- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
手册下载
13-H3C EIA 802.1X认证+RSA认证典型配置举例-整本手册.pdf (1.91 MB)
H3C EIA 802.1X认证+RSA认证
典型配置举例
资料版本：5W117-20240515
产品版本：EIA (E6205)
Copyright © 2024 新华三技术有限公司 版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
本文档中的信息可能变动，恕不另行通知。
在配置了802.1X接入和RSA认证的网络中，可实现双因子认证机制，即静态密码和动态密码双校验。用户向EIA发送认证请求，EIA将用户认证请求转发给RSA服务器，由RSA服务器来验证用户身份。EIA根据RSA服务器的验证结果允许或拒绝用户接入网络，并使用各种控制策略对接入网络的用户进行接入控制。
目前有两种实现场景：
· 第一场景：静态密码在EIA服务器端校验，动态密码在RSA服务器端校验。
· 第二场景：静态密码和动态密码都在RSA服务器端校验。
本文档以第一场景为例，介绍RSA双因子认证的配置过程。
适用于需要使用动态密码的应用环境，比如银行系统，可以提高密码的安全性。
PC安装支持使用RSA动态密钥的iNode客户端，接入设备支持802.1X协议，网络中存在RSA服务器，用户具有RSA认证令牌。
某银行计划启用RSA认证系统，用户接入网络时向EIA服务器发送认证请求，EIA将认证请求转发给RSA服务器，由RSA服务器来验证用户身份。具体的组网如图1所示。
· EIA服务器IP地址为192.168.5.180，在集群部署环境中，会涉及EIA服务器IP地址使用北向业务虚IP还是所在实际节点IP的问题，该地址请务必填写为北向业务虚IP，查看方式如下：打开浏览器输入https://ip_address:8443/matrix/ui，打开matrix页面。其中，ip_address为北向业务虚IP或节点IP。
a. 选择“部署”页签，单击[集群]菜单项，切换至“集群参数”页签，进入集群参数页面。
b. 该页面中的北向业务虚IP即为EIA服务器的IP地址。
· RSA服务器IP地址为192.168.3.95。
· 接入设备IP地址为172.19.254.177。
· PC安装了Windows操作系统，并准备安装iNode客户端。
注：本案例中各部分使用的版本如下：
· EIA版本为EIA (E6205)
· 接入设备为H3C S5500-28C-EI Comware Software, Version 5.20, Release 2221P15
· iNode版本为iNode PC 7.3 (E0558)
配置EIA服务器时，需要配置以下功能：
· 增加接入设备
· 增加接入策略
· 增加接入服务
· 启用第三方认证策略
增加接入设备是为了建立EIA服务器和接入设备之间的联动关系。
增加接入设备的方法如下：
(1) 选择“自动化”页签，单击导航树中的“用户业务 > 接入服务”菜单项，进入接入服务页面。单击页面上“接入设备”链接，进入接入设备配置页面，如图2所示。
(2) 单击<增加>按钮，进入增加接入设备页面，如图3所示。
(3) 单击“设备列表”区域中的<增加IPv4设备>按钮，弹出增加接入设备窗口，如图4所示。输入接入设备的IP地址，单击<确定>按钮，返回增加接入设备页面。其中，接入设备的IP地址必须满足以下要求：
¡ 如果在接入设备上配置radius scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip的配置保持一致。
¡ 如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址或接口所在VLAN的虚接口IP地址。
图4 手工增加接入设备
(4) 配置公共参数。公共参数的配置要求如下：
¡ 认证端口：EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812。
¡ 计费端口：EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813。
目前仅支持将EIA同时作为认证和计费服务器，即不支持将EIA作为认证服务器，而其他服务器作为计费服务器的场景。
