eap-peapeap-tls認(rèn)證具體流程分析(編輯修改稿)
2025-07-22 06:34 本頁面
【文章內(nèi)容簡介】 數(shù)據(jù)包。PEAP認(rèn)證成功時(shí)，STA的抓包如下（該抓包是抓的STAAP之間的EAPoL包）：和“PEAP用戶接入流程圖”中的步驟相對應(yīng)，步驟與包的對應(yīng)關(guān)系如下圖所示：123671011141521(二) 在radius server上打開wireshark，在capture option選項(xiàng)中選擇對應(yīng)的無線網(wǎng)卡，并把capture packets in promiscuous mode前面的勾去掉，過濾radius的數(shù)據(jù)包。PEAP認(rèn)證成功時(shí)，radius server上的抓包如下，（該抓包是抓的AP—Radius server之間的EAP over Radius包）：和“PEAP用戶接入流程圖”中的步驟相對應(yīng)，步驟與包的對應(yīng)關(guān)系如下圖所示：4 58912131620 PEAP用戶下線流程用戶下線流程包括用戶主動下線、網(wǎng)絡(luò)下線和異常下線三種情況。圖2給出了用戶主動下線流程，圖3給出了網(wǎng)絡(luò)下線流程，圖4給出了用戶異常下線流程。1. 用戶主動下線圖2 用戶主動下線流程1）WLAN UE主動終止會話，發(fā)起EAPoLlogoff請求退出網(wǎng)絡(luò)。2）WLAN AN向AAA Server發(fā)送計(jì)費(fèi)停止請求的報(bào)文。3）AAA Server向WLAN AN回復(fù)計(jì)費(fèi)停止請求報(bào)文的響應(yīng)。網(wǎng)絡(luò)發(fā)起用戶下線圖3 網(wǎng)絡(luò)發(fā)起下線流程1）出于管理目的，網(wǎng)絡(luò)發(fā)起下線流程，可以由AAA Server觸發(fā)DisconnectRequest給WLAN AN。2）WLAN AN終止用戶會話，釋放用戶會話資源。3）WLAN AN向AAA Server回復(fù)DisconnectACK消息。4）WLAN AN向AAA Server發(fā)送計(jì)費(fèi)停止請求的報(bào)文。5）AAA Server向WLAN AN回復(fù)計(jì)費(fèi)停止請求報(bào)文的響應(yīng)。網(wǎng)絡(luò)發(fā)起用戶下線圖4 用戶異常下線流程1) WLAN AN檢測固定時(shí)間內(nèi)流量小于閾值或者通過Keep Alive機(jī)制檢測發(fā)現(xiàn)用戶已經(jīng)不在線。2) WLAN用戶接入認(rèn)證點(diǎn)向Radius發(fā)送計(jì)費(fèi)停止請求的報(bào)文3) Radius向WLAN用戶接入認(rèn)證點(diǎn)回計(jì)費(fèi)停止請求報(bào)文的回應(yīng) MSCHAP V2認(rèn)證流程圖4 MSChapv2用戶認(rèn)證流程1) Radius在TLS通道內(nèi)發(fā)起EAPreuqest/Identity認(rèn)證請求.2) AP把Radius報(bào)文中的EAP域提取，封裝成EAPrequest報(bào)文發(fā)送給Client.3) Client發(fā)送一個(gè) 給Ap一個(gè)EAPResponse報(bào)文，內(nèi)容為Client的Identity(通常為用戶名),.4) Ap把報(bào)文封裝成Radius報(bào)文,送給Radius.5) Radius收到后，通過Radius報(bào)文，返回給AP一個(gè)16 字節(jié)的隨機(jī)數(shù).6) AP把Radius報(bào)文中的EAP域提取，封裝成EAPrequest/EAPMS CHAP V2 Challenge報(bào)文發(fā)送給Client. (CODE=1:Challenge)7) Client收到后:a) Client產(chǎn)生一個(gè) 16字節(jié)的隨機(jī)數(shù)，稱為“端認(rèn)證質(zhì)詢”,b) client 將Radius server中收到的16字節(jié)質(zhì)詢，及其產(chǎn)生的16字節(jié)端認(rèn)證質(zhì)詢，以及client的用戶名進(jìn)行SHA1算法的HASH,取結(jié)果的開始8字節(jié)。 c) client 將b產(chǎn)生的8 字節(jié)質(zhì)詢加密用windows nt hash 函數(shù)生成的本地口令HASH值（16字節(jié)），產(chǎn)生24字節(jié)的響應(yīng)（MD4算法）；d) client 將24字節(jié)的響應(yīng)，結(jié)果封裝在EAPResponse/EAP MS CHAP V2 Response報(bào)文中發(fā)送給AP. (CODE=2:Response)8) Ap把報(bào)文封裝成Radius報(bào)文,送給Radius.9) Radius server收到后:a) 使用跟Client相同的方法進(jìn)行用戶口令的哈希值加密響應(yīng)值，如果結(jié)果與質(zhì)詢值相同，則客戶端認(rèn)證通過b) Radius server 使用16字節(jié)的端認(rèn)證質(zhì)詢和client 的哈希過的口令，一起創(chuàng)建一個(gè)20字節(jié)的認(rèn)證者響應(yīng),封住成Radius報(bào)文發(fā)送給Ap.10) AP把Radius報(bào)文中的EAP域提取，封裝成EAPrequest/EAPCHAP V
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1