802.1X實(shí)名認(rèn)證上網(wǎng)策略實(shí)踐

文/荊雪蕾

802.1X實(shí)名認(rèn)證上網(wǎng)策略實(shí)踐

文/荊雪蕾

聊城大學(xué)802.1X認(rèn)證管理系統(tǒng)的實(shí)施，使曾經(jīng)常發(fā)生的IP地址盜用、非法設(shè)備接入等問(wèn)題，得到了有效解決。

聊城大學(xué)校園網(wǎng)現(xiàn)狀

聊城大學(xué)校園網(wǎng)經(jīng)過(guò)16年的發(fā)展,校園網(wǎng)出口總帶寬為公網(wǎng)5000M（聯(lián)通3G和移動(dòng)2G）和教育網(wǎng)155M，校園網(wǎng)覆蓋了兩個(gè)校區(qū)的100多座樓宇,聯(lián)網(wǎng)計(jì)算機(jī)用戶接近10000臺(tái),并且已成為學(xué)校一卡通、郵件系統(tǒng)、圖書(shū)館、電子檔案管理、安保系統(tǒng)、數(shù)字化考場(chǎng)和節(jié)能管理系統(tǒng)等應(yīng)用的“中流砥柱”。如此龐大的校園網(wǎng)應(yīng)用，而校園網(wǎng)管理部門(mén)的人員是有限的(具體負(fù)責(zé)此項(xiàng)工作的僅5個(gè)人),面對(duì)開(kāi)放的網(wǎng)絡(luò)應(yīng)用、紛雜的操作系統(tǒng)和軟件、參差不齊的用戶操作水平、還有惡意或者善意的冒險(xiǎn)用戶等,如何保障校園網(wǎng)的高可用性、高穩(wěn)定性和高安全性?為了使工作順利進(jìn)行，作為網(wǎng)絡(luò)運(yùn)行與維護(hù)組的人員，我們進(jìn)行了大量的實(shí)踐探索，終于找出了適合學(xué)校的一些方式，希望可以為其他高校提供參考方案。聊城大學(xué)校園網(wǎng)絡(luò)拓?fù)鋱D如圖1所示。

802.1X認(rèn)證管理的實(shí)施

聊城大學(xué)目前在全校范圍內(nèi)實(shí)行了802.1X認(rèn)證上網(wǎng)。采用802.1X認(rèn)證計(jì)費(fèi)系統(tǒng)后，對(duì)接入用戶進(jìn)行用戶賬號(hào)與IP、MAC、端口等多元素綁定，以惟一確定用戶；網(wǎng)絡(luò)中的非法用戶由于無(wú)法通過(guò)認(rèn)證，支持802.1X的交換機(jī)此端口在物理上將此用戶隔離在網(wǎng)絡(luò)之外。一些煩惱的問(wèn)題都不存在，如經(jīng)常發(fā)生的IP地址盜用、非法設(shè)備接入等。用戶不啟動(dòng)客戶端，其上連端口是禁止?fàn)顟B(tài)，與外界的網(wǎng)絡(luò)是隔離狀態(tài)，避免了原有網(wǎng)絡(luò)實(shí)時(shí)在線，經(jīng)常被掃描的情況。日志服務(wù)器記錄有用戶完整的訪問(wèn)記錄，包括源IP、目的IP、源端口、目的端口、源MAC、目的MAC、訪問(wèn)開(kāi)始時(shí)間、訪問(wèn)結(jié)束時(shí)間、發(fā)送流量、接受流量等，通過(guò)日志管理查詢(xún)系統(tǒng)，可以對(duì)日志進(jìn)行管理和查詢(xún)?，F(xiàn)在在辦公區(qū)和家屬區(qū)用的是SAM認(rèn)證計(jì)費(fèi)管理系統(tǒng)，在學(xué)生宿舍區(qū)是DCSM認(rèn)證計(jì)費(fèi)管理系統(tǒng)。

網(wǎng)絡(luò)實(shí)名制概念引入

圖1 聊城大學(xué)校園網(wǎng)絡(luò)拓?fù)?/p>

官方、網(wǎng)絡(luò)管理者、業(yè)內(nèi)專(zhuān)家大多支持網(wǎng)絡(luò)實(shí)名制，認(rèn)為必須通過(guò)實(shí)名制維護(hù)整個(gè)社會(huì)信息系統(tǒng)的安全與穩(wěn)定，而互聯(lián)網(wǎng)在自由的同時(shí)放任無(wú)度，其消極影響不容忽視。對(duì)于網(wǎng)絡(luò)實(shí)名制的定義，目前在業(yè)內(nèi)尚未形成一致和統(tǒng)一的論斷。但普遍認(rèn)可的陳述是：網(wǎng)民們使用網(wǎng)絡(luò)服務(wù)如博客、BBS討論、電子購(gòu)物、網(wǎng)絡(luò)游戲等時(shí)，要進(jìn)行真實(shí)姓名和身份證號(hào)登記與驗(yàn)證，以加強(qiáng)網(wǎng)絡(luò)管理。

