提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

【AC】常见数据包示例-802.1x

|

问题描述

一、什么是802.1x认证
802.1x认证补齐接入认证功能之后,结合出口行为管理,完善整个内网安全体系,既能做到可信接入内网,又能对终端进行有效管理,能确保不可信、不合规的终端不能接入网络;同时,能够管控用户访问业务的权限;可提供审计用户终端操作行为,以便事后追溯。确保内网环境安全、用户身份得到验证、接入权限最小化授权、行为记录事后可追溯。
原理流程:

(1) 当用户有访问网络需求时打开802.1X客户端程序,输入已经申请、登记过的用户名和密码,发起连接请求(EAPOL-Start报文)。此时,客户端程序将发出请求认证的报文给设备端,开始启动一次认证过程。
(2)设备端收到请求认证的数据帧后,将发出一个请求帧(EAP-Request/Identity报文)要求用户的客户端程序发送输入的用户名。
(3)客户端程序响应设备端发出的请求,将用户名信息通过数据帧(EAP-Response/Identity报文)发送给设备端。设备端将客户端发送的数据帧经过封包处理后(RADIUS Access-Request报文)送给认证服务器进行处理。
(4)RADIUS服务器收到设备端转发的用户名信息后,将该信息与数据库中的用户名表对比,找到该用户名对应的密码信息,用随机生成的一个加密字对它进行加密处理,同时也将此加密字通过RADIUS Access-Challenge报文发送给设备端,由设备端转发给客户端程序。
(5)客户端程序收到由设备端传来的加密字(EAP-Request/MD5 Challenge报文)后,用该加密字对密码部分进行加密处理(此种加密算法通常是不可逆的),生成EAP-Response/MD5 Challenge报文,并通过设备端传给认证服务器。
(6)RADIUS服务器将收到的已加密的密码信息(RADIUS Access-Request报文)和本地经过加密运算后的密码信息进行对比,如果相同,则认为该用户为合法用户,反馈认证通过的消息(RADIUS Access-Accept报文和EAP-Success报文)。
(7)设备收到认证通过消息后将端口改为授权状态,允许用户通过端口访问网络。在此期间,设备端会通过向客户端定期发送握手报文的方法,对用户的在线情况进行监测。缺省情况下,两次握手请求报文都得不到客户端应答,设备端就会让用户下线,防止用户因为异常原因下线而设备无法感知。
(8)客户端也可以发送EAPOL-Logoff报文给设备端,主动要求下线。设备端把端口状态从授权状态改变成未授权状态,并向客户端发送EAP-Failure报文

解决方案

一、802.1x认证报文示例
1.1、正常交互802.1x数据流程总览-AC侧


1.2、正常交互802.1x数据流程总览-PC侧

详细的报文介绍参考:【网络技术】802.1x协议及radius协议详解

二、常见结果报文:
认证成功:
AC(access-accept):

PC(success):


认证失败:
AC(access-reject):

我要分享
文档编号: 217983
作者: admin
更新时间: 2023-01-05 17:29
适用版本: