校園網(wǎng)認證體系校園網(wǎng)使用8021x構(gòu)建校園網(wǎng)的應(yīng)用方案畢業(yè)論文(編輯修改稿)
2025-06-11 01:36 本頁面
【文章內(nèi)容簡介】 3）一個網(wǎng)絡(luò)設(shè)備管理VLAN，即所有用于論證服務(wù)的交換機所組成的子網(wǎng)，這是一個帶TAG的VLAN，使用一個內(nèi)部IP，(4)、用戶子網(wǎng)為一個C類IP地址就建立一個VLAN，使用一個電信網(wǎng)所分配的公網(wǎng)IP。、網(wǎng)絡(luò)安全配置（1）所有的論證交換機的遠程管理都配置成只有網(wǎng)管主機才可以進行遠程登錄管理，使學(xué)生不能攻擊論證交換機；（2）論證子網(wǎng)，只提供論證、計費和分配IP地址服務(wù)，而論證和記賬分別使用1812和1813端口，DHCP使用UDP668端口，可以在RGS6806交換機上建立相應(yīng)ACL，實現(xiàn)對論證計費服務(wù)器和DHCP服務(wù)器的保護；（3）通過在RGS6806交換機上建立相應(yīng)的ACL，禁用病毒常用的端口上的TCP應(yīng)用，防止病毒在內(nèi)網(wǎng)上的傳播。、方案特點 （1）解決了用戶帳號和密碼被盜的問題。由于采用用戶帳號與MAC地址、端口、VLAN ID進行綁定，所以一個帳號只能在指定位置的計算機上使用，即使知道別人的帳號和密碼也不能在別的計算機上使用。（2）解決了DHCP受攻擊的問題，本方案是先進行論證，后進行IP地址分配，并且利用RGS6806交換機上的ACL對DHCP服務(wù)器進行了訪問保護，只開放DHCP服務(wù)器的DHCP服務(wù)，同時屏蔽其他服務(wù)有效解決了惡意攻擊。（3）具有良好的可擴展性，管理方便。由于建立了一個管理VLAN，所有論證交換機不需對配置作任何修改就可在不同的地方進行互換，方便網(wǎng)絡(luò)管理人員進行設(shè)備維護，同時非常方便增加論證用戶群，也方便用戶群在各VLAN之間的調(diào)整。（4）RGS6806交換機可以作為校園網(wǎng)的核心設(shè)備提供業(yè)務(wù)流分類、端口反查和自動準(zhǔn)確關(guān)閉端口等能功，阻止病毒在內(nèi)網(wǎng)的泛濫。同時根據(jù)根據(jù)銳捷計費系統(tǒng)，可定位可能藏在內(nèi)網(wǎng)的病毒散播者。如通過在RGS6806上強行禁用端口135和4444的TCP應(yīng)用，可防止Internet上的沖擊波病毒對內(nèi)網(wǎng)的攻擊。、交換機的配置論證交換機上的主要配置（RG2126為例）Radius server host Aaa authentication dotlxAaa accounting server Aaa accountingInterface fastEthernet 0/1Dotlx portcontrol auto……..Interface gigabitEthernet 1/1Swichport mode trunkInterface vlan 100No shutdownIp address Dotlx clientprobe enableDotlx probetimer interval 10Dotlx probetimer alive 30No dotlx reauthenticationRadiusserver key jyuIp defaultgateway Snmpserver munity public roRGS6806交換機上的主要配置：Service dhcpIp helperaddress Ip accesslist extended deny_msblastDeny tcp any any eq 135Deny tcp any any eq 136…….Pemint udp any host eq bootpsPemint udp any host eq bootpcDeny ip any host Pemit udp any host eq 1813 Pemit udp any host eq 1812Deny ip any host Pemit ip any anyInterface GigabitEthernet 1/1Speed 1000Duplex fullSwitchport trunk native vlan 3Ip accessgroup deny_msblast in…..Interface vlan 1Ip address ……Ip route vlan ….. 