802.1X實名認證上網策略實踐

文/荊雪蕾

802.1X實名認證上網策略實踐

文/荊雪蕾

聊城大學802.1X認證管理系統的實施，使曾經常發生的IP地址盜用、非法設備接入等問題，得到了有效解決。

聊城大學校園網現狀

聊城大學校園網經過16年的發展,校園網出口總帶寬為公網5000M（聯通3G和移動2G）和教育網155M，校園網覆蓋了兩個校區的100多座樓宇,聯網計算機用戶接近10000臺,并且已成為學校一卡通、郵件系統、圖書館、電子檔案管理、安保系統、數字化考場和節能管理系統等應用的“中流砥柱”。如此龐大的校園網應用，而校園網管理部門的人員是有限的(具體負責此項工作的僅5個人),面對開放的網絡應用、紛雜的操作系統和軟件、參差不齊的用戶操作水平、還有惡意或者善意的冒險用戶等,如何保障校園網的高可用性、高穩定性和高安全性?為了使工作順利進行，作為網絡運行與維護組的人員，我們進行了大量的實踐探索，終于找出了適合學校的一些方式，希望可以為其他高校提供參考方案。聊城大學校園網絡拓撲圖如圖1所示。

802.1X認證管理的實施

聊城大學目前在全校范圍內實行了802.1X認證上網。采用802.1X認證計費系統后，對接入用戶進行用戶賬號與IP、MAC、端口等多元素綁定，以惟一確定用戶；網絡中的非法用戶由于無法通過認證，支持802.1X的交換機此端口在物理上將此用戶隔離在網絡之外。一些煩惱的問題都不存在，如經常發生的IP地址盜用、非法設備接入等。用戶不啟動客戶端，其上連端口是禁止狀態，與外界的網絡是隔離狀態，避免了原有網絡實時在線，經常被掃描的情況。日志服務器記錄有用戶完整的訪問記錄，包括源IP、目的IP、源端口、目的端口、源MAC、目的MAC、訪問開始時間、訪問結束時間、發送流量、接受流量等，通過日志管理查詢系統，可以對日志進行管理和查詢。現在在辦公區和家屬區用的是SAM認證計費管理系統，在學生宿舍區是DCSM認證計費管理系統。

網絡實名制概念引入

圖1 聊城大學校園網絡拓撲

官方、網絡管理者、業內專家大多支持網絡實名制，認為必須通過實名制維護整個社會信息系統的安全與穩定，而互聯網在自由的同時放任無度，其消極影響不容忽視。對于網絡實名制的定義，目前在業內尚未形成一致和統一的論斷。但普遍認可的陳述是：網民們使用網絡服務如博客、BBS討論、電子購物、網絡游戲等時，要進行真實姓名和身份證號登記與驗證，以加強網絡管理。

聊城大學校園網管理引入網絡實名制

1.辦公區和家屬區用戶建立規則

辦公區和家屬區用戶上網賬號建立規則是將所在地點作為命名的依據。可以起到見名之意的作用，名字組成就涵蓋了具體上網地點，如wo2051代表西校區辦公樓205室第1個用戶，ets031056代表東校區3號實驗樓105室第6個用戶。通過用戶名在802.1X認證管理系統中可以查詢用戶的基本上網信息。

2.學生宿舍區用戶命名規則

學生宿舍用戶命名以學生學號直接作為用戶名，通過用戶名在802.1X認證管理系統中可以查詢用戶的基本上網信息。如圖2所示。

網絡用戶上網手續的辦理方式

1.辦公區和家屬區上網手續辦理

圖2 802.1X認證管理系統

在辦公區和家屬區的網絡用戶首先在網絡信息中心辦理手續，分發給其上網賬號，密碼和個人信息按照用戶實際信息錄入，確保網絡實名制的進行；之后網絡信息中心人員負責將線路調通，并指導用戶下載802.1X認證客戶端，最后讓用戶能夠正常上網。

