第09章 安全技术

第9章 安全技术本章着重介绍二层安全方面的相关技术，及其应用。

本章主要内容：z802.1X技术z DHCP Snooping技术z IP Source Guard技术z动态ARP检测技术z端口安全z端口监控z端口隔离9.1802.1X协议及其应用本节着重介绍802.1X的原理和实现，以及应用。

本节主要内容：z相关术语解析z介绍z典型应用9.1.1相关术语解析Supplicant system：客户端，位于局域网段一端的一个实体，由该链路另一端的设备端对其进行认证。

客户端一般为一个用户终端设备，用户通过启动客户端软件发起802.1X认证。

Authenticator system：设备端，位于局域网一端的另一个实体，对所连接的客户端进行认证。

设备端通常为支持802.1X协议的网络设备，它为客户端提供局域网的端口。

Authentication server system：认证服务器，为设备端提供认证服务的实体。

认证服务器用于对用户进行认证、授权、计费，通常为RADIUS（Remote Authentication Dial-In User Service）服务器。

该服务器可以存储有关用户的信息，包括用户名、密码、所属的VLAN等。

PAE（PortAccess Entity）：端口访问实体，802.1X中负责执行算法和协议操作的实体。

非受控端口/受控端口：设备端为客户端提供接入局域网端口，整个端口被分为两个逻辑端口：非受控端口和受控端口。

非受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，保证客户端始终能够发出和接收报文。

受控端口在授权状态下处于双向连通状态，用户传递业务报文，在非授权状态下禁止从客户端接收任何报文。

9.1.2介绍9.1.2.1802.1X认证系统体系结构图 9-1 802.1X体系结构802.1X系统为典型的客户端/服务器结构，包括三个实体，如图9-1所示分别为：Supplicant system （客户端）、Authentication system（设备端）以及Authentication server system（认证服务器）。

802.1X认证系统使用EAP协议来实现Supplicant system、Authenticator system和Authentication server system 之间认证信息交换。

在Supplicant PAE和Authenticator PAE之间EAP协议报文使用EAPOL封装格式，Authenticator system利用非受控端口接收和发送EAPOL帧。

Authenticator PAE和Authentication server 之间通过将EAP协议报文承载在其他高层协议（通常是Radius协议）上通信，从而交互认证信息，Authenticator PAE根据Authentication server返回的认证结果改变受控端口的授权状态，从而允许或者拒绝Supplicant system访问网络资源。

9.1.2.2EAPOL消息封装9.1.2.2.1EAPOL消息格式图 9-2 EAPOL消息格式PAE Ethernet Type：协议类型，为0x888E。

Protocol Version：EAPOL帧发送方所支持的协议版本号。

Type：EAPOL帧类型，EAP-Packet（0x00）认证信息帧，EAPOL-Start（0x01）认证发起帧，EAPOL-Logoff（0x02）退出请求帧。

Length：数据长度，也就是Packet Body的长度，如果为0表示没有数据。

Packet Body：数据内容，根据Type不同而不同。

9.1.2.2.2EAP消息格式当EAPOL消息的Type为EAP-Packet时，Packet Body为EAP数据包结构，如下图所示：图 9-3 EAP封装格式Code：EAP类型，Request、Response、Success、Failure。

Success和Failure没有Data域，Length的值为4。

Request和Response的Data域格式如图9-4。

Type为EAP认证类型，Type data内容由Type决定。

图 9-4 Request和Response类型Data域格式Identifier：进行Request和Response消息匹配。

Length：EAP 包的长度，包含Code、Identifier、Length 和Data 域。

Data：EAP 包的内容，由Code 类型决定。

9.1.2.2.3EAP属性的封装RADIUS 为支持EAP 认证增加了两个属性：EAP-Message（EAP 消息）和Message-Authenticator （消息认证码）。

EAP-Message图 9-5 EAP-Message属性封装如图9-5所示，这个属性用来封装EAP数据包，类型代码为79，String域最长253字节，如果EAP数据包长度大于253 字节，可以对其进行分片，依次封装在多个EAP-Message属性中。

Message-Authenticator图 9-6 EAP-Authenticator属性如图9-6所示，这个属性用于在使用EAP、CHAP等认证方法的过程中，避免接入请求包被窃听。

在含有EAP-Message 属性的数据包中，必须同时也包含Message-Authenticator，否则该数据包会被认为无效而被丢弃。

9.1.2.3802.1X认证过程认证过程可以由Supplicant system主动发起，也可以由Authenticator system发起。

一方面Authenticator system会主动向Supplicant system发送EAP-Request/Identity 报文，发起认证；另一方面Supplicant system 可以通过软件向Authenticator system发送EAPOL-Start 报文，发起认证。

