第5讲 网络访问控制和云安全-(3)IEEE 802.1X基于端口的网络访问控制

IEEE802.1X标准1、介绍 802.1X是⼀个IEEE标准，通过对⽤户进⾏基于端⼝的安全认证和对密钥的动态管理，从⽽实现保护⽤户⽤户的位置隐私和⾝份隐私以及有效保护通信过程中信息安全的⽬的。

在802.1X协议中，只有具备了以下三个元素才能够完成基于端⼝的访问控制的⽤户认证和授权。

1、客户端 ⼀般安装在⽤户的⼯作站上，当⽤户有上⽹需求时，激活客户端程序，输⼊必要的⽤户名和⼝令，客户端程序将会送出连接请求。

2、认证系统 在以太⽹系统中认证交换机，其主要作⽤是完成⽤户认证信息的上传、下达⼯作，并根据认证的结果打开或关闭端⼝。

在⽆线⽹络中就是⽆线接⼊点。

3、认证服务器 通过检验客户端发送来的⾝份标识（⽤户名和⼝令）来判断⽤户是否有权使⽤⽹络系统提供的⽹络服务，并根据认证结果向交换机发出打开或保持端⼝关闭的状态。

2、802.1X认证步骤 802.1X中EAP-TLS认证在实现的具体交互内容： 1、最初的802.1X通讯开始以⼀个⾮认证客户端设备尝试去连接⼀个认证端（如AP)，客户端发送⼀个EAP起始消息。

然后开始客户端认证的⼀连串消息交换。

2、AP回复EAP请求⾝份消息。

3、客户端发送给认证服务器的EAP的响应信息包⾥包含了⾝份信息。

AP通过激活⼀个允许从客户端到AP有线端的认证服务器的EAP 包的端⼝，并关闭可其他所有的传输，像HTTP、DHCP和POP3包，直到AP通过认证服务器来验证⽤户端的⾝份。

4、认证服务器使⽤⼀种特殊的认证算法去验证客户端⾝份。

同样它也可以通过使⽤数字认证或其他类型的EAP认证。

5、认证服务器会发送同意或拒绝信息给这个AP。

6、AP发送⼀个EAP成功信息包（或拒绝信息包）给客户端 7、如果认证服务器认可这个客户端，那么AP将转换这个客户端到授权状态并转发其他的通信。

最重要的是，这个AP的软件是⽀持认证服务器⾥特定的EAP类型的，并且⽤户端设备的操作系统⾥或“Supplicant"(客户端设备）应⽤软件也要⽀持它。

802.1x介绍802.1x简介IEEE802 LAN/WAN委员会为解决无线局域网网络安全问题，提出了802.1x协议。

后来，802.1x协议作为局域网端口的一个普通接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

802.1x协议是一种基于端口的网络接入控制协议（port based network access control protocol）。

“基于端口的网络接入控制”是指在局域网接入设备的端口这一级对所接入的用户设备进行认证和控制。

连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源——相当于物理连接被断开。

802.1x的体系结构使用802.1x的系统为典型的Client/Server体系结构，包括三个实体，如图1所示分别为：Supplicant System（客户端）、Authenticator System（设备端）以及Authentication Server System（认证服务器）。

图1 802.1x认证系统的体系结构●客户端是位于局域网段一端的一个实体，由另一端的设备端对其进行认证。

客户端一般为一个用户终端设备，用户通过启动客户端软件发起802.1x认证。

客户端必须支持EAPOL（Extensible Authentication Protocol over LAN，局域网上的可扩展认证协议）。

●设备端是位于局域网段一端的一个实体，对另一端的实体进行认证。

设备端通常为支持802.1x协议的网络设备，它为客户端提供接入局域网的端口，该端口可以是物理端口，也可以是逻辑端口。

●认证服务器是为设备端提供认证服务的实体。

认证服务器用于实现对用户进行认证、授权和计费。

三个实体涉及如下三个基本概念：端口PAE、受控端口和受控方向。

1. 端口PAE（Port Access Entity，端口访问实体）端口PAE为802.1x系统中，在一个给定的设备端口上执行算法和协议操作的实体对象。

二层网管交换机应用——802.1x认证（网络安全接入控制）802.1x认证介绍802.1x协议作为局域网端口的接入控制机制在以太网中被广泛应用，主要解决以太网内认证和安全方面的问题。

802.1x 协议是一种基于端口的网络接入控制协议，“基于端口的网络接入控制”是指在局域网接入设备的端口这一级，对所接入的用户设备进行认证和控制。

连接在端口上的用户设备如果能通过认证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源。

TL-SL5428 802.1x认证接入实现示例拓扑结构图中以TL-SG2224E做为中心交换机，TL-SL5428做为接入交换机，802.1x认证服务器接在TL-SG2224E上。

下面将介绍实现局域网中每台设备通过802.1x认证接入的配置过程。

1.搭建Radius认证服务器本文以试用版的WinRadius做为认证服务端。

（也可以在Windows Server 上搭建Radius认证服务器。

有关服务器的搭建方法请在网上参考相关资料）认证服务器上的配置：● 服务器IP地址：192.168.1.250● 认证端口：1812● 计费端口：1813● 密钥：fae● 服务器上设置用户账号2.配置TL-SL5428的802.1x功能● Radius配置将服务器上的相关设置对应配置在交换机上。

如果不需要进行上网计费，则不需要启用计费功能。

● 端口配置i. 不启用TL-SL5428级联端口(28端口)的802.1x认证，使认证服务器的在任何时候都能通过该端口接入网络以便认证客户端。

ii.配置其它需要认证的端口。

（TL-SL5428可同时支持基于MAC和Port的认证，这里均采用基于MAC的认证方式）注：● 如果端口的“状态”处于禁用，则该端口下的设备不需要进行认证，始终处于接入网络的状态。

● 控制类型中，“基于MAC”意为着该端口下的所有设备必需单独进行认证，认证通过后才能接入网络；“基于Port”意味着该端口下只要有一台设备认证通过，其它设备不再需要认证也能接入网络。

基于端口的访问控制--802.1X用户接入管理802.1X体系介绍802.1X是IEEE2001年6月通过的基于端口访问控制的接入管理协议标准。

IEEE 802 LAN 协议定义的局域网不提供接入认证，只要用户能接入局域网控制设备，如传统的LanSwitch，用户就可以访问局域网中的设备或资源，这是一个安全隐患。

对于移动办公，驻地网运营等应用，设备提供者希望能对用户的接入进行控制和配置，此外还存在计费的需求。

IEEE 802.1X是一种基于端口的网络接入控制技术，在 LAN 设备的物理接入级对接入设备进行认证和控制，此处的物理接入级指的是 LANSWITCH设备的端口。

连接在该类端口上的用户设备如果能通过认证，就可以访问 LAN 内的资源；如果不能通过认证，则无法访问 LAN 内的资源，相当于物理上断开连接。

IEEE 802.1X定义了基于端口的网络接入控制协议，需要注意的是该协议仅适用于接入设备与接入端口间点到点的连接方式，其中端口可以是物理端口，也可以是逻辑端口。

典型的应用方式有：LanSwitch 的一个物理端口仅连接一个 End Station（基于物理端口）； IEEE 802.11定义的无线 LAN 接入方式（基于逻辑端口）。

802.1X的体系结构如下图：IEEE 802.1X的体系结构中包括三个部分：Supplicant System，用户接入设备；Authenticator System，接入控制单元；Authentication Sever System，认证服务器。

在用户接入层设备（如LANSWITCH)实现 802.1X的认证系统部分，即Authenticator；802.1X的客户端一般安装在用户PC中，典型为Windows XP操作系统自带的客户端； 802.1X的认证服务器系统一般驻留在运营商的AAA中心。

Supplicant与Authenticator间运行 IEEE 802.1X定义的EAPOL协议；Authenticator 与 Authentication Sever 间同样运行 EAP 协议，EAP 帧中封装了认证数据，将该协议承载在其他高层次协议中，如 Radius，以便穿越复杂的网络到达认证服务器（EAP Relay）。

