iMC EIA 802.1X认证+RSA认证

典型配置举例

资料版本：5W112-20230608

产品版本：EIA 7.3 (E0623)

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

3.3.1 使用iNode PC客户端完成802.1X接入认证·· 17

1 介绍

在配置了802.1X接入和RSA认证的网络中，用户使用动态密码向EIA发送认证请求，EIA将用户认证请求转发给RSA服务器，由RSA服务器来验证用户身份。EIA根据RSA服务器的验证结果允许或拒绝用户接入网络，并使用各种控制策略对接入网络的用户进行接入控制。

· 802.1X：802.1X协议作为局域网端口的一个普通接入控制机制在以太网中被广泛应用，主要用于解决以太网内认证和安全方面的问题。802.1X协议是一种基于端口的网络接入控制协议，在局域网接入设备的端口级，对所接入的用户设备通过认证来控制对网络资源的访问。

· RSA：RSA是一种基于公钥密码体制的加密算法。RSA的公钥、私钥都可以用来加密和解密，并且一方加密的内容只能由对方进行解密，即由公钥加密的内容只能由私钥进行解密，由私钥加密的内容只能由公钥进行解密。

2 特性使用指南

2.1 使用场合

适用于需要使用动态密码的应用环境，比如银行系统，可以提高密码的安全性。

2.2 配置前提

PC安装支持使用RSA动态密钥的iNode客户端，接入设备支持802.1X协议，网络中存在RSA服务器，用户具有RSA认证令牌。

3 配置举例

3.1 组网需求

某银行计划启用RSA认证系统，用户接入网络时向EIA服务器发送认证请求，EIA将认证请求转发给RSA服务器，由RSA服务器来验证用户身份。

具体的组网如图1所示。EIA服务器IP地址为192.168.40.139，RSA服务器IP地址为192.168.3.95，接入设备IP地址为192.168.30.111。PC安装了Windows操作系统，并安装了iNode客户端。

注：本案例中各部分使用的版本如下：

· EIA版本为iMC EIA 7.3 (E0623)

· 接入设备为H3C S5500-28C-SI Comware Software, Version 5.20, Release 2215

· iNode版本为iNode PC 7.3 (E0616)

图1 组网图

3.2 配置步骤

3.2.1 配置EIA服务器

配置EIA服务器时，需要配置以下功能：

· 增加接入设备

· 增加接入策略

· 增加接入服务

· 启用第三方认证策略

1. 增加接入设备

增加接入设备是为了建立iMC服务器和接入设备之间的联动关系。

增加接入设备的方法如下：

(1) 选择“用户”页签。

(2) 单击导航树中的[接入策略管理>接入设备管理>接入设备配置]菜单项，进入接入设备配置页面，如图2所示。

图2 接入设备配置页面

(3) 单击<增加>按钮，进入增加接入设备页面，如图3所示。

图3 增加接入设备页面

(4) 接入配置参数

· 认证端口/计费端口：此处的配置必须与接入设备命令行配置的端口保持一致。本例采用缺省值1812和1813。

· 共享密钥：此处的配置必须与接入设备命令行配置的共享密钥保持一致。本例采用“fine”做为共享密钥。如果系统参数中的“密钥显示方式”设置为密文时，需输入两次共享密钥。

· 其他参数：保持缺省值。

(5) 配置接入设备

配置接入设备有两种方法：

· 在设备列表中单击<选择>按钮，弹出选择设备窗口，如图4所示，根据IP地址从iMC平台中选择设备。单击<确定>按钮，增加设备成功，返回增加接入设备页面。

· 在设备列表中单击<手工增加>按钮，弹出手工增加接入设备窗口，如图5所示。在设备IP地址处输入接入设备的IP地址。单击<确定>按钮，增加设备成功，返回增加接入设备页面。

图4 从iMC平台选择设备

图5 手工输入接入设备的IP地址

无论采用哪种方式接入设备的IP地址都必须满足以下要求：

· 如果在接入设备上配置radius scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip的配置保持一致。

· 如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）。

参数设置完成后的效果图如图6所示。

图6 接入设备参数配置

(6) 单击<确定>按钮，完成增加接入设备操作，进入结果显示页面。点击“返回接入设备列表”链接，返回接入设备列表，可在列表中查看新增的接入设备，如图7所示。

图7 查看新增的接入设备

2. 增加接入策略

配置一个不进行任何接入控制的接入策略。

增加接入策略的方法如下：

(1) 选择“用户”页签。

(2) 单击导航树中的[接入策略管理>接入策略管理]菜单项，进入接入策略管理页面，如图8所示。

图8 接入策略管理页面

(3) 单击<增加>按钮，进入增加接入策略页面。因为不需要任何接入控制，所以输入接入策略名“Access Policy”，其他参数保持默认即可，如图9所示。

图9 增加接入策略页面

(4) 单击<确定>按钮，接入策略增加完毕。返回接入策略列表，可在列表中查看新增的接入策略，如图10所示。

图10 查看增加的接入策略

3. 增加接入服务

接入服务是对用户进行认证授权的各种策略的集合。本例配置用户进入网络需进行RSA认证的接入服务。

增加接入服务的方法如下：

(1) 选择“用户”页签。

(2) 单击导航树中的[接入策略管理>接入服务管理]菜单项，进入接入服务管理页面，如图11所示。

图11 接入服务管理页面

(3) 单击<增加>按钮，进入增加接入服务页面。

配置接入服务参数如下：

· 服务名：输入服务名称，在EIA中必须唯一。本例为“RSA Authentication”。

· 服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表1。本例为“629”。

· 缺省接入策略：选择之前新增的接入策略。在下拉框中选择“Access Policy”。

· 其他参数：保持缺省值。

参数设置完成后的效果图如图12所示。

表1 iMC中服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	iMC中服务的后缀
X@Y	Y	user-name-format with-domain	Y
X@Y	Y	user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
X	[Default Domain] 设备上指定的缺省域	user-name-format without-domain	无后缀