搜索
802.1x认证技术分析及其应用建议Cww.net.cn2004年8月23日13:28通信世界网中国电信集团北京研究院毛拥华一、技术背景以太网的高性价比和媒体独立的特性使其逐渐成为家庭、企业局域网、电信级城域网的主导接入技术，而且随着10G以太网技术的出现，以太网技术在广域网范围内也将获得一席之地。电信运营商和宽带接入提供商也开始提供基于以太或者纯以太的接入业务，但对于以太网络中多数业务来说，运营商无法从物理上完全控制客户端设备或者媒介。运营商要实现对宽带业务的可运营、可管理，就必须从逻辑上对用户或者用户设备进行控制。该控制过程主要通过对用户和用户设备的认证和授权完成。一般来说，需要进行认证和授权的业务种类包括：1.提供给多用户系统的以太城域网业务，这些业务包括典型的TLS业务，L2或者是L3的VPN，在该业务组网环境中，客户前端交换机由同一建筑物内的多个用户共享；2.在以IEEE802.11a和IEEE802.11b提供无线以太接入的热点地区，像机场、商场、学校和餐厅等，需要基于每个用户设备或者用户进行接入认证，防止非授权用户接入；3.基于ATMRFC1483的xDSL业务和IP以太接入网；4.基于EFM(EthernetintheFirstMile，IEEE802.3ah)EPON接入和EoVDSL等业务；5.基于以太Cable的共享RF信道接入方式。二、电信级IP宽带网用户接入认证技术需求分析随着基于以太业务应用的日益广泛，迫切需要一种能适应以太网多业务承载需求，兼顾以太接入灵活性和扩展性好的特点，并能确保以太接入安全性、支持运营商对接入用户进行控制和管理的接入认证技术。以太技术和接入认证技术的结合要求网络接入控制完成以下功能。1.网络的接入控制与网络提供的业务类型无关，即无论是有线接入业务或者是无线接入业务，或者其它形式的公众以太接入业务，都采用一个通用的接入认证解决方案；2.电信级IP接入网络要求对用户进行严格的控制和管理，包括控制用户对网络的访问、用户身份识别3.对于用户来说，只需要面对单一的认证界面，用户可以实现在多种网络接入业务间漫游；4.对于新兴业务的支持也是选择认证技术时要考虑的一个重要因素，认证技术必须保证在现有的认证体系下对新兴业务的支持；5.对于运营商而言，通用的认证解决方案可以简化远程接入VPN的安全管理，将用户认证的范畴延伸到LAN范围内；6.适应电信级IP宽带网接入控制需求的认证技术将简化运营商网络认证的体系结构，降低运营商用于培训和维护的费用，减少运营成本。按照Internet网络分层模型，在协议每一层都可以针对用户或者设备进行网络接入的认证、鉴权。无论从对现有设备的改动、多协议的支持、网络安全还是网络控制能力来看，链路层认证的优势突出，快速、简单和成本低廉也是它的优势。多数的链路层协议像PPP和IEEE802都可以支持基于链路层的认证技术。客户在认证之前不需要进行服务器的定位，不需要获得IP地址。网络接入设备只需要有限的3层功能，可以轻易实现和AAA的结合，从而提供丰富、灵活的认证方式和计费手段。在多协议网络环境中，基于链路层的认证可以实现对上层应用的完全透明，也就是说可以实现和新的网络层协议（比如IPv6）的兼容。链路层认证处理减小了认证包处理的延时，保证了关键性应用的服务质量。三、IEEE802.1x协议技术分析意识到PPPoE在用于纯以太网络环境接入控制中的种种缺陷，IEEE在2001正式颁布了IEEE802.1x标准，用于基于以太的局域网、城域网和各种宽带接入手段的用户/设备接入认证。该协议最初假定的应用环境是交换式以太网中，但是在标准化过程中也考虑到了像801.11b和Cable接入等共享式以太网络应用环境对认证的要求。802.1x认证采用基于以太网端口的用户访问控制技术，可以克服PPPoE方式带来的诸多问题，并避免引入集中式宽带接入服务器所带来的巨大投资。