聊城大學(xué)校園網(wǎng)管理引入網(wǎng)絡(luò)實(shí)名制

1.辦公區(qū)和家屬區(qū)用戶建立規(guī)則

辦公區(qū)和家屬區(qū)用戶上網(wǎng)賬號(hào)建立規(guī)則是將所在地點(diǎn)作為命名的依據(jù)?？梢云鸬揭?jiàn)名之意的作用，名字組成就涵蓋了具體上網(wǎng)地點(diǎn)，如wo2051代表西校區(qū)辦公樓205室第1個(gè)用戶，ets031056代表東校區(qū)3號(hào)實(shí)驗(yàn)樓105室第6個(gè)用戶。通過(guò)用戶名在802.1X認(rèn)證管理系統(tǒng)中可以查詢(xún)用戶的基本上網(wǎng)信息。

2.學(xué)生宿舍區(qū)用戶命名規(guī)則

學(xué)生宿舍用戶命名以學(xué)生學(xué)號(hào)直接作為用戶名，通過(guò)用戶名在802.1X認(rèn)證管理系統(tǒng)中可以查詢(xún)用戶的基本上網(wǎng)信息。如圖2所示。

網(wǎng)絡(luò)用戶上網(wǎng)手續(xù)的辦理方式

1.辦公區(qū)和家屬區(qū)上網(wǎng)手續(xù)辦理

圖2 802.1X認(rèn)證管理系統(tǒng)

在辦公區(qū)和家屬區(qū)的網(wǎng)絡(luò)用戶首先在網(wǎng)絡(luò)信息中心辦理手續(xù)，分發(fā)給其上網(wǎng)賬號(hào)，密碼和個(gè)人信息按照用戶實(shí)際信息錄入，確保網(wǎng)絡(luò)實(shí)名制的進(jìn)行；之后網(wǎng)絡(luò)信息中心人員負(fù)責(zé)將線路調(diào)通，并指導(dǎo)用戶下載802.1X認(rèn)證客戶端，最后讓用戶能夠正常上網(wǎng)。

2.學(xué)生宿舍區(qū)上網(wǎng)手續(xù)辦理

在學(xué)生宿舍區(qū)上網(wǎng)的學(xué)生用戶是集中辦理上網(wǎng)手續(xù)，原則是一個(gè)學(xué)期辦理一次，開(kāi)戶整個(gè)過(guò)程全部采用資訊通，通過(guò)它自助完成注冊(cè)和繳費(fèi),學(xué)生繳費(fèi)后立即就可以回宿舍上網(wǎng)。上網(wǎng)用戶名就是學(xué)號(hào)，密碼為學(xué)生自己設(shè)定的。網(wǎng)絡(luò)信息中心將每個(gè)宿舍的上網(wǎng)信息接口預(yù)先已調(diào)通，全部學(xué)生宿舍區(qū)均使用DHCP動(dòng)態(tài)獲取IP地址方式，簡(jiǎn)化了用戶配置靜態(tài)IP地址的麻煩，也省去了網(wǎng)絡(luò)中心人員分發(fā)靜態(tài)IP地址的大量工作；為了使客戶端分發(fā)方便，在接入設(shè)備中做配置，允許未通過(guò)認(rèn)證即可登錄聊城大學(xué)網(wǎng)站，并讓用戶可以從聊城大學(xué)網(wǎng)絡(luò)信息中心網(wǎng)站上下載客戶端，學(xué)生安裝好802.1X認(rèn)證客戶端用自己的用戶名和賬號(hào)即可通過(guò)認(rèn)證上外網(wǎng)。由于學(xué)生自己設(shè)定密碼，對(duì)網(wǎng)絡(luò)賬號(hào)的安全性有了重要保證；為了對(duì)學(xué)生用戶的網(wǎng)絡(luò)管理更安全，在接入設(shè)備中引入ip DHCP Snooping思想，第一次上網(wǎng)后就綁定了用戶上網(wǎng)位置和上網(wǎng)設(shè)備，避免了學(xué)生亂用賬號(hào)，有利于網(wǎng)絡(luò)管理。

資訊通注冊(cè)繳費(fèi)具體流程如下：

（1）首先將個(gè)人一卡通插入“IC卡插口”，根據(jù)提示輸入資訊通密碼，成功之后進(jìn)入個(gè)人資訊通界面。

提示：個(gè)人初始密碼為學(xué)號(hào)后六位或者000000或者666666；若個(gè)人密碼忘記，請(qǐng)與西校區(qū)一卡通管理中心聯(lián)系。

