Роли устройств

При 802.1х аутентификации на основе портов, устройства в сети выполняют определенные роли.

Клиент – Это рабочая станция, которая запрашивает доступ к локальной сети и сервисам коммутатора и отвечает на запросы от коммутатора. На рабочей станции должно быть установлено клиентское ПО для 802.1x, например то, которое встроено в ОС Microsoft Windows XP.

Сервер аутентификации – выполняет фактическую аутентификацию клиента. Сервер аутентификации проверяет подлинность клиента и информирует коммутатор предоставлять или нет клиенту доступ к локальной сети. RADIUS работает в модели клиент/сервер, в которой информация об аутентификации передается между сервером и клиентами RADIUS. Т.к. коммутатор работает как прокси, сервис аутентификации прозрачен для клиента.

Коммутатор (также называется аутентификатор (authenticator)) – управляет физическим доступом к сети, основываясь на статусе аутентификации клиента. Коммутатор работает как посредник между клиентом и сервером аутентификации, получая запрос на проверку подлинности от клиента, проверяя данную информацию при помощи сервера аутентификации, и пересылая ответ клиенту. Коммутатор включает клиент RADIUS, который отвечает за инкапсуляцию и деинкапсуляцию кадров EAP и взаимодействие с сервером аутентификации.

Инициировать процесс аутентификации может или коммутатор или клиент.

Клиент инициирует аутентификацию, посылая кадр EAPOL-start, который вынуждает коммутатор отправить ему запрос на идентификацию. Когда клиент отправляет ЕАР – ответ со своей идентификацией, коммутатор начинает играть роль посредника, предающего кадры ЕАР между клиентом и сервером аутентификации до успешной или неуспешной аутентификации. Если аутентификация завершилась успешно, порт коммутатора становится авторизованным.

Схема обмена ЕАР кадрами зависит от используемого метода аутентификации. На рисунке показана схема обмена, инициируемая клиентом, использующая метод аутентификации One-Time-Password (OTP) сервером RADIUS.

Аутентификация 802.1х может быть выполнена как на основе МАС-адресов, так и на основе портов:

• При аутентификации 802.1x на основе MAC-адресов
• проверяет не только имя пользователя/пароль, но и максимальное количество MAC-адресов, доступных для работы. Если предел достигнут, то блокирует новый MAC-адрес.
• При аутентификации 802.1x на основе портов,
• после того, как порт был авторизован, любой пользователь, подключенный к порту, может получить доступ к локальной сети.

Дата добавления: 2014-01-04