一種基于MAC地址的網(wǎng)絡(luò)接入控制的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、802.1X協(xié)議是由IEEE制定的基于端口的、最初是為了解決無(wú)線局域網(wǎng)中用戶(hù)的接入認(rèn)證問(wèn)題的網(wǎng)絡(luò)接入控制標(biāo)準(zhǔn)。隨著網(wǎng)絡(luò)的發(fā)展，該協(xié)議也被廣泛應(yīng)用到有線局域網(wǎng)中。802.1X協(xié)議的接入控制粒度為端口，當(dāng)一個(gè)端口下有用戶(hù)認(rèn)證成功后，整個(gè)端口就完全放開(kāi)，此時(shí)任何用戶(hù)都可以通過(guò)該端口訪問(wèn)網(wǎng)絡(luò)資源。對(duì)于無(wú)線局域網(wǎng)而言，每一條信道對(duì)應(yīng)一個(gè)認(rèn)證端口，由于無(wú)線網(wǎng)信道獨(dú)占的特性，基于端口的接入控制天然支持用戶(hù)級(jí)別的訪問(wèn)控制。然而當(dāng)802.1X認(rèn)證應(yīng)用到有

2、線局域網(wǎng)時(shí)，由于一個(gè)物理端口可以允許多個(gè)用戶(hù)接入，基于端口的控制不再能滿足用戶(hù)級(jí)別的訪問(wèn)控制要求。在組網(wǎng)時(shí)，不允許在認(rèn)證設(shè)備之下下掛HUB或者其他交換機(jī)，組網(wǎng)的靈活性受到了限制。此外，非認(rèn)證用戶(hù)可以通過(guò)已打開(kāi)的端口進(jìn)行非法訪問(wèn)。
　　為解決上述缺陷，本文對(duì)802.1X協(xié)議進(jìn)行了改進(jìn)，在原有的802.1X協(xié)議框架下，將接入控制力度細(xì)化到用戶(hù)級(jí)別。因?yàn)閷?shí)際生活中每個(gè)接入用戶(hù)對(duì)應(yīng)的MAC地址是唯一的，所以可以將MAC地址作為接入控制的基

3、本單元，這種接入控制方式叫做基于MAC地址的接入控制。當(dāng)用戶(hù)認(rèn)證通過(guò)后，不是將整個(gè)認(rèn)證端口放開(kāi)，而是將已通過(guò)認(rèn)證的用戶(hù)的MAC地址加入到認(rèn)證端口的允許訪問(wèn)列表中，此時(shí)未認(rèn)證用戶(hù)將無(wú)法通過(guò)該端口訪問(wèn)網(wǎng)絡(luò)資源，從而實(shí)現(xiàn)了基于MAC的訪問(wèn)控制。同時(shí)還支持基于MAC地址的授權(quán)VLAN的下發(fā)。在實(shí)現(xiàn)時(shí)，通過(guò)ACL技術(shù)來(lái)禁止端口自動(dòng)學(xué)習(xí)MAC表項(xiàng)，限制未認(rèn)證的用戶(hù)流量通過(guò)。通過(guò)在認(rèn)證端口添加靜態(tài)MAC表項(xiàng)來(lái)允許已認(rèn)證用戶(hù)訪問(wèn)網(wǎng)絡(luò)資源。
　　基