一、引言802.1x协议起源于802.11协议，后者是IEEE的无线局域网协议，制订802.1x协议的初衷是为了解决无线局域网用户的接入认证问题。

IEEE802LAN协议定义的局域网并不提供接入认证，只要用户能接入局域网控制设备(如LANS witch)，就可以访问局域网中的设备或资源。

这在早期企业网有线LAN应用环境下并不存在明显的安全隐患。

随着移动办公及驻地网运营等应用的大规模収展，服务提供者需要对用户的接入迚行控制和配置。

尤其是WLAN的应用和LAN接入在甴信网上大规模开展，有必要对端口加以控制以实现用户级的接入控制，802.lx就是IEEE为了解决基于端口的接入控制(Port-Based Network Access Contro1)而定义的一个标准。

二、802.1x认证体系802.1x是一种基于端口的认证协议，是一种对用户迚行认证的方法和策略。

端口可以是一个物理端口，也可以是一个逻辑端口(如VLAN)。

对于无线局域网来说，一个端口就是一个信道。

802.1x认证的最终目的就是确定一个端口是否可用。

对于一个端口，如果认证成功那么就“打开”这个端口，允许所有的报文通过；如果认证不成功就使这个端口保持“关闭”，即只允许802.1x的认证协议报文通过。

802.1x的体系结构如图1所示。

它的体系结构中包括三个部分，即请求者系统、认证系统和认证服务器系统三部分：图1 802.1x认证的体系结构1.请求者系统请求者是位于局域网链路一端的实体，由连接到该链路另一端的认证系统对其迚行认证。

请求者通常是支持802.1x认证的用户终端设备，用户通过启动客户端软件収起802.lx认证，后文的认证请求者和客户端二者表达相同含义。

2.认证系统认证系统对连接到链路对端的认证请求者迚行认证。

认证系统通常为支持802.lx协议的网络设备，它为请求者提供服务端口，该端口可以是物理端口也可以是逻辑端口，一般在用户接入设备(如LANSwitch和AP)上实现802.1x认证。

IEEE802系列协议IEEE 802 系列协议IEEE802 协议是一种物理协议，因为有以下多种子协议，把这些协议汇集在一起就叫802协议集。

IEEE是电气和电子工程师协会（Institute of Electrical and Electronics Engineers）的简称，IEEE 组织主要负责有关电子和电气产品的各种标准的制定。

IEEE于1980年2月成立了IEEE 802委员会，专门研究和指定有关局域网的各种标准。

IEEE 802委员会不断增加，这些分委员会的职能如下：一、802.1X协议802.1X协议是由(美)电气与电子工程师协会提出，刚刚完成标准化的一个符合IEEE802协议集的局域网接入控制协议，全称为基于端口的访问控制协议。

能够在利用IEEE 802局域网优势的基础上提供一种对连接到局域网的用户进行认证和授权的手段，达到了接受合法用户接入，保护网络安全的目的。

802.1x认证，又称EAPOE认证，主要用于宽带IP城域网。

802.1--高层及其交互工作。

提供高层标准的框架，包括端到端协议、网络互连、网络管理、路由选择、桥接和性能测量。

802.(基于端口的访问控制Port Based Network Access Control) ，协议起源于802.11协议，后者是标准的无线局域网协议，802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。

802.1x协议仅仅提供了一种用户接入认证的手段，并简单地通过控制接入端口的开/关状态来实现，这种简化适用于无线局域网的接入认证、点对点物理或逻辑端口的接入认证，而在可运营、可管理的宽带IP城域网中作为一种认证方式具有一定的局限性。

IEEE 802.1d (生成树协议Spanning Tree)IEEE 802.1w, RSTP算法IEEE 802.1s, MSTP算法IEEE 802.1P，讲述的是交换机与优先级相关的流量处理的协议。

IEEE 802.1X孙峻文IEEE 802.1X 介绍•IEEE 802.1X是一个IEEE标准的基于端口的网络接入控制方法。

•它是IEEE 802.1网络协议组的一部分。

•它为希望接入LAN或WLAN的设备提供了一种验证机制。

主要内容•协议分析•抓包分析IEEE 802.1X协议IEEE 802.1X协议版本：•802.1X-2001•802.1X-2004•802.1X-2010IEEE 802.1X协议IEEE 802.1X封装了Extensible AuthenticationProtocol (EAP) over IEEE 802协议认证涉及三个参与者：•请求者（supplicant）•认证者（authenticator）•认证服务器（authentication server）IEEE 802.1X协议IEEE 802.1X协议请求者（supplicant）一个客户端设备（例如一台笔记本），它希望接入某个LAN/WLAN。

