架设Radius服务器 802.1x
思科交换机802.1X认证环境配置
思科交换机802.1X认证环境配置1.1.1.1 ：配置IP地址configure terminal 进入全局的配置模式配置命令：ip address举例：ip address 192.168.1.253 255.255.255.01.1.1.2 ：配置Radius认证服务器地址configure terminal 进入全局的配置模式配置命令：radius-server host <0.0.0.0> auth-port <port> acct-port <port> key <Key> 举例：radius-server host 192.168.1.254 auth-port 1812 acct-port 1813 key test radius-server retransmit 3 和Radius默认重传3次。
1.1.1.3 ：配置Dot1X认证configure terminal 进入全局的配置模式aaa new-model 运行AAA模式。
aaa authentication dot1x default group radius 创建一个802.1X认证的方式列表dot1x system-auth-control 在交换机上全局允许802.1X认证nterface <interface-id> 在指定的端口上启用802.1X认证举例：interface fastethernet0/1说明：1：例子中的是第一个端口，端口的书写必须是:0/<端口号>2：当端口启用802.1X认证之后应该显示是桔红色，而没有启用的显示的是绿色。
switchport mode accessdot1x port-control auto 以上两个命令是允许在端口上启用802.1X认证。
End 配置结束Show dot1x 查看您的dot1x认证配置copy running-config startup-config 保存您的配置到配置文件中。
802.1X集成Radius认证
802.1X集成Radius认证802.1X是一种网络访问控制协议，它提供了对网络中用户和设备的认证和授权。
Radius（远程身份验证拨号用户服务）是一种用于网络访问控制的认证和授权协议。
802.1X集成Radius认证意味着将这两种协议结合在一起使用，以增强网络的安全性和管理能力。
802.1X协议的主要目的是验证连接到LAN或WLAN的用户或设备的身份，并根据他们的认证状态控制他们的访问权限。
它是一种基于端口的认证方法，只有在用户或设备提供有效的凭证后，才能建立网络连接。
这可以防止未授权的用户或设备访问网络资源，保护网络的安全性。
Radius协议是一种用于网络认证和授权的协议，它通过对用户身份进行验证，并为其分配相应的权限和访问级别来控制网络访问。
Radius服务器负责处理用户认证请求，并与认证服务器进行通信进行身份验证和授权。
集成Radius认证意味着802.1X协议将使用Radius服务器来处理认证请求和授权决策。
802.1X集成Radius认证提供了许多优势。
首先，它增强了网络的安全性。
通过要求用户或设备提供有效的凭证，并通过Radius服务器进行身份验证，可以防止未经授权的用户或设备访问网络资源。
这可以减少网络攻击的风险，保护敏感数据和资源的安全性。
其次，802.1X集成Radius认证提供了更好的管理能力。
通过使用Radius服务器，网络管理员可以更轻松地管理和控制用户对网络资源的访问。
他们可以根据用户的身份和权限，对其进行精确的访问控制。
此外，管理员还可以跟踪和审计用户的网络活动，以确保他们的行为符合网络策略和合规要求。
另外，802.1X集成Radius认证还可以支持灵活的网络配置和部署。
由于Radius协议的灵活性，网络管理员可以根据实际需求和网络拓扑来配置和部署认证和授权策略。
他们可以定义不同的认证方法、访问权限和策略，并将其应用到不同的网络设备和用户上。
最后，802.1X集成Radius认证还提供了互操作性。
802.1X 典型配置
802.1X 典型配置1. 组网需求要求在端口Ethernet1/1 上对接入用户进行认证，以控制其访问Internet；接入控制方式要求是基于MAC 地址的接入控制。
所有接入用户都属于一个缺省的域：，该域最多可容纳30 个用户；认证时，先进行RADIUS 认证，如果RADIUS 服务器没有响应再转而进行本地认证；计费时，如果RADIUS计费失败则切断用户连接使其下线。
由两台RADIUS 服务器组成的服务器组与Device 相连，其IP 地址分别为10.1.1.1 和10.1.1.2，使用前者作为主认证/备份计费服务器，使用后者作为备份认证/主计费服务器。
设置系统与认证RADIUS 服务器交互报文时的共享密钥为name、与计费RADIUS 服务器交互报文时的共享密钥为money。
