以太网交换机基础培训教材
?
802.1X是基于端口的认证策略(这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口,对于无线局域网来说个“端口”就是一条信道); ?
802.1X认证的最终目的就是确定一个端口是否可用。对于一个端口,如果认证成功那么就“打开”这个端口,允许文所有的报文通过;如果认证不成功就使这个端口保持“关闭”。此时,只允许802.1X的认证报文EAPOL(Extensible Authentication Protocol over LAN)通过(参见图32)。
802.1X认证体系分为三部分结构:
?
客户端(Supplicant System)——是—需要接入LAN,及享受Switch提供服务的设备(如PC机)。客户端需要支持EAPOL协议,客户端必须运行802.1X客户端软件,如:华为开发的802.1X客户端,Microsoft Windows XP自带客户端; ?
认证系统(Authenticator System)——是根据客户的认证状态控制物理接入的设备,如交换机或无线接入设备。认证系统在客户和认证服务器间充当代理角色:认证系统与客户端间通过EAPOL协议进行通讯,认证系统与认证服务器间通过EAP over Radius或EAP承载在其他高层协议上,以便穿越复杂的网络到达Authentication Server。认证系统要求客户端提供身份标识(identity),接收到后将EAP报文承载在Radius格式的报文中,再发送到认证服务器,返回等同。 认证系统根据认证结果控制端口是否可用; ?
认证服务器(Authentication server System)——对客户进行实际认证,核实客户的identity,通知认证系统是否允许客户端访问LAN和交换机提供的服务。由于EAP协议较为灵活,除了IEEE 802.1X定义的端口状态外,认证服务器实际上也可以用于认证和下发更多用户相关的信息,如VLAN、QOS、加密认证密钥、DHCP响应等。
图 32 802.1X认证体系结构
Page 41 , Total 48 第41页,共48页
以太网交换机基础培训教材
5.5.2 PORTAL
PORTAL认证的提出主要用于解决以下问题: ? ? ?
免客户端软件:对于像宾馆、酒店等公共网络节点,免客户端软件是一个基本要求; 按上网时间计费:用户申请到IP地址,只要没有访问网络就不进行计费;
新业务载体:利用PORTAL认证的门户功能,运营商可以将小区广播、广告、信息查询、网上购物等业务放到PORTAL上。用户上网时就会强制地看到上述信息; ?
价值链项目:运营商、设备提供商、网络集成商、服务提供商、内容开发商等整合提供高质量网络和可盈利的系统。
PORTAL在英语中的原意是入口的意思,在IT行业一般将PORTAL称为门户网站,所以PORTAL认证通常也称为WEB认证。
PORTAL认证一般分为强制PORTAL和主动PORTAL认证两种: ?
强制PORTAL……强制PORTAL的意思就是用户获取IP地址后开始上网,不管输入什么网址,都会先强制定向到PORTAL服务器,只有通过认证,这种定向才会被取消。强制PORTAL的优点是用户不需要记忆PORTAL服务器的IP地址,登录PORTAL服务的过程是自动的,并且是强制的 ?
主动PORTAL……主动PORTAL是用户获取到PORTAL服务器的IP地址后才能开始上网,用户必自己主动登录到PORTAL服务器进行认证,才能访问网络。所以运营商在开户时,必须明确的告诉用户PORTAL服务器的IP地址
和802.1X认证类似,PORTAL认证也有几大要素组成:客户端、控制单元、PORTAL服务器、认证计费服务器,如图33。其中,控制单元是PORTAL认证的核心,即为接入设备。PORTAL控制单元的主要作用为:
? ? ?
通过DHCP协议提供IP地址,只能在有三层路由发现功能的设备上实施PORTAL认证; 对没有通过认证的IP地址进行过滤,一般采用ACL的方式控制未认证用户的访问范围; 提供强制认证特性,一般通过地址转换的方式将未认证用户的所有HTTP访问转换到PORTAL服务器; ? ?
