，网络安全呈现出了新的发展趋势，安全战场已经逐步由核心与主干的防护，转向网络边缘的每一个终端。

终端问题解决方案网络接入的控制：在单位内部可能会出现外来笔记本接入的问题，可能会造成单位内部的涉密文件被窃取，引入病毒等严重后果。

北信源对于未经过认证的笔记本接入内网，采取未注册阻断功能。

如果有笔记本等移动计算机必须接入内网，需经过细致的802.1x认证，经过身份及安全双认证后才可以连接内网。

移动存储设备管理及安全审计管理：外来移动存储设备随意接入网络内终端同样可能会造成单位内部的涉密文件被窃取，引入病毒等严重后果，对于具有防火墙、网关等硬件防范的网络，移动存储介质在网络内部造成病毒感染是病毒在内网传播的主要方式。

北信源可以在驱动级总的禁用移动存储设备，在允许使用的情况下，还可以详细控制读、写等权限。

而且可以对USB设备加入认证标签，被加标签的移动存储设备只能够在指定策略对象中使用，其他机器无法识别。

病毒问题：计算机病毒是目前对网络及计算机安全最大的威胁，很多单位内部虽然已经统一配置网络版杀毒软件，但是仍存在终端升级不及时，版本不统一，管理不规则等问题。

北信源可以识别多种杀毒软件，显示其版本，对其升级，可以远程调用其启动，未安装杀毒软件认为安全等级低，阻止入网等多种方式和杀毒软件联动。

而补丁分发更是为了增强终端系统自身的健壮性，来抵御病毒及黑客攻击行为。

软件使用管理：办公环境的计算机不允许安装和使用与办公无关的软件。

北信源网络接入控制管理系统产品白皮书北信源软件股份声明本手册的所有容，其属于北信源软件股份（以下简称北信源公司）所有，未经北信源许可，任何人不得仿制、拷贝、转译或任意引用。

本手册没有任何形式的担保、立场倾向或其他暗示。

商标声明本手册中所谈及的产品名称仅做识别之用，而这些名称可能属于其他公司的注册商标或是，其他提到的商标，均属各该商标注册人所有，恕不逐一列明。

产品声明本手册中提到的产品功能或性能可能因产品具体型号、配备环境、配置方法不同而有所差异，由此可能产生的差异为正常现象，相关问题请咨询北信源公司技术服务人员。

免责声明若因本手册或其所提到的任何信息引起的直接或间接的资料流失、利益损失，北信源公司及其员工均不承担任何责任。

目录1.系统概述 (4)2.系统架构 (4)3.系统组成 (6)3.1.策略服务器 (6)3.2.认证客户端 (6)3.3.Radius认证服务器 (7)3.4.Radius认证系统 (7)3.5.硬件接入网关（可选配） (8)4.系统特性 (8)4.1.全面的安全检查 (8)4.2.技术的先进性 (8)4.3.功能的可扩展性 (8)4.4.系统可整合性 (9)4.5.无缝扩展与升级 (9)5.系统功能 (9)5.1.准入身份认证 (9)5.2.完整性检查功能 (10)5.3.安全修复功能 (10)5.4.管理与报表 (11)5.5.终端安全策略设置 (12)6.典型应用 (13)6.1.802.1x环境应用 (13)6.2.非802.1x环境应用 (14)6.3.VPN环境应用 (15)6.4.域环境应用 (15)1.系统概述北信源网络接入控制管理系统能够强制提升企业网络终端的接入安全，保证企业网络保护机制不被间断，使网络安全得到更有效提升。

与此同时，还可以对于远程接入企业部网络的计算机进行身份、唯一性及安全认证。

通过网络安全准入控制不仅能够将终端设备接入控制扩展到超出简单远程访问及路由器、专有协议和已管理设备的限定之外，还能够覆盖到企业网络的每一个角落，甚至是当使用者的移动设备离开企业网络时，仍能有效的提供终端设备接入控制的执行。

基于IEEE 802.1x的网络准入控制系统设计与实现作者：吕才军来源：《信息安全与技术》2013年第06期【摘要】为确保本地网络资源的安全，可在网络边界处部署防火墙、安全认证网关等设备，但局域网内用户可未经授权访问关键的IT资源，占用宝贵的网络资源甚至发起攻击。

为解决这个问题，本文设计了一种基于IEEE 802.1x的网络准入控制系统，深入分析了802.1x协议及网络准入控制系统体系结构，通过将802.1x与RADIUS认证服务器结合构建了一个高效、可靠的内部网络802.1x/EAP接入方案，并在网络环境下进行了实验。

【关键词】认证；准入；安全1 802.1x协议802.1x协议是一种数据链路层身份验证协议，发送认证协议数据包对连接到交换机端口上的用户/设备进行身份认证，认证通过后才允许正常的数据通过交换机端口，控制着对内部网络接入点的访问。

使用802.1X协议的优势有几点。

（1）实现简单：802.1x可以借助CISCO RADIUS服务器实现身份认证功能，在小规模网络环境下也可采用本地认证的方式，网络综合造价成本低。

（2）安全可靠：802.1x身份认证方式可结合MAC地址、端口、VLAN等绑定技术并封装用户名/密码，安全性较高。

（3）行业标准：802.1X协议是IEEE标准技术，微软Windows XP 、Linux等客户端操作系统和Cisco、华为、H3C等网络设备IOS都提供了对该协议的支持。

2 网络准入控制系统体系结构基于802.1x的网络准入控制系统能够对局域网内的计算机进行控制。

如图1所示，802.1x 用户身份认证系统有四个组件。

（1）客户端系统客户端使用客户端软件向接入端发起802.lx认证请求。

在客户端和接入端之间使用EAPOL格式封装EAP协议数据传送认证信息，包括EAP-MD5、PEAP和 EAP-TLS三种认证方式。

（2）接入端系统接入端对客户端进行认证。

接入端设备包括可控端口和不可控端口，只有在通过802.1X认证后业务数据才允许通过可控端口，而不可控端口则不受限制，允许所有的协议数据和业务数据通过。