CentOS下使用FreeRadius实现802.1X网络准入

ＩｎｆｒａｓｔｍｃｔｕｒｅＭｇｍｔ＆ＤａｔａＭｇｍｔ．－基 础 设 施 与 数 据 管 理 编辑：露釜投稿 一 删 ｎｈ￣＠３６５ｍ ￣－；ｔｅｒ．ｃｏｍ
功 能 。
部 署 结 构 包 括 客 户 端 、接 入 网 络 、
认 证 与 帐 户 系 统 。 客 户 端 ：可 以 是 Ｗｉｎｄｏｗｓ、
２．ｒｏｏｔ 下 使 用 命 令
ｔａｒ ——ｘｚｖｆ ｆｒｅｅｒａｄｉｕｓ——
ｓｅｒｖｅｒ一３．０．１１．ｔａｒ．ｇｚ 解 压 缩 包 。
３． 执 行 命 令 ｙｕｍ
ｉｎｓｔａ］］ ］ｊ ｂｔａ］］ｏｃ—ｄｅｖｅ１
一ｙ安 装 １ｉｂｔａｌｌｏｃ ４．进 入 解 压 后 的 文 件 夹
对 连 接 到 交 换 机 或 ＡＰ上 的 能 要 求 不 高 ，可 以 有 效 降 低 报 文 上 通 过 可 控 端 口 进 行 交
设 备 进 行 认 证 。 在 认 证 通 过 建 网 成 本 。
换 ，通 过 认 证 之 后 的 数 据 包
之 前 ，８０２．ＩＸ只 允 许 ＥＡＰｏＬ
认 证 与 帐 户 系 统 ： Ｒａｄｉｕｓ服 务 器 （本 文 使 用 ＦｒｅｅＲａｄｉｕｓ），提 供 帐 户 管 理 的 数 据 库 （本 文 使 用 ＭｙＳＱＬ 数 据 库 ）。
Ｒａｄｉｕｓ服 务 安 装 与 配 置 １． 拷 贝 ｆｒｅｅｒａｄｉｕｓ—
ｓｅｒｖｅｒ一３．０．１１．ｔａｒ 压 缩 包 到 ＣｅｎｔＯＳ中 。
基 于 以 太 网 端 口 认 证 的 构 中 采 用 了 “可 控 端 口 ”和
６．可 以 使 交 换 端 口 和 无
８０２．１Ｘ协 议 有 如 下 特 点 ：
“不 可 控 端 口 ”的 逻 辑 功 能 ， 线 ＬＡＮ具 有 安 全 的 认 证 接 入
ｗｗｗ．３６５ｍａｓｔｅｒ，ｃｏｍ ２０１８ ０８ ４３
ＯＳＸ或 移 动 终 端 。 Ｗｉｎｄｏｗｓ与 ＯＳＸ 均 支 持 ８０２．ＩＸ 协 议 ，并 且 移 动 端 也 支 持 企 业 级 ＷＰＡ （支 持 用 户 名 与 密 码 ）并 与 Ｒａｄｉｕｓ服 务 集 成 。
接 入 网 络 ：支 持 ８０２．１Ｘ 与 Ｒａｄｉｕｓ的 交 换 机 或 无 线 ＡＰ均 可 ，由于 ８０２．１Ｘ是 一 个 已 经 普 遍 支 持 的 行 业 标 准 ， 所 以 目前 几 乎 所 有 主 流 的 交 换 机 与 ＡＰ都 可 以 支 持 。
１．ＩＥＥＥ ８０２．１Ｘ协 议 为 的 逻 辑 端 口共 同 完 成 对 用 户
问 网 络 。 在 获 得 网 络 提 供 的 数 据 链 路 层 协 议 ，不 需 要 到 的 认 证 与 控 制 ，业 务 报 文 直
各 种 业 务 之 前 ，８０２．１Ｘ首 先 达 网 络 层 ，对 设 备 的 整 体 性 接 承 载 在 正 常 的 数 据 链 路 层
ｓｔ ｅｖｅ Ｃ １ｅａｒｔ ｅｘｔ— Ｐａｓｓｗｏｒｄ ： ｔｅｓｔｉｎｇ
Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ——Ｔ Ｙ Ｐ ｅ ＝ Ｆｒａｍｅｄ—Ｕｓｅｒ．
Ｆｒａｍ ｅｄ——Ｐｒｏｔｏｃｏ １ ： ＰＰＰ，
Ｆｒａｍｅｄ—ＩＰ－Ａｄｄｒｅｓｓ ＝ １７２．１６．３．３３，
Ｆｒａｍｅｄ—ＩＰ—Ｎｅｔｍａｓｋ ： ２５５．２５５．２５５．０，
Ｆｒ ａｍ ｅ ｄ —Ｒ ｏｕ ｔ ｉ ｎｇ Ｂｒｏａｄｃａｓｔ—Ｌｉ ｓｔｅｎ．
：８０２．１Ｘ协 议 是 基 于 Ｃｌｉｅｎｔ／Ｓｅｒｖｅｒ的 访 问 控 制 和 从 而 可 以 实
协 议 是 基 于 认 证 协 议 ，使 用 ８０２．１Ｘ协 议 组 网 ，对 设 备 的 整 体 性 能 要 求 现 业 务 与 认
Ｃ１ ｉｅｎｔ／Ｓｅｒｖｅｒ 不 高，可 以 有 效 降 低 建 网 成 本 。 本 文 通 过 在 ＣｅｎｔＯＳ下 使 用 证 的 分 离 ，由
２．借 用 了 在 ＲＡＳ系 统 中 是 无 需 封 装 的 纯 数 据 包 。
（基 于 局 域 网 的 扩 展 认 证 协 常 用 的 ＥＡＰ（扩 展 认 证 协 议 ），
４．可 以 使 用 现 有 的 后 台
议 ）数 据 通 过 设 备 连 接 的 交 可 以 提 供 良好 的 扩 展 性 和 适 认 证 系 统 降 低 部 署 的 成 本 ，
的 访 问 控 制 和 ＦｒｅｅＲａｄｉｕｓ来 实 现 ８０２．１Ｘ的 网络 准 入 ，讨 论 其 部 署 结 构 、 Ｒａｄｉｕｓ 服 务
认 证 协 议 。 它 安 装 与 配 置 等 问 题 。
器 和 交 换 机
可 以 限 制 未 经
利 用 不 可 控
授 权 的 设 备 通 过 接 入 端 口 访
下 ｔａｒ —ｘｚｖｆ ｆｒｅｅｒａｄｉｕｓ— ｓｅｒｖｅｒ一３．０．１ｉ，执 行 命 令 ．／
ｃｏｎｆｉｇｕｒｅ
５．先 后 执 行 命 令 ｍａｋｅ
口 ｍａｋｅ ｉｎｓｔａｌ１ ６． 进 入 ｃｄ ／ｕｓｒ／ｌｏｃａ１／
ｅｔｃ／ｒａｄｄｂ，用 ｖｉｍ打 开 文 件 ｕｓｅｒｓ，将 以 下 注 释 去 掉 。
换 机 端 口 ；认 证 通 过 以后 ，正 应 性 ，实 现 对 传 统 ＰＰＰ认 证 并 有 丰 富 的 业 务 支 持 。
常 的 数 据 可 以 顺 利 地 通 过 以 架 构 的 兼 容 。
５．可 以 映 射 不 同 的 用 户
太 网 端 口 。
３．８０２．１Ｘ的 认 证 体 系 结 认 证 等 级 到 不 同 的 ＶＬＡＮ。
犏辅： ≯投确信铅 ｃｔａｄ『ｎｌｆ１＠３６＿－ ３ｍａｓｉ ㈣ 基 础 设 施 与 数 据 管 理 Ｉｌｎｆｒａｓｔｒｕｃｔｕｒｅ Ｍｑｍｔ．＆Ｄａｔａ Ｍｑｍｔ．
Ｃｅｎｔ０Ｓ下 伎 用 Ｆ ｒ ｅｅＲａｄ ｉ Ｕ Ｓ 实 现 ８０２．１ Ｘ网络 准 入
Hale Waihona Puke Baidu
■ 北京 赵琳
８ ０ ２ ． １ Ｘ