IEEE 802.1X协议认证者（authenticator）认证者的行为就像一个保卫网络的保安。

请求者的身份在被验证和授权之前是不能通过认证者进入被保护的网络。

IEEE 802.1X协议认证服务器（authentication server）认证者将凭证转发给认证服务器去验证。

如果认证服务器认为凭证是有效的，那么请求者将被允许进入被保护的网络资源。

IEEE 802.1X协议端口实体Port entities：802.1X-2001为认证端口定义了两个逻辑上的端口实体：•控制端口（controlled port）允许（授权状态）或阻止（非授权状态）网络通信进入或离开受控端口•非控制端口（uncontrolled port）发送或接收EAPOL帧，一直打开IEEE 802.1X协议典型的认证过程1.初始化Initialization2.开始Initiation3.协商Negotiation（EAP协商）4.认证Authentication IEEE 802.1X协议1.初始化Initialization当检测到一个新的请求者后，交换机（验证者）上的非受控端口被打开，受控端口设置在“非授权unauthorized”状态。

浅析IEEE 802.1x及其客户端软件【摘要】针对无线局域网有多种认证方法可以应用,IEEE 802.1x标准就是其中的一种,它是一种基于端口的访问控制协议,包括三部分:客户端、访问点和认证服务器。

本文侧重于客户端,对现有的IEEE 802.1x的客户端软件进行了描述、比较和分析。

【关键词】IEEE 802.1x;客户端;认证1. IEEE 802.1x随着IEEE 802.11无线局域网的迅速发展,通过应用无线通讯技术,公司和个人都获益匪浅。

公司们降低了布线的成本,并且为他们的员工提供了极大的便利。

普通用户通过使用笔记本电脑或者个人数字助理(PDA),通过无线局域网,可以在舒适的环境中方便的享受各种网络服务。

当一个用户试图访问IEEE 802.11网络的时候,一个常见的安全特性就是在提供给用户的设备任何服务之前,需要对用户的无线设备进行认证。

目前针对无线局域网有多种认证方法,本文侧重研究IEEE 802.1x标准。

什么是IEEE 802.1x? 根据802.1X-2004标准,对IEEE 802.1x的描述如下: 它是一种基于端口的网络访问控制,利用IEEE 802局域网架构的特性,为具有点对点连接特性的从属于局域网端口的设备提供一种认证和授权的方法。

如果对设备的认证和授权失败,则阻止设备访问。

这里的端口指的是从属于局域网架构的单个节点。

" 【1】由此可见,IEEE 802.1x为通过IEEE 802局域网和无线局域网进行互联的设备提供了一致的认证和授权机制。

通常来说,IEEE 802.1x包含三个实体【1】: 客户端、认证端、认证服务器。

客户端是一个实体,通常是某个点对点网络的一端,并寻求被链路另一端的认证端认证。

有许多名称经常被用来描述这个实体,例如"用户","客户端","认证点"。

在本文中我们用"客户端"来描述这个实体。

新的宽带认证方式——IEEE802.1x协议网络知识-电脑资料随着宽带以太网建设规模的迅速扩大，网络上原有的认证系统已经不能很好地适应用户数量急剧增加和宽带业务多样性的要求，。

IEEE 802.1x协议对认证方式和认证体系结构进行了优化，解决了传统PPPoE和Web/Portal认证方式带来的问题，更适合在宽带以太网中的使用随着宽带以太网建设规模的迅速扩大，网络上原有的认证系统已经不能很好地适应用户数量急剧增加和宽带业务多样性的要求。

IEEE 802.1x协议对认证方式和认证体系结构进行了优化，解决了传统PPPoE和Web/Portal认证方式带来的问题，更适合在宽带以太网中的使用。

什么是IEEE 802.1x协议IEEE 802.1x 称为基于端口的访问控制协议（Port work a clearcase/" target="_blank" >ccess control protocol）。