在传统以太网设备基础上，基于端口的网络访问控制技术采用IEEE802.1x协议，提供了对基于以太网的点到点连接的端口用户进行认证和授权的能力，从而使以太网设备达到电信运营要求。用户侧的以太网交换机上放置一个扩展认证协议（EAP）代理，用户PC机运行EAPoL（EAPoverLAN）的客户端软件与交换机通信。基于端口的网络访问技术的基本思想是网络系统可以控制面向最终用户的以太网端口，使得只有网络系统允许并授权的用户可以访问网络系统的各种业务（如以太网连接，网络层路由，Internet接入等业务）。802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口访问LAN/MAN。在获得交换机或LAN提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许EAPoL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。网络访问技术的核心部分是PAE（端口访问实体）。在访问控制流程中，端口访问实体包含3部分：认证者--对接入的用户/设备进行认证的端口；请求者--被认证的用户/设备；认证服务器--根据认证者的信息，对请求访问网络资源的用户/设备进行实际认证功能的设备。以太网的每个物理端口被分为受控和不受控的两个逻辑端口，物理端口收到的每个帧都被送到受控和不受控端口。对受控端口的访问，受限于受控端口的授权状态。认证者的PAE根据认证服务器认证过程的结果，控制受控端口的授权/未授权状态。处在未授权状态的控制端口将拒绝用户/设备的访问。1.802.1x认证特点基于以太网端口认证的802.1x协议有如下特点：IEEE802.1x协议为二层协议，不需要到达三层，对设备的整体性能要求不高，可以有效降低建网成本；借用了在RAS系统中常用的EAP（扩展认证协议），可以提供良好的扩展性和适应性，实现对传统PPP认证架构的兼容；802.1x的认证体系结构中采用了可控端口和不可控端口的逻辑功能，从而可以实现业务与认证的分离，由RADIUS和交换机利用不可控的逻辑端口共同完成对用户的认证与控制，业务报文直接承载在正常的二层报文上通过可控端口进行交换，通过认证之后的数据包是无需封装的纯数据包；可以使用现有的后台认证系统降低部署的成本，并有丰富的业务支持；可以映射不同的用户认证等级到不同的VLAN；可以使交换端口和无线LAN具有安全的认证接入功能。2.802.1x应用环境特点(1)交换式以太网络环境对于交换式以太网络中，用户和网络之间采用点到点的物理连接，用户彼此之间通过VLAN隔离，此网络环境下，网络管理控制的关键是用户接入控制，802.1x不需要提供过多的安全机制。(2)共享式网络环境当802.1x应用于共享式的网络环境时，为了防止在共享式的网络环境中出现类似“搭载”的问题，有必要将PAE实体由物理端口进一步扩展为多个互相独立的逻辑端口。逻辑端口和用户/设备形成一一对应关系，并且各逻辑端口之间的认证过程和结果相互独立。在共享式网络中，用户之间共享接入物理媒介，接入网络的管理控制必须兼顾用户接入控制和用户数据安全，可以采用的安全措施是对EAPoL和用户的其它数据进行加密封装。在实际网络环境中，可以通过加速WEP密钥重分配周期，弥补WEP静态分配秘钥导致的安全性的缺陷。3.802.1x认证的安全性分析802.1x协议中，有关安全性的问题一直是802.1x反对者攻击的焦点。实际上，这个问题的确困扰了802.1x技术很长一段时间，甚至限制了802.1x技术的应用。但技术的发展为这个问题给出了答案：802.1x结合EAP，可以提供灵活、多样的认证解决方案。IEEE802.1x和PPP一样采用了EAP协议作为认证信息交互机制，EAP消息封装在EAPOL分组中。EAP作为一种认证消息承载机制可以允许认证者和请求者之间采用灵活的方案进行认证，并且对将来出现的更先进合理的认证技术具有很好的兼容性。