《网络安全技术及实训课件童均实训4-3Radius认证服务器的配置》由会员分享，可在线阅读，更多相关《网络安全技术及实训课件童均实训4-3Radius认证服务器的配置（44页珍藏版）》请在金锄头文库上搜索。
1、第4章 交换机安全配置 实训4-3：Radius认证服务器的配置,实训目的,掌握安装RADIUS服务器 掌握远程访问策略的配置 掌握RADIUS客户端的创建 学会在交换机上配置AAA认证，并能查看配置结果 学会在客户端建立802.1x认证接入,实训背景,某企业要求用户在连接到网络之前需要输入用户名和密码，只有合法用户才能连接到企业网络，防止非法用户窃取企业信息或对网络进行攻击。 802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口访问局域网或广域网。在获得交换机或局域网提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进
2、行认证。在认证通过之前，802.1x只允许EAPoL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。,实训拓扑,实训设备,实训步骤,1.安装RADIUS服务器 2.修改密码策略 3.创建用户账户 4.设置远程访问策略 5.创建RADIUS客户端 6.在交换机上启用认证机制 7.测试802.1x认证接入 8.在交换机上查询配置结果,1.安装RADIUS服务器,1.安装RADIUS服务器,如果这台计算机是一台Windows Server 2003的独立服务器（未升级成为域控制器，也未加入域），则可以利用SAM来管理用户账户信息；如果是一台
3、Windows Server 2003域控制器，则利用活动目录数据库来管理用户账户信息。虽然活动目录数据库管理用户账户信息要比利用SAM来安全、稳定，但RADIUS服务器提供的认证功能相同。为便于实训，下面以一台运行Windows Server 2003的独立服务器为例进行介绍，该计算机的IP地址为192.168.1.200。,1.安装RADIUS服务器,（1）选择【开始】【控制面板】【添加或删除程序】菜单，在打开的对话框中选择“添加/删除Windows组件”，如所示。,1.安装RADIUS服务器,（2）选择“网络服务”组件，单击 按钮，打开“网络服务”对话框，如所示。,1.安装RADIUS服
4、务器,（3）选中“Internet验证服务”子组件，单击 按钮，然后单击 按钮进行安装，如所示。 （4）选择【开始】【管理工具】【Internet验证服务】菜单，显示“Internet验证服务”窗口，如所示。,2.修改密码策略,2.修改密码策略,（1）选择【开始】【管理工具】【本地安全策略】菜单，打开“本地安全设置”窗口，依次选择“账户策略”“密码策略”，启用“用可还原的加密来储存密码”策略项，如所示。,3.创建用户账户,3.创建用户账户,RADIUS服务器安装好之后，需要为所有通过认证才能够访问网络的用户在RADIUS服务器中创建账户。这样，当用户的计算机连接到启用了端口认证功能的交换机上的
5、端口上时，启用了IEEE 802.1x认证功能的客户端计算机需要用户输入正确的账户和密码后，才能够访问网络中的资源。,3.创建用户账户,（1）选择【开始】【管理工具】【计算机管理】菜单，打开“计算机管理”窗口，为了方便管理，我们创建一个用户组“8021x”专门用于管理需要经过IEEE 802.1x认证的用户账户。选择【计算机管理（本地）】【系统工具】【本地用户和组】【组】，右击“组”，选择【新建组】菜单，输入组名，如所示。,3.创建用户账户,（2）右击“用户”，选择【新用户】菜单，输入用户名和密码，如所示。,3.创建用户账户,（3）右击用户“tongjun”，选择【属性】菜单，打开“属性”对话
6、框。选择“隶属于”标签，单击 按钮，然后将其加入“802.1x“用户组中，结果如所示。,4.设置远程访问策略,4.设置远程访问策略,在RADIUS服务器的“Internet验证服务”窗口中，需要为交换机以及通过该交换机进行认证的用户设置远程访问策略。具体方法如下： （1）选择【开始】【管理工具】【Internet验证服务】菜单，右击“远程访问策略”，选择【新建远程访问策略】菜单，如所示。,4.设置远程访问策略,（2）在“策略配置方法”窗口，选择配置方式为“使用向导模式”，输入“策略名”，如所示,4.设置远程访问策略,（3）在“访问方法”窗口，选择访问方法为“以太网”，如所示。,4.设置远程访问
