प्रशिक्षण सिस्को 200-125 CCNA v3.0। दिन 40. 802.1X मानक और एएए प्रोटोकॉल परिवार

आज हम परीक्षा विषय ICND2 के उपखंड 1.7a और खंड 5.4 को देखते हैं। ये वर्णनात्मक विषय हैं, अर्थात, सिस्को को आपको गहराई से अध्ययन करने की आवश्यकता नहीं है। आपको बस यह जानना होगा कि 802.1X मानक और एएए प्रोटोकॉल परिवार का क्या मतलब है।



आइए एक सिस्को डिवाइस को देखें और याद रखें कि हमने ऐसे डिवाइस में कैसे प्रवेश किया। हर बार, सिस्को डिवाइस में लॉग इन करने के लिए, हम वीटीवाई लाइनों पर एक पासवर्ड सेट करते हैं, जो टेलनेट के माध्यम से डिवाइस तक पहुंच प्रदान करता है। इसका मतलब है कि डिफ़ॉल्ट रूप से, IOS लॉगिन कमांड को सक्षम करता है और लाइन VTY पासवर्ड की तलाश शुरू करता है।

यदि आप लॉगिन स्थानीय दर्ज करते हैं, तो सिस्टम उपयोगकर्ता नाम के लिए कॉन्फ़िगर किए गए स्थानीय पासवर्ड की खोज करना शुरू कर देगा। इसलिए यदि आप वैश्विक कॉन्फ़िगरेशन मोड में प्रवेश करते हैं और उपयोगकर्ता नाम "इमरान" और पासवर्ड "इमरान" टाइप करते हैं, और फिर लाइन वीटीवाई में जाते हैं और लॉगिन स्थानीय टाइप करते हैं, तो सिस्टम एक स्थानीय पासवर्ड, जो आपके द्वारा सेट किया गया उपयोगकर्ता नाम और पासवर्ड खोजेगा।
समस्या यह है कि इन दोनों कॉन्फ़िगरेशन को डिवाइस पर स्थानीय रूप से कॉन्फ़िगर किया गया है, और यदि आपके संगठन में एक हजार उपयोगकर्ता हैं, तो इनमें से प्रत्येक डिवाइस को एक हजार उपयोगकर्ता नाम और पासवर्ड याद रखना होगा। यदि आपके पास 1000 डिवाइस हैं, तो उनमें से प्रत्येक में 1000 उपयोगकर्ता नाम और 1000 पासवर्ड होंगे। कल्पना कीजिए कि एक हजार या सौ उपकरणों पर इतने सारे पासवर्ड सेट करने का क्या मतलब है।

सुरक्षा मानदंड को बार-बार बदलने के लिए पासवर्ड की आवश्यकता होती है। यदि आपको 1000 उपयोगकर्ताओं के लिए पासवर्ड बदलना होगा, तो आपको सैकड़ों या हजारों उपकरणों में से प्रत्येक में जाना होगा और इसे मैन्युअल रूप से करना होगा। यह अकल्पनीय रूप से बड़ी मात्रा में काम है।
सिस्को उपकरणों को केंद्रीय रूप से कॉन्फ़िगर करने का एक इष्टतम तरीका है। यह एएए प्रोटोकॉल (प्रमाणीकरण, प्राधिकरण, लेखा) का एक परिवार है जो 3 कार्य प्रदान करता है - प्रमाणीकरण, प्राधिकरण और लेखा।



मान लीजिए कि हमारे पास एक केंद्रीय सर्वर है जो उपयोगकर्ता नाम और पासवर्ड और आपके सिस्को स्विच के डेटाबेस को होस्ट करता है। जब कोई उपयोगकर्ता सिस्को डिवाइस में लॉग इन करने की कोशिश करता है, तो स्विच उसकी मेमोरी में इस डेटा की तलाश नहीं करता है, लेकिन एएए सर्वर से कनेक्ट करने का प्रयास करता है। उपयोगकर्ता का डेटा वहां मिलने के बाद, वह उसे लॉग इन करने की अनुमति देता है।



यदि हमारे पास इस तरह के एक हजार डिवाइस हैं, तो एएए सर्वर के माध्यम से उन तक पहुंच को कॉन्फ़िगर किया गया है, और कोई फर्क नहीं पड़ता कि आप इस तरह के डिवाइस में प्रवेश करने जा रहे हैं, यह हमेशा इस सर्वर पर आपके उपयोगकर्ता नाम और पासवर्ड की जांच करेगा। यदि आपको पासवर्ड बदलने की आवश्यकता है, तो आप सर्वर में लॉग इन करें, कॉन्फ़िगर करें, और इसकी सेटिंग्स आपके नेटवर्क पर सभी उपकरणों पर लागू होती हैं।
AAA मुख्य रूप से दो प्रोटोकॉल का उपयोग करता है - RADIUS और TACACS +।