2.學生宿舍區上網手續辦理

在學生宿舍區上網的學生用戶是集中辦理上網手續，原則是一個學期辦理一次，開戶整個過程全部采用資訊通，通過它自助完成注冊和繳費,學生繳費后立即就可以回宿舍上網。上網用戶名就是學號，密碼為學生自己設定的。網絡信息中心將每個宿舍的上網信息接口預先已調通，全部學生宿舍區均使用DHCP動態獲取IP地址方式，簡化了用戶配置靜態IP地址的麻煩，也省去了網絡中心人員分發靜態IP地址的大量工作；為了使客戶端分發方便，在接入設備中做配置，允許未通過認證即可登錄聊城大學網站，并讓用戶可以從聊城大學網絡信息中心網站上下載客戶端，學生安裝好802.1X認證客戶端用自己的用戶名和賬號即可通過認證上外網。由于學生自己設定密碼，對網絡賬號的安全性有了重要保證；為了對學生用戶的網絡管理更安全，在接入設備中引入ip DHCP Snooping思想，第一次上網后就綁定了用戶上網位置和上網設備，避免了學生亂用賬號，有利于網絡管理。

資訊通注冊繳費具體流程如下：

（1）首先將個人一卡通插入“IC卡插口”，根據提示輸入資訊通密碼，成功之后進入個人資訊通界面。

提示：個人初始密碼為學號后六位或者000000或者666666；若個人密碼忘記，請與西校區一卡通管理中心聯系。

（2）通過觸摸屏選擇“項目收費”，會出現“上網繳費”和“上網注冊”兩個按鈕。

圖3 學生上網注冊界面

（3）通過觸摸屏選擇“上網注冊”，進入學生上網注冊頁面。通過觸摸屏移動到每個選項填寫完全，然后點擊“注冊”按鈕，進行注冊，如圖3所示。

提示：用戶上網DCSM客戶端需要輸入的用戶名和密碼分別就是注冊界面上的個人編碼（即一卡通號、個人學號）和用戶密碼，請牢記；涉及到網絡維護問題，校區、樓號、宿舍號請一定仔細填寫正確。

（4）注冊成功之后，請選擇 “上網繳費”按鈕進行繳費。涉及資金問題，望用戶謹慎選擇，一旦確定無法修改。

提示：本次上網繳費只有學年繳費選項，收費標準為175元/學年。

（5）提示繳費成功之后，相應金額會從卡中扣除，繳費工作完成。切記取回個人一卡通。

聊城大學通過對全校實現802.1X認證，網絡運行質量得到了很大改善。通過對辦公區、家屬區同學生宿舍區的隔離，使用了不同的上網認證計費系統，使得網絡管理更清晰。通過花費巨大的時間和精力將學生宿舍區每個宿舍開通了一個上網信息接口，使得學生即使不繳費，亦可以免費瀏覽聊城大學網站，而且可以預先由聊城大學網絡信息中心網站下載認證客戶端；通過運用資訊通，使得學生可以自由的在辦理手續期間的任何時間在指定的六個放置資訊通設備的位置自助繳費，繳費成功后就可以回宿舍暢游網絡了。

在辦公和家屬區的上網用戶是基于上網地點來命名的，當有網絡安全問題出現時,可追尋性強；當有網絡故障問題出現時，對網絡地點的確定很容易，解決問題針對性更強。在學生宿舍區上網的學生用戶是基于學生學號命名的，對網絡安全問題的可追蹤性強；由于引入ip DHCP Snooping思想，通過學號在802.1X認證系統中查詢到學生上網所在的具體設備來解決網絡故障亦相對容易。

現在隨著掌上電腦、智能手機和其他無線終端等設備的出現，對無線網絡的需求日益增加，現在聊城大學在學生宿舍區已經啟用了移動無線網絡，準備2014年前在教學辦公區也啟用無線網絡。

（作者單位為聊城大學網絡信息中心）