802.1x在Cisco lP电话上的运用

2015-05-30 20:14朱晓伟
中国新通信 2015年9期
关键词:交换机端口证书

朱晓伟

【摘要】 本文主要对802.lx协议做了简单的介绍,并给出了一个基于802.lx协议的具体的认证应用案例--Cisco lP电话。

【关键词】 802.1x认证EAP

一、802.1x协议的简单介绍

802.lx协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口访问LAN。

在获得交换机或LAN提供的各种业务之前,802_lx对连接到交换机端口上的用户/设备进行认证。在认证通过之前,802.lx只允许EAPoL(基于局域网的扩展认证协议)数据通过设备连接的交换机端口。认证通过以后,正常的数据可以顺利地通过以太网端口。

基于端口认证的802.1x协议有如下特点:

IEEE802.Ix协议为二层协议,不需要到达三层,对设备的整体性能要求不高,可以有效降低建网成本;

借用了在RAS系统中常用的EAP(扩展认证协议),可以提供良好的扩展性和适应性,实现对传统PPP认证架构的兼容;

802.lx的认证体系结构中采用了“可控端口”和“不可控端口”的逻辑功能,从而可以实现业务与认证的分离,由RADIUS(RemoteAuthentication Dial In User Service,远程认证拨号用户服务)和交换机利用不可控的逻辑端口共同完成对用户的认证与控制,业务报文直接承载在正常的二层报文上通过可控端口进行交换,通过认证之后的数据包是无需封装的纯数据包;

可以使用现有的后台认证系统降低部署的成本,并有丰富的业务支持;

可以映射不同的用户认证等级到不同的VLAN;可以使交换端口和无线LAN具有安全的认证接人功能。

二、Cisco lP电话802.1x认证过程

l、图l就是Cisco IP电话的802.lx认证过程流程图。其中RADIUS服务器使用的是Cisco Secure ACS服务器,Cisco lP电话上需要启用802.lx认证服务。

2、Cisr,o lP电话有一个PC Port能连接PC,同时也能够为连接的这台PC提供802.lx认证服务。

图2的解决方案是利用CDP bypass方式,允许CDP包交换。Cisco IP电话可以给包打上tag,因为他们是从CDP包中得到VLAN信息的。CDP包的交换可以使电话不受802.1x的限制。

在最新的方案中,Multi-Domain Authentication (MDA)代替了CDP hypass的方式。这种方式可以同时让电话机和PC通过802.lx认证。由于这种方式需要相关交换机型号的支持,我实验的环境中没有这类交换机,因此也没有进行Multi-Domain Authentication (MDA)方式的认证实验。

三、Cisco lP电话的各种认证方式

Cisco IP电话主要运用的是EAP-FAST、EAP-TLS。以前还支持EAP-MD5,现在由于安全性问题,最新已经不支持EAP-MD5了。不同认证方式的改变是通过在Cisco SecureACS服务器上设置改变相应的认证协议,同时也需要在Cisco Secure ACS服务器上为需要认证的设备设置一个用户账号。

1、EAP-rrLS

Cisco IP电话使用EAP-TLS认证过程如下图4。

1 )lP电话提供的证书是有效的(有效期和CA Root trust)

2) CRL(certificate revocalionlist)验证。

3)和数据库里和RADIUS提供给交换机的Common Name (CN)进行对比。

4)电话机可以接入网络。

EAP-TLS认汪方法使用的是X.509 v3 PK1证书和TLS的认证机制

2、EAP-MD5

EAP-MD5是另一个IETF开放标准,但提供最少的安全。MD5 Hash函数容易受到字典攻击,它被使用在不支持动态WEP的EAP中。图5就是EAP-MD5的认证交互过程。

由于EAP-MD5的安全问题,目前Cisco lP电话已不支持这种认证方式。

3、EAP-FAST

EAP-FAST(基于安全隧道的灵活认证,FlexibleAuthentication via Secure Tunneling)是一个由思科提出的协议方案,用于替代LEAP。设计该协议是为了解决LEAP实现“轻量级”时的缺点。在EAP-FAST中使用服务器证书是可选的EAP-FAST使用一个PAC(保护访问凭证,Protected AricessCredential)来建立TLS隧道,并通过该隧道对客户端证书进行验证。

四、总结

本文主要介绍了802.lx协议以及相关的内容,通过对Cisco lP电话802.lx功能的介绍,使我们了解到802.1x在Cisco IP电话上的应用。

猜你喜欢
交换机端口证书
WJCI 收录证书
CSCD收录证书
收录证书
一种端口故障的解决方案
收录证书
修复损坏的交换机NOS
端口阻塞与优先级
使用链路聚合进行交换机互联
8端口IO-Link参考设计套件加快开发速度
PoE交换机雷击浪涌防护设计