维普资讯 http://www.cqvip.com 信息技术与信息亿 ８０２．Ｉ ｘ协议及其应用 ８０２．１ ｘ Ｐｒｏｔｏｃｏｌ ａｎｄ ｉｔｓ Ａｐｐｌｉｃａｔｉｏｎ 罗丹 陈常嘉 ＬＵＯ Ｄａｎ ＣＨＥＮ Ｃｈａｎｇ—ｊｉａ Ａｂｓｔｒａｃｔ Ｗｉｔｈ ｔｈｅ ｄｅｖｅｌｏｐｍｅｎｔ ｏｆ ｂｒｏａｄｂａｎｄ Ｅｔｈｅｒｎｅｔ，ｔｈｅ ｔｒａｄｉｔｉｏｎａｌ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｔｅｃｈｎｏｌｏｇｉｅｓ ｈａｖｅ ｃｏｕｌｄ ｎｏｔ ｓａｔｉｓｆｙ ｔｈｅ ｖａｒｉｏｕｓ ｎｅｅｄｓ ｏｆ ｃｌｉｅｎｔｓ．Ｍａｎｙ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｔｅｃｈｎｏｌｏｇｉｅｓ ａｒｅ ｐｒｏｐｏｓｅｄ．８０２．１ ｘ ｐｒｏｔｏｃｏｌ ｉｓ ｉｎｔｒｏｄｕｃｅｄ ｉｎｃｌｕｄｉｎｇ ｉｔｓ ｗｉｄｅ ａｐｐｌｉｃａｔｉｏｎｓ ｔｏ Ｅｔｈｅｒｎｅｔ． Ｋｅｙｗｏｒｄｓ ８０２．１ ｘ ｐｒｏｔｏｃｏｌ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ＥＡＰＯＬ ｌ 发展背景 种对连接到局域网的用户进行认证和授权的手段，达到接受 合法用户接入，保护网络安全的目的。８０２．１ｘ就是ＩＥＥＥ为 在８０２．１ｘ出现之前，企业网上有线ＬＡＮ应用都没有直 了解决基于端口的接入控制而定义的一个标准 。 接控制到端口，也不需要控制到端口。但是随着无线ＬＡＮ ８０２．１ｘ认证的最终目的就是确定一个端口是否可用。 的应用以及ＬＡＮ接入在电信网上大规模部署，有必要对端 对于一个端口，如果认证成功，那么就“打开”这个端口，允许 口加以控制，以实现用户级的接入控制，ＩＥＥＥ８０２．１Ｘ就是在 所有报文通过；如果认证不成功就使这个端口“关闭”，此时 这种情况下产生的，ＩＥＥＥ８０２．１Ｘ能够在利用ＩＥＥＥ８０２．１Ｘ 只允许８０２．１ｘ的认证报文ＥＡＰＯＬ通过 。 ＬＡＮ的优势基础上，提供一种对连接到局域网设备或用户进 行认证的手段。网络管理者和网络运营服务者也迫切地需 ３ ８０２．１ｘ的组成和认证 要一个更加全面、完善的认证管理系统，来解决日益严峻的 在８０２．１ｘ协议中，只有具备了客户端（Ｓｕｐｐｌｉｃａｎｔ Ｓｙｓ— 安全问题。 ｔｅｍ），认证系统（Ａｕｔｈｅｎｔｉｃａｔｏｒ Ｓｙｓｔｅｍ），认证服务器（Ａｕｔｈｅｎｔｉ— ２ ８０２．１ｘ简介 ｃａｔｉｏｎ Ｓｅｒｖｅｒ Ｓｙｓｔｅｍ）三个元素才能够完成基于端口的访问控 制的用户认证和授权 。这三个元素组成了８０２．１Ｘ的整个 ８０２．１ｘ协议，全称是基于端口的访问控制协议 Ｊ。 认证体系。如图１所示。 ８０２．１ｘ协议起源于８０２．１１协议，后者是ＩＥＥＥ的无线局域网 注：图中ＰＡＥ表示端Ｉ＝／访问实体 协议。