實(shí)訓(xùn)4-3Radius認(rèn)證服務(wù)器的配置.ppt

第1章交換機(jī)安全配置實(shí)訓(xùn)4 3 Radius認(rèn)證服務(wù)器的配置 學(xué)時(shí) 本次課要點(diǎn) 學(xué)習(xí)目標(biāo)重點(diǎn)難點(diǎn) 實(shí)訓(xùn)目的 掌握安裝RADIUS服務(wù)器掌握遠(yuǎn)程訪(fǎng)問(wèn)策略的配置掌握RADIUS客戶(hù)端的創(chuàng)建學(xué)會(huì)在交換機(jī)上配置AAA認(rèn)證 并能查看配置結(jié)果學(xué)會(huì)在客戶(hù)端建立802 1x認(rèn)證接入 實(shí)訓(xùn)背景 某企業(yè)要求用戶(hù)在連接到網(wǎng)絡(luò)之前需要輸入用戶(hù)名和密碼 只有合法用戶(hù)才能連接到企業(yè)網(wǎng)絡(luò) 防止非法用戶(hù)竊取企業(yè)信息或?qū)W(wǎng)絡(luò)進(jìn)行攻擊 802 1x協(xié)議是基于Client Server的訪(fǎng)問(wèn)控制和認(rèn)證協(xié)議 它可以限制未經(jīng)授權(quán)的用戶(hù) 設(shè)備通過(guò)接入端口訪(fǎng)問(wèn)局域網(wǎng)或廣域網(wǎng) 在獲得交換機(jī)或局域網(wǎng)提供的各種業(yè)務(wù)之前 802 1x對(duì)連接到交換機(jī)端口上的用戶(hù) 設(shè)備進(jìn)行認(rèn)證 在認(rèn)證通過(guò)之前 802 1x只允許EAPoL 基于局域網(wǎng)的擴(kuò)展認(rèn)證協(xié)議 數(shù)據(jù)通過(guò)設(shè)備連接的交換機(jī)端口 認(rèn)證通過(guò)以后 正常的數(shù)據(jù)可以順利地通過(guò)以太網(wǎng)端口 實(shí)訓(xùn)拓?fù)?實(shí)訓(xùn)設(shè)備 實(shí)訓(xùn)步驟 1 安裝RADIUS服務(wù)器2 修改密碼策略3 創(chuàng)建用戶(hù)賬戶(hù)4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略5 創(chuàng)建RADIUS客戶(hù)端6 在交換機(jī)上啟用認(rèn)證機(jī)制7 測(cè)試802 1x認(rèn)證接入8 在交換機(jī)上查詢(xún)配置結(jié)果 1 安裝RADIUS服務(wù)器 1 安裝RADIUS服務(wù)器 如果這臺(tái)計(jì)算機(jī)是一臺(tái)WindowsServer2003的獨(dú)立服務(wù)器 未升級(jí)成為域控制器 也未加入域 則可以利用SAM來(lái)管理用戶(hù)賬戶(hù)信息 如果是一臺(tái)WindowsServer2003域控制器 則利用活動(dòng)目錄數(shù)據(jù)庫(kù)來(lái)管理用戶(hù)賬戶(hù)信息 雖然活動(dòng)目錄數(shù)據(jù)庫(kù)管理用戶(hù)賬戶(hù)信息要比利用SAM來(lái)安全 穩(wěn)定 但RADIUS服務(wù)器提供的認(rèn)證功能相同 為便于實(shí)訓(xùn) 下面以一臺(tái)運(yùn)行WindowsServer2003的獨(dú)立服務(wù)器為例進(jìn)行介紹 該計(jì)算機(jī)的IP地址為192 168 1 200 1 安裝RADIUS服務(wù)器 1 選擇 開(kāi)始 控制面板 添加或刪除程序 菜單 在打開(kāi)的對(duì)話(huà)框中選擇 添加 刪除Windows組件 如所示 1 安裝RADIUS服務(wù)器 2 選擇 網(wǎng)絡(luò)服務(wù) 組件 單擊按鈕 打開(kāi) 網(wǎng)絡(luò)服務(wù) 對(duì)話(huà)框 如所示 1 安裝RADIUS服務(wù)器 3 選中 Internet驗(yàn)證服務(wù) 子組件 單擊按鈕 然后單擊按鈕進(jìn)行安裝 如所示 4 選擇 開(kāi)始 管理工具 Internet驗(yàn)證服務(wù) 菜單 顯示 Internet驗(yàn)證服務(wù) 窗口 如所示 2 修改密碼策略 2 修改密碼策略 1 選擇 開(kāi)始 管理工具 本地安全策略 菜單 打開(kāi) 本地安全設(shè)置 窗口 依次選擇 賬戶(hù)策略 