基于802.1X控制的LAN接入实验
实验目的
- 掌握 802.1X 接入控制模式结构、原理及特点；
- 掌握 802.1X 服务器和客户端的配置方法；
- 掌握不同 802.1X 客户划分不同 VLAN 的应用及配置方法；
- 理解并掌握 VLAN 通信的测试方法；
- 掌握 802.1X 的认证过程及测试方法。
实验内容
- VLAN 的配置与测试；
- DHCP 服务器的配置；
- LAN 802.1X 接入控制方式配置与测试；
- 用户独享帐户，通过认证和授权，接入外网。
实验器材
- 以太交换机 2 台；
- PC 级 6-8 台（用途： 1 台 Radius 服务器，1 台 DHCP+NAT 服务器，1 台外网主机，1 台配置机，3-4 台 802.1X 客户机）；
- USB 接口的以太网卡：科 B119 房间 2 个，科 B121 房间 7-9 个；
- USB 转串口配置线 1 根（仅科 B121 实验室需要）；
- 网线：科 B119 房间 1 根，科 B121 房间 7-9 根。
实验原理
系统结构
802.1X+RADIUS 接入认证与控制方式基于 802.1X 协议,在交换机接入端口上对用户进行接入控制，系统结构如下图所示。图中连接用户的以太交换机必须支持 802.1X 协议，基于端口实现对用户的接入控制。用户 PC 上必须运行 TCP/IP 协议和 802.1X 协议。802.1X 接入交换机与 RADIUS 服务器之间运行 RADIUS 协议，由 RADIUS 服务器实现对用户身份合法性进行认证，并对认证通过的用户进行授权。
基本原理
802.1X协议是一个基于端口的接入控制协议。其接入控制基本原理如下图所示。
802.1X 协议的接入端口在逻辑上分为两个逻辑端口：受控端口和非受控端口。非受控端口始终处于连通状态，用来传送认证信息。受控端口默认情况下处于断开状态，只有在认证通过后才接通，用来传送用户的业务数据。
因此，在认证没有通过前，用户只能通过 802.1X 接入交换机传送认证信息，接入交换机再通过 RADIUS 协议把认证信息送到 RADIUS 服务器上，由 RADIUS 服务器进行认证，并把认证的结果返回给接入交换机。接入交换机根据认证结果控制用户的接入，若认证成功，则接通受控端口，允许用户接入，否则，受控端口继续保持为断开状态，拒绝用户接入，从而 802.1X 协议基于端口实现了对用户的接入控制。
实验拓扑
本实验是基于 VLAN 应用的 802.1X 接入控制的接入实验，需要对 802.1X 交换机上开启802.1X 协议、配置 RADIUS 客户端、配置 VLAN，在 PC 机上配置 802.1X 客户端，用户通过RASIUD 服务器认证授权后，802.1X 服务器控制接入（802.1X 交换机接通受控端口），由 DHCP服务器为 802.1X 客户分配 IP 地址，然后 802.1X 客户通过 PCI 以太网连接到 Internet。实验拓扑如图下图所示。
| 图中标注设备功能 | 数量（台） | 实际使用设备 | 说明 |
|---|---|---|---|
| 接入用户区PC(802.1X客户) | 3-4 | 实验室PC或笔记本电脑 | 运行windows系统(可以选择“wireshark”镜像) |
| 配置机 | 1 | 实验室PC | 科B119运行widows系统(选择wireshark镜像) |
| L2/SW | 2 | 实验室以太网交换机 | 科B119为SRG-3760-24 |
| RADIUS服务器 | 1 | 实验室PC | 运行Iinux系统(选择“接入网实验全家桶”镜像) |
| 网关（DHCP、NAT服务器） | 1 | 实验室PC | 运行Iinux系统(选择“接入网实验全家桶”镜像) 上图中，网关有三个外联接口： ens3:电脑以太网口（去校园网） enx000 XXXXxXXXX:外联USB网卡（119已有） enx000 KXXxxxXXx:外联USB网卡（自行插入） （以实际网卡名称为准） |
| 外网主机 | 1 | 实验室PC | 运行windows系统(选择“wireshark”镜像) |
实验步骤与记录
设备连接与实验准备
根据实际设备与L2/SW1连接端口，VLAN规划并确定相关设备端的IP地址，记录如表3-1。
