淺談８０２．１Ｘ認證技術在校園網中的應用

1 引言

802.1X協議的最初目的是為了解決無線局域網用戶的接入認證問題，它提供了一種用戶接入認證的手段，并簡單地通過控制接入端口的開/關狀態來實現，這種簡化不僅適用于無線局域網的接入認證、點對點物理或邏輯端口的接入認證，而且在可運營、可管理的寬帶IP城域網或園區網中作為一種認證方式具有相當的實用性。

2 802.1X協議的體系結構

802.1X的體系結構包括三部分：客戶端、認證者系統和認證服務系統。基本的認證過程為：客戶端通過內部的 PAE發出認證請求，PAE將用戶信息和請求參數等作為一系列請求消息流發送至認證服務器。認證服務器收到消息后，首先由認證服務器PAE處理相關的連接建立請求，再由認證服務器查詢控制信息數據庫，完成用戶身份鑒定，并根據授權規則對通過認證的用戶進行授權。圖1描述了三者之間的關系以及相互之間的通信：

3 基于802.1X協議的校園網認證系統

近年來802.1X接入認證技術在高校校園網中得到了非常廣泛的應用，國內的高校校園網經過多年的發展和建設，根據自身特點逐漸形成了相應的技術方案和管理制度。而目前大多數高等院校所采取的認證計費系統模式如下：

(1) 接入層和匯聚層交換機均支持基于MAC地址802.1X功能和基于端口802.1X功能，以此保證用戶賬號的唯一性，在性能上一般還要求適應大量用戶并發認證及復雜的工作環境；

(2) 認證服務器采用RADIUS認證服務器 + SQL數據庫 + jboss管理服務器的組合，可以實現完整的認證計費策略，以及多種認證要素的綁定；

(3) 校園網用戶作為認證端安裝802.1X客戶端軟件接入校園網；

(4) 計費策略上提供支持基于時長、流量以及包月等多種計費模式。

實踐證明利用802.1X認證技術能夠較好地解決現階段校園網所面臨的用戶身份認證、IP和MAC盜用及病毒防范等一系列安全問題，增強了網絡的可控性和安全性，同時也消除了網絡瓶頸，減輕了網絡封裝開銷，使校園網更加簡潔高效、安全可靠、易于運營。

任何一項技術都不可能解決目前所面臨的所有問題，因此在實施802.1X后也存在一些問題，主要集中在以下幾點：

(1) 在一定程度上增加了管理工作量：如用戶賬號綁定功能，當賬號綁定與用戶上網點變動發生矛盾時需要管理員手工解除賬號綁定；

(2) 實施802.1X的端口認證，用戶端需要安裝專用的認證軟件，軟件的分發和使用故障等問題增加了用戶的上網難度；

(3) 網絡中的交換設備屬于不同廠商的情況下其完整實現有很大難度，由于802.1X接入控制方案需要二層接入交換機支持802.1X協議，但校園網中交換機型號較多，一些老設備不支持802.1X，不同廠家設備的802.1X擴展功能也不盡相同，缺乏通用性，給全校實施統一的802.1X控制措施帶來一定困難。

由此可見僅僅依靠802.1X這項技術來解決用戶身份認證和應用終端所面臨的所有安全問題是不現實的。作為網絡管理者，必須采取多項技術和相關管理規定的有機結合， 從多個方面考慮802.1X的技術和管理問題，采用全局化、智能化的安全體系來替代陳舊、孤立的安防措施，才能構建一個真正安全、可靠的網絡環境。

4 結束語

基于802.1X協議的認證方式還是一個年輕的技術，其潛在的技術和市場優勢在各大高校開始迅速普及，可以肯定，在很長一段時間里，作為寬帶網接入的安全解決方案，802.1X仍是高校校園網認證技術發展的主流，具有相當寬廣的發展前景。將其用于校園網認證系統也必將發揮其巨大作用，給校園網帶來新氣象。

參考文獻

[1]孟學軍.802.1X認證管理方式分析及實現.現代計算機，2005，8.

[2]董學森.校園網的身份認證及IP地址管理方案.泰州職業技術學院學報，2006，3.

[3]吳偉斌.校園網AAA系統設計與實現.中國教育網絡，2007，2.

[4]劉素平，唐鶴權，顧愛萍.利用802.1X技術加強校園網安全管理.信息技術，2007，4.