定西市英才中學校園網建設方案-資料下載頁

【導讀】現場支持.........

　　

【正文】 準確的識別。這是網絡安全的需要，同時也是做到準確計費的需要。但是如何 進行用戶身份確認呢？這就需要通過認證技術來實現。目前認證技術有許多，如 WEB 認證， 認證， PPPOE 認證。這些認證技術各有千秋， PPPOE 技術被廣泛的應用在寬帶小區， WEB 認證被應用在一些信息系統內，而 認證被應用在廣大的校園內。這是因為 認證具最 15 大的特點是簡單，無需特殊的設備支持，同時支持任何網絡應用。正是這一點打動許多學校老師的心。本方案將以 認證用戶身份確認技術。 2) 全方位的用戶管理方案 用戶的管理隨著網絡的擴大逐步顯得更加的重要，從目前的校園網的建設來看，不同的 學校有著不同的網絡的管理方式，如： MAC 綁定、 IP地址的綁定、卡號密碼的綁定等，不同方式各有千秋。在 定西市 英才高級中學 信息平臺的網絡認證管理方面，其我們用戶建議采用 MAC 地址＋端口的綁定技術來作為整個校園網管理的主要方式，華三 S5600 匯聚層交換機支持多種綁定技術，同樣支持 MAC地址＋端口的綁定方式，這樣對于用戶可以直接做到端到端的綁定方式。 校園網用戶管理認證方案概述 認證管理方案是一個整體的方案在園區網內實施相應的管理措施。而且從校園網實際使用情況看，學生宿舍區的網絡建設中認證管理是最為突出 的問題，考慮到學生的技術水平較高、學校內喜歡攻擊網絡的學生較多，在實際的建網過程當中應當充分考慮到這些因素可能會帶來的相關問題，在組網建設過程當中避免。綜合考慮，華三公司在實際的在建網的過程當中遵循了以下幾點要求： 1) 認證交換機。 本次方案所采用的所有交換機都支持 認證。考慮認證的效率，本次認證主要由接入層 S3100 交換機來完成。并能夠提供強大的業務功能。 2) 網管平臺。 網管軟件對于用戶來說是維護網絡的重要工具，華三公司 Quidview 網管平臺可以為用戶提供強大的維護功能，同時可以對所管理的接入層交換機 進行批量配置，避免用戶繁瑣的工作，同時 Quidview可以對端口流量進行設置閥值告警，發現用戶端口流量較大（如：病毒攻擊），可以通過網管將端口關閉避免大量垃圾報文，維護網絡安全 。 業務認證、授權管理描述 考慮到 定西市 英才高級中學 信息平臺為軍事院校，考慮到其的特殊性，在業務接入的前采用 CAMS 系統對用戶進行用戶名和密碼的認證，同時對客戶端進行控制。對于沒有合法用戶的終端，不讓他們接入網絡。 16 認證選擇設計－ 認證管理是接入層交換機和認證軟件平臺重要的特性，本次我們建議采用 的認證方式作為接入認證的方式。 協議是 IEEE 在 通過的正式標準，標準的起草者包括Microsoft， Cisco， Extreme， Nortel 等； 定義了基于端口的網絡接入控制協議（ port based work access control），該協議適用于接入設備與接入端口間點到點的連接方式，其中端口既可以是物理端口，也可以是邏輯端口。華三公司的網絡設備對 做了擴充，使其可以基于 MAC 地址進行網絡接入控制。 IEEE 的體系結構中包括三個部分： (1) Supplicant System用戶接入設備 (2) Authenticator System接入控制單元 (3) Authentication Sever System認證服務器 接入層 LANSWITCH 設備需要實現 的認證系統部分 Authenticator；用戶接入設備 (PC)需要有 的客戶端軟件；認證服務器可以是 的服務器，也可以是傳統的 Radius 服務器； L A NS u p p l i c a n t P A EP A EA u t h e n t i c a t o rS e r v i c e b yA u t h e n t i c a t o r授權/ 非授權A u t h e n t i c a t i o n S r v通斷開關 傳輸介質為點對點以太網（即 PC 直接通過網線連接 到 LSW 的端口），如果是共享式以太網，則需要采用加密的方式（ MD5）傳遞認證信息。 