设置系统在向RADIUS 服务器发送报文后5 秒种内如果没有得到响应就向其重新发送报文，发送报文的次数总共为5 次，设置系统每15 分钟就向RADIUS 服务器发送一次实时计费报文。
设置系统从用户名中去除用户域名后再将之传给RADIUS 服务器。
本地802.1X 接入用户的用户名为localuser，密码为localpass，使用明文输入；闲置切断功能处于打开状态，正常连接时用户空闲时间超过20 分钟，则切断其连接。
2. 组网图3. 配置步骤# 配置各接口的IP 地址（略）。
# 添加本地接入用户，启动闲置切断功能并设置相关参数。
<Device> system-view[Device] local-user localuser[Device-luser-localuser] service-type lan-access[Device-luser-localuser] password simple localpass[Device-luser-localuser] authorization-attribute idle-cut 20 [Device-luser-localuser] quit# 创建RADIUS 方案radius1 并进入其视图。
Windows server 2008 AD + RADIUS + 802.1X认证配置
Windows server 2008 AD + RADIUS + 802.1X认证配置Iowa[破[一路下一步直到安装至此证书服务安装完成，然后给这台服务器申请证书，如下一、RADIUS安装与配置二、802.1x配置1.2960交换机配置交换机全局配置：Switch(config)#aaa new-model //开启AAA认证Switch(config)#aaa authentication dot1x default group radius //dot1x采用radius认证Switch(config)# radius-server host 192.168.6.200 auth-port 1812 acct-port 1813 key 123456 //指定radius服务器的IP地址、端口号及与radius服务器通讯的密钥为123456配置radius服务器时需要用到此密钥Switch(config)#dot1x system-auth-control //全局启用dot1x认证交换机接口配置：Switch(config)#interface FastEthernet0/1 //进入1号接口Switch(config-if)#switchport mode access //指定接口为access类型，只有此模式下的端口才支持802.1xSwitch(config-if)#authentication port-control auto //接口启用dot1x认证，并指定接口认证控制模式为自动Switch(config-if)#dot1x pae authenticator //设定这个接口为802.1x认证接口（即弹出提示用户输入用户密码的窗口，并负责将用户输入的用户密码传给radius服务器进行认证）Switch(config-if)#spanning-tree portfast //加快认证的速度，可选Switch(config-if)#authentication host-mode multi-auth //指定该接口的认证模式为多用户认证（即该接口下接交换机时要启用这个模式，可选）Switch(config-if)#authentication violation protect //当身份验证失败时将此端口至于受保护的模式（可选）Switch(config)#interface vlan 1 //进入vlan1虚拟接口Switch(config-if)#ip address 192.168.6.200 255.255.255.0 //配置交换机的管理地址（即和radius服务器通讯的IP地址）此地址在配置radius服务器时要用到2.华为5600交换机配置全局配置：[Quidway]dot1x //全局开启dot1x认证[Quidway] dot1x authentication-method eap md5-challenge //指定dot1x采用的认证方法[Quidway]radius scheme 802.1x //定义radius认证服务器802.1x的相关属性[Quidway-radius-802.1x]server-type standard //定义radius服务采用标准形式[Quidway-radius-802.1x] primary authentication 192.168.6.200 //指定认证服务器的地址[Quidway-radius-802.1x] key authentication 123456 //指定认证与认证服务器通讯的密钥[Quidway-radius-802.1x]user-name-format without-domain //定义登陆用户名的格式[Quidway]domain 802.1x //定义802.1x域的相关属性[Quidway-isp-802.1x]scheme radius-scheme 802.1x //应用上面定于的radius服务器802.1x [Quidway-isp-802.1x]accounting optional //设置审计为可选[Quidway]domain default enable 802.1x //设定默认域采用802.1x域接口配置：[Quidway]interface g 1/0/12 //进入12号接口[Quidway-GigabitEthernet1/0/12]port link-type access //指定端口模式为access[Quidway-GigabitEthernet1/0/12]dot1x //开启dot1x认证[Quidway-GigabitEthernet1/0/12]dot1x port-control auto //端口控制采用自动模式[Quidway-GigabitEthernet1/0/12]dot1x port-method macbased//采用基于mac地址的认证三、PC机配置（win7）此过程可能需要输入域管理员的账密，输入即可（一般为administrator）然后会弹出确认框，点击是，然后重新打开浏览器申请证书更改本地连接属性时会弹出需要域管理员的权限才可以修改属性，输入域管理员的账密即可（一般为administrator）。
WC9500 如何配置内置 Radius Server 的无线 802 1x 认证
WC9500 如何配置内置Radius Server 的无线802 1x 认证WC9500除了支持外置的Radius Server之外，本身也内置了Radius Server功能，下面就简单介绍一下如何配置Windows XP无线客户端结合WC9500内置Radius Server的802.1X认证一、网络拓扑二：设置步骤。
1. 首先将WC9500启用DHCP，并关联上WNDAP350，具体的配置可参考文档“WC9500 如何关联AP”。
2. 配置WC9500 的内置Radius 认证服务器。
a. 登陆WC9500的管理界面，WC9500的管理ip是192.168.0.250，默认的用户名和密码是admin/password。
b. 点击Configuration—Security—Authentication Serverc. 选择“Internal Authentication Server”，点击“APPLY”。
d. 提示是否要更改认证服务器类型，点击“确定”。
3. 添加内置Radius 认证帐户。
a. 点击—Maintenance—User Management—WiFi Clientsb. 点击“ADD”，添加内置Radius 认证帐户test，密码test，由于Windows XP 无线客户端只支持PEAP认证方式，所以Authentication Type选PEAP，最后点击“APPLY”。
4. 配置无线SSID 的802.1X 认证a. 点击Configuration—Profile—Basic—Radio（ap是在basic组）。
b. 设置SSID，加密方式和认证服务器类型5. 设置客户端的无线认证连接（Windows XP 自带无线客户端）a. 右键无线网络连接—属性—无线网络配置b. 点击“添加”，设置各参数c. 点击“验证”，选择“受保护的EAP（PEAP）”d. 点击“属性”，取消“验证服务器证书”e. 点击配置，取消“自动使用Windows登录名和密码”f. 点击“确定”后电脑右下角的无线网络连接会弹出以下提示g. 点击该提示，输入之前设置的Radius认证的账号和密码h. 验证成功后，无线网络显示已连接上。
搭建radius服务器(全)
802.1X认证完整配置过程说明802.1x认证的网络拓布结构如下图：认证架构1、当无线客户端在AP的覆盖区域内，就会发现以SSID标识出来的无线信号，从中可以看到SSID名称和加密类型，以便用户判断选择。
2、无线AP配置成只允许经过802.1X认证过的用户登录，当用户尝试连接时，AP会自动设置一条限制通道，只让用户和RADIUS服务器通信，RADIUS服务器只接受信任的RADIUS客户端（这里可以理解为AP或者无线控制器），用户端会尝试使用802.1X，通过那条限制通道和RADIUS服务器进行认证。
3、RADIUS收到认证请求之后，首先会在AD中检查用户密码信息，如果通过密码确认，RADIUS会收集一些信息，来确认该用户是否有权限接入到无线网络中，包括用户组信息和访问策略的定义等来决定拒绝还是允许，RADIUS把这个决定传给radius客户端（在这里可以理解为AP或者无线控制器），如果是拒绝，那客户端将无法接入到无线网，如果允许，RADIUS还会把无线客户端的KEY传给RADIUS客户端，客户端和AP会使用这个KEY加密并解密他们之间的无线流量。