7、策略,（4）在“用户或组访问”窗口，选择授权方式，将之前添加的“802.1x“用户组加入许可列表，如所示。,4.设置远程访问策略,（5）在“身份验证方法”窗口，选择身份验证方法为“MD5-质询”，如所示。,4.设置远程访问策略,（6）确认设置，单击 按钮，完成策略的配置，如所示。,4.设置远程访问策略,（7）在“Internet验证服务”窗口，删掉其它的策略，只保留新建的访问策略，如所示。,5.创建RADIUS客户端,5.创建RADIUS客户端,RADIUS客户端，是指本实训中的交换机设备，在实际应用中也可以是VPN服务器、无线AP等，而不是用户端的计算机。RADIUS服务器只会接受由RADI
8、US客户端设备发过来的请求，为此需要在RADIUS服务器上来指定RADIUS客户端。 （1）在“Internet验证服务”窗口，右击“RADIUS客户端”，选择【新建RADIUS客户端】菜单，如所示。,5.创建RADIUS客户端,（2）在“名称和地址”窗口，设置RADIUS客户端的名称和IP地址。客户端IP地址即交换机的管理IP地址，我们这里是192.168.1.254，如所示。,5.创建RADIUS客户端,（3）在“其他信息”窗口，设置共享密钥和认证方式。认证方式选择“RADIUS Standard”，要记住密钥，后面配置交换机的密钥要保持一致，如所示。,5.创建RADIUS客户端,（4）配
9、置完成后，在“Internet验证服务”窗口，会显示已创建的RADIUS客户端，如所示。,6.在交换机上启用认证机制,6.在交换机上启用认证机制,（1）在交换机上启用AAA认证 SW (config)#aaa new-model (启用AAA认证) SW (config)# aaa authentication dot1x ruijie group radius (启用dot1x认证) SW (config)# dot1x authentication ruijie SW (config)#interface vlan 1 SW (config-if)#ip address 192.168.1
10、.254 255.255.255.0 SW (config-if)#exit,6.在交换机上启用认证机制,（2）指定RADIUS服务器的IP地址和交换机与RADIUS服务器之间的共享密钥，此处配置的密钥要与RADIUS服务器上配置的一致。 SW(config)#radius-server host 192.168.1.200 SW(config)#radius-server key cqcet （3）启用 F0/24 端口的 802.1x认证 SW(config)#interface fastEthernet 0/3 SW(config-if)#dot1x port-control auto,
11、7.测试802.1x认证接入,7.测试802.1x认证接入,（1）将要进行认证接入的计算机接入交换机的FastEthernet0/3端口，设置IP地址为192.168.1.1(随便设置，只要不跟认证服务器IP及交换机管理IP冲突即可) （2）为保证计算机支持802.1x验证，请确认“Wireless Configuration”服务正常开启，如所示。,7.测试802.1x认证接入,（3）右击桌面上的“网上邻居”，选择【属性】菜单，进入“网络连接”窗口，如所示。,7.测试802.1x认证接入,（4）右击“本地连接”，选择【属性】菜单，在打开的窗口中选择“身份验证”标签，选中“启用IEEE 802
12、.1x验证”，EAP类型设置为“MD5-质询”，如所示。,7.测试802.1x认证接入,（5）单击 按钮，过一会即可看到任务栏右侧的托盘信息，如所示。,7.测试802.1x认证接入,（6）单击该信息提示，打开“输入凭据”窗口，要求输入用户名和密码。这里我们输入之前配置的用户名和密码，单击 按钮。,7.测试802.1x认证接入,（7）验证成功后能够ping通服务器，同时可以观察到交换机FastEthernet0/3端口指示灯已经由黄色变为绿色。 （8）选择【开始】【管理工具】【事件查看器】菜单，选择“系统”，双击右侧的事件，可找到802.1x的验证日志，如所示。,8.在交换机上查询配置结果,8.在交换机上查询配置结果,（1）查询radius服务器，显示服务器的信息。 Ruijie#show radius server Server IP: 192.168.1.200 Accounting Port: 1813 Authen Port: 1812 Server State: ready （2）查询aaa用户，会当前连接的用户信息。 Ruijie#show aaa user all - Id - Name 22 - tongjun -,Thank You !,