密碼策略 啟用 用可還原的加密來(lái)儲(chǔ)存密碼 策略項(xiàng) 如所示 3 創(chuàng)建用戶(hù)賬戶(hù) 3 創(chuàng)建用戶(hù)賬戶(hù) RADIUS服務(wù)器安裝好之后 需要為所有通過(guò)認(rèn)證才能夠訪(fǎng)問(wèn)網(wǎng)絡(luò)的用戶(hù)在RADIUS服務(wù)器中創(chuàng)建賬戶(hù) 這樣 當(dāng)用戶(hù)的計(jì)算機(jī)連接到啟用了端口認(rèn)證功能的交換機(jī)上的端口上時(shí) 啟用了IEEE802 1x認(rèn)證功能的客戶(hù)端計(jì)算機(jī)需要用戶(hù)輸入正確的賬戶(hù)和密碼后 才能夠訪(fǎng)問(wèn)網(wǎng)絡(luò)中的資源 3 創(chuàng)建用戶(hù)賬戶(hù) 1 選擇 開(kāi)始 管理工具 計(jì)算機(jī)管理 菜單 打開(kāi) 計(jì)算機(jī)管理 窗口 為了方便管理 我們創(chuàng)建一個(gè)用戶(hù)組 8021x 專(zhuān)門(mén)用于管理需要經(jīng)過(guò)IEEE802 1x認(rèn)證的用戶(hù)賬戶(hù) 選擇 計(jì)算機(jī)管理 本地 系統(tǒng)工具 本地用戶(hù)和組 組 右擊 組 選擇 新建組 菜單 輸入組名 如所示 3 創(chuàng)建用戶(hù)賬戶(hù) 2 右擊 用戶(hù) 選擇 新用戶(hù) 菜單 輸入用戶(hù)名和密碼 如所示 3 創(chuàng)建用戶(hù)賬戶(hù) 3 右擊用戶(hù) tongjun 選擇 屬性 菜單 打開(kāi) 屬性 對(duì)話(huà)框 選擇 隸屬于 標(biāo)簽 單擊按鈕 然后將其加入 802 1x 用戶(hù)組中 結(jié)果如所示 4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 在RADIUS服務(wù)器的 Internet驗(yàn)證服務(wù) 窗口中 需要為交換機(jī)以及通過(guò)該交換機(jī)進(jìn)行認(rèn)證的用戶(hù)設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 具體方法如下 1 選擇 開(kāi)始 管理工具 Internet驗(yàn)證服務(wù) 菜單 右擊 遠(yuǎn)程訪(fǎng)問(wèn)策略 選擇 新建遠(yuǎn)程訪(fǎng)問(wèn)策略 菜單 如所示 4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 2 在 策略配置方法 窗口 選擇配置方式為 使用向?qū)Ｊ?輸入 策略名 如所示 4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 3 在 訪(fǎng)問(wèn)方法 窗口 選擇訪(fǎng)問(wèn)方法為 以太網(wǎng) 如所示 4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 4 在 用戶(hù)或組訪(fǎng)問(wèn) 窗口 選擇授權(quán)方式 將之前添加的 802 1x 用戶(hù)組加入許可列表 如所示 4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 5 在 身份驗(yàn)證方法 窗口 選擇身份驗(yàn)證方法為 MD5 質(zhì)詢(xún) 如所示 4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 6 確認(rèn)設(shè)置 單擊按鈕 完成策略的配置 如所示 4 設(shè)置遠(yuǎn)程訪(fǎng)問(wèn)策略 7 在 Internet驗(yàn)證服務(wù) 窗口 刪掉其它的策略 只保留新建的訪(fǎng)問(wèn)策略 如所示 5 創(chuàng)建RADIUS客戶(hù)端 5 創(chuàng)建RADIUS客戶(hù)端 RADIUS客戶(hù)端 是指本實(shí)訓(xùn)中的交換機(jī)設(shè)備 在實(shí)際應(yīng)用中也可以是VPN服務(wù)器 無(wú)線(xiàn)AP等 而不是用戶(hù)端的計(jì)算機(jī) RADIUS服務(wù)器只會(huì)接受由RADIUS客戶(hù)端設(shè)備發(fā)過(guò)來(lái)的請(qǐng)求 