概念解釋： PAE，即 port access entity 之縮寫，意為端口接入實體 Supplicant PAE：發起接入請求的 PAE，指一般 PC Authenticator PAE：駐留在接入設備上的驗證模塊 PAE 17 受控端口是 系統的核心概念 (1) Authenticator 內部有受控端口（ Controlled Port）和非受控端口（ Uncontrolled Port）。 (2) 非受控端口始終處于雙向連通狀 態，主要用來傳遞 EAPOL 協議幀，可保證 Supplicant 始終可以發出或接受認證。受控端口只有在認證通過的狀態下才打開，用于傳遞網絡資源和服務。 (3) 受控端口可配置為雙向受控、僅輸入受控兩種方式，以適應不同的應用環境。輸入受控應用在集中桌面管理的應用場合 ,例如管理員即使在客戶端關機的情況下也能將通過受控端口向用戶計算機發送遠程開機命令。 (4) 華三公司的 VRP 平臺的 子系統擴展了多種受控端口類型 ,以支持復雜的應用環境。 的認證模式：端口認證模式： ForceAuthorized：常開模式。端口一直維持授權狀態，設備端不主動發起認證； ForceUnauthorized：常關模式。端口一直維持非授權狀態，忽略所有客戶端發起的認證請求； Auto：協議控制模式。設置端口初始狀態為非授權狀態，使端口僅允許 EAPOL報文收發，如果認證流程通過，端口切換到授權狀態； VRP的 子系統允許一個物理端口下有多個受控端口，在一個物理端口下的所有受控端口只能配置成相同的端口認證模式，這種限制是為了方便管理員配置。 協議定義了一種基于 port 的認證方法，在協議中允許允許一 個物理端口下有多個受控端口，應該是為了便于實現對 的擴充，如在物理端口下開發基于 MAC 地址的認證，每個 MAC 地址將有一個動態的邏輯端口，邏輯端口的狀態是受控的。也可以開發基于 VLAN 的認證，等等。 端口類型： (1) 邏輯端口 (默認 )：一個邏輯端口對應一個物理端口，對應一個Authenticator PAE 狀態機實體。這種端口類型的 認證與 PPPoE 和 WEB認證方式相比，有缺陷，無法靈活地應用到運營商的寬帶城域網 (可參考華三技術報上的 認證技術 一文 )。 18 (2) 邏輯端口 ＋源 MAC： 這種類型的受控端口為每一個客戶端創建一個Authenticator PAE 狀態機實體。每個物理端口上受控端口的個數是有限制的 (可配置 )，當有客戶端發送 EAPOLStart 請求認證報文時提取客戶端源 MAC 地址，做為受控端口的標識?？蛻舳俗N時對應的受控端口資源被釋放。 (3) 邏輯端口＋ VLANID+源 MAC： 這種擴展的受控端口類型 ,主要是配合S3100+LANSWITCH 方式組網 ,S3100 上實現的 受控端口類型，邏輯端口+VLANID 可以定位到下層 LANSWITCH 的物理和邏 輯端口，源 MAC地址可以區分到客戶端。 華三公司網絡產品支持以下的基本認證方式： 本地認證：接入設備根據用戶名在本設備的數據庫查找，若存在相同的用戶名和密碼則驗證通過 ,否則驗證失敗。 Radius認證：接入設備通過 Radius報文與 Radius服務器交互報文，由 Radius服務器完成對用戶身份合法性的驗證。 PAP 認證： Password Authentication Protocol，用戶以明文的形式把用戶名和他的密碼傳遞給接入設備的驗證方式。 CHAP 認證： Challenge Handshake Authentication Protocol，當用戶請求上網時，接入設備生成一個 16字節的隨機碼給用戶，同時還有一個 ID 號及接入設備的 host name?？蛻舳说玫竭@個包后使用自己獨用的設備或軟件對傳來的各域進行加密，生成一個 response 傳給接入設備，接入設備根據用戶名在本端或Radius 服務器查找，得到和用戶端進行加密所用的一樣的密碼，然后根據原來的 16 字節的隨機碼進行加密，將 其結果與 Response 作比較，若相同表明驗證通過，否則驗證失敗。 CHAP 認證時，密碼經過了 MD5 算法加密處理，防止報文被截獲。 