| 端口号 | 连接功能设备 | VLAN ID | 实验USB网卡的IP地址 |
|---|---|---|---|
| 1 @交换机1 | 802.1X客户1（PC1） | 2 | 172.16.22.10-100/24 |
| 2 @交换机1 | 802.1X客户2（PC2） | 2 | 172.16.22.10-100/24 |
| 3 @交换机1 | 802.1X客户3（PC3） | 3 | 172.16.33. 10-100/24 |
| 4 @交换机1 | 802.1X客户4（PC4） | 3 | 172.16.33. 10-100/24 |
| 5 @交换机1 | 网关设备内网子接口1 （PC1和PC2的网关） | 2 | 172.16.22.2/24 |
| 5 @交换机1 | 网关设备内网子接口2 （PC3和PC4的网关） | 3 | 172.16.33.2/24 |
| × | 802.1X服务器 | 1 | 172.16.3.210/24 |
| 5 @交换机1 | 802.1X服务器的网关 | 1 | 172.16.3.254/24 |
| 1 @交换机2 | 网关设备外网接口 | × | 192.168.0.200/24 |
| 2 @交换机2 | RADIUS服务器 | × | 192.168.0.201/24 |
| 3 @交换机2 | 外网主机 | × | 192.168.0.203/24 |
网关配置
网关设备在实验中需要使用两块 USB 实验网卡，在实验准备中已经将 USB 网卡接入网关 PC，且已连接到相关交换机端口。作为网关的 PC 选择“接入网实验全家桶”镜像，操作系统为 Ubuntu22.04，密码为 123456。
（1）配置 VLAN trunk 端口与子接口IP地址
- 识别连接内网的USB网卡（连接交换机1的USB网卡），加载8021q 模块；
- 添加vlan2和vlan3，注：重启后配置会消失，如不慎重启请重新配置；
- 配置IP 地址，再次使用 ifconfig 命令查看，确认上述配置的正确性。
（2）配置 DHCP 服务器
- 在支持vlan2和vlan3的USB网卡(连接内网的USB网卡)上开启DHCP监听功能。并修改配置文件；
- 修改 DHCP 配置文件，重启 DHCP 服务；
（3）连接外网的USB网卡的识别与配置
- 可以通过拔插 USB 网卡，并结合采用 ifconfig 命令查看，确认连接外网的 USB 网卡的名称为 enx000xxxxxxxxx ；
- 对连接外网的 USB 网卡按照表3-1规划配置 IP 地址；
- 通信测试：在连接外网 USB 网卡的网络上 ping Radius 服务器或外网主机应能 ping通。
（4）配置NAT规则
VLAN配置与测试
（1）进入配置界面
科 B119 实验室的联网设备都放置在机柜里，对联网设备的配置是通过 web进入配置界面的，进入特权模式并进入全局配置模式。
（2）创建VLAN2和3
（3）access端口配置
按照拓扑中连接的 access 端口以及规划的 VLAN-ID，逐一进入端口进行配置，其他端口类同。
（4）Trunk 端口配置
L2/SW1 连接网关（DHCP/S 和NAT）的端口为Trunk 端口。
（5）VLAN 通信测试
查看PC机获得的IP地址
表3-2各PC机的IP地址 实验主机 连L2/SW1端口号 VLAN- ID 获取的IP地址 PC1-2 f0/1 2 172.16.22.11 PC2-4 f0/2 2 172.16.22.10 PC3-8 f0/3 3 172.16.33.10 PC4-10 f0/4 3 172.16.33.11 VLAN通信测试
表3-3 VLAN 通信测试 实验主机操作 测试结果 PC1-PC2相互ping 通 PC3-PC4相互ping 通 PC1 ping网关（子接口1） 通 PC4 ping网关（子接口2） 通 PC1 ping 外网主机 通 PC4 ping RADIUS服务器 通
802.1X服务器与RADIUS客户配置与记录
- 配置并记录管理VLAN ID号和 IP地址；
- 管理VLAN ID号为1，管理VLAN IP地址为172.16.3.0/24；
