一、MD5认证简介

1．认证过程

（1）无隧道

（2）客户端和服务器之间进行

2．单向认证

（1）服务器对客户端认证

3．缺点

（1）用户名明文传输

（2）弱MD5哈希

二、MD5认证过程

1．客户端向交换机发送一个EAPoL－Start报文，开始802．1x认证接入；

2．交换机向客户端发送EAP－Request／Identity报文，要求客户端将用户名送上来；

3．客户端回应一个EAP－Response／Identity给交换机的请求，其中包括用户名；

4．交换机将EAP－Response／Identity报文封装到RADIUSAccess－Request报文中，发送给认证服务器；

5．认证服务器产生一个Challenge，通过交换机将RADIUSAccess－Challenge报文发送给客户端，其中包含有EAP－Request／MD5－Challenge；

6．交换机通过EAP－Request／MD5－Challenge发送给客户端，要求客户端进行认证；

7．客户端收到EAP－Request／MD5－Challenge报文后，将密码和Challenge做MD5算法后的Challenged－Pass－word，在EAP－Response／MD5－Challenge回应给交换机；

8．交换机将Challenge，ChallengedPassword和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证；

9．RADIUS服务器根据用户信息，做MD5算法，判断用户是否合法，然后回应认证成功／失败报文到交换机；

10．交换机打开端口；

11．交换机将EAP认证成功报文发送给客户端

三、交换机认证模式

1．MAC认证模式

（1）该模式下连接到同一端口的每个设备都需要单独进行认证；

（2）华为交换机默认模式。

2．端口认证模式

（1）只要连接到端口的某个客户端通过认证；

（2）其它客户端则不需要认证，就可以访问网络资源。

四、测试组网

1．组网说明

（1）交换机使用华为的S5720；

（2）服务器采用开源的Freeradius；

（3）测试仪和交换机两个接口相连，并且在同一个VLAN里；

（4）在交换机G0／0／1接口启用DOT1X。

2．测试思路

（1）测试仪P1向P2发送两条流量：DOT1X－Traffic，Back－Traffic，源MAC分别为0000－0011－1111， （2）00－0000－0022－2222，初始情况下两条流量都不通；

（3）测试仪P1模拟DOT1X客户端，源MAC地址是0000－0011－1111，和服务器进行 MD5认证；

（4）如果认证通过，流DOT1X－Client能通

五、测试环境准备

1．华为交换机配置

配置Radius认证（传统模式）

undo authentication unified－mode

＃

radius－server template radTem

  radius－server shared－key cipher xinertel

  radius－server authentication 80．1．1．3 1812 weight 80

＃

aaa

  authentication－scheme radTemp

       authentication－mode radius

  domain dot1x

       authentication－scheme radTemp

       radius－server radTem

＃

全局配置DOT1X

domain dot1x

＃

dot1x enable

＃

dot1x authentication－method eap

＃

接口配置

＃

interface GigabitEthernet0／0／1

port link－type access

port default vlan 2

dot1x enable        ／／接口配置dot1x

＃

interface GigabitEthernet0／0／2

port link－type access

port default vlan 2

＃

interface GigabitEthernet0／0／3

undo portswitch

ip address 80．1．1．1 255．255．255．0        

＃

2．查看交换机接口的DOT1X信息

接口信息

（1）802．1X使能

（2）默认是MAC－based

（3）认证模式是EAP

3．配置前准备：查看交换机DOT1X统计信息

4．Freeradius配置

修改Client的配置

（1）文件：／etc／raddb／clients．conf

（2）添加如下内容

（3）Secret要和交换机上配置相同

修改eap配置

（1）文件：／etc／raddb／mods－available／eap

（2）修改默认认证类型为md5

5．Freeradius测试

打开测试账号：修改eap配置

（1）文件：／etc／raddb／users

（2）去掉下面内容的注释

以Debug模式启动Freeradius

如果出现如下的回复，则配置成功

6．MariaDB配置

修改Freeradius中的数据库类型

（1）文件：／etc／raddb／mods－available／sql

（2）去掉下面内容的注释

在MariaDB中添加账号

使用新添加的内容查看

7．最后测试

环境搭建好标识，在华为交换机中测试通过