2. 计算机
  3. 阅读以下关于某企业内部网络系统的叙述，回答问题1、问题2和问题3。 　　某企业网络拓扑结构如图3-1所示。根据企业要求实现负载均衡和冗余备份，构建无阻塞高性能网络的建设原则，该企业网络采用两台S7606万兆骨干路由交换机作为双核心，部门交换机S2924G通

阅读以下关于某企业内部网络系统的叙述，回答问题1、问题2和问题3。 　　某企业网络拓扑结构如图3-1所示。根据企业要求实现负载均衡和冗余备份，构建无阻塞高性能网络的建设原则，该企业网络采用两台S7606万兆骨干路由交换机作为双核心，部门交换机S2924G通

admin2012-05-19  127
问题  阅读以下关于某企业内部网络系统的叙述，回答问题1、问题2和问题3。
　　某企业网络拓扑结构如图3-1所示。根据企业要求实现负载均衡和冗余备份，构建无阻塞高性能网络的建设原则，该企业网络采用两台S7606万兆骨干路由交换机作为双核心，部门交换机S2924G通过光纤分别与两台核心交换机相连，通过防火墙和边界路由器与Internet相连。S7606之间相连的端口均为Trunk端口，S7606与S2924G之间相连的端口也均为Trunk端口。
   部分PC的IP信息及所属VLAN如表3-1所示。

企业内部架设有无线局域网，并采用了802.1X认证，用户名和密码存放在Radius服务器的数据库中。无线路由器Wirelessrouterl支持802.1x协议，请回答以下问题：
   (1)在图3-2所示的认证过程中，客户端向无线路由器发送的是什么帧?无线路由器向Radius服务器发送的是什么报文?
   (2)在无线路由器中需要配置哪些与Radius服务器相关的信息?
   (3)如果无线路由器不支持802.1X认证，为满足无线用户必须经过认证才能上网的需求，能否在上层交换机中启用802.1X，并将端口设置为启用dot1x认证?请简要说明理由。
选项
答案(1)客户端向无线路由器发送的是EAPoL(Extensible Authentication Protocol over LAN)帧；无线路由器向RADIUS服务器发送的是EAP over RADIUS报文，因为认证系统将EAP帧封装到RADIUS报文中发送给认证服务器。 (2)在无线路由器中需要配置的RADIUS Server信息有：IP地址、认证和授权端口(只写端口也可以)、与RADIUS服务器一致的密钥。 (3)如果无线路由器不支持802.1x认证，可以在上层交换机中启用802.1x，并将端口设置为启用dot1x认证。但注意上层交换机下联无线路由器的802.1x端口认证模式应设置为mac-based。这样接入物理端口的所有主机都需要进行认证才能访问网络资源。当某用户下线时，将不影响其他用户的认证状态，其他用户还可以继续访问网络。 IEEE 802.1x是根据用户ID或设备，对网络客户端(或端口)进行鉴权的标准。该流程被称为“端口级别的鉴权”。它采用RADIUS(远程认证拨号用户服务)方法，并将其划分为三个不同的小组：请求方、认证方和授权服务器。802.1x标准应用于试图连接到端口或其他设备(如Cisco Catalyst交换机或Cisco Aironet系列接入点)(认证方)的终端设备和用户(请求方)。认证和授权都通过鉴权服务器(如Cisco Secure ACS)后端通信实现。IEEE 802.1x提供自动用户身份识别，集中进行鉴权、密钥管理和LAN连接配置。整个802.1x的实现设计三个部分：请求者系统、认证系统和认证服务器系统。 请求者是位于局域网链路一端的实体，由连接到该链路另一端的认证系统对其进行认证。请求者通常是支持802.1x认证的用户终端设备，用户通过启动客户端软件发起802.1x认证。认证系统对连接到链路对端的认证请求者进行认证。认证系统通常为支持802.1x协议的网络设备，它为请求者提供服务端口，该端口可以是物理端口，也可以是逻辑端口，一般在用户接入设备(如LAN Switch和AP)上实现802.1x认证。请求者和认证系统之间运行802.1x定义的EAPoL(Extensible Authentication Protocol over LAN)协议。当认证系统工作于中继方式时，认证系统与认证服务器之间运行EAP协议，EAP帧中封装认证数据，将该协议承载在其他高层次协议中(如RADIUS)，以便穿越复杂的网络到达认证服务器；当认证系统工作于终结方式时，认证系统终结EAPoL消息，并转换为其他认证协议(如RADIUS)，传递用户认证信息给认证服务器系统。认证系统每个物理端口内部包含有受控端口和非受控端口。非受控端口始终处于双向连通状态，主要用来传递EAPoL协议帧，可随时保证接收认证请求者发出的EAPoL认证报文；受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务。 在无线路由器中需要配置的Radius Server信息有：IP地址、认证和授权端口(只写端口也可以)、与RADIUS服务器一致的密钥。 RADIUS是Remote Authentication Dial-In User Service(远程认证拨号用户服务)的简称，作为一种分布式的客户机/服务器系统，能提供AAA功能。RADIUS技术可以保护网络不受未授权访问的干扰，常被用在既要求较高安全性、又要求维持远程用户访问的各种网络环境中(如用来管理使用串口和调制解调器的大量分散拨号用户)。 RADIUS服务包括三个组成部分： (1)协议：rfc2865、2866协议基于udp/ip层定义了RADIUS帧格式及消息传输机制，并定义了1812作为认证端口，1813作为计费端口。(2)服务器：RADIUS服务器运行在中心计算机或工作站上，包含了相关的用户认证和网络服务访问信息。(3)客户端：位于拨号访问服务器NAS(Network Access Server)侧，可以遍布整个网络。 RADIUS基于客户/服务器模型，NAS(如路由器)作为RADIUS客户端，负责传输用户信息到指定的RADIUS服务器，然后根据从服务器返回的信息进行相应处理(如接入/挂断用户)。RADIUS服务器负责接收用户连接请求，认证用户，然后给NAS返回所有需要的信息。RADIUS服务器对用户的认证过程通常需要利用NAS等设备的代理认证功能，RADIUS客户端和RADIUS服务器之间通过共享密钥认证相互间交互的消息，用户密码采用密文方式在网络上传输，增强了安全性。RADIUS协议合并了认证和授权过程，即响应报文中携带了授权信息。 题中无线路由器即为NAS，要使得它能与RADIUS服务器正常通信，根据上述原理，在无线路由器中需要配置RADIUS服务器的IP地址、认证和授权端口、与RADIUS服务器一致的密钥。 如果无线路由器不支持802.1x认证，只要在上层交换机中启用802.1x，并将端口设置为启用dot1x认证，就可以达到通过RADIUS服务器进行验证的功能。这种方式有两种认证模式：port-based和mac-based。port-based模式下，只要物理端口下的第一个用户认证成功后，其他接入该端口的用户无需认证就可以访问网络资源，当第一个用户下线后，端口被“关闭”，其他用户也会被阻止访问网络。而在mac-based模式下，接入物理端口的所有主机都需要进行认证才能访问网络资源，当某用户下线时，将不影响其他用户的认证状态，其他用户还可以继续访问网络。如果端口通过交换机接入了多台主机，那么为了使每台主机都要进行认证，应使用此认证模式
解析
转载请注明原文地址:https://kaotiyun.com/show/K2QZ777K
本试题收录于： 网络规划设计师下午案例分析考试题库软考高级分类
0

网络规划设计师下午案例分析考试

软考高级

相关试题推荐
随机试题
最新回复(0)