| |
一．為什么需要在 IPSec VPN網(wǎng)絡(luò)中部署 XAUTH 應(yīng)用
目前由于寬帶接入的快速發(fā)展，廣泛的中小商用企業(yè)部署IPSec VPN網(wǎng)絡(luò),構(gòu)建遠(yuǎn)程客戶端對公司中心資源訪問的應(yīng)用已極為普通。在部署此類遠(yuǎn)程訪問的IPSec VPN應(yīng)用時，通常是要設(shè)置多個客戶端連接到VPN中心網(wǎng)絡(luò)，網(wǎng)管人員的通常做法是為每一個用戶設(shè)置不同VPN策略和預(yù)置密碼用以區(qū)分每一個用戶，此工作量是巨大的，管理也不方便。因此現(xiàn)在市場上主流的IPSec VPN網(wǎng)關(guān)設(shè)備提供另外一種解決方案，就是在VPN網(wǎng)關(guān)中只要配置一條VPN的策略，就可允許多個如高達(dá)1000個遠(yuǎn)程客戶端的同時接入，然后只要對遠(yuǎn)程客戶分發(fā)一個相同的策略配置就可以了。這樣一來，由于所有遠(yuǎn)程客戶端的VPN配置策略是相同的，對每個遠(yuǎn)程客戶不再進(jìn)行單獨(dú)地區(qū)別,因此在提高了方便性的同時卻又降低了整個網(wǎng)絡(luò)的安全性。
這樣就促使用戶需要這樣一種技術(shù)，就是在VPN網(wǎng)關(guān)設(shè)備中只需要配置一條策略，但要求每個遠(yuǎn)程客戶在接入時需要提供不同的用戶名和口令的身份認(rèn)證，VPN網(wǎng)關(guān)設(shè)備可以集中管理遠(yuǎn)程用戶的合法信息。這樣就大大減少了網(wǎng)絡(luò)管理人員的工作負(fù)擔(dān)和保證遠(yuǎn)程客戶接入的安全性，提高了企業(yè)的整體工作效率。這個技術(shù)就是融合在IPSec VPN里面的XAUTH擴(kuò)展認(rèn)證協(xié)議,XAUTH為這些需要區(qū)分每個用戶進(jìn)行身份驗(yàn)證的應(yīng)用提供了一種身份認(rèn)證機(jī)制，該機(jī)制允許VPN網(wǎng)關(guān)使用Radius服務(wù)器或者本地?cái)?shù)據(jù)庫記錄中的用戶信息對用戶進(jìn)行身份認(rèn)證。
RADIUS (Remote Authentication Dial-In User Service, RFC 2865) 是一個管理網(wǎng)絡(luò)里多個用戶的驗(yàn)證，授權(quán)，計(jì)費(fèi)（AAA）的協(xié)議。RADIUS服務(wù)器在數(shù)據(jù)庫里存儲有效的用戶信息，并能給要求訪問網(wǎng)絡(luò)資源的合法用戶授權(quán)。
下圖是個典型的遠(yuǎn)程客戶到中心VPN網(wǎng)關(guān)的應(yīng)用XAUTH的說明：
圖1：XAUTH和RADIUS使用范例
圖1中當(dāng)遠(yuǎn)程客戶端開始一個VPN連接的請求的時候，VPN網(wǎng)關(guān)通過XAUTH（擴(kuò)展驗(yàn)證）強(qiáng)行中斷VPN協(xié)商的過程，并要求客戶端必須輸入合法的用戶名的密碼進(jìn)行驗(yàn)證，網(wǎng)關(guān)在接收到來自客戶端提供的用戶名和密碼之后首先在本地?cái)?shù)據(jù)庫校驗(yàn)信息是否合法，如果在本地?cái)?shù)據(jù)庫找不到相對應(yīng)的用戶名，則將信息轉(zhuǎn)發(fā)到RADIUS服務(wù)器進(jìn)行校驗(yàn)，如果判斷為合法，則繼續(xù)VPN的協(xié)商過程并且在連結(jié)成功后為遠(yuǎn)程客戶端分配IP地址，如果用戶不合法，則中斷VPN連接。
由于XAUTH結(jié)合RADIUS給依賴于大量使用VPN技術(shù)的商業(yè)用戶帶來了前所未有的安全性和方便的管理特性，因而國際很多知名的VPN設(shè)備開發(fā)商，比如象Cisco，Checkpoint, Netgear公司等，在他們的產(chǎn)品中都開始支持XAUTH。
本新聞共 3頁,當(dāng)前在第 1頁 1 2 3 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