它能够在利用ＩＥＥＥ ８０２局域网优势的基础上提供一 客户端 认证系统 认证服务器 客户端ＰＡＥ 设备提供的服务 设备端Ｐ＾Ｅ ｋ ｌ －ｌ认证服务器 Ｉ 受控端口非受控端口 ＼ ｔ ， ／ 局域网，无线局域网 ／ 图１ ８０２．１Ｘ认证系统体系结构框图 北京交通大学电子信息工程学院 北京 １０００４４ 维普资讯 http://www.cqvip.com 萤融蟹 ■鲁息拄木与鲁息他 客户端位于对点局域网段一端的一个实体，一般为一个 用户终端设备，用户通过启动客户端软件发起８０２．１ｘ认证 制端口的目的。 认证服务器是为设备端提供认证服务的实体。如ＲＡ． ＤＩＵＳ服务器可以对设备端进行认证、计费和授权控制（下面 都以ＲＡＤＩＵＳ服务器为例）。 请求。客户端没有必要一定支持ＥＡＰＯＬ协议。客户端ＰＡＥ 负责相应设备端的认证请求，向设备端提交用户的认证信 息。客户端ＰＡＥ也可以主动向设备端发送认证请求和下线 请求。 认证系统每个物理端口内部包含有受控端口和非受控 端口。非受控端口始终处于双向连通状态，主要用来传递 ４ ８０２．１Ｘ认证流程 请求者和认证系统之间运行８０２．１ｘ定义的ＥＡＰＯＬ 协议。 ＥＡＰＯＬ协议帧，可随时保证接收认证请求者发出的ＥＡＰＯＬ 认证报文；受控端口只有在认证通过的状态下才打开，用于 传递网络资源和服务。也就是说，Ｓｗｉｔｃｈ在客户和认证服务 器间充当代理角色。Ｓｗｉｔｃｈ与客户端间通过ＥＡＰＯＬ报文通 信，Ｓｗｉｔｃｈ要求客户端提供ｉｄｅｎｔｉｔｙ，接受到后会把ＥＡＰ报文 承载在ＲＡＤＩＵＳ格式报文中，发送到认证服务器端，进行认 证。Ｓｗｉｔｃｈ根据返回认证结果控制端口是否可用，以达到控 客户端ＰＡＥ ＥＡＰＯＬ 当认证系统工作于中继方式时，认证系统与认证服务器 之间也运行ＥＡＰ协议，在ＥＡＰ帧中封装认证数据，将该协议 承载在ＲＡＤＩＵＳ协议中，以便穿越复杂的网络到达认证服务 器。ＥＡＰ扩展协议就是中继认证方式。它的特点是质询和 计算过程由服务器完成，从一定程度上减轻了设备的负担。 其认证流程如图２所示： 设备端ＰＡＥ ＥＡＰＯＲ ＲａｄｉｕｓＨｂ［务器 ＥＡＰＯＬ—Ｓｔａｒｔ ｒ ＥＡＰ—Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙ １一 Ｒａｄｉｕｓ Ａｃｃｅｓｓ～Ｒｅｑｕｅｓ ｔ ＥＡＰｙＲｅｓｐｏｎｓｅ／Ｉｄｅｎｔ ｉｔｙ ｒ （ＥＡＰ—Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔ ｉｔｙ） ｒ Ｒａｄｉｕｓ Ａｃｃｅｓｓ—Ｃｈａｌｌｅｎｇｅ ＥＡＰ—Ｒｅｑｕｅｓｔ／ＭＤ５ Ｃｈａｌ ｌｅｎｇｅ １ １ （ＦＡＰ—Ｒｅｑｕｅｓｔ／ＭＤ５ Ｃｈａｌｌｅｎｇｅ） Ｒａｄｉｕｓ Ａｃｃｅｓｓ～Ｒｅｑｕｅｓｔ ＥＡＰ—Ｒｅｓｐ０ｎｓｅ／ ６ Ｃｈａ¨ｅｎｇｅ ｒ （ＥＡＰ—Ｒｅｑｕｅｓｔ／ＭＤ５ Ｃｈａｌ ｌｅｎｇｅ） ｒ Ｒａｄｉｕｓ Ａｃｃｅｓｓ—Ａｃｃｅｐｔ ＥＡＰ—Ｓｕｃｃｅｓｓ １ （ＥＡＰ—Ｓｕｃｃｅｓｓ） 端口 被授权 握手 定时周期 ＥＡＰ—Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙ １ ＥＡＰ—Ｒｅｓｐ０ｎｓｅ／Ｉｄｅｎｔ ｉｔｙ ｒ ＥＡＰＯＬ—Ｌｏｇｏｆｆ 端口 非授权 图２ ＥＡＰ中继业务流程 当认证系统工作于终结方式时，认证系统终结ＥＡＰＯＬ 消息，并转换为ＲＡＤＩＵＳ认证协议，传递用户认证信息给认 证服务器系统。ＣＨＡＰ认证方法是通过密文的方式进行传输 的。ＰＡＰ认证方法的特点是密码通过明文的方式传输。终 维普资讯 http://www.cqvip.com 笪皇堡查量笪皇鱼麟 结方式的特点是可以采用Ｒａｄｉｕｓ服务器保护用户已有的资 终结认证流程如图３所示： 源。ＰＡＰ方式和ＣＨＡＰ方式都是采用的终结认证方式。其 ＥＡＰＯＬ ＥＡＰ０Ｋ 客户端ＰＡＥ 设备端ＰＡＥ ＲａｄｉｕｓＨ￣务器 ＥＡＰＯＬ—Ｓｔａｒｔ ｒ ＥＡＰ—Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙ １ ＥＡＰ—Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙ ｒ ＥＡＰ—Ｒｅｑｕｅｓｔ／ＭＤ５ Ｃｈａｌ ｌｅｎｇｅ １ ＲａｄｉＵＳ Ａｃｃｅｓｓ—Ｒｅｑｕｅｓｔ ＥＡＰ—Ｒｅｓｐｏｎｓｅ／ＭＤ５ Ｃｈａｌ ｌｅｎｇｅ （ＣＨＡＰ—Ｒｅｓｐｏｎｓｅ／ＭＤ５ Ｃｈａｌ ｌ ｅｎｇｅ） Ｌ －Ｌ ｒ Ｒａｄｉｕｓ Ａｃｃｅｓｓ—Ａｃｃｅｐｔ ＥＡＰ—ＳｕＣＣｅｓｓ （ＣＨ＾Ｐ—Ｓｕｃｃｅｓｓ） １＇ １ 端口 被授权 握手 定时周期 ＥＡＰ—Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙ １ ＥＡＰ—Ｒｅｓｐｏｎｓｅ／Ｉｄｅｎｔｉｔｙ ｒ ＥＡＰＯＬ—Ｌｏｇｏｆｆ 端口 非授权 图３ ＣＨＡＰ终结业务流程 ８０２．１ｘ认证通过前，通道的状态为Ｕｎａｕｔｈｏｒｉｚｅｄ，此时只 访问控制模式…。采用此种模式将会带来降低用户建网成 能通过ＥＡＰＯＬ的８０２．１ｘ认证报文；认证通过时，通道的状 本、降低认证服务器性能要求的优点。对于此种访问控制方 态切换为ａｕｔｈｏｒｉｚｅｄ，此时从远端认证服务器可以传递用户的 式，应当采用相应的手段来防止由于ＭＡＣ、ＩＰ地址假冒所发 信息，比如ＣＡＲ参数、优先级、用户的访问控制列表等信息； 生的网络安全问题。 认证通过后，用户的流量就将接受上述参数的监管，此时该 对于动态分配ＩＰ地址的网络系统，由于非法用户无法 通道可以通过任何报文。 预先获知其他用户将会分配到的ＩＰ地址，因此他即使知道 如图可知，无论采用终结还是中继认证，客户端都要先 某一用户的ＭＡＣ地址也无法伪造ＩＰ地址，也就无法冒充合 给认证系统发送ＥＡＰＯＬ—Ｓｔａｒｔ报文开始进行认证，接入设 法用户访问网络资源。