交换机端口安全(ACS验证和MAC地址绑定)

前言

<一>应用ACS验证方案：

拓扑图

设备要求：

交换机quidway 2403H-HI  1台

防火墙H3C F100-C        1台

主机                    4台

DHCP Server（CentOS6.4系统）

AAA Server（win server2003系统）

实验所需软件：

jdk-7-windows-i586

acs4.0-build-24

H3C_8021XClient

地址规划:

eth0/0   1.1.1.2/24

eth0/0.1 192.168.10.1/24 vlan10

eth0/0.2 192.168.20.1/24 vlan20

eth0/0.3 192.168.30.1/24 vlan30

DHCP Server 192.168.30.100/24

AAA Server  192.168.30.200/24

PC1  192.168.10.100/24

PC2  192.168.20.100/24

具体配置步骤：

DHCP server配置

将以下内容添加至/etc/dhcp/dhcpd.conf中即可。

option domain-name-servers 222.88.88.88, 222.85.85.85;

default-lease-time 600;

max-lease-time 7200;

log-facility local7;

subnet 192.168.30.0 netmask 255.255.255.0 {

}

subnet 192.168.10.0 netmask 255.255.255.0 {

range 192.168.10.2 192.168.10.254;

option routers 192.168.10.1;

option domain-name "tec.com";

}

subnet 192.168.20.0 netmask 255.255.255.0 {

range 192.168.20.2 192.168.20.254;

option routers 192.168.20.1;

option domain-name "mkt.com";

}

FW-1配置：

<FW-1>system-view

System View: return to User View with Ctrl+Z.

[FW-1]int eth0/0

[FW-1-Ethernet0/0]ip add  1.1.1.2 24

[FW-1-Ethernet0/0]quit

[FW-1]int eth0/0.1

[FW-1-Ethernet0/0.1]vlan-type dot1q vid 10

[FW-1-Ethernet0/0.1]ip add 192.168.10.1 24

[FW-1-Ethernet0/0.1]int eth0/0.2          

[FW-1-Ethernet0/0.2]vlan-type dot1q vid 20

[FW-1-Ethernet0/0.2]ip add 192.168.20.1 24

[FW-1-Ethernet0/0.2]int eth0/0.3

[FW-1-Ethernet0/0.3]vlan-type dot1q vid 30        

[FW-1-Ethernet0/0.3]ip add 192.168.30.1 24

[FW-1-Ethernet0/0.3]quit

[FW-1]firewall zone trust

[FW-1-zone-trust]add int eth0/0

[FW-1-zone-trust]add int eth0/0.1  

[FW-1-zone-trust]add int eth0/0.2

[FW-1-zone-trust]add int eth0/0.3

[FW-1-zone-trust]quit

[FW-1]undo insulate

[FW-1]dhcp enable

DHCP task has already been started!

[FW-1]dhcp select relay interface eth0/0.1 to eth0/0.2

[FW-1]int eth0/0.1

[FW-1-Ethernet0/0.1]ip relay add 192.168.30.100

[FW-1-Ethernet0/0.1]int eth0/0.2              

[FW-1-Ethernet0/0.2]ip relay add 192.168.30.100

[FW-1]radius scheme abc

New Radius scheme

[FW-1-radius-abc]primary authentication 192.168.30.200

[FW-1-radius-abc]key authentication 123456

[FW-1-radius-abc]server-type extended

[FW-1-radius-abc]user-name-format without-domain

[FW-1-radius-abc]accounting optional

[FW-1-radius-abc]quit

[FW-1]domain tyedu.com

New Domain added.

[FW-1-isp-tyedu.com]radius-scheme abc

[FW-1-isp-tyedu.com]accounting optional

[FW-1-isp-tyedu.com]access-limit enable 100

SW1配置：

[Quidway]sysname SW1

[SW1]int vlan 1

[SW1-Vlan-interface1]ip add 1.1.1.1 24

[SW1-Vlan-interface1]quit

[SW1]ip route-static 0.0.0.0 0.0.0.0 1.1.1.2

[SW1]vlan 10                                      

[SW1-vlan10]port e1/0/10  

[SW1-vlan10]vlan 20

[SW1-vlan20]port e1/0/20

[SW1-vlan20]vlan 30

[SW1-vlan30]port e1/0/23  e1/0/24

[SW1-vlan30]quit

[SW1]int e1/0/22

[SW1-Ethernet1/0/22]port link-type trunk

[SW1-Ethernet1/0/22]port trunk permit vlan all

[SW1-Ethernet1/0/22]dis vlan

Now, the following VLAN exist(s):

1(default), 10, 20, 30

[SW1]dot1x

802.1X is enabled globally.

