背 景

辦公網(wǎng)承載著企業(yè)內(nèi)部眾多關(guān)鍵業(yè)務(wù)系統(tǒng)，如果終端連接到網(wǎng)絡(luò)中便可直接訪(fǎng)問(wèn)辦公網(wǎng)絡(luò)資源，會(huì)帶來(lái)網(wǎng)絡(luò)被攻擊的風(fēng)險(xiǎn)，企業(yè)內(nèi)部資料有可能被具有非法意圖的攻擊者竊取。如何保證用戶(hù)接入網(wǎng)絡(luò)的合規(guī)與合法性，早已成為業(yè)界關(guān)注的焦點(diǎn)。網(wǎng)絡(luò)接入認(rèn)證技術(shù)就是在這樣的背景下產(chǎn)生的。

 

多種網(wǎng)絡(luò)接入認(rèn)證方式

接入認(rèn)證的方式有很多種，在園區(qū)網(wǎng)中常見(jiàn)的有以下四種：

1、802.1X（Port-Based Network Access Control）認(rèn)證：

• 是一個(gè)基于端口的網(wǎng)絡(luò)存取控制標(biāo)準(zhǔn)，為L(zhǎng)AN提供點(diǎn)對(duì)點(diǎn)式的安全接入；

• 802.1X的最終目的就是確認(rèn)一個(gè)物理端口或Wi-Fi連接是否可用，如果認(rèn)證成功就允許使用該物理端口或Wi-Fi連接。

2、Portal認(rèn)證：

• 也稱(chēng)Web認(rèn)證，是一種對(duì)用戶(hù)訪(fǎng)問(wèn)網(wǎng)絡(luò)的權(quán)限進(jìn)行控制的認(rèn)證方法；

• 當(dāng)用戶(hù)需要訪(fǎng)問(wèn)認(rèn)證服務(wù)器以外的其它網(wǎng)絡(luò)資源時(shí)，就必須通過(guò)瀏覽器在Portal服務(wù)器上進(jìn)行身份認(rèn)證，只有認(rèn)證通過(guò)后才可以訪(fǎng)問(wèn)相關(guān)網(wǎng)絡(luò)資源。

3、PPPoE（Point-to-Point Protocol Over Ethernet）認(rèn)證：

• 從窄帶技術(shù)演化而來(lái)，PPP最早就是專(zhuān)門(mén)為電話(huà)線(xiàn)上網(wǎng)而設(shè)計(jì)的，當(dāng)寬帶普及后，為了兼容以前的電話(huà)線(xiàn)用戶(hù)習(xí)慣，故在寬帶網(wǎng)絡(luò)中繼承了PPP技術(shù)；

• 當(dāng)客戶(hù)端要通過(guò)PPPoE上網(wǎng)時(shí)，它必須首先進(jìn)行發(fā)現(xiàn)階段以識(shí)別對(duì)端的以太網(wǎng)MAC地址，并建立一個(gè)PPPoE ID，這樣才能成功建立一個(gè)會(huì)話(huà)，從而訪(fǎng)問(wèn)網(wǎng)絡(luò)資源。

4、IPoE認(rèn)證：

• 又稱(chēng)DHCP+認(rèn)證，使用DHCP配合其他技術(shù)實(shí)現(xiàn)認(rèn)證，如DHCP+OPTION擴(kuò)展字段進(jìn)行認(rèn)證；

• IPoE認(rèn)證基于上網(wǎng)用戶(hù)的物理位置（唯一的VLAN ID/PVC ID）對(duì)用戶(hù)進(jìn)行認(rèn)證和計(jì)費(fèi)，用戶(hù)上網(wǎng)時(shí)無(wú)需輸入用戶(hù)名和密碼。

在企業(yè)辦公網(wǎng)場(chǎng)景中最常用到的就是802.1X認(rèn)證和Portal認(rèn)證。本文將對(duì)802.1X認(rèn)證技術(shù)和Portal認(rèn)證技術(shù)進(jìn)行詳細(xì)講解。

 

 

802.1X認(rèn)證技術(shù)詳解

 

802.1X認(rèn)證系統(tǒng)構(gòu)成

如圖1所示，802.1X認(rèn)證系統(tǒng)由懇請(qǐng)者、認(rèn)證者、認(rèn)證服務(wù)器三個(gè)角色構(gòu)成。在實(shí)際應(yīng)用中，三者分別對(duì)應(yīng)為：客戶(hù)端（Client）、網(wǎng)絡(luò)接入控制設(shè)備(Network Access Server，NAS)、RADIUS Server。

 

▲圖1：802.1X認(rèn)證系統(tǒng)構(gòu)成

 