EAP的这些特性主要通过扩展EAP中厂家定义的“EAP类型”域实现，“EAP类型”域中定义的认证类型，可以满足不同层次认证的安全需要。目前可以采用的EAP类型包括：LEAP、PEAP、EAP-MD5、EAP-TTLS。具体的EAP不同层次认证如图1所示。图1EAP不同层次认证4.802.1x认证的优势综合IEEE802.1x的技术特点，其具有的优势可以总结为以下几点。简洁高效：纯以太网技术内核，保持了IP网络无连接特性，不需要进行协议间的多层封装，去除了不必要的开销和冗余；消除网络认证计费瓶颈和单点故障，易于支持多业务和新兴流媒体业务。容易实现：可在普通L3、L2、IPDSLAM上实现，网络综合造价成本低，保留了传统AAA认证的网络架构，可以利用现有的RADIUS设备。安全可靠：在二层网络上实现用户认证，结合MAC、端口、账户、VLAN和密码等；绑定技术具有很高的安全性，在无线局域网网络环境中802.1x结合EAP－TLS，EAP－TTLS,可以实现对WEP证书密钥的动态分配，克服无线局域网接入中的安全漏洞。行业标准：IEEE标准，和以太网标准同源，可以实现和以太网技术的无缝融合，几乎所有的主流数据设备厂商在其设备，包括路由器、交换机和无线AP上都提供对该协议的支持。在客户端方面微软WindowsXP操作系统内置支持，Linux也提供了对该协议的支持。应用灵活：可以灵活控制认证的颗粒度，用于对单个用户连接、用户ID或者是对接入设备进行认证，认证的层次可以进行灵活的组合，满足特定的接入技术或者是业务的需要。易于运营：控制流和业务流完全分离，易于实现跨平台多业务运营，少量改造传统包月制等单一收费制网络即可升级成运营级网络，而且网络的运营成本也有望降低。四、802.1x在电信级IP宽带网络中的应用建议图2为802.1x认证在电信级宽带网络中应用的总体架构。根据上文对802.1x技术特点及技术优势的分析，笔者认为电信级网络中应用802.1x可以采用以下策略：1.以WLAN为应用突破口802.1x认证技术在电信级宽带网中的应用以WLAN为突破口。802.1x技术从一开始就对基于WLAN提供认证的技术进行了大量的研究和探索；WLAN设备大量应用的时间段和802.1x协议标准产生基本同步，目前多数厂商的WLANAP设备都可以支持802.1x认证；从技术上考虑，WLAN是一种共享式的以太接入网络，其面临的安全性问题的解决和用户控制都要比基于有线的以太接入方式难解决；基于WLAN和3G移动网络的新型业务和应用层出不穷，尤其是基于组播技术的各种应用，原有的PPPoE认证在支持这些新业务时有明显缺陷，迫切需要一种新性认证技术，满足业务发展的需求；WLAN作为宽带网上的新应用，运营商没有什么历史包袱，在网络减少和设备选型时不受现有网络条件的牵制。以上种种原因决定了WLAN是802.1x技术应用的排头兵。2.认证边缘化、分布化认证边缘化充分发挥了802.1x基于端口认证的优势。所谓认证边缘化是指将认证设备的网络中的位置设置为直接和用户设备/网络接口，边缘化的认证设备可以感知、监控认证设备和用户设备之间链路连接状态，根据链路状态变化，认证设备可以采取相应的策略，主动要求用户/设备发起认证。对链路状态的感知能力也是运营商进行网络故障检测和网络运行维护工作顺利开展的基础，可以说实现了认证的边缘化也就解决了宽带接入网络中线路维护和故障诊断困难的难题。用户可以在本地接入网段实现隔离，不需要像集中认证方式那样，在用户到接入认证服务器之间的二层网络都进行用户隔离，减少了交换机运行VLAN的复杂度，也使网络的流量的规划、管理、控制更加容易。认证边缘化意味着认证设备的分布化，可以避免采用集中式的PPPoE认证带来的网络性能和网络可靠性的瓶颈。3.用户管理集中化虽然802.1x采用分布式的认证，但是在用户管理时建议仍采用集中方式。集中式的用户管理的范围包括有线接入用户和无线接入用户。集中认证一方面易于管理维护，保证了单个管理域内用户信息的一致性；另一方面，集中统