¡ 共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果在[自动化 > 用户业务 > 接入参数 > 系统配置 > 系统参数配置]中的“密钥显示方式”设置为明文时，只需输入一次共享密钥即可。
¡ 其他参数保持默认。
本例以共享密钥\确认共享密钥“movie”为例进行介绍，其他保持默认即可，如图5所示。
(5) 单击<确定>按钮，增加接入设备完毕，可在接入设备列表中查看新增的接入设备，如图6所示。
配置一个不进行任何接入控制的接入策略。增加接入策略的方法如下：
(1) 选择“自动化”页签，单击导航树中的“用户业务 > 接入服务”菜单项，进入接入服务页面。单击页面上“接入策略”链接，进入接入策略页面，如图7所示。
图7 接入策略管理页面
(2) 单击<增加>按钮，进入增加接入策略页面。由于不需要任何接入控制，所以只需输入接入策略名，本例以“Access Permit”为例，其他参数保持默认即可。如图8所示
部分参数说明：
¡ 接入时段：选择了某一接入时段策略后，使用此规则的用户只能在接入时段策略中定制的时间段内允许接入。
¡ 分配IP地址：是否下发用户IP地址。
¡ 上行、下行速率：根据设定的上下行速率来限制用户使用该规则上网时的上传、下载速率。
¡ 优先级：它的高低确定了在网络拥塞时转发报文的优先顺序，此参数应从设备支持的优先级中选取，数值越小优先级越高。配置错误可能导致用户无法上线。
¡ 首选EAP类型/子类型：进行EAP认证时，RADIUS服务器优先下发给客户端的EAP类型。包括：EAP-MD5、EAP-TLS、EAP-TTLS和EAP-PEAP。当首选EAP类型为EAP-TTLS和EAP-PEAP时，还需要首选EAP-MSCHAPv2，EAP-MD5和EAP-GTC其中的一种子类型。
- EAP-MD5：一种EAP认证方式，使用CHAP方式进行认证。
- EAP-TLS：是一种基于证书的身份认证，它需要PKI的部署来管理证书。它推荐进行服务器和客户端之间双向认证，认证双方是用证书来标识自己的身份。在认证通过之后，TLS的认证双方会协商出一个共享密钥、SessionId以及整套的加密套件（加密，压缩和数据完整性校验），这样认证双方就建立了一个安全可靠的数据传输通道。EAP-TLS是客户端和AAA服务器借助接入设备的透传，通过TLS协议进行的身份认证。EAP-TLS可以利用SessionId进行快速重认证，简化认证流程，加快认证速度，还对较大的TLS报文进行了分片处理。
- EAP-TTLS：是一种基于证书的身份认证，利用TLS认证在客户端和AAA服务器之间建立起一个安全通道，在安全通道内部再承载子类型。它具有保护用户标识和EAP认证的协商过程的作用。隧道内的子类型可以是EAP类型，也可以是非EAP类型。目前EIA支持TTLS下三个EAP的子类型（EAP-MSCHAPv2，EAP-MD5，EAP-GTC）。EIA在配置接入策略指定首选EAP类型为EAP-TTLS时，也必须首选一种EAP的子类型。在实际认证过程中，如果终端采用非EAP的子类型，如PAP，则终端可以忽略EIA的配置，使用终端配置的子类型进行认证。
- EAP-PEAP：是一种基于证书的身份认证，利用TLS认证在客户端和AAA服务器之间建立起一个安全通道，在安全通道上再发起EAP认证。它具有保护用户标识，保护EAP认证的协商过程的作用。目前EIA仅支持EAP-MSCHAPv2、EAP-MD5和EAP-GTC认证类型。
¡ EAP自协商：当客户端配置的EAP类型与EIA中配置的首选EAP类型不同时的处理方式。配置为“启用”时，EIA完全适应由客户端中配置的EAP认证方式，即无论客户端中配置什么类型的EAP认证，EIA都允许客户端继续认证。配置为“禁用”时，如果客户端配置的EAP类型与EIA中配置的首选EAP类型不同，则EIA拒绝其认证。
¡ 单次最大在线时长（分钟）：使用该策略的接入帐号认证成功后可在线的最长时间，单位为分钟。该参数默认值为空，表示不限制；最小值为1，最大值为1440。如果帐号在线时间超过该参数值，EIA则强制该用户下线。
¡ 下发地址池：输入地址池名称。EIA将地址池名称下发给接入设备，接入设备根据下发的地址池名称寻找设备上对应的地址池，然后给用户分配该地址池中的IP地址。只有下发设备上配置了对应的地址池，该功能才生效。