• 懇請(qǐng)者

懇請(qǐng)者是客戶(hù)端所扮演的角色；
它請(qǐng)求對(duì)網(wǎng)絡(luò)的訪(fǎng)問(wèn)，并對(duì)認(rèn)證者的請(qǐng)求報(bào)文進(jìn)行應(yīng)答；
懇請(qǐng)者必須運(yùn)行符合802.1X客戶(hù)端標(biāo)準(zhǔn)的軟件（目前各操作系統(tǒng)均已集成支持）。

• 認(rèn)證者

認(rèn)證者在客戶(hù)端與認(rèn)證服務(wù)器之間，一般是交換機(jī)、AP等接入設(shè)備；

認(rèn)證者設(shè)備也稱(chēng)為NAS，它要負(fù)責(zé)把從客戶(hù)端收到的認(rèn)證信息封裝成RADIUS格式的報(bào)文并轉(zhuǎn)發(fā)給RADIUS Server，同時(shí)要把從RADIUS Server收到的信息進(jìn)行解析后轉(zhuǎn)發(fā)給客戶(hù)端；

認(rèn)證者設(shè)備有兩種類(lèi)型的端口：受控端口（Controlled Port）和非受控端口（Uncontrolled Port）：

• 連接在受控端口的用戶(hù)只有通過(guò)認(rèn)證才能訪(fǎng)問(wèn)網(wǎng)絡(luò)資源；

• 連接在非受控端口的用戶(hù)無(wú)須經(jīng)過(guò)認(rèn)證便可以直接訪(fǎng)問(wèn)網(wǎng)絡(luò)資源。非受控端口主要是用來(lái)連接認(rèn)證服務(wù)器，以便保證服務(wù)器與設(shè)備的正常通訊。

• 認(rèn)證服務(wù)器

認(rèn)證服務(wù)器通常為RADIUS服務(wù)器，和認(rèn)證者配合完成認(rèn)證；

認(rèn)證服務(wù)器保存了用戶(hù)名和密碼，以及相應(yīng)的授權(quán)信息；

一臺(tái)服務(wù)器可以對(duì)多臺(tái)認(rèn)證者提供認(rèn)證服務(wù)，這樣就可以實(shí)現(xiàn)對(duì)用戶(hù)的集中管理。

 

802.1X認(rèn)證狀態(tài)機(jī)

認(rèn)證通過(guò)前（非授權(quán)狀態(tài)）

 

▲圖2：認(rèn)證通過(guò)前的端口狀態(tài)

 

如圖2，端口未認(rèn)證，受控端口開(kāi)路，只允許EAPOL（Extensible Authentication Protocol over LAN）報(bào)文和廣播報(bào)文（DHCP,ARP）通過(guò)端口，不允許其它業(yè)務(wù)流通過(guò)。

• 認(rèn)證通過(guò)后（授權(quán)狀態(tài)）

 

▲圖3：認(rèn)證通過(guò)后的端口狀態(tài)

如圖3，認(rèn)證通過(guò)后，受控端口閉合，用戶(hù)的業(yè)務(wù)流可以順利通過(guò)。

• 認(rèn)證狀態(tài)的保持

認(rèn)證者可以定時(shí)要求客戶(hù)端重新認(rèn)證，時(shí)間可配置，重新認(rèn)證的過(guò)程對(duì)用戶(hù)是無(wú)感知的，即用戶(hù)不需要重新輸入密碼。

• 下線(xiàn)方式

1)   物理端口Down——拔插網(wǎng)線(xiàn)、關(guān)機(jī)、斷開(kāi)Wi-Fi等；

2)   重新認(rèn)證不通過(guò)或超時(shí)；

3)   用戶(hù)主動(dòng)下線(xiàn)；

4)   網(wǎng)管強(qiáng)制下線(xiàn)。

 

802.1X認(rèn)證基礎(chǔ)協(xié)議

 

▲圖4：設(shè)備間的報(bào)文交互

 

如圖4，客戶(hù)端和認(rèn)證者之間用EAPoL格式封裝EAP協(xié)議傳送認(rèn)證信息；認(rèn)證者與認(rèn)證服務(wù)器之間通過(guò)RADIUS協(xié)議傳送信息。

• EAPoL協(xié)議

802.1x協(xié)議定義了一種報(bào)文封裝格式，這種報(bào)文稱(chēng)為EAPoL（EAP over LANs局域網(wǎng)上的擴(kuò)展認(rèn)證協(xié)議）報(bào)文，主要用于在客戶(hù)端和認(rèn)證系統(tǒng)之間傳送EAP協(xié)議報(bào)文，以允許EAP協(xié)議報(bào)文在LAN上傳送。

 

