802.1X与Cisco基于身份的网络服务（IBNS）

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

Cisco基于身份的网络服务（Identity-Based Networking Services，IBNS）是一种以IEEE802.1X标准为基础的安全架构，具有认证、用户策略、访问控制等多种功能，能提供一套完善的安全解决方案。它对设备的MAC地址、IP地址和身份凭证进行验证，确保只有合法用户才能接入网络。
802.1X由IEEE802.1X工作组制定，它是一种基于端口的访问控制与认证协议，工作在数据链路层。

Cisco IBNS部署模式

802.1X的构成
   • 请求方（Supplicant）：要求访问网络资源的客户设备，如终端打印机或者IP电话。
   • 认证方（Authenticator）：允许或许拒绝请求方访问网络资源的设备，位于请求方与认证服务器之间，如交换机或接入点。
   • 认证服务器（Authentication Server）：对请求方提供的身份凭证进行验证并将认证结果通知认证方的实体，如Radius服务器。（Cisco 的ACS就是常见的认证服务器）。

802.1X相关认识：
   (1) 在请求方没有通过认证之前，认证方端口只允许EAPOL、CDP和STP流量通过
   (2) 802.1X使用的是可扩展认证协议（Extensible Authentication Protocol，EAP）
   (3) EAP是一种工作在PPP上的通用认证架构，更新后在链路层加入对IEEE802的支持，EAP的IEEE802封装和PPP无关，802.1X无法进行数据链路层或者网络层的协商，采用隧道协议，802.1X才可以使用PAP和CHAP等非EAP认证机制的协商，其本身不具备
   (4) EAP不在数据链路层阶段制定所用的认证机制，在认证阶段进行
   (5) 请求方和认证方之间可以通过基于局域网的可扩展认证协议（EAP over LAN，EAPOL）相互通信，EAPOL可以支持Ethernet、令牌环、FDDI、WLAN等多种介质，局域网MAC可以直接处理经过EAPOL封装的EAP数据包
   (6) EAPOL帧的目标MAC地址始终包含PAE组地址（01:80:C2:00:00:03）
   (7) 仅当数据包类型字段为EAP-Packet、EAPOL-Key或者EAPOL-Encapsulated-ASF-Alert时，数据包体才存在

EAP和EAPOL的帧数据包和报文：