4、经过认证之后，AP会放开对该客户端的限制，让客户端能够自由访问网络上的资源，包括DHCP，获取权限之后客户端会向网络上广播他的DHCP请求，DHCP服务器会分配给他一个IP地址，该客户端即可正常通信。
我们的认证客户端采用无线客户端，无线接入点是用TP-LINK，服务器安装windows Server 2003 sp1；所以完整的配置方案应该对这三者都进行相关配置，思路是首先配置RADIUS server 端，其次是配置无线接入点，最后配置无线客户端，这三者的配置先后顺序是无所谓的。
配置如下：配置RADIUS server步骤：配置RADIUS server 的前提是要在服务器上安装Active Directory ,IAS（internet验证服务），IIS管理器（internet信息服务管理器），和证书颁发机构；在AD和证书服务没有安装时，要先安装AD然后安装证书服务，如果此顺序反了，证书服务中的企业根证书服务则不能选择安装；一：安装AD，IIS安装见附件《AD安装图文教程》二：安装IAS1、添加删除程序—》添加删除windows组件2、选择“网络服务”，点击“详细信息”3、选择“Internet验证服务”，点击“确定”4、点击“下一步”，windows会自动安装IAS。
802.1X和RADIUS和AAA它们三者之间的关系？
802.1X和RADIUS和AAA它们三者之间的关系？802.1X和RADIUS和AAA它们三者之间的关系？Radius 远程接入验证服务器,也就是认证用的AAA 就是Radius服务器实现的功能:验证,计费和授权802.1x不知道怎样解析,反正最早期是用在无线网络的验证协议,现在好多校园网都使用这种验证方式Radius不一定用于验证802.1x用户,还可以用户其他用途,如PPPOE验证(ADSL普遍使用PPPOE),vpn拨号验证等等...举两个例子:PPPOE验证PC---PPPOE接入服务器----互联网----Radius服务器802.1xPC-交换机(带Radius客户端功能)---Radius服务器而这两个情况完全可以使用同一个Radius服务器进行统一认证管理AAA是验证、授权和记账（Authentication、Authorization、Accounting ）三个英文单词的简称。
其主要目的是管理哪些用户可以访问网络服务器，具有访问权的用户可以得到哪些服务，如何对正在使用网络资源的用户进行记账。
1、验证(Authentication): 验证用户是否可以获得访问权限；2、授权(Authorization) : 授权用户可以使用哪些服务；3、记账(Accounting) : 记录用户使用网络资源的情况。
目前RADIUS（Remote Authentication Dial In User Service）协议是唯一的AAA标准，在IETF的RFC 2865和2866中定义的。
RADIUS 是基于UDP 的一种客户机/服务器协议。
RADIUS客户机是网络访问服务器，它通常是一个路由器、交换机或无线访问点。
802.1X用户的RADIUS认证
802.1X用户的RADIUS认证、授权和计费配置1. 组网需求在图1-26所示的组网环境中，需要实现使用RADIUS服务器对通过Switch接入的802.1X用户进行认证、授权和计费。
●在接入端口GigabitEthernet1/0/1上对接入用户进行802.1X认证，并采用基于MAC地址的接入控制方式，即该端口下的所有用户都需要单独认证；●Switch与RADIUS服务器交互报文时使用的共享密钥为expert，认证/授权、计费的端口号分别为1812和1813，向RADIUS服务器发送的用户名携带域名；●用户认证时使用的用户名为dot1x@bbb。
●用户认证成功后，认证服务器授权下发VLAN 4，将用户所在端口加入该VLAN，允许用户访问该VLAN中的网络资源。
●对802.1X用户进行包月方式计费，费用为120元/月，以月为周期对用户上网服务的使用量按时长进行统计，允许每月最大上网使用量为120个小时。
2. 组网图图1-26 802.1X用户RADIUS认证、授权和计费配置组网图3. 配置步骤●请按照组网图完成端口和VLAN的配置，并保证在用户通过认证后能够自动或者手动更新IP地址与授权VLAN中的资源互通。
●下面以iMC为例（使用iMC版本为：iMC PLAT 3.20-R2606、iMC UAM3.60-E6206、iMC CAMS 3.60-E6206），说明RADIUS server的基本配置。
(1)配置RADIUS server# 增加接入设备。
登录进入iMC管理平台，选择“业务”页签，单击导航树中的[接入业务/接入设备配置]菜单项，进入接入设备配置页面，在该页面中单击“增加”按钮，进入增加接入设备页面。