▲圖5：EAPoL報(bào)文格式

EAPoL報(bào)文格式如圖5，下面將對(duì)報(bào)文各字段進(jìn)行解釋?zhuān)?/p>

● PAE（Port Access Entity）Ethernet Type：2字節(jié)，表示協(xié)議類(lèi)型，為0x888E；

● Protocol Version：1字節(jié)，表示EAPOL幀的發(fā)送方所支持的協(xié)議版本號(hào)；

● Type：1字節(jié)，表示EAPoL數(shù)據(jù)幀類(lèi)型，具體類(lèi)型如圖6所示；

 

▲圖6：EAPoL數(shù)據(jù)幀類(lèi)型

 

● Length：2字節(jié)，表示數(shù)據(jù)長(zhǎng)度，也就是“Packet Body”字段的長(zhǎng)度，單位為字節(jié)。如果為0，則表示沒(méi)有后面的數(shù)據(jù)域；

• EAPoL-Start和EAPoL-Logoff報(bào)文的Length值都為0

● Packet Body：表示數(shù)據(jù)內(nèi)容，根據(jù)不同的Type有不同的格式。

• EAP協(xié)議

當(dāng)EAPoL數(shù)據(jù)幀格式Type域?yàn)镋AP-Packet時(shí)，Packet Body為EAP數(shù)據(jù)報(bào)文。

 

▲圖7：EAP報(bào)文格式

 

EAP報(bào)文格式如圖7，下面將對(duì)報(bào)文各字段進(jìn)行解釋?zhuān)?/p>

●Code：一個(gè)字節(jié)，指明EAP包的類(lèi)型，共有4種，定義如下：

1--------Request

2--------Response

3--------Success

4--------Failure

由于該字段值只定義了1到4，如果EAP報(bào)文的該字段為其它值，則應(yīng)被認(rèn)證者和客戶(hù)端丟棄；

● Identifier：一個(gè)字節(jié)，用于應(yīng)答報(bào)文和請(qǐng)求報(bào)文之間進(jìn)行匹配；

● Length：兩個(gè)字節(jié)，EAP包的長(zhǎng)度，包含Code、Identifier、Length和Data域，單位為字節(jié)；

● Data：EAP數(shù)據(jù)包內(nèi)容，長(zhǎng)度為零個(gè)或多個(gè)字節(jié)，由Code類(lèi)型決定。Request和Response類(lèi)型報(bào)文的Data域格式如圖8所示：

 

▲圖8：Request/Response Data域格式

 

Type：1個(gè)字節(jié)，標(biāo)識(shí)EAP的認(rèn)證類(lèi)型，Type字段目前定義的值及其簡(jiǎn)要說(shuō)明如下：

• Type＝1 ----Identifier（用來(lái)詢(xún)問(wèn)對(duì)端的身份）

• Type＝2 ----Notification（非必須的一個(gè)消息，傳送一些警告消息，比如提示密碼將要超期、OTP的順序號(hào)碼接近零以及認(rèn)證失敗的警告等）

• Type＝3 ----Nak (Response Only)（Request報(bào)文中的認(rèn)證類(lèi)型不可接受時(shí)回復(fù)該類(lèi)型的報(bào)文）

• Type＝4 ----MD5-Challenge（類(lèi)似于CHAP中的MD5-Challenge，使用MD5算法）

• Type＝5 ----One-Time Password (OTP，一種密碼交互的方式）

• Type＝6 ----Generic Token Card（通用令牌卡類(lèi)型，適用于各種需要用戶(hù)輸入信息的令牌卡的實(shí)現(xiàn)）

• Type＝254 ----Expanded Types（供廠(chǎng)商支持自己的擴(kuò)展類(lèi)型）

Type＝255 ----Experimental use（在實(shí)驗(yàn)新的類(lèi)型時(shí)使用）

Type Data：該字段的內(nèi)容由Type字段的值決定。

• RADIUS協(xié)議

RADIUS是AAA(Authentication、Authorization、Accounting)協(xié)議的一個(gè)實(shí)現(xiàn)，RADIUS協(xié)議規(guī)定了NAS與RADIUS服務(wù)器之間如何傳遞用戶(hù)信息和記賬信息，RADIUS服務(wù)器負(fù)責(zé)接收用戶(hù)的連接請(qǐng)求，完成驗(yàn)證，并把傳遞服務(wù)給用戶(hù)所需的配置信息返回給NAS。

 

▲圖9：RADIUS報(bào)文格式

RADIUS報(bào)文格式如圖9，下面將對(duì)報(bào)文各字段進(jìn)行解釋?zhuān)?/p>

● Code：代指數(shù)據(jù)包的編號(hào)，標(biāo)識(shí)了該數(shù)據(jù)包是什么類(lèi)型的，如果是未知類(lèi)型的數(shù)據(jù)包就會(huì)被默認(rèn)丟棄，目前大致有以下幾種常用編號(hào)：

