ZTE中興認證客戶端

簡介

傳統的乙太網具有開放的特性，用戶只要連線到網橋上，就可以通過網橋進入任何網路服務。IEEE802.1x標準在IEEE 802網路結構的基礎上，定義了一種基於工作站/伺服器模式的輸入控制機制和認證協定，約束網路服務只向那些允許進行訪問的用戶提供，克服傳統網橋的安全性弱點。該認證機制可以使用在包括IEEE 802.1D網橋，IEEE 802.11無線網路等典型網路類型中。

角色說明

我們可以用右圖來說明IEEE802.1x典型套用的角色分類：圖中可以看到懇請者、認證者、認證伺服器三個角色。下面分別對這三個角色的職責、基本工作原理以及推薦使用的軟體等進行詳細說明。

1.1 懇請者

懇請者即IEEE802.1x標準描述中的Supplicant，是最終用戶所扮演的角色。它請求對網路服務的訪問，並對認證者的協定請求報文進行應答。懇請者必須運行符合IEEE 802.1x客戶端標準的軟體，目前最典型的就是Windows XP作業系統自帶的IEEE802.1x客戶端支持，另外，中興通訊公司推出的ZTE Supplicant軟體也符合該客戶端標準。

1.2 伺服器

認證伺服器是最終用戶的認證服務的實際提供者。它認證用戶的身份並將認證結果通知認證者。伺服器必須是支持擴展EAP（Extensible Authentication Protocol）協定的RADIUS（Remote Authentication Dial-In User Service）安全系統。典型的伺服器軟體如Windows 2000 Server作業系統自帶的IAS服務（Internet Authentication Service）。

1.3 認證者

認證者控制懇請者對網路服務的訪問。它實際在認證過程中只是一個認證信息交換的途徑，負責與懇請者通信，將懇請者的認證請求發往認證伺服器，而後根據認證伺服器的指示執行對懇請者的授權。認證者一般為交換機等接入控制設備。此時交換機除了支持IEEE802.1x規定的Authenticator標準，還必須支持RADIUS Client。懇請者和認證者之間通過EAPOL協定交換信息，而認證者和認證伺服器通過RADIUS協定交換信息。當收到懇請者發來的EAP的報文，如果要往認證伺服器轉發，認證者就將其中的報文實體封裝到RADIUS報文中，即轉換成認證伺服器認識的報文，而後再轉發給伺服器。同樣，認證者收到認證伺服器發來的要往懇請者轉發的RADIUS報文時，也要將其轉換成懇請者認識的EAP報文再轉發給懇請者。通過這種轉換，保證了認證過程的正常執行。中興通訊公司的交換機完全符合IEEE802.1x標準對認證者系統的要求，為用戶提供了完善的IEEE802.1x安全認證解決方案。

認證過程

觸發認證過程可以有兩種可能。其一，當交換機剛上電，或者交換機探測到連線埠狀態從未連線改變為已連線時，交換機將傳送一個EAP-request/identity報文給客戶端，請求回應，此時客戶端應回送一個EAP-response/identity報文以表示可以開始後續的認證過程。其二，如果用戶的PC上電後沒有收到交換機發來的EAP-request/identity，則用戶可以從懇請者客戶端程式傳送一個EAPOL-STAR報文，交換機收到這個報文後，將按照上述從交換機發起的過程，傳送一個EAP-request/identity報文給客戶端，客戶端再回送一個EAP-response/identity報文，開始後續的認證過程。在客戶端傳送了EAP-response/identity報文後，交換機就開始其認證信息交換途徑的功能，為客戶端和認證伺服器轉發認證報文。如果認證成功，交換機將允許該用戶使用網路，否則，用戶將無法正常使用全部網路服務。另外，交換機還可以根據逾時時間設定，定時要求認證重新進行，以保證用戶實時性。用戶如果需要退出認證狀態，可以傳送一個EAPOL-Logoff報文通知交換機，交換機收到此報文後，將自動將此用戶從認證狀態中退出。