●设置与Switch交互报文时的认证、计费共享密钥为“expert”；●设置认证及计费的端口号分别为“1812”和“1813”；●选择业务类型为“LAN接入业务”；●选择接入设备类型为“H3C”；●选择或手工增加接入设备，添加IP地址为10.1.1.2的接入设备；●其它参数采用缺省值，并单击<确定>按钮完成操作。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
架设Radius服务器802.1X口令服务器1. 安装mysql
本人用的是光盘上的RPM包
rpm -ivh mysql-3.23.41.1.i386.rpm
rpm -ivh mysql-devel-3.23.41.1.i386.rpm
rpm -ivh mysql-server-3.23.41.1.i386.rpm
rpm -ivh mysqlclient9-3.23.22-6.i386.rpm
启动mysql服务
service mysqld start
更改mysql的root密码（注意：mysql的root 和系统的root是2个不用的概念）mysql -uroot -p
创建radius数据库
creat database radius;
use mysql;
update
允许远程机器连接
update user set host='%' where user='root';
退出及重新启动mysql
quit
service mysqld restart
2. 安装openSSL
本人也是用的光盘上的RPM包
rpm -ivh openssl095a-0.9.5a-11.i386.rpm
rpm -ivh openssl096-0.9.6-6.i386.rpm
3. 安装freeradius
从上下载freeraidus,本文版本是0.8.1 编译和安装
tar xvfz freeradius.tar.gz
cd xvfz freeradius-0.8.1
注：如果mysql不是安装在/usr/local/目录下需要做个连接：ln -s /PATH/mysql/ /usr/local/mysql
./configure
make
make install
建立mysql的数据库radius的表
cd src/modules/rlm_sql/drivers/rlm_sql_mysql
mysql -uroot -p密码radius <db_mysql.sql
更改freeradius的设置
cd /usr/local/etc/raddb
更改radiusd.conf,让其支持sql (如下面所说)
authorize {
preprocess
chap
mschap
suffix
sql
}
accouting {
….
sql
…
}
更改sql.conf
server="localhost"
login="root"
password="mysql的root的密码"
radius_db="radius"
更改client.conf支持所用的NAS具体可以看该文档，要注意的是secret是NAS和radius服务器的共享密码
数据库加入测试账号
加入组
mysql -uroot -p密码radius
insert into radgroupreply (GroupName,Attribute,op,Value) values
('user','Auth-Type',':=','Local');
insert into radgroupreply (GroupName,Attribute,op,value) values
('user','Service-Type',':=','Framed-User');
insert into radgroupreply (GroupName,Attribute,op,value) values
('user','Framed-IP-Address',':=','255.255.255.254');
insert into radgroupreply (GroupName,Attribute,op,value) values
('user','Framed-IP-Netmask',':=','255.255.255.0');
加入测试账号
insert into radcheck (UserName,Attribute,op,Value) values
('test','User-Password',':=','test');
测试账号加入组
insert into usergroup (UserName,GroupName) values ('test','user');
4. 启动radius服务、测试账号
启动到debug模式
radiusd -X
有时候会报找不到文件rlm_sql_mysql这个时候只要把库文件加入系统搜索的目录里比如：
cp /usr/local/lib/* /usr/lib
测试账号
radtest test teset localhost 0 testing123
如果能看到radius的应答，恭喜服务器设置成功了。