1----Access-Request（接入請(qǐng)求，認(rèn)證用）

2----Access-Accept （同意接入，認(rèn)證用）

3----Access-Reject （拒絕接入，認(rèn)證用）

4----Accounting-Request（計(jì)費(fèi)請(qǐng)求，計(jì)費(fèi)用）

5----Accounting-Response （計(jì)費(fèi)響應(yīng)，計(jì)費(fèi)用）

11----Access-Challenge （接入挑戰(zhàn)，認(rèn)證用）

● Identifier：RADIUS報(bào)文標(biāo)識(shí)；

● Length：RADIUS報(bào)文長(zhǎng)度；

● Authenticator：用于RADIUS Client 和Server之間消息認(rèn)證的有效性，和密碼隱藏算法。

• 在A(yíng)ccess-Request數(shù)據(jù)包中，Authenticator的值是16字節(jié)隨機(jī)數(shù)，被稱(chēng)為請(qǐng)求認(rèn)證器，認(rèn)證字的值要不能被預(yù)測(cè)并且在一個(gè)共享密鑰的生命期內(nèi)唯一；

• 在A(yíng)ccess-Accept、Access-Reject和Access-Challenge數(shù)據(jù)包中的Authenticator被稱(chēng)為響應(yīng)認(rèn)證器，值定義為MD5(Code + ID + Length + RequestAuth + Attributes + Secret)。

● Attributes：存儲(chǔ)用戶(hù)的信息，如用戶(hù)名，IP地址等。

 

802.1X認(rèn)證流程詳解

802.1X認(rèn)證過(guò)程如圖10：

 

▲圖10：802.1X認(rèn)證過(guò)程

 

1. 當(dāng)用戶(hù)訪(fǎng)問(wèn)網(wǎng)絡(luò)時(shí)打開(kāi)（Windows自帶客戶(hù)端可自動(dòng)打開(kāi)）802.1x客戶(hù)端程序，根據(jù)提示輸入已經(jīng)在RADIUS服務(wù)器中創(chuàng)建的用戶(hù)名和密碼，發(fā)起連接請(qǐng)求，此時(shí)，客戶(hù)端程序?qū)⑾蛟O(shè)備端發(fā)出認(rèn)證請(qǐng)求幀（EAPoL-Start），啟動(dòng)認(rèn)證過(guò)程；

2. NAS收到該報(bào)文后，發(fā)送一個(gè)EAP-Request報(bào)文響應(yīng)客戶(hù)端的認(rèn)證請(qǐng)求，要求用戶(hù)提供用戶(hù)名信息；

3. 客戶(hù)端收到EAP-Request之后響應(yīng)一個(gè)EAP-Response報(bào)文，將用戶(hù)名封裝在EAP報(bào)文中發(fā)給NAS；

4. NAS將客戶(hù)端送來(lái)的EAP-Request報(bào)文與自己的設(shè)備IP、端口等相關(guān)信息一起封裝在RADIUS Access-Request報(bào)文中發(fā)給認(rèn)證服務(wù)；

5. 認(rèn)證服務(wù)器收到RADIUS Access-Request報(bào)文后進(jìn)行驗(yàn)證，如果該用戶(hù)的相關(guān)信息有效，則對(duì)該用戶(hù)發(fā)起一次認(rèn)證挑戰(zhàn)（RADIUS Access-Challenge），要求用戶(hù)提供密碼；

6. NAS收到這條RADIUS Access-Challenge報(bào)文后，將挑戰(zhàn)請(qǐng)求用EAP-Challenge Request轉(zhuǎn)發(fā)給客戶(hù)端；

7. 客戶(hù)端接到挑戰(zhàn)請(qǐng)求后，將用戶(hù)密碼進(jìn)行MD5加密處理，并封裝在EAP-Challenge Response中返回給NAS；

8. NAS將用戶(hù)的EAP-Challenge Response封裝為RADIUS Access-Request報(bào)文轉(zhuǎn)發(fā)給認(rèn)證服務(wù)器；

9. 認(rèn)證服務(wù)器對(duì)用戶(hù)的密碼進(jìn)行驗(yàn)證，如果驗(yàn)證失敗，服務(wù)器將返回一條RADIUS Access-Reject報(bào)文，拒絕用戶(hù)的認(rèn)證請(qǐng)求；如果驗(yàn)證通過(guò)，則發(fā)送一條RADIUS Access-Accept報(bào)文給交換機(jī)；

