Cisco Switch學習筆記: 802.1X Port-Based驗證

-
802.1X是一個規範交換器管制網路存取權的方法, 通常有三個設備:
1. 使用端電腦
2. 具802.1X的交換器
3. 驗證主機(RADIUS, 通常是IAS)
當使用端電腦連接網路線時, 交換器會要求進行驗證, 在通過驗證後, 交換器才會把那個埠打開, 允許其他封包(框架)通過。沒有通過驗證前, 只允許EAP協定的封包通過。

使用端電腦也要具有802.1X的軟體支援, Windows XP有內建, Windows 2000必須先去微軟網站下載。
EAP協定目前有三種可以選擇:
1. PEAP
2. EAP-TLS
3. EAP-MD5
其中MD5不用憑證, 另外兩種都要使用憑證; 以下先說明MD5的設定過程:

交換器部份:A. 使用Cisco 3560交換器
B. 開啟802.1X驗證
aaa new-modelaaa
authentication dot1x default group radius
dot1x system-auth-control
C. 設定要啟用802.1X的埠
interface FastEthernet0/2
switchport mode access
dot1x port-control auto
D. 設定RADIUS主機
radius-server host 10.1.10.8 key xxxxxx

使用端電腦部份:A. 打開網路連線, 在區域連線上按滑鼠右鍵, 出現區域連線內容視窗, 選到驗證頁面。驗證頁面必須在該網卡啟用的狀態下才會出現。
B. 勾選"為此網路啟用IEEE 802.1X驗證"
C. EAP類型, 選取"MD5-Challenge"













RADIUS部份:A. 先安裝IAS
B. 設定用戶端, 在此即為交換器, 主要設定欄位: IP位址, 用戶端廠商(選取RADIUS Standard), 共用密碼(必須和交換器radius-server指令的key設定一致)
C. 遠端存取原則->連線到其他存取伺服器->編輯設定檔->驗證頁面->EAP方法->新增MD5-Challenge
D. 打開Active Directory使用者及電腦, 找到要設定的使用者, 在其帳戶選項中, 把"使用可回復加密來存放密碼"的選項打勾
E. 將此使用者重設密碼

使用Windows XP, 2003進行802.1X驗證, 以登入網路:-)
此時只要啟用網卡, 在工具列網卡小圖示, 就會出現提示訊息, 說"請按此處以輸入你的使用者名稱及密碼到網路"





按它就會出現登入的視窗, 輸入帳號,密碼,網域; 接著就可以連上區網了。











閱讀更多，請參考以下連結：
Cisco Switch學習筆記: 802.1X Port-Based驗證 II
Cisco Switch學習筆記: 802.1X Port-Based驗證 III

留言

匿名表示…
小白你好！

幾個問題想請教你：
1. Cisco 2948, 2950 是否有支援 802.1X 驗證？

2. 如果已經登入 AD, 要連上區網還是會出現「登入的視窗」嗎？

感謝你的答覆！

Wesley
2008年4月3日 上午10:41:00
張貼留言

這個網誌中的熱門文章

D-BUS學習筆記

-
圖片
我第一個看到的文章是 ali's Blog [1] , 其中提到二支程式server.c client.c，我試著去compile這二支程式， 沒什麼太大的問題就可以成功。因為這是所謂的dbus c api, 也就是low lever api，在ubuntu下只要安裝套件libdbus-1-dev, 就會安裝這個api: $ sudo apt-get install libdbus-1-dev 然後就如該文所提到的，在compile時，必須指定library: $ gcc server.c -o server -l dbus-1 此時再去compile程式，可能會發現找不到dbus.h的問題。其實檔案是存在的，只是gcc不知道去那裡找而已。我們只要加入-I/usr/include/dbus-1.0 -I/usr/lib/dbus-1.0/include 告訴gcc就可以了。 $ gcc -I/usr/include/dbus-1.0 -I/usr/lib/dbus-1.0/include -o server server.c -l dbus-1 如此，可以compile成功。但每次要打這麼多字，實在記不得，也容易打錯，所以使用Makefile吧！ 建一個檔案，其名為Makefile，內容如下： All: server client server: server.c   gcc -I/usr/include/dbus-1.0 -I/usr/lib/dbus-1.0/include -o server server.c -l dbus-1 client: client.c   gcc -I/usr/include/dbus-1.0 -I/usr/lib/dbus-1.0/include -o client client.c -l dbus-1 我們把server.c client.c Makefile三個檔案，都放在同一個目錄，叫做dbus-test好了。這樣以後只要: $ cd dbus-test $ make 就會正確的編出server client二支可執行的程式。我們也不用去記這些很長的路徑名稱了。用過Makefile的朋友應該看得出來，其實Makefile可以再簡短一些。改成如下： ...
閱讀完整內容

Cisco Switch學習筆記: EtherChannel

-
EtherChannel : 用來將二個交換器之間多條實體線路串成一條虛擬線路, 具有增加頻寬, 容錯的好處。 注意事項: FastEthernet只能和FastEthernet的埠串在一起, Giga只能和Giga的串在一起, 不可混在一起! 使用的協定 : PAgP(Port Aggregation Protocol) or LACP(Link Aggregation Control Protocol) 負載平衡及傳送方法 : source-MAC address, destination-MAC address, source-and-destination MAC address forwarding; 即以來源端MAC位址決定使用那條實體線路, 以目的端MAC位址決定使用那條線路, 以來源端及目的端MAC位址決定使用那條線路。 使用心得: 容錯能力很好, 實體線路中斷, 可以在數秒內切換至別條線路使用。 設定範例 : interface FastEthernet0/7 channel-group 1 mode passive interface FastEthernet0/8 channel-group 1 mode passive 表示將Fa0/7,Fa0/8設成同一個group, 使用LACP的被動模式! 將另一邊的埠也以同樣方式設定, 但mode設成active即可! 檢視狀態: sh etherchannel detail sh etherchannel load-balance sh etherchannel port sh etherchannel port-channel sh etherchannel protocol sh etherchannel summary 可以看到只要使用interface指令channel-group就可以設定了, 交換器會自己新增一個interface: interface Port-channel1 其他的功能會將這個介面當成如實體介面一樣使用, 例如: #sh spanning-tree Interface Role Sts Cost Prio.Nbr Type ---------------- ---- --- --------- -------- --------------------------...
閱讀完整內容

Cisco Switch學習筆記: interface的封包錯誤統計

-
有時候實體線路品質不好時, 我們想看看該線路的品質狀況, 可以用sh interface指令來看封包的錯誤比率等統計數字: #sh interface gi0/2 GigabitEthernet0/2 is up, line protocol is up (connected) . . Last clearing of "show interface" counters never . 678641 input errors, 30447 CRC, . . 此例中可以看到從以前到現在共有678641個輸入的錯誤, 30447個CRC錯誤! 那當我們把線路做了改善, 例如換新的線等, 我們會想知道是不是有真的有改善了! 如果統計數字是累積性的, 就很不方便觀察改善情形! 此時可以使用clear counters指令將這個界面的封包錯誤統計數字清除重來! # clear counters gi0/2 Clear "show interface" counters on this interface [confirm] #sh interface gi0/2 GigabitEthernet0/2 is up, line protocol is up (connected) . . Last clearing of "show interface" counters 00:00:10 . 0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored . . 這樣, 在一段時間後, 就可以觀察到線路改善後的封包錯誤統計情形!
閱讀完整內容