5 、智能卡通常用在安全性要求比較高的場合，并與認證協(xié)議的應(yīng)用相結(jié)合。這首先是由于智能卡能夠保護并安全的處理敏感數(shù)據(jù)；而智能卡能保護密鑰也是相當(dāng)重要的，一切秘密寓于密鑰之中，為了能達到密碼所提供的安全服務(wù)，密鑰絕對不能被泄密，但為安全原因所增加的成本卻不能太多。智能卡自身硬件的資源極為有限。用其實現(xiàn)安全系統(tǒng)面臨著存儲器容量和計算能力方面受到的限制。目前市場上的大多數(shù)智能卡有128到1024字節(jié)的RAM，1k到16k字節(jié)的EEPROM，6k到16k字節(jié)的ROM，CPU通常為8比特的，MHz。任何存儲或者是處理能力的增強都意味著智能卡成本的大幅度提高。另外智能卡的數(shù)據(jù)傳送是相對慢的，為提高應(yīng)用的效率，基本的數(shù)據(jù)單元必須要小，這樣可以減少智能卡與卡終端之間的數(shù)據(jù)流量，其傳送時間的減少則意味著實用性的增強。：認證更加安全；生成和管理密鑰方便；節(jié)省內(nèi)存空間；節(jié)省帶寬，提高實用性；節(jié)省處理時間，而不需要增加硬件的處理等方面。，不僅能有效地降低智能卡的生產(chǎn)成本，也能提高智能卡的實用性。Windows WLAN 協(xié)議并不是非常安全，而且您也做不了什么。但幸運的是，IEEE（以及Microsoft、Cisco和其他行業(yè)領(lǐng)先的公司）；其結(jié)果是，IEEE （WLAN）和普通局域網(wǎng)提供了一套堅固得多的身份驗證和安全性機制。您可以使用Windows 2000或Windows Server 2003域控制器和Windows XP客戶端的組合。在WLAN中，端口就是訪問點（AP）和工作站之間的連接。：非控制的和控制的。您現(xiàn)在正在使用的可能就是非控制端口：它允許設(shè)備連接到端口，與其他任何網(wǎng)絡(luò)設(shè)備進行通訊。相反，控制端口限制了連接設(shè)備所能夠通訊的網(wǎng)絡(luò)地址。您可能已經(jīng)能夠了解到接下來是什么情況了：，但是這些端口僅將流量發(fā)送給身份驗證服務(wù)器。在客戶端通過身份驗證以后，才被允許開始使用非控制端口。針對身份驗證，：申請者（supplicant) 和認證者（authenticator）。申請者是一個請求訪問網(wǎng)絡(luò)資源的設(shè)備（）。認證者是對申請者進行身份驗證的設(shè)備，由它來決定是否授予申請者訪問權(quán)限。無線 AP 可以作為認證者；但是使用行業(yè)標(biāo)準(zhǔn)的遠程身份驗證撥入用戶服務(wù)(RADIUS) 協(xié)議更靈活一些。這個協(xié)議包含在 Windows 2000 中；通過 RADIUS，AP 接收身份驗證請求，并將請求轉(zhuǎn)發(fā)給 RADIUS 服務(wù)器，由這臺服務(wù)器來根據(jù) Active Directory 對用戶進行身份驗證。 在身份驗證時并不使用有線等效隱私（Wired Equivalent Privacy，WEP）；作為替代，它使用行業(yè)標(biāo)準(zhǔn)的可擴展身份驗證協(xié)議（Extensible Authentication Protocol，EAP）或更新的版本。在任何一種情況下，EAP/PEAP 都擁有其獨特的優(yōu)勢：它們允許選擇身份驗證方法。在默認情況下， 使用EAPTLS (EAP傳輸層安全性)，此時所有EAP保護的流量都由TLS協(xié)議（非常類似于SSL）進行加密。整個身份驗證的過程是這樣的： （1）.無線工作站嘗試通過非控制端口連接到AP。（由于此時該工作站還沒有通過身份驗證，因此它無法使用控制端口）。該AP向工作站發(fā)送一個純文本質(zhì)詢。（2）.作為響應(yīng)，工作站提供自己的身份證明。（3）.AP 將來自工作站的身份信息通過有線 LAN 轉(zhuǎn)發(fā)給使用 RA
公司管理相關(guān)推薦
鄂ICP備17016276號-1