10. NAS在接到認(rèn)證服務(wù)器發(fā)來(lái)的RADIUS Access-Accept之后，解除對(duì)客戶(hù)端的訪(fǎng)問(wèn)控制，同時(shí)發(fā)送一條EAP-Success報(bào)文給客戶(hù)端通知其認(rèn)證已經(jīng)成功；

11. NAS向認(rèn)證服務(wù)器發(fā)送一條RADIUS Accounting-Request（Start）報(bào)文，申請(qǐng)對(duì)該用戶(hù)進(jìn)行記賬；

12. 認(rèn)證服務(wù)器接到請(qǐng)求后開(kāi)始記賬，并向NAS返回一條RADIUS Accounting-Response報(bào)文，告知記賬操作已經(jīng)開(kāi)始；

13. 用戶(hù)下線(xiàn)時(shí)，客戶(hù)端向NAS發(fā)送一條EAPoL-Logoff報(bào)文，申請(qǐng)下線(xiàn)；

14. NAS向認(rèn)證服務(wù)器發(fā)送RADIUS Accounting-Request（Stop）請(qǐng)求，申請(qǐng)對(duì)該用戶(hù)停止記賬；

15. 認(rèn)證服務(wù)器收到請(qǐng)求后停止記賬，同時(shí)響應(yīng)一條RADIUS Accounting-Response報(bào)文；

16. NAS發(fā)送一條EAPoL Failure消息給客戶(hù)端提示下線(xiàn)成功，并打開(kāi)對(duì)該用戶(hù)的訪(fǎng)問(wèn)控制。

 

 

Portal認(rèn)證技術(shù)詳解

Portal認(rèn)證，以其輕量、易部署等特點(diǎn)，受到很多企業(yè)用戶(hù)的歡迎。Portal認(rèn)證業(yè)務(wù)可以為管理者提供方便的管理功能，如要求所有用戶(hù)在門(mén)戶(hù)網(wǎng)站進(jìn)行認(rèn)證，門(mén)戶(hù)網(wǎng)站可以開(kāi)展企業(yè)個(gè)性化信息推廣業(yè)務(wù)等，為信息傳播提供一個(gè)良好的載體。

 

Portal認(rèn)證系統(tǒng)構(gòu)成

 

▲圖11：Portal認(rèn)證系統(tǒng)

 

• Client

認(rèn)證客戶(hù)端，通常是一個(gè)瀏覽器，運(yùn)行HTTP協(xié)議，用戶(hù)通過(guò)瀏覽器上網(wǎng)時(shí)瀏覽器將發(fā)出HTTP請(qǐng)求。

• NAS

在網(wǎng)絡(luò)拓?fù)渲幸话闶墙尤雽釉O(shè)備，和用戶(hù)終端設(shè)備直接相連；
在NAS上需要啟動(dòng)Portal認(rèn)證功能，NAS接收Portal Server發(fā)過(guò)來(lái)的用戶(hù)認(rèn)證信息，并向RADIUS Server發(fā)起認(rèn)證請(qǐng)求，根據(jù)認(rèn)證結(jié)果設(shè)置用戶(hù)是否可以上網(wǎng)，同時(shí)向Portal Server反饋認(rèn)證結(jié)果。

• Portal 服務(wù)器

提供Portal認(rèn)證頁(yè)面，和NAS交互認(rèn)證客戶(hù)端的認(rèn)證信息；
Portal 服務(wù)器向客戶(hù)端推送認(rèn)證頁(yè)面，用戶(hù)在認(rèn)證頁(yè)面上填入帳號(hào)、密碼等信息，提交到Portal服務(wù)器，Portal服務(wù)器提取其中的賬號(hào)信息，并將此信息發(fā)送到NAS，同時(shí)根據(jù)NAS反饋的認(rèn)證結(jié)果，通過(guò)頁(yè)面反饋給用戶(hù)；
Portal服務(wù)器可分為內(nèi)置Portal服務(wù)器和外置Portal服務(wù)器兩種。

• 通常交換機(jī)/AC會(huì)內(nèi)置Portal服務(wù)器。受限于接入設(shè)備存儲(chǔ)空間、功能和性能，內(nèi)置Portal服務(wù)器只適合功能簡(jiǎn)單、接入人數(shù)少的場(chǎng)景；

• 如果需要實(shí)現(xiàn)微信接入、短信接入等復(fù)雜的功能，考慮到接入設(shè)備性能和認(rèn)證體驗(yàn)，需要具有獨(dú)立于接入設(shè)備之外的硬件服務(wù)器來(lái)承載Portal認(rèn)證業(yè)務(wù)。