- 802.1X服务的开启：包括打开AAA、802.1X认证方法、应用方法及计账方法列表；
- 配置RADIU客户端：包括访问的RADIUS服务器的 IP 地址、认证/授权端口及记账端口，加密 key，snmp 等；
- 开启802.1X端口接入控制：包括将接入测试PC 机的那几个端口开启802.1X接入控制，交换机其他端口不能开启 802.1X 接入端口控制。
| RADIUS服务器IP地址 | 认证端口 | 记账端口 | 加密key |
|---|---|---|---|
| 192.168.0.201 | 1812 | 1813 | test |
完成上述配置后进行连通性测试，各VLAN内的PC相互ping，观察是否能ping通，用802.1X协议原理解释观察到的现象：
PC1 和PC2相互ping，现象记录：不通 。
PC3 和PC4相互ping，现象记录：不通 。
PC1 ping 外网主机，现象记录：不通 。
造成上述现象的原因分析：此时PC还没有进行用户认证，所以受控端口未接通，ping的业务数据不能通过。
RADIUS服务器配置
在RADIUS服务器中配置的认证的相关信息记录如下：配置RADIUS客户端的IP地址是172.16.3.210；与RADIUS客户端的共享密钥是test。配置的账户名和密码，记录如表3-5所示。
| 账户名 | 密码 |
|---|---|
| user1 | 1 |
| user2 | 1 |
| user3 | 1 |
| user4 | 1 |
802.1X客户端配置与记录
802.1X客户端在PC机上配置。采用Windows 自带的802.1X客户程序。在各PC机上配置的内容包括：开启 802.1X 服务，设置与 802.1X 服务器上匹配的加密方式；设置与 RADIUS 服务器上匹配的用户名和密码。
802.1X加密方式为 EAP-MSCHAP v2；实验者自己使用的密码分别为user2和1 。
802.1X接入控制测试
各测试PC机用配置好的用户名密码进行登录，成功后，记录各PC机获取的IP地址。并用802.1X 协议原理解释为什么此时PC机能获取IP地址。
答：PC机获得的IP地址如表3-7所示。用户认证成功后，受控端口接通，用户可以与DHCP服务器正常交互，因此获取到IP地址。
登录成功后，各PC机ping 192.168.0.201（RADIUS服务器的IP地址。该地址可以模拟外网），记录测试情况。
各PC机ping外网主机t，记录上网情况。
| 主机 | 获取的IP地址 | 测试操作 | 测试结果 |
|---|---|---|---|
| PC1 | 172.16.22.10 | PC1-2相互ping | 通 |
| PC2 | 172.16.22.11 | PC3-4相互ping | 通 |
| PC3 | 172.16.33.10 | PC1 ping外网主机 | 通 |
| PC4 | 172.16.33.11 | PC4 ping外网主机 | 通 |
选择1台PC机上退出802.1X客户软件，设计1-2种错误配置，并重新进行802.1X接入过程，观察现象，记录结果并分析。
设置的错误配置为：用户名、密码错误
现象记录：认证不成功，无法进行业务数据的传输。
原因分析：Radius服务器通过比对自己的数据库发现用户名密码错误，导致用户认证失败，所以受控端口未接通，业务数据不能通过，所以不通。
实验分析
根据实验过程，总结802.1X认证中对RADIUS客户端配置的主要内容有哪些？
答：802.1X认证中对RADIUS客户端配置的主要内容主要包括以下内容：
- 配置管理vlan；
- Radius服务器地址和共享秘钥；
- 开启802.1X服务，开启AAA认证服务；
- 配置上联的Radius服务器的IP地址；
- 配置Radius key
- 在对应端口开启802.1x认证。
在本实验802.1X认证中，除了在实验中设计的错误配置外，至少列举3种可能的错误配置会导致认证失败。
答：可能的错误配置如下：
- RADIUS客户端没启用认证或启用了本地认证；
- RADIUS客户端没正确配置RADIUS服务器的地址和共享密钥；
- 交换机的trunk口没有配置；
- RADIUS认证服务器没配置正确的EAP方法；
- 客户端没关防火墙，导致认证请求被防火墙阻止。