IEEE 802.1x协议的体系结构包括三个重要的部分：Supplic ant System客户端、Authenticator System认证系统、Authentication Server System认证服务器。

客户端系统一般为一个用户终端系统，该终端系统通常要安装一个客户端软件，用户通过启动这个客户端软件发起IEEE 802.1x协议的认证过程。

为支持基于端口的接入控制，客户端系统需支持EAPOL （Extensible Authentication Protocol Over LAN）协议。

认证系统通常为支持IEEE 802.1x协议的网络设备。

该设备对应于不同用户的端口（可以是物理端口，也可以是用户设备的MAC地址、VLAN、IP等）有两个逻辑端口：受控（controlled Port）端口和不受控端口（uncontrolled Port）。

不受控端口始终处于双向连通状态，主要用来传递 EAPOL 协议帧，可保证客户端始终可以发出或接受认证。

IEEE802.1x是IEEE2001年6月通过的基于端口访问控制的接入管理协议标准。

IEEE802系列LAN标准是目前居于主导地位的局域网络标准，传统的IEEE802协议定义的局域网不提供接入认证，只要用户能接入局域网控制设备，如传统的LanSwitch，用户就可以访问局域网中的设备或资源，这是一个安全隐患。

对于移动办公，驻地网运营等应用，设备提供者希望能对用户的接入进行控制和配置，此外还存在计费的需求。

IEEE802.1x是一种基于端口的网络接入控制技术，在LAN 设备的物理接入级对接入设备进行认证和控制，此处的物理接入级指的是LanSwitch设备的端口。

连接在该类端口上的用户设备如果能通过认证，就可以访问LAN 内的资源；如果不能通过认证，则无法访问LAN 内的资源，相当于物理上断开连接。

下面首先让我们了解一下IEEE802.1x端口访问控制协议的体系结构。

1．IEEE802.1x体系介绍虽然IEEE802.1x定义了基于端口的网络接入控制协议，但是需要注意的是该协议仅适用于接入设备与接入端口间点到点的连接方式，其中端口可以是物理端口，也可以是逻辑端口。

典型的应用方式有：LanSwitch 的一个物理端口仅连接一个End Station，这是基于物理端口的；IEEE 802.11定义的无线LAN 接入方式是基于逻辑端口的。

图1 IEEE802.1x的体系结构IEEE802.1x的体系结构中包括三个部分：Supplicant System，用户接入设备；Authenticator System，接入控制单元；Authentication Sever System，认证服务器。

在用户接入层设备（如LanSwitch）实现IEEE802.1x的认证系统部分，即Authenticator；IEEE802.1x的客户端一般安装在用户PC中，典型的为Windows XP操作系统自带的客户端；IEEE802.1x的认证服务器系统一般驻留在运营商的AAA中心。

802.1X协议是由(美)电气与电子工程师协会提出，刚刚完成标准化的一个符合IEEE 802协议集的局域网接入控制协议，其全称为基于端口的访问控制协议。

它能够在利用IEEE 802局域网优势的基础上提供一种对连接到局域网的用户进行认证和授权的手段，达到了接受合法用户接入，保护网络安全的目的。

802.1x 认证，又称EAPOE认证，主要用于宽带IP城域网。

一、802.1x认证技术的起源802.1x协议起源于802.11协议，后者是标准的无线局域网协议，802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。

有线局域网通过固定线路连接组建，计算机终端通过网线接入固定位置物理端口，实现局域网接入，这些固定位置的物理端口构成有线局域网的封闭物理空间。

但是，由于无线局域网的网络空间具有开放性和终端可移动性，因此很难通过网络物理空间来界定终端是否属于该网络，因此，如何通过端口认证来防止其他公司的计算机接入本公司无线网络就成为一项非常现实的问题，802.1x 正是基于这一需求而出现的一种认证技术。

也就是说，对于有线局域网，该项认证没有存在的意义。

由此可以看出，802.1x协议并不是为宽带IP城域网量身定做的认证技术，将其应用于宽带IP城域网，必然会有其局限性，下面将详细说明该认证技术的特点，并与PPPOE认证、VLAN＋WEB认证进行比较，并分析其在宽带IP城域网中的应用。