• RADIUS服務(wù)器

與NAS進(jìn)行交互，提供基于RADIUS協(xié)議的用戶(hù)認(rèn)證，從而完成對(duì)用戶(hù)的認(rèn)證、計(jì)費(fèi)和授權(quán)。

 

Portal認(rèn)證狀態(tài)機(jī)

• 認(rèn)證通過(guò)前

客戶(hù)端通過(guò)手動(dòng)配置或DHCP獲取的一個(gè)公網(wǎng)IP進(jìn)行認(rèn)證，通過(guò)認(rèn)證前用戶(hù)的所有HTTP請(qǐng)求都重定向（利用的是HTTP協(xié)議中的302報(bào)文的特性）到Portal服務(wù)器。

• 認(rèn)證通過(guò)后

接入設(shè)備會(huì)打開(kāi)端口，允許用戶(hù)訪(fǎng)問(wèn)被管理員授權(quán)的互聯(lián)網(wǎng)資源。

• 認(rèn)證狀態(tài)的保持

客戶(hù)端和Portal 服務(wù)器定時(shí)發(fā)送心跳報(bào)文交互，對(duì)于客戶(hù)端來(lái)說(shuō)，4個(gè)心跳報(bào)文沒(méi)有收到答復(fù)，就認(rèn)為自己已經(jīng)下線(xiàn)，重新發(fā)起認(rèn)證；對(duì)于Portal服務(wù)器，在指定的時(shí)間內(nèi)沒(méi)有收到心跳報(bào)文，就認(rèn)為用戶(hù)下線(xiàn)，并通知接入設(shè)備將用戶(hù)下線(xiàn)。但在實(shí)際應(yīng)用中，以銳捷的交換機(jī)（交換機(jī)做NAS）為例，如果在一定時(shí)間內(nèi)沒(méi)有收到流量即認(rèn)為用戶(hù)下線(xiàn)。

• 下線(xiàn)方式

1)   物理端口Down——拔插網(wǎng)線(xiàn)、關(guān)機(jī)、斷開(kāi)Wi-Fi等；

2)   重新認(rèn)證不通過(guò)或超時(shí)；

3)   用戶(hù)主動(dòng)下線(xiàn)；

4)   網(wǎng)管強(qiáng)制下線(xiàn)。

 

Portal認(rèn)證基礎(chǔ)協(xié)議

• Portal協(xié)議

Portal協(xié)議是一種私有協(xié)議，承載于TCP上。Portal協(xié)議目前有兩個(gè)版本：Portal v1.0和Portal v2.0，v2.0協(xié)議是對(duì)原有v1.0協(xié)議存在的漏洞和不合理處進(jìn)行部分完善：

1.   修改了報(bào)文格式，在A(yíng)ttrNum字段之后增加了16個(gè)字節(jié)的Authenticator字段；

2.   增加對(duì)所有協(xié)議報(bào)文的校驗(yàn)，包括上線(xiàn)流程、下線(xiàn)流程和查詢(xún)流程；

3.   修改了TextInfo屬性，使其完全符合TLV【Tag（標(biāo)簽），Length（長(zhǎng)度），Value（值）】格式。

若v1.0與v2.0有沖突的地方，目前均以v2.0版本為準(zhǔn)。

 

▲圖12：Portal報(bào)文格式

 

Portal報(bào)文如圖12，下面將對(duì)各字段進(jìn)行解釋?zhuān)?/p>

● Ver：協(xié)議的版本號(hào)，長(zhǎng)度為 1 字節(jié)，Ver = 0x01或0x02；

● Type：定義報(bào)文的類(lèi)型，長(zhǎng)度為 1 字節(jié)；

● Pap/Chap ：Pap/Chap字段定義此用戶(hù)的認(rèn)證方式，長(zhǎng)度為 1 字節(jié)，只對(duì)Type值為 0x03 的認(rèn)證請(qǐng)求報(bào)文有意義：

• Chap方式認(rèn)證－－－值為0x00

• Pap  方式認(rèn)證－－－值為0x01

● Rsv：Rsv目前為保留字段，長(zhǎng)度為 1 字節(jié)，在所有報(bào)文中值為 0；

● SerialNo：報(bào)文的序列號(hào)，長(zhǎng)度為 2 字節(jié)，由PortalServer隨機(jī)生成，該字段作用主要用于區(qū)別同類(lèi)型但不同認(rèn)證流程中的報(bào)文；

● ReqID：2個(gè)字節(jié)，由認(rèn)證設(shè)備隨機(jī)生成，該字段作用主要用于區(qū)別同類(lèi)型但不同認(rèn)證流程中的報(bào)文，該字段對(duì)于PAP認(rèn)證無(wú)意義，在Chap認(rèn)證中，該字段低8位作為Chap_Password 生成過(guò)程中MD5函數(shù)的輸入；