提供与PORTAL服务器的接口,采用我司的PORTAL 2.2协议; 提供认证、计费接口,一般通过RADIUS协议与认证计费服务器通信。
Page 42 , Total 48 第42页,共48页
以太网交换机基础培训教材
图 33 PORTAL认证四大要素
目前,宽带网络中另外一种常用的认证方式是PPPoE/A。下表给出了PORTAL、PPPoE/A、802.1X三种认证方式的特点对比。
表 3.PORTAL、PPPoE/A、802.1X三种认证方式的特点对比
兼容性 成熟度 主要标准 业界支持程度 报文效率 组播能力 安全性 新业务支承能力 流程处理 客户软件支持
三种认证方式都有它存在的理由,它们之间是互补的关系。相比较而言PORTAL认证和802.1X更加受运营商的欢迎,因为PORTAL认证是宽带网络生态系统中一种比较高级的形态,而802.1X是一种比较低级的形态,满足低成本低附加值的需求。
PORTAL认证 好 成熟 HTTP/HTTPS 广泛支持 高 好 一般 好 复杂 不需要 PPPoE/A 一般 成熟 PPP/PPPoE/A 广泛支持 低 差,开销大 一般 差 复杂 需要,业界普遍提供 802.1X 差 不成熟 IEEE802.1X 目前仅被少数厂商支持 高 好 低 差 清晰 需要,目前没有业界广泛支持的软件 5.6 管理特性
Page 43 , Total 48 第43页,共48页
以太网交换机基础培训教材
5.6.1 集群管理
我们知道,接入交换机一般放在用户侧,有的在楼道、有的在办公区,且数量庞大。因此,对此类交换机的管理和配置成为了一个很大的问题。
传统的方法是通过一个IP地址管理一个交换机,来实现远程配置。但由于网络中的设备太多,每一台都要配置,重复工作量还是很大。
因此,集群管理的目的就是解决上述问题。通过集群管理,整个网络能完成其拓朴结构的自发现;不用设置IP也能管理,达到了节省IP地址的作用;通过了统一而简单的配置模式来统一管理所有交换机;简化了升级过程。
集群管理的基本功能是允许网络管理员通过一个主交换机的公网IP地址,实现对多个交换机的 管理。主交换机称为命令交换机,其它被管理的交换机称为成员交换机。
主交换机提供了对整个集群的管理接口,一般来说是集群中唯一配有公网IP 地址的交换机。从交换机一般不配置公网 IP 地址,通过主交换机重定向来进行对从交换机的管理和维护。具有集群管理功能的交换机可以通过配置来决定是否加入集群。通常为了提高网络管理的可靠性,避免单点故障影响集群管理功能,还应该设置多个备份交换机,在主交换机无法工作时替代主交换机来工作。
集群管理支持用户通过网管来管理整个集群,包括SNMP和WEB网管方式。 集群管理通过NAT来完成成员地址转换。集群模块是基于NAT进行开发的。 集群中的角色有命令交换机、成员交换机,还有备份交换机以及候选交换机四种:
1)命令交换机: 配置有公网IP地址的交换机,管理命令首先发送到命令交换机上由命令交换机处理,如果发现目的是某成员交换机,则转发到成员交换机上处理。
2)备份交换机: 备份交换机,用于命令交换机的备份。当命令交换机失效时,备份交换机能够转换成为命令交换机。通常设置了多个备份交换机时,还需要提供一定的机制选出其中一个作为命令交换机。
3)成员交换机: 集群中的成员,对成员交换机的管理是通过命令交换机的代理来完成的,它一般不设置公网IP地址。
4)候选交换机: 候选交换机,没有加入任何集群但有集群能力、能够成为集群成员的交换机称为候选交换机。
Page 44 , Total 48 第44页,共48页
以太网交换机基础培训教材
图 34 集群的组成
5.6.2 WEB网管
WEB网管的基本工作原理如下: ?
以太网交换机提供一个内置的WEB Server,网管客户端通过浏览器,使用HTTP协议向WEB Server请求交换机的管理网页。 ?
管理网页上嵌有功能强大的JAVA Applet小程序,JAVA Applet小程序随着网页一起下载到网管客户端,并通过SNMPv3协议与SNMP Agent通讯,获取交换机上的配置数据,或者向交换机下达管理命令,从而达到管理交换机的目的。
由此可以看出,WEB网管不需要特殊的客户端,利用常用浏览器就可以完成交换机的配置和监控。但是,WEB网管的局限性也是显而易见的,它不能同时对整个网络中的设备进行监控,无法了解网络的组成结构等。
5.7 IRF
IRF—Intelligent Resilient Framework,智能弹性架构。其基本的思想是:使多台设备互相连接起来,形成一个“联合设备”。无论在管理还是在使用上,都与单台设备类似。
IRF和原来通过NDP协议建立的堆叠有很大的区别。NDP堆叠只是使多台设备集中管理,但L2、L3转发还是和每台设备级联起来一样,即在每台设备上都要进行L2、L3转发。但IRF形成的“联合设备”L2、L3转发却可以做到和单台设备一样,即L2、L3转发只需要一次。因此,IRF需要对每台设备端口号进行重新排序,扩展了端口数量和交换机能力。另外,IRF中的某台设备故障并不会影响其
Page 45 , Total 48 第45页,共48页
以太网交换机基础培训教材 - 图文
![](/skin/haowen/images/icon_star.png)
![](/skin/haowen/images/icon_star.png)
![](/skin/haowen/images/icon_star.png)
![](/skin/haowen/images/icon_star.png)