[SW1]int e1/0/10

[SW1-Ethernet1/0/10]dot1x

802.1X is enabled on port Ethernet1/0/10.

[SW1-Ethernet1/0/10]quit

[SW1]int e1/0/20

[SW1-Ethernet1/0/20]dot1x

802.1X is enabled on port Ethernet1/0/20.

[SW1-Ethernet1/0/20]quit

[SW1]radius scheme xxx

New Radius scheme

[SW1-radius-xxx]primary authentication 192.168.30.200

[SW1-radius-xxx]key authentication 123456

[SW1-radius-xxx]server-type huawei

[SW1-radius-xxx]user-name-format without-domain

[SW1-radius-xxx]accounting optional

[SW1-radius-xxx]quit

[SW1]domain tyedu.com

New Domain added.

[SW1-isp-tyedu.com]radius-scheme xxx

[SW1-isp-tyedu.com]accounting optional

[SW1-isp-tyedu.com]access-limit enable 100

在server2003中安装ACS(需要先安装JDK):

添加华为私有属性

将h3c.ini文件拷贝到C盘根目录下。

以下是h3c.ini文本内容(可以直接复制保存为h3c.ini即可)

[User Defined Vendor]

Name=Huawei

IETF Code=2011

VSA 29=hw_Exec_Privilege

[hw_Exec_Privilege]

Type=INTEGER

Profile=IN OUT

Enums=hw_Exec_Privilege-Values

[hw_Exec_Privilege-Values]

0=Access

1=Monitor

2=Manager

3=Administrator

将华为私有属性添加至acs安装目录bin下。

查看，已添加成功。

配置ACS：

配置AAA Server，服务器的key要和客户端的key保持一致。

配置AAA Client-SW1，选择华为私有属性。

配置AAA Client-FW-1，选择华为私有属性。

查看配置。

添加两个账号，test1用于验证主机(属于Default Group),test2用于验证设备(属于Group 1)。

在测试主机中安装H3C_8021XClient,登录测试。

vlan 10(技术部)PC1测试结果。

vlan 20(市场部)PC2测试结果。

要求测试主机能telnet设备，并且账号要经过ACS验证(拥有超级管理员权限)。

首先在Network Configuration→RADIUS(Huawei)中应用华为私有属性。

如果测试主机想要telnet远程管理设备（SW1和FW-1),必须进入组中把telnet打开，并且应用华为私有属性。

打开telnet

应用华为私有属性，并选择管理员权限。

telnet SW1，使用test2账号登录，测试成功，并且具有超级管理员权限。

telnet FW-1(telnet 1.1.1.2也可进入)，使用test2账号登录，测试成功，并且具有超级管理员权限。

<二>应用MAC地址验证方案：

具体配置步骤：

[SW1]mac-authentication

MAC-authentication is enabled globally.

[SW1]mac-authentication authmode usernameasmacaddress usernameformat without-hyphen

[SW1]int e1/0/20

[SW1-Ethernet1/0/20]mac-authentication

MAC-authentication is enabled on port Ethernet1/0/20

[SW1-Ethernet1/0/20]int e1/0/10      

[SW1-Ethernet1/0/10]mac-authentication

MAC-authentication is enabled on port Ethernet1/0/10

[SW1-Ethernet1/0/10]quit

[SW1]dis mac-authentication int e1/0/20

Ethernet1/0/20 is link-up

 MAC address authentication  is Enabled

 Authenticate success: 1, failed: 0

 Current online user number is 1

   MAC ADDR         Authenticate state           AuthIndex

   001c-2596-2e0e   MAC_AUTHENTICATOR_SUCCESS     21

在ACS中添加测试主机的MAC地址，作为账号和密码。

测试主机结果：