eap-peapeap-tls認(rèn)證具體流程分析(完整版)
【正文】 戶名和密碼，后續(xù)接入認(rèn)證無需用戶任何手工操作，由終端自動(dòng)完成。EAP是一種簡單的封裝方式，可以運(yùn)行于任何的鏈路層，不過它在PPP鏈路上并未廣泛使用。 EAP 的基本架構(gòu)如圖所示： EAP 認(rèn)證方式（EAP Method）。 EAPPEAP技術(shù)原理PEAP(Protected EAP)實(shí)現(xiàn)通過使用隧道在PEAP客戶端和認(rèn)證服務(wù)器之間進(jìn)行安全認(rèn)證。目前被WPA和WPA2批準(zhǔn)的有兩個(gè)PEAP子類型 PEAPV0MSCHAPV2，PEAPV1GTC，使用廣泛的是PEAPV0MSCHAPV2。6) WLAN AN將EAPRequest/PEAP/Start發(fā)送給WLAN UE。 14) WLAN AN吧Radius報(bào)文中的EAPRequest消息發(fā)送給UE。20) WLAN AN收到RADIUSAccessAccept報(bào)文，會(huì)提取MPPE屬性中的密鑰做為WPA加密用的PMK,并且會(huì)發(fā)送EAP－success報(bào)文給WLAN UE。1. 用戶主動(dòng)下線圖2 用戶主動(dòng)下線流程1）WLAN UE主動(dòng)終止會(huì)話，發(fā)起EAPoLlogoff請(qǐng)求退出網(wǎng)絡(luò)。網(wǎng)絡(luò)發(fā)起用戶下線圖4 用戶異常下線流程1) WLAN AN檢測固定時(shí)間內(nèi)流量小于閾值或者通過Keep Alive機(jī)制檢測發(fā)現(xiàn)用戶已經(jīng)不在線。 使用EAP method 的優(yōu)點(diǎn)是，EAP從此可以不用去管驗(yàn)證使用者的細(xì)節(jié)。證書提供了牢靠的用戶對(duì)網(wǎng)絡(luò)以及網(wǎng)絡(luò)對(duì)用戶的雙向認(rèn)證。 EAPTLS認(rèn)證流程EAPTLS認(rèn)證流程圖1) 申請(qǐng)者首先通過客戶端軟件向認(rèn)證方發(fā)送一個(gè)EAPoLStart報(bào)文。這個(gè)消息里面包含了自己可實(shí)現(xiàn)的算法列表、Client Random Value和其它一些需要的信息。12) 認(rèn)證方將EAPResponse/EAPTLS/ClientCert，Client KeyExchange，Change Cipherspec，F(xiàn)inished響應(yīng)幀封裝成RADIUS AccessRequest幀發(fā)給認(rèn)證服務(wù)器。此時(shí)完成EAPTLS認(rèn)證流程。 STA amp。14) 認(rèn)證方向申請(qǐng)者發(fā)送EAPRequest/EAPTLS/Change Cipherspec，F(xiàn)inished。9) 認(rèn)證服務(wù)器接收到EAPResponse/EAPTLS/ClientHello后，確定TLS認(rèn)證已建立，并通過封裝包含多個(gè)TLS記錄的EAPResponse/EAPTLS消息的AccessChallenge消息經(jīng)過認(rèn)證方發(fā)送給申請(qǐng)者。3) 申請(qǐng)者接收到認(rèn)證方的請(qǐng)求后，向其發(fā)送EAPResponse/Identity響應(yīng)幀，提供身份標(biāo)識(shí)。讓客戶端能夠判斷接入點(diǎn)是否由正確的部門而非為了竊取密碼的有心人士所設(shè)立。 常用的EAP認(rèn)證方法如下圖所示： TLS: 傳輸層安全（Transport Layer Security）。 c) client 將b產(chǎn)生的8 字節(jié)質(zhì)詢加密用windows nt hash 函數(shù)生成的本地口令HASH值（16字節(jié)），產(chǎn)生24字節(jié)的響應(yīng)（MD4算法）；d) client 將24字節(jié)的響應(yīng)，結(jié)果封裝在EAPResponse/EAP MS CHAP V2 Response報(bào)文中發(fā)送給AP. (CODE=2:Response)8) Ap把報(bào)文封裝成Radius報(bào)文,送給Radius.9) Radius server收到后:a) 使用跟Client相同的方法進(jìn)行用戶口令的哈希值加密響應(yīng)值，如果結(jié)果與質(zhì)詢值相同，則客戶端認(rèn)證通過b) Radius server 使用16字節(jié)的端認(rèn)證質(zhì)詢和client 的哈希過的口令，一起創(chuàng)建一個(gè)20字節(jié)的認(rèn)證者響應(yīng),封住成Radius報(bào)文發(fā)送給Ap.10) AP把Radius報(bào)文中的EAP域提取，封裝成EAPrequest/EAPCHAP V2 Success報(bào)文發(fā)送給Client.(CODE=3:Success)11) Client收到后，使用與服務(wù)器相同的方法計(jì)算一個(gè)認(rèn)證者響應(yīng)，如果與收到的響應(yīng)一致，則server 通過認(rèn)證,發(fā)送一個(gè)認(rèn)證成功報(bào)文，封裝成Eap—response/EAP Ms chap v2 ACK報(bào)文給Ap.12) Ap把報(bào)文封裝成Radius報(bào)文,送給Radius.13) 服務(wù)器和客戶端均認(rèn)證成功，Radius server會(huì)發(fā)送Access－Accept報(bào)文給AP，報(bào)文中包含了認(rèn)證服務(wù)器所提
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1