一種基于MAC地址的網(wǎng)絡(luò)接入控制的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、802.1X協(xié)議是由IEEE制定的基于端口的、最初是為了解決無線局域網(wǎng)中用戶的接入認(rèn)證問題的網(wǎng)絡(luò)接入控制標(biāo)準(zhǔn)。隨著網(wǎng)絡(luò)的發(fā)展，該協(xié)議也被廣泛應(yīng)用到有線局域網(wǎng)中。802.1X協(xié)議的接入控制粒度為端口，當(dāng)一個(gè)端口下有用戶認(rèn)證成功后，整個(gè)端口就完全放開，此時(shí)任何用戶都可以通過該端口訪問網(wǎng)絡(luò)資源。對(duì)于無線局域網(wǎng)而言，每一條信道對(duì)應(yīng)一個(gè)認(rèn)證端口，由于無線網(wǎng)信道獨(dú)占的特性，基于端口的接入控制天然支持用戶級(jí)別的訪問控制。然而當(dāng)802.1X認(rèn)證應(yīng)用到有

2、線局域網(wǎng)時(shí)，由于一個(gè)物理端口可以允許多個(gè)用戶接入，基于端口的控制不再能滿足用戶級(jí)別的訪問控制要求。在組網(wǎng)時(shí)，不允許在認(rèn)證設(shè)備之下下掛HUB或者其他交換機(jī)，組網(wǎng)的靈活性受到了限制。此外，非認(rèn)證用戶可以通過已打開的端口進(jìn)行非法訪問。
　　為解決上述缺陷，本文對(duì)802.1X協(xié)議進(jìn)行了改進(jìn)，在原有的802.1X協(xié)議框架下，將接入控制力度細(xì)化到用戶級(jí)別。因?yàn)閷?shí)際生活中每個(gè)接入用戶對(duì)應(yīng)的MAC地址是唯一的，所以可以將MAC地址作為接入控制的基

3、本單元，這種接入控制方式叫做基于MAC地址的接入控制。當(dāng)用戶認(rèn)證通過后，不是將整個(gè)認(rèn)證端口放開，而是將已通過認(rèn)證的用戶的MAC地址加入到認(rèn)證端口的允許訪問列表中，此時(shí)未認(rèn)證用戶將無法通過該端口訪問網(wǎng)絡(luò)資源，從而實(shí)現(xiàn)了基于MAC的訪問控制。同時(shí)還支持基于MAC地址的授權(quán)VLAN的下發(fā)。在實(shí)現(xiàn)時(shí)，通過ACL技術(shù)來禁止端口自動(dòng)學(xué)習(xí)MAC表項(xiàng)，限制未認(rèn)證的用戶流量通過。通過在認(rèn)證端口添加靜態(tài)MAC表項(xiàng)來允許已認(rèn)證用戶訪問網(wǎng)絡(luò)資源。
　　基