对于静态分配地址的方案，由于具有 备收到报文后给客户端发送ＥＡＰ—Ｒｅｑｕｅｓｔ／Ｉｄｅｎｔｉｔｙ请求，客 同一ＩＰ地址的两台终端设备必然会造成ＩＰ地址冲突，因此 户端这时回应相应的报文（其中包括用户名），最后收到ＥＡＰ 同时假冒ＭＡＣ地址和ＩＰ地址的方法也是不可行的。 —Ｓｕｃｃｅｓｓ报文标志着认证成功。认证成功后，可以进行计 按照不同的组网方式，８０２．１ｘ认证可以采用集中式组网 费、流量控制、限速等其他操作。 （汇聚层设备集中认证）、分布式组网（接人层设备分布认 ５ ８０２．１ｘ认证的应用 证）和本地认证组网。 ８０２．１ｘ集中式组网方式是将８０２．１ｘ认证系统端放到网 在８０２．１Ｘ解决方案中，通常采用基于ＭＡＣ地址的端口 络位置较高的ＬＡＮ Ｓｗｉｔｃｈ设备上，这些ＬＡＮ Ｓｗｉｔｃｈ为汇聚 维普资讯 http://www.cqvip.com 售患技术与售患亿 层设备。其下挂的网络位置较低的ＬＡＮ Ｓｗｉｔｃｈ只将认证报 文透传给作为８０２．１ｘ认证系统端的网络位置较高的ＬＡＮ Ｓｗｉｔｃｈ设备，集中在该设备上进行８０２．１ｘ认证处理。这种组 网方式的优点在于８０２．１ｘ采用集中管理方式，降低了管理 和维护成本。但同时也增加了网络位置较高的ＬＡＮ Ｓｗｉｔｃｈ 设备的负担。 ８０２．１ｘ分布式组网是把８０２．１ｘ认证系统端放在网络位 各种认证技术中最为简化的实现方案。同时，８０２．１ｘ的认证 体系结构中采用了“可控端口”和“不可控端口”的逻辑功 能，从而可以实现业务与认证的分离。 ８０２．１ｘ协议的重认证可以解除用户上线后的安全隐患， 可以设置握手定时周期，定时向服务器发送重认证的请求， 核实用户特性，一旦服务器发现用户的某些固有属性有变， 就会强制用户下线。从文章第五部分可以看到８０２．１ｘ认证 的应用的广泛性和实用性， 置较低的多个ＬＡＮ Ｓｗｉｔｃｈ设备上，这些ＬＡＮ Ｓｗｉｔｃｈ作为接 入层边缘设备。认证报文送给边缘设备，进行８０２．１ｘ认证 处理。这种组网方式的优点在于，它采用中／高端设备与低 端设备认证相结合的方式，可满足复杂网络环境的认证。认 证任务分配到众多的设备上，减轻了中心设备的负荷。８０２． １ｘ分布式组网方式非常适用于受控组播等特性的应用。 本地认证不用到远端服务器上进行认证，只需要在本地 交换机上进行本地认证配置即可。这种本地认证的组网方 ８０２．１ｘ结合ＥＡＰ，可以提供灵活、多样的认证解决方案。 ８０２．１ｘ协议不仅具有完备的用户认证、管理功能，很好地支 撑宽带网络的计费、安全、运营和管理要求，而且能结合ＥＡＤ 防御系统、ＮＥＣ等一起使用，易于支持多业务，拥有很好的发 展前景。 参考文献： ［１］ 马逵．无线局域网安全认证的关键技术＿８ｏ２．１Ｘ认证 系统的研究与实现．东南大学．２００４—０３—０１． 式在专线用户或小规模应用环境中非常适用。它的优点在 于节约成本，不需要单独购置昂贵的服务器。 ６结论 ８０２．