| |
一．為什么需要在 IPSec VPN網(wǎng)絡(luò)中部署 XAUTH 應(yīng)用
目前由于寬帶接入的快速發(fā)展，廣泛的中小商用企業(yè)部署IPSec VPN網(wǎng)絡(luò),構(gòu)建遠(yuǎn)程客戶端對(duì)公司中心資源訪問(wèn)的應(yīng)用已極為普通。在部署此類遠(yuǎn)程訪問(wèn)的IPSec VPN應(yīng)用時(shí)，通常是要設(shè)置多個(gè)客戶端連接到VPN中心網(wǎng)絡(luò)，網(wǎng)管人員的通常做法是為每一個(gè)用戶設(shè)置不同VPN策略和預(yù)置密碼用以區(qū)分每一個(gè)用戶，此工作量是巨大的，管理也不方便。因此現(xiàn)在市場(chǎng)上主流的IPSec VPN網(wǎng)關(guān)設(shè)備提供另外一種解決方案，就是在VPN網(wǎng)關(guān)中只要配置一條VPN的策略，就可允許多個(gè)如高達(dá)1000個(gè)遠(yuǎn)程客戶端的同時(shí)接入，然后只要對(duì)遠(yuǎn)程客戶分發(fā)一個(gè)相同的策略配置就可以了。這樣一來(lái)，由于所有遠(yuǎn)程客戶端的VPN配置策略是相同的，對(duì)每個(gè)遠(yuǎn)程客戶不再進(jìn)行單獨(dú)地區(qū)別,因此在提高了方便性的同時(shí)卻又降低了整個(gè)網(wǎng)絡(luò)的安全性。
這樣就促使用戶需要這樣一種技術(shù)，就是在VPN網(wǎng)關(guān)設(shè)備中只需要配置一條策略，但要求每個(gè)遠(yuǎn)程客戶在接入時(shí)需要提供不同的用戶名和口令的身份認(rèn)證，VPN網(wǎng)關(guān)設(shè)備可以集中管理遠(yuǎn)程用戶的合法信息。這樣就大大減少了網(wǎng)絡(luò)管理人員的工作負(fù)擔(dān)和保證遠(yuǎn)程客戶接入的安全性，提高了企業(yè)的整體工作效率。這個(gè)技術(shù)就是融合在IPSec VPN里面的XAUTH擴(kuò)展認(rèn)證協(xié)議,XAUTH為這些需要區(qū)分每個(gè)用戶進(jìn)行身份驗(yàn)證的應(yīng)用提供了一種身份認(rèn)證機(jī)制，該機(jī)制允許VPN網(wǎng)關(guān)使用Radius服務(wù)器或者本地?cái)?shù)據(jù)庫(kù)記錄中的用戶信息對(duì)用戶進(jìn)行身份認(rèn)證。
RADIUS (Remote Authentication Dial-In User Service, RFC 2865) 是一個(gè)管理網(wǎng)絡(luò)里多個(gè)用戶的驗(yàn)證，授權(quán)，計(jì)費(fèi)（AAA）的協(xié)議。RADIUS服務(wù)器在數(shù)據(jù)庫(kù)里存儲(chǔ)有效的用戶信息，并能給要求訪問(wèn)網(wǎng)絡(luò)資源的合法用戶授權(quán)。
下圖是個(gè)典型的遠(yuǎn)程客戶到中心VPN網(wǎng)關(guān)的應(yīng)用XAUTH的說(shuō)明：
圖1：XAUTH和RADIUS使用范例
圖1中當(dāng)遠(yuǎn)程客戶端開(kāi)始一個(gè)VPN連接的請(qǐng)求的時(shí)候，VPN網(wǎng)關(guān)通過(guò)XAUTH（擴(kuò)展驗(yàn)證）強(qiáng)行中斷VPN協(xié)商的過(guò)程，并要求客戶端必須輸入合法的用戶名的密碼進(jìn)行驗(yàn)證，網(wǎng)關(guān)在接收到來(lái)自客戶端提供的用戶名和密碼之后首先在本地?cái)?shù)據(jù)庫(kù)校驗(yàn)信息是否合法，如果在本地?cái)?shù)據(jù)庫(kù)找不到相對(duì)應(yīng)的用戶名，則將信息轉(zhuǎn)發(fā)到RADIUS服務(wù)器進(jìn)行校驗(yàn)，如果判斷為合法，則繼續(xù)VPN的協(xié)商過(guò)程并且在連結(jié)成功后為遠(yuǎn)程客戶端分配IP地址，如果用戶不合法，則中斷VPN連接。
由于XAUTH結(jié)合RADIUS給依賴于大量使用VPN技術(shù)的商業(yè)用戶帶來(lái)了前所未有的安全性和方便的管理特性，因而國(guó)際很多知名的VPN設(shè)備開(kāi)發(fā)商，比如象Cisco，Checkpoint, Netgear公司等，在他們的產(chǎn)品中都開(kāi)始支持XAUTH。
本新聞共 3頁(yè),當(dāng)前在第 1頁(yè) 1 2 3 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