為此需要在RADIUS服務(wù)器上來(lái)指定RADIUS客戶(hù)端 1 在 Internet驗(yàn)證服務(wù) 窗口 右擊 RADIUS客戶(hù)端 選擇 新建RADIUS客戶(hù)端 菜單 如所示 5 創(chuàng)建RADIUS客戶(hù)端 2 在 名稱(chēng)和地址 窗口 設(shè)置RADIUS客戶(hù)端的名稱(chēng)和IP地址 客戶(hù)端IP地址即交換機(jī)的管理IP地址 我們這里是192 168 1 254 如所示 5 創(chuàng)建RADIUS客戶(hù)端 3 在 其他信息 窗口 設(shè)置共享密鑰和認(rèn)證方式 認(rèn)證方式選擇 RADIUSStandard 要記住密鑰 后面配置交換機(jī)的密鑰要保持一致 如所示 5 創(chuàng)建RADIUS客戶(hù)端 4 配置完成后 在 Internet驗(yàn)證服務(wù) 窗口 會(huì)顯示已創(chuàng)建的RADIUS客戶(hù)端 如所示 6 在交換機(jī)上啟用認(rèn)證機(jī)制 6 在交換機(jī)上啟用認(rèn)證機(jī)制 1 在交換機(jī)上啟用AAA認(rèn)證SW config aaanew model 啟用AAA認(rèn)證 SW config aaaauthenticationdot1xruijiegroupradius 啟用dot1x認(rèn)證 SW config dot1xauthenticationruijieSW config interfacevlan1SW config if ipaddress192 168 1 254255 255 255 0SW config if exit 6 在交換機(jī)上啟用認(rèn)證機(jī)制 2 指定RADIUS服務(wù)器的IP地址和交換機(jī)與RADIUS服務(wù)器之間的共享密鑰 此處配置的密鑰要與RADIUS服務(wù)器上配置的一致 SW config radius serverhost192 168 1 200SW config radius serverkeycqcet 3 啟用F0 24端口的802 1x認(rèn)證SW config interfacefastEthernet0 3SW config if dot1xport controlauto 7 測(cè)試802 1x認(rèn)證接入 7 測(cè)試802 1x認(rèn)證接入 1 將要進(jìn)行認(rèn)證接入的計(jì)算機(jī)接入交換機(jī)的FastEthernet0 3端口 設(shè)置IP地址為192 168 1 1 隨便設(shè)置 只要不跟認(rèn)證服務(wù)器IP及交換機(jī)管理IP沖突即可 2 為保證計(jì)算機(jī)支持802 1x驗(yàn)證 請(qǐng)確認(rèn) WirelessConfiguration 服務(wù)正常開(kāi)啟 如所示 7 測(cè)試802 1x認(rèn)證接入 3 右擊桌面上的 網(wǎng)上鄰居 選擇 屬性 菜單 進(jìn)入 網(wǎng)絡(luò)連接 窗口 如所示 7 測(cè)試802 1x認(rèn)證接入 4 右擊 本地連接 選擇 屬性 菜單 在打開(kāi)的窗口中選擇 身份驗(yàn)證 標(biāo)簽 選中 啟用IEEE802 1x驗(yàn)證 EAP類(lèi)型設(shè)置為 MD5 質(zhì)詢(xún) 如所示 7 測(cè)試802 1x認(rèn)證接入 5 單擊按鈕 過(guò)一會(huì)即可看到任務(wù)欄右側(cè)的托盤(pán)信息 如所示 7 測(cè)試802 1x認(rèn)證接入 6 單擊該信息提示 打開(kāi) 輸入憑據(jù) 窗口 要求輸入用戶(hù)名和密碼 這里我們輸入之前配置的用戶(hù)名和密碼 單擊按鈕 7 測(cè)試802 1x認(rèn)證接入 7 驗(yàn)證成功后能夠ping通服務(wù)器 同時(shí)可以觀(guān)察到交換機(jī)FastEthernet0 3端口指示燈已經(jīng)由黃色變?yōu)榫G色 8 選擇 開(kāi)始 管理工具 事件查看器 菜單 選擇 系統(tǒng) 雙擊右側(cè)的事件 可找到802 1x的驗(yàn)證日志 如所示 8 在交換機(jī)上查詢(xún)配置結(jié)果 8 在交換機(jī)上查詢(xún)配置結(jié)果 1 查詢(xún)r(jià)adi