以下描述以Supplicant system 主动发起认证为例。

EAP协议支持多种认证方法，下面以EAP-MD5为例介绍业务基本流程。

图 9-7 802.1X认证系统业务流程认证过程如下：1)当用户有访问网络需求时打开802.1x 客户端程序，输入已经申请、登记过的用户名和密码，发起连接请求（EAPOL-Start 报文）。

此时，客户端程序将发出请求认证的报文给设备端，开始启动一次认证过程。

2)设备端收到请求认证的数据帧后，将发出一个请求帧（EAP-Request/Identity报文）要求用户的客户端程序发送输入的用户名。

3)客户端程序响应设备端发出的请求，将用户名信息通过数据帧（EAP-Response/Identity 报文）发送给设备端。

设备端将客户端发送的数据帧经过封包处理后（RADIUS Access-Request 报文）送给认证服务器进行处理。

4)RADIUS 服务器收到设备端转发的用户名信息后，将该信息与数据库中的用户名表对比，找到该用户名对应的密码信息，用随机生成的一个加密字对它进行加密处理，同时也将此加密字通过RADIUS Access-Challenge 报文发送给设备端，由设备端转发给客户端程序。

5)客户端程序收到由设备端传来的加密字（EAP-Request/MD5 Challenge 报文）后，用该加密字对密码部分进行加密处理（此种加密算法通常是不可逆的，生成EAP-Response/MD5 Challenge报文），并通过设备端传给认证服务器。

6)RADIUS 服务器将收到的已加密的密码信息（RADIUS Access-Request 报文）和本地经过加密运算后的密码信息进行对比，如果相同，则认为该用户为合法用户，反馈认证通过的消息（RADIUS Access-Accept 报文和EAP-Success报文）。

7)设备收到认证通过消息后将端口改为授权状态，允许用户通过端口访问网络。

8)客户端也可以发送EAPOL-Logoff 报文给设备端，主动要求下线，设备端把端口状态从授权状态改变成未授权状态，并向客户端发送EAP-Failure 报文。

9.1.2.4和802.1X配合使用的技术9.1.2.4.1Auto VlanAuto Vlan在基于端口的接入控制方式下只在ACCESS类型口上生效，在基于MAC的接入控制方式下只在HYBRID类型口上生效，在其它情况下不生效。

Auto Vlan有时又叫Assigned Vlan，是802.1x 用户在服务器上通过认证时，服务器会把授权的VLAN 信息下发到设备端，如果下发的Vlan不合法（Vlan Id错误，Vlan不存在等）则认证失败，否则认证端口加入到下发的Vlan中，用户下线之后，端口恢复为unauthorized状态，端口从这个Auto Vlan中删除，端口缺省Vlan恢复为以前配置的Vlan。

授权下发的Auto Vlan并不改变端口的配置，也不影响端口的配置。

但是，授权下发的Auto Vlan的优先级高于用户配置的Vlan（即Config Vlan），即通过认证后起作用的Vlan是授权下发的Auto Vlan，用户配置的Config Vlan在用户下线后生效。

Vlan下发特性所关联的三个Radius属性为：– [64] Tunnel-Type = Vlan–[65] Tunnel-Medium-Type = 802– [81] Tunnel-Private-Group-ID = Vlan Id9.1.2.4.2Guest VlanGuest Vlan在基于端口的接入控制方式下只在ACCESS类型口上生效，在基于MAC的接入控制方式下只在HYBRID类型口上生效，在其它情况下不生效。

Guest Vlan功能用来允许未认证用户访问某些特定资源。

用户认证端口在通过802.1X认证之前属于一个缺省Vlan（即Guest Vlan），用户访问该Vlan内的资源不需要认证，但此时不能够访问其他网络资源；认证成功后，端口离开Guest Vlan，用户可以访问其他的网络资源。

用户在Guest Vlan 中可以获取802.1X客户端软件，升级客户端，或执行其他一些应用升级程序（例如防病毒软件、操作系统补丁程序等）。

开启802.1X特性并正确配置Guest Vlan后，该端口将以untagged方式加入到Guest Vlan内。

此时Guest Vlan中端口下的用户发起认证，如果认证失败，该端口将会仍然处在Guest Vlan内；如果认证成功，分为以下两种情况：1)如果认证服务器下发一个Vlan，这时端口离开Guest Vlan，加入下发的Vlan中。