二、802.1x认证技术的特点802.1x协议仅仅关注端口的打开与关闭，对于合法用户（根据帐号和密码）接入时，该端口打开，而对于非法用户接入或没有用户接入时，则该端口处于关闭状态。

认证的结果在于端口状态的改变，而不涉及通常认证技术必须考虑的IP地址协商和分配问题，是各种认证技术中最简化的实现方案。

802.1x认证技术的操作粒度为端口，合法用户接入端口之后，端口处于打开状态，因此其它用户（合法或非法）通过该端口时，不需认证即可接入网络。

ieee802.1x协议原理IEEE 802.1x协议原理IEEE 802.1x是一种网络认证协议，用于保护网络免受未经授权的访问。

本文将探讨IEEE 802.1x协议的原理和工作机制。

1. 简介IEEE 802.1x是一种以太网认证协议，旨在实现网络接入控制（NAC）。

它提供了一种身份验证机制，以确保只有经过授权的设备和用户才能接入局域网。

2. 协议结构IEEE 802.1x协议由三个主要组件组成：客户端、认证服务器和网络交换机。

- 客户端：客户端是指连接到局域网的终端设备，如计算机、手机和平板电脑。

客户端向交换机发送认证请求，并根据来自认证服务器的响应采取相应的措施。

- 认证服务器：认证服务器是负责验证客户端身份的服务器。

它通常与RADIUS服务器一起使用，检查客户端提供的凭据，并返回认证结果给交换机。

- 交换机：交换机是网络的核心设备，负责转发数据包。

在IEEE 802.1x中，交换机扮演认证的角色，它会拦截客户端的数据流，并要求客户端进行认证。

3. 工作原理IEEE 802.1x协议的工作原理如下：- 交换机端口状态：初始状态下，交换机端口是关闭的，无法传输数据。

客户端连接到交换机的端口时，交换机会将端口设置为未授权状态。

- 客户端认证请求：客户端连接到交换机后，会发送一个EAPOL-Start消息，作为认证的起始点。

交换机收到消息后，将端口设置为认证状态。

- 挑战/响应过程：客户端在发送EAPOL-Start消息后，交换机会发送一个挑战请求（EAP-Request/Identity）给客户端。

客户端需要响应并发送其身份信息。

- 认证服务器验证：交换机将收到的身份信息发送到认证服务器进行验证。

服务器确定身份信息的有效性，并发送验证结果给交换机。

- 授权状态：根据认证结果，交换机将端口设置为授权状态或未授权状态。

如果认证成功，客户端可以继续通过交换机传输数据，否则端口将保持关闭状态。

4. 安全性IEEE 802.1x协议提供了一些安全特性，以确保网络的安全性： - 免受未经授权访问：借助IEEE 802.1x，仅经过认证的设备和用户可以接入网络，从而保护网络免受未经授权的访问。

基于802.1x协议的访问控制与网络安全
司震宇
【期刊名称】《东北农业大学学报》
【年(卷),期】2007(038)005
【摘要】基于计算机网络中安全问题日益严重,802.1x协议的网络接入控制协议开始被广泛应用,文章阐述了802.1x协议的组成部分以及工作机制,总结了802.1x协议的特点与在实际应用中的不足之处,分析了"完整"的网络接入控制具备的条件.【总页数】3页(P672-674)
【作者】司震宇
【作者单位】东北农业大学网络中心,哈尔滨,150030
【正文语种】中文
【中图分类】TN915.07;TN915.08
【相关文献】
1.结合强制访问控制实现基于IPSec协议的网络安全模型 [J], 王春雷;张建伟;卢昱
2.802.1X:基于端口的访问控制协议 [J], 袁建国;方宁生;姜浩
3.基于802.1x协议与数字证书的网络安全方案探析 [J], 傅德军;傅正威
4.基于802.1x协议与数字证书的网络安全方案 [J], 林冬茂
5.基于802．1x协议与数字证书的网络安全方案探析 [J], 傅德军;傅正威
因版权原因，仅展示原文概要，查看原文内容请购买。