１ｘ认证系统提供了一种用户接入认证的手段，它仅 关注端口的开关。对于合法用户（根据账号和密码）接入时， 该端口打开，而对于非法用户接入或没有用户接入时，则使 端口处于关闭状态。认证的结果在于端口状态的改变，而不 涉及其它认证技术所考虑的ＩＰ地址协商和分配问题，是 ［２］ Ｂｅｒｎａｒｄ Ａｂｏｂａ，Ａｓｈｗｉｎ Ｐａｌｅｋａｒ，“ＩＥＥＥ ８０２．１Ｘ ａｎｄ ＲＡ— ＤＩＵＳ Ｓｅｃｕｒｉｔｙ”，ＩＥＥＥ ８０２．１ １—０１／６５７ｒ０，Ｎｏｖｅｍｂｅｒ ２００１， Ｘ认证技术介绍，广东通信技 ［３］ 张艳芬，林玮平．８０２．１术。２００３—０２． ［４］ 聂武超，张彦兴．８０２．１Ｘ认证技术分析，华为技术报，２００２—０２． ◆◆◆◆●●◆ ◆◆◆－◆●・◆◆●●◆・◆◆◆◆◆ｒ一◆◆ ◆ ◆ ◆，●◆一－◆－◆◆・● ◆◆◆ （上接第４２页） ４总结 面向服务体系结构是新型的软件体系结构，它将应用程 序的不同功能单元（称为服务）通过这些服务之间定义良好 的接口联系起来。在ＳＯＡ中，一个服务封装了一些业务功 ｄｔＩｌｏｍａ８．ＣＯ．ｕｋ．２００３． ［２］Ｃｈａｍｐｉｏｎ Ｍ，Ｒｅｒｒｉｓ Ｃ，Ｎｅｗｃｏｍｅｒ Ｅ，ｅｔｃ．Ｗｅｂ Ｓｅｒｖｉｃｅ Ａｒｃｈｉｔｅｃｔｕｒｅ Ｗ３Ｃ Ｗｏｒｋｉｎｇ Ｄｒａｆｔ［ＥＢ／ＯＬ］．ｈｔｔｐ：／／ ＷＷＷ．ｗ３．ｏｒｇ／ＴＲ／２００３／ＷＤ—Ｗ８一ａｒｃｈ一２００２１ １ １４／． ２００２． 能，并通过交换消息来实现关于这个服务的交互。文中分析 了ＳＯＡ的基本结构及其操作，并以ＥＣＣ协同商务平台中的 供应链管理子系统为例，详细分析了如何使用ＵＭＬ建模 ＳＯＡ。但在日新月异的今天，ＳＯＡ还在随着应用环境中的新 ［３］ 叶钰，应时，李伟斋，张韬．面向服务体系结构及其 系统构建研究［Ｊ］，计算机应用研究，２００５（２）：３２— ３４． ［４］ 张友生．软件体系结构［Ｍ］．清华大学出版社，２００４： ５１—５３． 方法和新技术不断演化。同时，由于ＵＭＬ缺乏对捕获和创 建特定体系结构元素的支持，有必要对ＵＭＬ表示法进行扩 充。因此使用ＵＭＬ描述面向服务体系结构还需要不断地发 展、细化。另外，如何结合软件体系结构描述语言，使ＵＭＬ ［５］ 徐宝文，周毓明，卢红敏．ＵＭＬ与软件建模［Ｍ］．清华 大学出版社，２００６：１４６—１４７． ［６］ 杜彦斌．面向服务软件体系结构架构原理与范例研究 ［Ｄ］．北京：首都经济贸易大学，２００５． 能够更好的描述ＳＯＡ还需要更进一步的研究。 参考文献： ｃｅ—ｏｒｉｅｎｔｅｄ Ａｒｃｈｉｔｅｃｔｕｒｅ， ［１］ Ｎｉｋｏｏ Ｍ，Ｔｈｏｍａｓ Ｄ． ＳｅｒｖｉＷｈｅｒｅ Ｄｏ Ｗｅ Ｓｔｎｄ？ ［ＥＢ／ＯＬ］．ｈｔａｔｐ：／／ｃｏｎｓｕ１ｔｉｎｇ． ［作者简介］ 崔广林（１９８１～），男，硕士研究生，研究 方向为软件体系结构；王化雨，副教授，硕士生导师；白运会， 女，硕士研究生。 （收稿日期：２００６—１０—１９）