● UserIP：Portal用戶(hù)的IP地址，長(zhǎng)度為 4 字節(jié)，其值由PortalServer根據(jù)其獲得的IP地址填寫(xiě)，在所有的報(bào)文中此字段都要有具體的值；

● UserPort：該字段目前沒(méi)有用到，長(zhǎng)度為 2 字節(jié)，在所有報(bào)文中其值為0；

● ErrCode：該字段和Type字段一起表示一定的意義，長(zhǎng)度為 1字節(jié)，各組合意義如下表：

 

▲表1： ErrCode值表
說(shuō)明：其中type類(lèi)型為9、10的兩個(gè)報(bào)文其ErrCode的定義為v2.0新增定義。

 

● AttrNum：表示其后邊可變長(zhǎng)度的屬性字段屬性的個(gè)數(shù)，長(zhǎng)度為 1 字節(jié)，即最多可攜帶屬性255個(gè)屬性。

 

Portal認(rèn)證流程詳解

Portal認(rèn)證流程如下：

 

▲圖13：Portal認(rèn)證流程

 

1. 用戶(hù)通過(guò)標(biāo)準(zhǔn)的DHCP協(xié)議獲取到規(guī)劃的IP地址；

2. 用戶(hù)打開(kāi)IE，訪(fǎng)問(wèn)某個(gè)網(wǎng)站，發(fā)起HTTP請(qǐng)求；

3. NAS截獲用戶(hù)的HTTP請(qǐng)求，由于用戶(hù)沒(méi)有認(rèn)證過(guò)，就強(qiáng)制到Portal服務(wù)器；

4. Portal服務(wù)器向用戶(hù)終端推送Web認(rèn)證頁(yè)面；

5. 用戶(hù)在認(rèn)證頁(yè)面上填入帳號(hào)、密碼等信息，提交到Portal服務(wù)器；

6. Portal服務(wù)器將接收到的用戶(hù)認(rèn)證信息發(fā)給NAS；

7. NAS向RADIUS服務(wù)器發(fā)起RADIUS認(rèn)證；

8. RADIUS服務(wù)器根據(jù)用戶(hù)信息判斷用戶(hù)是否合法,向NAS返回認(rèn)證結(jié)果報(bào)文；

9. NAS返回認(rèn)證結(jié)果給Portal服務(wù)器；

10. Portal服務(wù)器根據(jù)認(rèn)證結(jié)果，推送認(rèn)證結(jié)果頁(yè)面；

11. Portal服務(wù)器回應(yīng)NAS收到認(rèn)證結(jié)果報(bào)文,如果認(rèn)證失敗，則流程到此結(jié)束；

12. 認(rèn)證如果成功，NAS發(fā)起計(jì)費(fèi)開(kāi)始請(qǐng)求給RADIUS服務(wù)器；

13. RADIUS服務(wù)器回應(yīng)計(jì)費(fèi)開(kāi)始響應(yīng)報(bào)文，并將響應(yīng)信息返回給NAS,用戶(hù)上線(xiàn)完畢，開(kāi)始上網(wǎng)；

14. 在用戶(hù)上網(wǎng)過(guò)程中，為了保護(hù)用戶(hù)計(jì)費(fèi)信息，每隔一段時(shí)間NAS就向RADIUS服務(wù)器發(fā)送記賬更新報(bào)文；

15. RADIUS服務(wù)器回應(yīng)實(shí)時(shí)計(jì)費(fèi)確認(rèn)報(bào)文給NAS。

總 結(jié)

本文對(duì)802.1X 和Portal 認(rèn)證進(jìn)行了工作原理和認(rèn)證流程的詳細(xì)闡述。簡(jiǎn)單的說(shuō)，802.1X認(rèn)證的最終目的，就是確定一個(gè)端口（物理端口或Wi-Fi連接）是否能被放通，從而實(shí)現(xiàn)對(duì)接入實(shí)體的管控。對(duì)于一個(gè)端口，如果認(rèn)證成功就打開(kāi)這個(gè)端口，并提供網(wǎng)絡(luò)服務(wù)；如果認(rèn)證失敗就使這個(gè)端口保持關(guān)閉，不提供網(wǎng)絡(luò)服務(wù)。Portal認(rèn)證的本質(zhì)其實(shí)和802.1X一樣，都是基于認(rèn)證結(jié)果判斷接口是否可用。相對(duì)于802.1X認(rèn)證來(lái)說(shuō)，Portal更輕量化，無(wú)需安裝客戶(hù)端軟件，瀏覽器即可完成認(rèn)證。同時(shí)，由于Portal服務(wù)器和用戶(hù)瀏覽器有頁(yè)面交互，用戶(hù)可以根據(jù)實(shí)際需求對(duì)認(rèn)證頁(yè)面進(jìn)行定制，將認(rèn)證主頁(yè)建設(shè)為企業(yè)網(wǎng)內(nèi)部員工信息發(fā)布平臺(tái)。