¡ 下发VLAN：设置向用户下发的VLAN，当接入设备类型为H3C(General)、Huawei(General)、HP(Comware)、3Com(General)时，如果配置的VLAN为1～4094，接入业务以整型的VLAN ID下发给设备，设备上的VLAN分配模式应为整型；所有其他值都以字符型VLAN NAME下发给设备，设备上VLAN分配模式应为字符型。其他设备类型都以字符型VLAN NAME下发给设备，设备上VLAN分配模式应为字符型，用户认证通过后将只能访问该VLAN的内部资源。
¡ 下发User Profile：将用户配置文件名称下发给设备，实现基于用户的QoS功能。只有下发设备上已经配置完成了User Profile，User Profile才生效。
¡ 下发用户组：用户认证通过后向设备下发该用户所属的用户组，可以输入多个组，每个组以分号分隔。与ACG1000联动或与SSL VPN设备配合时，该属性才有效 。
¡ 下发ACL：设置向用户下发的访问控制列表。ACL列表可以从以下两种方式选择：
- 手工输入。
- 接入ACL列表：其值可以在接入ACL策略管理配置。
¡ 离线检查时长（小时）：哑终端认证通过后向设备下发该参数，设备以该参数作为时间间隔，周期性检测哑终端是否已离线。该参数为空时，表示不检测；时长必须为整数，范围为[0,596523]。该参数只适用于哑终端。
¡ 认证绑定信息：目前接入策略管理与接入设备配合可对接入设备IP地址、端口、VLAN、QinQ双VLAN、接入设备序列号、用户IP地址、MAC地址、IMSI、IMEI、无线用户SSID和硬盘序列号进行绑定检查。iNode客户端与策略服务器配合可对用户IP地址、MAC地址、计算机名称、计算机域、用户登录域和硬盘序列号进行绑定检查。其中MAC地址绑定和IMSI绑定只能同时选择一个。当帐号用户申请具有绑定策略的服务时，可以设置相关的绑定信息，如果不设置，绑定时将采用自学习策略。所谓自学习就是绑定用户首次上网时所使用的相关参数，比如用户使用的服务采用自学习绑定用户IP地址，用户首次使用该业务上网时的IP地址为10.100.10.10，则今后用户只能通过使用这个IP地址才能通过认证。当同时勾选绑定用户IP地址和绑定用户IPV6地址时，只上报IP地址（IPV6地址），该地址校验正确即可通过认证，另外一个没有上报的不做绑定检查。
- 启用终端IP/MAC地址控制：该设置启用后，使用该策略的接入用户上线时，用户使用的IP/MAC地址属于允许接入的IP/MAC地址范围则可以成功上线，否则不能成功上线。接入IP/MAC地址的详细配置请参见终端IP/MAC地址池。
- 启用终端硬盘序列号控制：该设置启用后，使用该策略的接入用户上线时，如果该用户的硬盘序列号在允许接入硬盘序列号列表中，则用户成功上线，否则用户不能上线。特殊的，如果无法获取硬盘序列号则认证通过。只有在使用iNode PC客户端认证时该功能才生效。
- 启用无线SSID控制: 启用该功能后，使用该策略的接入用户采用无线方式上线时，如果无线SSID列表中的接入控制类型为“禁止接入”，则禁止终端通过无线SSID列表中的SSID接入网络；如果接入控制类型为“允许接入”，则只允许终端通过无线SSID列表中的SSID接入网络。该功能必须和iNode PC客户端配合使用，EIA一旦将无线SSID池下发给iNode客户端，iNode就会在终端上保存该配置。后续无论使用iNode客户端还是使用Windows自带客户端，不管是否到EIA中认证，该配置都一直生效。
授权下发需要设备支持对应属性，认证绑定需要设备在RADIUS属性中上传对应信息。本例不对设备进行任何下发，因此保持默认。
(3) 单击<确定>按钮，接入策略增加完毕。返回接入策略管理页面，可在接入策略列表中查看新增的接入策略，如图9所示。
接入服务是对用户进行认证授权的各种策略的集合。本例配置用户进入网络需进行RSA认证的接入服务。
增加接入服务的方法如下：
(1) 选择“自动化”页签。单击导航树中的“用户业务 > 接入服务”菜单项，进入接入服务页面，如图10所示。
图10 接入服务管理页面
(2) 单击<增加>按钮，进入增加接入服务页面。
配置接入服务参数如下：
· 服务名：输入服务名称，在EIA中必须唯一。本例为“RSA Authentication”。
· 服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表1。本例为“629”。