定西市 英才高級中學 信息平臺 的認證過程 19 首先 定西市 英才高級中學 信息平臺的端口模式采用網關模式，首先上網終端通過 的客戶端收入用戶名、密碼后客戶端發起 EAP 報文至 server（ S7500 上），在 S7500 上終結 EAP 報文，然后從 S3100 再次發起 Raduis 報文至認證服務器 Raduis Sver，由 Raduis Server 來驗證用戶名、 密碼是否匹配，在認證通過以后由認證服務器下發 Raduis 報文至 S3100 通知該用戶認證通過，S5600 再將相對應的端口打開，允許學習 MAC 地址，允許用戶上網。 的認證方式最為主要的三點是： 的客戶端的功能。 ； 。華三公司自主開發的 客戶端以及認證服務器，在實際的應用中配合華三的接入層交換機 S3100 最終完成 的認證。 CAMS 對用戶上網認證的管理 用戶需求分析 定西市 英才高 級中學 信息平臺校園網的管理基本上分為以下幾個方面： 1) 用戶信息的搜集 用戶信息的搜集是網絡開通前網管人員的首要任務，此時需要搜集的信息可能包含有：學生的學號、用戶主機的 MAC 地址、用戶接入的端口、分給用戶的IP 地址、用戶的性別、用戶的宿舍號、用戶的學院、或是我們需要用戶提供的相關特性。此過程可能是用戶工作量最大的一個過程。 20 2) 學生用戶的開戶 開戶的過程是網絡人員的針對用戶的需求進行開戶，用戶把錢交給網絡中心為用戶提供開戶業務，提供給用戶網絡資源。 3) 網絡安全控制 該過程是網管人員對上網用戶進行實時檢測的過程，網管 人員要確保網絡的安全，要對用戶上網的動作進行監控，并有效的防止網絡當中存在的各種非法操作用戶。 ?? 總之，整個網絡的開通、運行、維護是一個持續、巨大工作量的過程，網管人員是這些任務的承擔者。 CAMS 解決方案 下面我們再來看一下 CAMS 是如何解決用戶的相關問題。 ? 用戶相關信息的搜集 CAMS 的“用戶預注冊”解決網管人員搜集用戶信息中遇到的問題，傳統的方式是通過網管人員的信息錄入來搜集客戶的信息，這種方式使得網管人員的工作量劇增。舉例來說，一個 5000 用戶的開戶工作，我們假設 1 個用戶的錄入工 作需要 2分鐘（包括檢查用戶提供的信息是否正確） ,5000 用戶需要的工作量就是5000 2＝ 10000 分鐘，共計 166 小時，按照一天 8 小時工作時間計算，共需要21天，這樣的工作量對網管人員來說是不可忍受的， CAMS 支持用戶預注冊功能，所有的用戶名密碼等信息都由用戶自己輸入，而且用戶如果我們還需要部分信息還可以進行定制。 用戶預注冊： 21 用戶預注冊可以幫助用戶在開戶前的相關信息的搜集，用戶可以通過固定的網上申請用戶名、密碼等相關信息，而且網管人員需要搜集的信息可以在“用戶附加信息”中進行自行定義，定義的方式 也是可選的，可以是下拉菜單方式的、也可以是輸入的，為了避免用戶輸錯，可規定輸入文檔的格式，詳見“用戶附加信息”。我們可以在用戶預注冊的時候要求用戶輸入我們要搜集的相關 MAC、工號、單位等信息。 用戶附加信息： 用戶附加信息是為了給網管人員自助定義用戶信息的工具，每個網管人員標識用戶的方法、種類可能各不相同，用戶附加信息如下所示： 網管人員可以在用戶附加信息選項中靈活定義需要用戶輸入的信息，同時可以選擇這些字段是否在用戶預注冊時必須輸入。這樣用戶信息的搜集就由網管人員主動搜集變為用戶主動上報，網管人 員需要作的更多的是用戶開戶時信息的確認。 ? 開戶過程 我們剛才講了用戶通過預注冊的功能可以實現在網上進行預注冊，那接下來應該做些什么呢？接下來網管人員要在 CAMS 上先定義用戶群的服務（即：計費策略及管理策略），如：用戶群體 A，采用包月的方式；用戶群體 B 采用按時長收費的方式；用戶群體 C ??。 服務策略的配置： 服務的配置當中含有多種的策略，包括：計費策略、綁定策略、安全策略等等。如圖所示： 22 在服務策略中，我們可以講用戶的 IP、 MAC、交換機端口、 VALN、賬號等多種元素進行綁定，也可以選擇性的進行綁定；計 費策略中我們可以規定按時長收費還是包月收費；同時 CAMS 也是配置是否對客戶端的 Proxy 檢測啟用安全策略，對于 Proxy 的防止同樣也是多種方式的；同時 CAMS 可以實現用戶的獲取 IP地址方式的定義。 ? 網絡安全控制 CAMS 除了可以大大減少用戶的工作量以外，還可以給用戶提供強大的安全管理措施。 元素的綁定技術。 CAMS 可以實現通過 AAA 服務器的 IP、 MAC、