校園網(wǎng)認(rèn)證體系校園網(wǎng)使用8021x構(gòu)建校園網(wǎng)的應(yīng)用方案畢業(yè)論文(編輯修改稿)
2025-06-11 01:36 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 3）一個(gè)網(wǎng)絡(luò)設(shè)備管理VLAN，即所有用于論證服務(wù)的交換機(jī)所組成的子網(wǎng)，這是一個(gè)帶TAG的VLAN，使用一個(gè)內(nèi)部IP，(4)、用戶(hù)子網(wǎng)為一個(gè)C類(lèi)IP地址就建立一個(gè)VLAN，使用一個(gè)電信網(wǎng)所分配的公網(wǎng)IP。、網(wǎng)絡(luò)安全配置（1）所有的論證交換機(jī)的遠(yuǎn)程管理都配置成只有網(wǎng)管主機(jī)才可以進(jìn)行遠(yuǎn)程登錄管理，使學(xué)生不能攻擊論證交換機(jī)；（2）論證子網(wǎng)，只提供論證、計(jì)費(fèi)和分配IP地址服務(wù)，而論證和記賬分別使用1812和1813端口，DHCP使用UDP668端口，可以在RGS6806交換機(jī)上建立相應(yīng)ACL，實(shí)現(xiàn)對(duì)論證計(jì)費(fèi)服務(wù)器和DHCP服務(wù)器的保護(hù)；（3）通過(guò)在RGS6806交換機(jī)上建立相應(yīng)的ACL，禁用病毒常用的端口上的TCP應(yīng)用，防止病毒在內(nèi)網(wǎng)上的傳播。、方案特點(diǎn) （1）解決了用戶(hù)帳號(hào)和密碼被盜的問(wèn)題。由于采用用戶(hù)帳號(hào)與MAC地址、端口、VLAN ID進(jìn)行綁定，所以一個(gè)帳號(hào)只能在指定位置的計(jì)算機(jī)上使用，即使知道別人的帳號(hào)和密碼也不能在別的計(jì)算機(jī)上使用。（2）解決了DHCP受攻擊的問(wèn)題，本方案是先進(jìn)行論證，后進(jìn)行IP地址分配，并且利用RGS6806交換機(jī)上的ACL對(duì)DHCP服務(wù)器進(jìn)行了訪(fǎng)問(wèn)保護(hù)，只開(kāi)放DHCP服務(wù)器的DHCP服務(wù)，同時(shí)屏蔽其他服務(wù)有效解決了惡意攻擊。（3）具有良好的可擴(kuò)展性，管理方便。由于建立了一個(gè)管理VLAN，所有論證交換機(jī)不需對(duì)配置作任何修改就可在不同的地方進(jìn)行互換，方便網(wǎng)絡(luò)管理人員進(jìn)行設(shè)備維護(hù)，同時(shí)非常方便增加論證用戶(hù)群，也方便用戶(hù)群在各VLAN之間的調(diào)整。（4）RGS6806交換機(jī)可以作為校園網(wǎng)的核心設(shè)備提供業(yè)務(wù)流分類(lèi)、端口反查和自動(dòng)準(zhǔn)確關(guān)閉端口等能功，阻止病毒在內(nèi)網(wǎng)的泛濫。同時(shí)根據(jù)根據(jù)銳捷計(jì)費(fèi)系統(tǒng)，可定位可能藏在內(nèi)網(wǎng)的病毒散播者。如通過(guò)在RGS6806上強(qiáng)行禁用端口135和4444的TCP應(yīng)用，可防止Internet上的沖擊波病毒對(duì)內(nèi)網(wǎng)的攻擊。、交換機(jī)的配置論證交換機(jī)上的主要配置（RG2126為例）Radius server host Aaa authentication dotlxAaa accounting server Aaa accountingInterface fastEthernet 0/1Dotlx portcontrol auto……..Interface gigabitEthernet 1/1Swichport mode trunkInterface vlan 100No shutdownIp address Dotlx clientprobe enableDotlx probetimer interval 10Dotlx probetimer alive 30No dotlx reauthenticationRadiusserver key jyuIp defaultgateway Snmpserver munity public roRGS6806交換機(jī)上的主要配置：Service dhcpIp helperaddress Ip accesslist extended deny_msblastDeny tcp any any eq 135Deny tcp any any eq 136…….Pemint udp any host eq bootpsPemint udp any host eq bootpcDeny ip any host Pemit udp any host eq 1813 Pemit udp any host eq 1812Deny ip any host Pemit ip any anyInterface GigabitEthernet 1/1Speed 1000Duplex fullSwitchport trunk native vlan 3Ip accessgroup deny_msblast in…..Interface vlan 1Ip address ……Ip route vlan ….. 