· 缺省接入策略：选择之前新增的接入策略。在下拉框中选择“Access Policy”。
· 其他参数：保持缺省值。
参数设置完成后的效果图如图11所示。
表1 EIA中服务后缀的选择
|
认证连接用户名 |
设备用于认证的Domain |
设备Radius scheme中的命令 |
EIA中服务的后缀 |
|
X@Y |
Y |
user-name-format with-domain |
Y |
|
user-name-format without-domain |
无后缀 |
||
|
X |
[Default Domain] 设备上指定的缺省域 |
user-name-format with-domain |
[Default Domain] |
|
user-name-format without-domain |
无后缀 |
(3) 单击<确定>按钮，完成增加接入服务。返回接入服务管理页面，可在接入服务列表中查看新增的接入服务，如图12所示。
EIA将认证请求转发给RSA服务器处理。RSA的验证结果决定用户是否能通过认证。RSA认证属于对第三方用户进行认证，因此需要在EIA中配置第三方认证的信息。
第三方认证配置的方法如下：
(1) 选择“自动化”页签，单击导航树中的“用户业务 > 业务参数 > 接入参数”菜单项，进入第三方认证配置页面，如图13所示。
(2) 点击“第三方认证策略”对应的“配置”
图标，进入第三方认证策略页面，如图14所示。
(3) 勾选“启用第三方认证”项，展开第三方认证配置区域。
勾选“第三方RADIUS认证”项，基本信息配置如下：
¡ IP地址：输入RSA服务器的IP地址，本例为“192.168.3.95”。
¡ 端口：输入认证的监听端口，此处的配置必须与RSA服务器配置台的认证端口一致，本例为“1812”。
¡ 密钥/确认密钥：输入认证的密钥，此处的配置必须与RSA服务器上RSA Client处填写的密钥一致，本例为“mytest”。
¡ 本地密码：输入第三方RADIUS认证用户的静态密码，本例为“123”。
¡ 密码检查类型：在下拉框中选择“第三方密码+本地密码”。
¡ 选择之前增加的接入服务“RSA Authentication”。
· 该案例使用第一场景，本地密码即静态密码，在EIA服务器校验。所有用户初始本地密码相同，用户可以登录自助服务平台修改。
· 无论哪种场景，即无论密码检查类型选择“第三方密码”还是“第三方密码＋本地密码”，登录自助服务平台都是使用第三方密码，即动态密码。
参数设置完成后的效果图如图15所示。
图15 RSA认证设置
(4) 单击<确定>按钮，第三方认证配置增加完毕。返回第三方认证配置页面，可在列表中查看启用的第三方认证策略，如图16所示。
接入设备用于控制用户的接入。通过认证的用户可以接入网络，未通过认证的用户无法接入网络。
以下使用Windows的CLI窗口telnet到接入设备并进行配置，具体的命令及其说明如下：
<H3C>system-view
System View: return to User View with Ctrl+Z.
//认证、计费服务器都指向EIA，认证、计费端口与EIA中增加接入设备时的配置保持一致。
[H3C]radius scheme zzpermit
New Radius scheme
[H3C-radius-zzpermit]primary authentication 192.168.5.180 1812
[H3C-radius-zzpermit]primary accounting 192.168.5.180 1813
//认证、计费共享密钥与EIA中增加接入设备时的配置保持一致，本例为“fine”。
[H3C-radius-zzpermit]key authentication fine
[H3C-radius-zzpermit]key accounting fine
//本地采用携带Domain的认证方式。EIA、设备中配置的搭配关系请参见3. (2)表1。
[H3C-radius-zzpermit]user-name-format with-domain
[H3C-radius-zzpermit]quit
//根据3. (2)表1中的搭配，domain的名称必须与EIA中服务的后缀保持一致，本例为“629”。
[H3C]domain 629
New Domain added.