值得注意的是，現(xiàn)在很多認(rèn)證方案都是基于這兩種認(rèn)證的，比如雙因子認(rèn)證（用戶(hù)名密碼+短信驗(yàn)證碼）、無(wú)感知認(rèn)證（802.1X+MAC或Portal+MAC）、證書(shū)認(rèn)證（802.1X+證書(shū)或Portal+證書(shū)）、OTP認(rèn)證（802.1X+隨機(jī)驗(yàn)證碼或Portal+隨機(jī)驗(yàn)證碼）等。此外，還能通過(guò)認(rèn)證獲得不同的訪(fǎng)問(wèn)權(quán)限。我們可以根據(jù)實(shí)際需求應(yīng)用不同的認(rèn)證方案，關(guān)于這些擴(kuò)展技術(shù)方案的實(shí)現(xiàn)方式，我們將會(huì)在后續(xù)的文章中和大家分享。

 

 

本期作者：李瑩
銳捷網(wǎng)絡(luò)互聯(lián)網(wǎng)系統(tǒng)部行業(yè)咨詢(xún)

 

往期精彩回顧  

• 【第一期】淺談物聯(lián)網(wǎng)技術(shù)之通信協(xié)議的紛爭(zhēng)
• 【第二期】如何通過(guò)網(wǎng)絡(luò)遙測(cè)（Network Telemetry）技術(shù)實(shí)現(xiàn)精細(xì)化網(wǎng)絡(luò)運(yùn)維？
• 【第三期】暢談數(shù)據(jù)中心網(wǎng)絡(luò)運(yùn)維自動(dòng)化
• 【第四期】基于Rogue AP反制的無(wú)線(xiàn)安全技術(shù)探討
• 【第五期】流量可視化之ERSPAN的前世今生
• 【第六期】如何實(shí)現(xiàn)數(shù)據(jù)中心網(wǎng)絡(luò)架構(gòu)“去”堆疊
• 【第七期】運(yùn)維可視化之INT功能詳解
• 【第八期】淺析RDMA網(wǎng)絡(luò)下MMU水線(xiàn)設(shè)置
• 【第九期】第七代無(wú)線(xiàn)技術(shù)802.11ax詳解
• 【第十期】數(shù)據(jù)中心自動(dòng)化運(yùn)維技術(shù)探索之交換機(jī)零配置上線(xiàn)
• 【第十一期】 淺談數(shù)據(jù)中心100G光模塊
• 【第十二期】數(shù)據(jù)中心網(wǎng)絡(luò)等價(jià)多路徑（ECMP）技術(shù)應(yīng)用研究
• 【第十三期】如何為RDMA構(gòu)建無(wú)損網(wǎng)絡(luò)
• 【第十四期】基于EVPN的分布式VXLAN實(shí)現(xiàn)方案
• 【第十五期】數(shù)據(jù)中心自動(dòng)化運(yùn)維技術(shù)探索之NETCONF
• 【第十六期】一文讀懂網(wǎng)絡(luò)界新貴Segment Routing技術(shù)化繁為簡(jiǎn)的奧秘
• 【第十七期】淺談UWB（超寬帶）室內(nèi)定位技術(shù)
• 【第十八期】PoE以太網(wǎng)供電技術(shù)詳解
• 【第十九期】機(jī)框式核心交換機(jī)硬件架構(gòu)演進(jìn)
• 【第二十期】 IPv6基礎(chǔ)篇（上）——地址與報(bào)文格式
• 【第二十一期】IPv6系列基礎(chǔ)篇（下）——鄰居發(fā)現(xiàn)協(xié)議NDP
• 【第二十二期】IPv6系列安全篇——SAVI技術(shù)解析
• 【第二十三期】IPv6系列安全篇——園區(qū)網(wǎng)IPv6的接入安全策略
• 【第二十四期】Wi-Fi 6真的很“6”（概述篇）——不只是更高的傳輸速率
• 【第二十五期】 Wi-Fi 6真的很“6”（技術(shù)篇） ——前方高能，小白慎入
• 【第二十六期】IPv6系列應(yīng)用篇——數(shù)據(jù)中心IPv4/IPv6雙棧架構(gòu)探討
• 【第二十七期】你不可忽視的園區(qū)網(wǎng)ARP安全防護(hù)

相關(guān)推薦：

• 你不可忽視的園區(qū)網(wǎng)ARP安全防護(hù)