5 、智能卡通常用在安全性要求比較高的場(chǎng)合，并與認(rèn)證協(xié)議的應(yīng)用相結(jié)合。這首先是由于智能卡能夠保護(hù)并安全的處理敏感數(shù)據(jù)；而智能卡能保護(hù)密鑰也是相當(dāng)重要的，一切秘密寓于密鑰之中，為了能達(dá)到密碼所提供的安全服務(wù)，密鑰絕對(duì)不能被泄密，但為安全原因所增加的成本卻不能太多。智能卡自身硬件的資源極為有限。用其實(shí)現(xiàn)安全系統(tǒng)面臨著存儲(chǔ)器容量和計(jì)算能力方面受到的限制。目前市場(chǎng)上的大多數(shù)智能卡有128到1024字節(jié)的RAM，1k到16k字節(jié)的EEPROM，6k到16k字節(jié)的ROM，CPU通常為8比特的，MHz。任何存儲(chǔ)或者是處理能力的增強(qiáng)都意味著智能卡成本的大幅度提高。另外智能卡的數(shù)據(jù)傳送是相對(duì)慢的，為提高應(yīng)用的效率，基本的數(shù)據(jù)單元必須要小，這樣可以減少智能卡與卡終端之間的數(shù)據(jù)流量，其傳送時(shí)間的減少則意味著實(shí)用性的增強(qiáng)。：認(rèn)證更加安全；生成和管理密鑰方便；節(jié)省內(nèi)存空間；節(jié)省帶寬，提高實(shí)用性；節(jié)省處理時(shí)間，而不需要增加硬件的處理等方面。，不僅能有效地降低智能卡的生產(chǎn)成本，也能提高智能卡的實(shí)用性。Windows WLAN 協(xié)議并不是非常安全，而且您也做不了什么。但幸運(yùn)的是，IEEE（以及Microsoft、Cisco和其他行業(yè)領(lǐng)先的公司）；其結(jié)果是，IEEE （WLAN）和普通局域網(wǎng)提供了一套堅(jiān)固得多的身份驗(yàn)證和安全性機(jī)制。您可以使用Windows 2000或Windows Server 2003域控制器和Windows XP客戶(hù)端的組合。在WLAN中，端口就是訪(fǎng)問(wèn)點(diǎn)（AP）和工作站之間的連接。：非控制的和控制的。您現(xiàn)在正在使用的可能就是非控制端口：它允許設(shè)備連接到端口，與其他任何網(wǎng)絡(luò)設(shè)備進(jìn)行通訊。相反，控制端口限制了連接設(shè)備所能夠通訊的網(wǎng)絡(luò)地址。您可能已經(jīng)能夠了解到接下來(lái)是什么情況了：，但是這些端口僅將流量發(fā)送給身份驗(yàn)證服務(wù)器。在客戶(hù)端通過(guò)身份驗(yàn)證以后，才被允許開(kāi)始使用非控制端口。針對(duì)身份驗(yàn)證，：申請(qǐng)者（supplicant) 和認(rèn)證者（authenticator）。申請(qǐng)者是一個(gè)請(qǐng)求訪(fǎng)問(wèn)網(wǎng)絡(luò)資源的設(shè)備（）。認(rèn)證者是對(duì)申請(qǐng)者進(jìn)行身份驗(yàn)證的設(shè)備，由它來(lái)決定是否授予申請(qǐng)者訪(fǎng)問(wèn)權(quán)限。無(wú)線(xiàn) AP 可以作為認(rèn)證者；但是使用行業(yè)標(biāo)準(zhǔn)的遠(yuǎn)程身份驗(yàn)證撥入用戶(hù)服務(wù)(RADIUS) 協(xié)議更靈活一些。這個(gè)協(xié)議包含在 Windows 2000 中；通過(guò) RADIUS，AP 接收身份驗(yàn)證請(qǐng)求，并將請(qǐng)求轉(zhuǎn)發(fā)給 RADIUS 服務(wù)器，由這臺(tái)服務(wù)器來(lái)根據(jù) Active Directory 對(duì)用戶(hù)進(jìn)行身份驗(yàn)證。 在身份驗(yàn)證時(shí)并不使用有線(xiàn)等效隱私（Wired Equivalent Privacy，WEP）；作為替代，它使用行業(yè)標(biāo)準(zhǔn)的可擴(kuò)展身份驗(yàn)證協(xié)議（Extensible Authentication Protocol，EAP）或更新的版本。在任何一種情況下，EAP/PEAP 都擁有其獨(dú)特的優(yōu)勢(shì)：它們?cè)试S選擇身份驗(yàn)證方法。在默認(rèn)情況下， 使用EAPTLS (EAP傳輸層安全性)，此時(shí)所有EAP保護(hù)的流量都由TLS協(xié)議（非常類(lèi)似于SSL）進(jìn)行加密。整個(gè)身份驗(yàn)證的過(guò)程是這樣的： （1）.無(wú)線(xiàn)工作站嘗試通過(guò)非控制端口連接到AP。（由于此時(shí)該工作站還沒(méi)有通過(guò)身份驗(yàn)證，因此它無(wú)法使用控制端口）。該AP向工作站發(fā)送一個(gè)純文本質(zhì)詢(xún)。（2）.作為響應(yīng)，工作站提供自己的身份證明。（3）.AP 將來(lái)自工作站的身份信息通過(guò)有線(xiàn) LAN 轉(zhuǎn)發(fā)給使用 RA
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1