《11网络安全技术1V21幻灯片资料》由会员分享，可在线阅读，更多相关《11网络安全技术1V21幻灯片资料（25页珍藏版）》请在金锄头文库上搜索。
1、Chapter 11 网络安全技术,ISSUE 2.1,日期：,杭州华三通信技术有限公司 版权所有，未经授权不得使用与传播,了解网络安全一些基本概念 掌握AAA技术,课程目标,学习完本课程，您应该能够：,网络安全概述 第二节 AAA,目录,常常从如下几个方面综合考虑整个网络的安全 保护网络物理线路不会轻易遭受攻击 有效识别合法的和非法的用户 实现有效的访问控制 保证内部网络的隐蔽性 有效的防伪手段，重要的数据重点保护 对网络设备、网络拓扑的安全管理 病毒防范 提高安全防范意识,网络安全关注的范围,网络安全的必要技术,针对网络存在的各种安全隐患，安全 路由器必须具有如下安全特性： 可靠性和线路安
2、全 身份认证 访问控制 信息隐藏 数据加密和防伪 安全管理,网络安全概述 第二节 AAA,目录,AAA概述,AAA定义,验证（Authentication） 授权（Authorization） 计费（Accounting）,RADIUS概述,RADIUS (Remote Authentication Dial-in User Service)是当前流行的安全服务器协 议 实现AAA（授权Authorization、验证 Authentication和计费Accounting）功能,RADIUS结构及基本原理,RADIUS协议采用客户机/服务器（Client/Server）结 构，使用UDP协议
3、作为传输协议 RADIUS使用MD5加密算法对数据包进行数字签名， 以及对口令进行加密 RADIUS包机构灵活，扩展性好，采用UDP发送,0,1,2,3,4,5,0,8,16,24,RADIUS工作过程(I),RADIUS工作过程(II),在RT1上需要配置（示意）如下信息： 在和用户相连的接口上配置利用PPP CHAP验证对方； 使能AAA，并且配置AAA验证、计费协议使用Radius； 配置Radius验证、计费服务器为S，并且配置它们和RT1之间的互相验证密钥为abc。 在Radius服务器S上需要配置（示意）如下信息： 配置一个名称为RT1的Radius客户端，共享密钥为abc； 在用
4、户数据库中配置新的一行（用户名：user1 密码：123 IP地址：10.0.0.2 缺省网关：10.0.0.1）。,RADIUS实现AAA的流程,用户上网,验证请求,验证授权通过,授权并允许用户上网,RADIUS验证与授权,验证、授权过程如下： 路由器将得到的用户信息打包向RADIUS服务器发送 RADIUS服务器对用户进行验证： 合法用户返回访问接受包（用户授权信息） 非法用户返回访问拒绝包 路由器接受服务器的响应包： 访问接受包允许上网，使用其授权信息对用户进行处理 访问拒绝包拒绝用户上网请求,RADIUS计费,每次计费过程包括计费请求、计费应答 对一个用户的计费过程有： 计费信息： 计
5、费失败处理,计费开始,实时计费,计费结束,会话时长,输入字节数,输出字节数,输入包数,输出包数,802.1X起源,来源：802.1X协议起源于802.11协议，起初主要是为了解决无线局域网用户的接入认证问题。 目的：有线局域网通过固定线路形成固定的物理空间；但无线局域网具有开放性和终端可移动性，因此很难通过网络物理空间来界定终端是否属于某一网络。802.1x正是基于这一需求而出现的一种认证技术。 作用形式：操作粒度为端口；对于无线局域网接入认证之后建立起来的信道（端口）被独占。,802.1X的应用,IEEE 802.11定义的无线 LAN 接入方式（基于逻辑端口） LanSwitch的一个物理
6、端口仅连接一个End Station（基于物理端口） 华为-3ComVRP平台的802.1X软件子系统对802.1X协议认证方式进行了扩展，支持一个物理端口下多个End Station的应用场合，多个End Station的识别具体到其源MAC地址,EAP验证过程,PPP LCP ACK/EAP,PPP EAP-Request/Identity,PPP EAP-Response/User1,PPP EAP-Request/Md5 Challenge：rand,PPP EAP-Response/Md5（rand，abc）,PPP EAP-Success,PC,EAP,Username：User1
7、 Password：abc,用户数据库,PPP LCP Request/EAP,802.1X的系统组成,IEEE 802.1X的体系结构包括三部分: Supplicant System-用户接入设备 Authenticator System-接入控制单元 Authentication Sever System-认证服务器 传输介质：点对点以太网（如果是共享式以太网需要采用加密的方式传递认证信息）,Supplicant,Authenticater System,Services offered by Authenticators System,Authenticator PAE,Authenti
8、cater Server,非受控端口,受控端口,LAN,EAPOL,EAP protocol exchanges carriers in higher layer protocal,802.1X认证系统图,EAPOL协议的消息格式,802.1X的EAPOL认证过程,EAPOL-Start,EAP-Request/Identity,EAP-Response/Identity,EAP-Request,EAP-Response(credentials),EAP-Success,Radius-Access-Request,Radius-Access-Request,Radius-Access-Challenge,Radius-Access-Accept,网络安全基本概念 AAA技术 Radius技术 802.1X技术,本章总结,