//认证、授权、计费都采用之前配置的Radius scheme zzpermit。
[H3C-isp-629]authentication lan-access radius-scheme zzpermit
[H3C-isp-629]authorization lan-access radius-scheme zzpermit
[H3C-isp-629]accounting lan-access radius-scheme zzpermit
[H3C-isp-629]quit
//只有在全局和接口上都启用802.1X认证，802.1X认证才生效。
[H3C]dot1x
802.1X is enabled globally.
[H3C]dot1x interface GigabitEthernet2/0/19
802.1X is enabled on port GigabitEthernet2/0/19.
//802.1X的认证方式包括PAP、CHAP和EAP。进行RSA认证，必须设置为PAP；因为目前RSA仅支持如下几种认证方式：PAP，PEAP-MD5，PEAP-GTC。
[H3C]dot1x authentication-method pap
PAP authentication is enabled.
(1) 在RSA服务器上登录RSA Security Console，选择“Identity > Users > Add New”项，如图17所示。
图17 RSA Security Console-Add New Users
(2) 如图18所示，增加用户“rose”。
· 在第一场景中，此处配置的RSA用户密码仅用于登录RSA服务器。
· 在第二场景中，此处配置的RSA用户密码作为用户认证的静态密码。
(3) 为用户分配Token，有如下两种方法：
¡ 选择“Identity > Users >
Manage Existing”项，点击用户“rose”右侧的
，在弹出的下拉列表中选择“SecurID Tokens”项，选择需要为用户分配的Token。
¡ 选择“Authentication > SecurID
Tokens > Manage Existing > Unassigned”项，点击Token右侧的
，在弹出的下拉列表中选择“Assign to User”项，选择待分配该Token的用户。
(1) 在RSA服务器上登录RSA Security Console，选择“RADIUS > RADIUS Clients > Add New”项，如图19所示。
图19 RSA Security Console-Add New Clients
(2) 如图20所示，添加EIA为RADIUS Client方法如下：
a. 输入客户端名称，本例为“192.168.5.180”。
b. 客户端IP地址配置必须为EIA服务器IP地址，本例为“192.168.5.180”。
c. 共享密钥配置必须与在EIA服务器上增加RSA认证配置时设置的密钥保持一致，本例为“mytest”。
(3) 单击<Save and Create Associated RSA Agent>按钮，增加与该RADIUS Client关联的RSA Agent，如图21所示。
(4) 单击<Save>按钮，增加RADIUS Client及与其关联的RSA Agent完成。
图22 查看RSA服务器上认证监听端口
认证步骤如下：
注意，iNode客户端版本必须与EIA配套且支持RSA动态密钥，具体的配套关系请参见EIA版本说明书。
(1) 在iNode PC客户端主页面，选择“802.1X连接”，展开802.1X连接区域，如图23所示。
图23 iNode客户端主界面
(2) 点击802.1X连接区域的“更多”图标
，选择“属性”项，如图24所示，弹出属性设置窗口。
(3) 如图25所示，勾选“使用动态密码校验”项，单击<确定>按钮，返回iNode客户端主页面。
(4) 配置用户名、密码和域，如图26所示，单击<连接>按钮，进入动态密码配置界面。
(5) 输入RSA认证令牌上的密钥，如图27所示，单击<确定>按钮。
认证成功的界面如图28所示，验证了本案例的配置正确。
如果是在第二场景中，即静态密码和动态密码都在RSA服务器端校验，iNode不必定制动态密码校验或属性中去勾选“使用动态密码校验”项。用户的密码形式是“RSA用户静态密码+RSA用户动态密码”。如RSA用户“Tom”在RSA服务器上的静态密码是“abc”，认证令牌生成的动态密码是“1234”，那在(4)图26的密码输入框中配置“abc1234”，单击<连接>按钮，即可完成认证。
选择“监控”页签。单击导航树中的“监控列表 >在线用户”菜单项，查看在线用户，如图29所示。
支持