（2）通過(guò)觸摸屏選擇“項(xiàng)目收費(fèi)”，會(huì)出現(xiàn)“上網(wǎng)繳費(fèi)”和“上網(wǎng)注冊(cè)”兩個(gè)按鈕。

圖3 學(xué)生上網(wǎng)注冊(cè)界面

（3）通過(guò)觸摸屏選擇“上網(wǎng)注冊(cè)”，進(jìn)入學(xué)生上網(wǎng)注冊(cè)頁(yè)面。通過(guò)觸摸屏移動(dòng)到每個(gè)選項(xiàng)填寫(xiě)完全，然后點(diǎn)擊“注冊(cè)”按鈕，進(jìn)行注冊(cè)，如圖3所示。

提示：用戶上網(wǎng)DCSM客戶端需要輸入的用戶名和密碼分別就是注冊(cè)界面上的個(gè)人編碼（即一卡通號(hào)、個(gè)人學(xué)號(hào)）和用戶密碼，請(qǐng)牢記；涉及到網(wǎng)絡(luò)維護(hù)問(wèn)題，校區(qū)、樓號(hào)、宿舍號(hào)請(qǐng)一定仔細(xì)填寫(xiě)正確。

（4）注冊(cè)成功之后，請(qǐng)選擇 “上網(wǎng)繳費(fèi)”按鈕進(jìn)行繳費(fèi)。涉及資金問(wèn)題，望用戶謹(jǐn)慎選擇，一旦確定無(wú)法修改。

提示：本次上網(wǎng)繳費(fèi)只有學(xué)年繳費(fèi)選項(xiàng)，收費(fèi)標(biāo)準(zhǔn)為175元/學(xué)年。

（5）提示繳費(fèi)成功之后，相應(yīng)金額會(huì)從卡中扣除，繳費(fèi)工作完成。切記取回個(gè)人一卡通。

聊城大學(xué)通過(guò)對(duì)全校實(shí)現(xiàn)802.1X認(rèn)證，網(wǎng)絡(luò)運(yùn)行質(zhì)量得到了很大改善。通過(guò)對(duì)辦公區(qū)、家屬區(qū)同學(xué)生宿舍區(qū)的隔離，使用了不同的上網(wǎng)認(rèn)證計(jì)費(fèi)系統(tǒng)，使得網(wǎng)絡(luò)管理更清晰。通過(guò)花費(fèi)巨大的時(shí)間和精力將學(xué)生宿舍區(qū)每個(gè)宿舍開(kāi)通了一個(gè)上網(wǎng)信息接口，使得學(xué)生即使不繳費(fèi)，亦可以免費(fèi)瀏覽聊城大學(xué)網(wǎng)站，而且可以預(yù)先由聊城大學(xué)網(wǎng)絡(luò)信息中心網(wǎng)站下載認(rèn)證客戶端；通過(guò)運(yùn)用資訊通，使得學(xué)生可以自由的在辦理手續(xù)期間的任何時(shí)間在指定的六個(gè)放置資訊通設(shè)備的位置自助繳費(fèi)，繳費(fèi)成功后就可以回宿舍暢游網(wǎng)絡(luò)了。

在辦公和家屬區(qū)的上網(wǎng)用戶是基于上網(wǎng)地點(diǎn)來(lái)命名的，當(dāng)有網(wǎng)絡(luò)安全問(wèn)題出現(xiàn)時(shí),可追尋性強(qiáng)；當(dāng)有網(wǎng)絡(luò)故障問(wèn)題出現(xiàn)時(shí)，對(duì)網(wǎng)絡(luò)地點(diǎn)的確定很容易，解決問(wèn)題針對(duì)性更強(qiáng)。在學(xué)生宿舍區(qū)上網(wǎng)的學(xué)生用戶是基于學(xué)生學(xué)號(hào)命名的，對(duì)網(wǎng)絡(luò)安全問(wèn)題的可追蹤性強(qiáng)；由于引入ip DHCP Snooping思想，通過(guò)學(xué)號(hào)在802.1X認(rèn)證系統(tǒng)中查詢(xún)到學(xué)生上網(wǎng)所在的具體設(shè)備來(lái)解決網(wǎng)絡(luò)故障亦相對(duì)容易。

現(xiàn)在隨著掌上電腦、智能手機(jī)和其他無(wú)線終端等設(shè)備的出現(xiàn)，對(duì)無(wú)線網(wǎng)絡(luò)的需求日益增加，現(xiàn)在聊城大學(xué)在學(xué)生宿舍區(qū)已經(jīng)啟用了移動(dòng)無(wú)線網(wǎng)絡(luò)，準(zhǔn)備2014年前在教學(xué)辦公區(qū)也啟用無(wú)線網(wǎng)絡(luò)。

（作者單位為聊城大學(xué)網(wǎng)絡(luò)信息中心）