RADIUS RFC 2865-2866 द्वारा वर्णित एक रिमोट प्रमाणीकरण और प्राधिकरण प्रोटोकॉल है। कार्य संगठन खुले संगठन इंटरनेट सोसायटी के तत्वावधान में एकत्र किए जाते हैं, जब प्रत्येक व्यक्ति किसी सॉफ़्टवेयर उत्पाद के संचालन में सुधार के लिए अपने प्रस्ताव बना सकता है। यह 1991 में विकसित एक काफी पुराना प्रोटोकॉल है। यह मुख्य रूप से नेटवर्क उपयोगकर्ताओं को प्रमाणित करने के लिए उपयोग किया जाता है और यूडीपी पोर्ट 1645/1646 का उपयोग करता है, जबकि नए डिवाइस पोर्ट 1812/1813 का उपयोग करते हैं।
RADIUS 3 कार्यों का समर्थन करता है: प्रमाणीकरण, कार्यकारी प्राधिकरण EXEC प्राधिकरण और कार्यकारी लेखा EXEC लेखांकन। प्रमाणीकरण आपको डिवाइस को हासिल करने या न करने का अवसर देता है, और प्राधिकरण आपको कुछ कार्यों को करने की अनुमति देता है या प्रतिबंधित करता है, उदाहरण के लिए, डिवाइस पर कुछ कमांड दर्ज करें। यह आपको दिए गए विशेषाधिकारों के स्तर पर निर्भर करता है, अर्थात यह निर्धारित करता है कि आप डिवाइस तक पहुंच प्राप्त करने के बाद क्या कर सकते हैं। लेखांकन का मतलब डिवाइस पर आपके द्वारा दर्ज किए गए सभी आदेशों को रिकॉर्ड करना है, ताकि आपको दिए गए विशेषाधिकारों के अनुपालन की निगरानी की जाए।
TACACS + एक सत्र प्रोटोकॉल है जिसके द्वारा केंद्रीय AAA सर्वर यह तय करता है कि उपयोगकर्ता को नेटवर्क से कनेक्ट करने की अनुमति दी जाए या नहीं। यह सिस्को टीएसीएसीएस मालिकाना प्रोटोकॉल का एक बढ़ाया संस्करण है, जो एक खुला, सार्वजनिक मानक है। इसका उपयोग उपयोगकर्ता उपकरणों को प्रबंधित करने के लिए काफी हद तक किया जाता है, उदाहरण के लिए, क्या आप एक प्रिंटर से कनेक्ट कर सकते हैं और आप इस प्रिंटर के साथ क्या कर सकते हैं।

यह प्रोटोकॉल TCP और पोर्ट 49 का उपयोग करता है। यदि आपके पास डिवाइस और AAA सर्वर के बीच फ़ायरवॉल है, तो आपको संबंधित RADIUS या TACACS + पोर्ट को अपवादों में रखना होगा, अर्थात इसके लिए UDP या TCP ट्रैफ़िक खोलें। इसलिए, इन प्रोटोकॉल के संचालन को सुनिश्चित करने के लिए पोर्ट नंबर जानना बहुत महत्वपूर्ण है।

TACACS + कमांड प्राधिकरण जैसे RADIUS की तुलना में अधिक सुविधाओं का समर्थन करता है। EXEC प्राधिकरण के कार्यकारी प्राधिकरण में, आपको पहले उपयोगकर्ता विशेषाधिकार स्तर निर्दिष्ट करने की आवश्यकता होती है, उदाहरण के लिए Priv 15 या Priv10, अर्थात्, निर्दिष्ट करें, उदाहरण के लिए, जो Priv 10 द्वारा अधिकृत उपयोगकर्ता का उपयोग करता है, TACACS + में, एक अधिक विस्तृत प्राधिकरण स्तर का उपयोग किया जाता है, अर्थात, आप विशिष्ट आदेश निर्दिष्ट कर सकते हैं। उपयोगकर्ता, उदाहरण के लिए, उपयोग कर सकता है कि प्रिवी 15 उपयोगकर्ता रूटिंग प्रोटोकॉल कंट्रोल कमांड का उपयोग नहीं कर सकता है। अर्थात्, कमांड प्राधिकरण स्तर पर, आप यह निर्दिष्ट कर सकते हैं कि उपयोगकर्ता किन कमांडों का उपयोग कर सकता है और किन कमांडों का उपयोग करने के लिए उसे मना किया गया है।

कमांड अकाउंटिंग फंक्शन के साथ एक समान स्थिति - आप ठीक-ठीक ट्यून कर सकते हैं कि किस यूजर कमांड को लॉग में रिकॉर्ड किया जाना चाहिए और किन लोगों को नजरअंदाज करना चाहिए।

एक सामान्य स्विच पर विचार करें। तस्वीर में दिख रही महिला पावर आउटलेट से जुड़े लैपटॉप के साथ काम कर रही है। यदि आपको याद है, ICND1 वीडियो ट्यूटोरियल में से एक में, हमने पोर्टसिक्योरिटी पर चर्चा की, जो डिवाइस के मैक पते के आधार पर पोर्ट को ब्लॉक करता है।

उदाहरण के लिए, यदि विशिष्ट पोर्ट के लिए एक विशिष्ट मैक पता निर्दिष्ट किया जाता है, तो जब एक अलग मैक पते वाला डिवाइस इस पोर्ट से जुड़ा होता है, तो पोर्ट अवरुद्ध हो जाएगा। यह बहुत सुविधाजनक नहीं है, क्योंकि व्यवहार में यह कभी-कभी उस उपयोगकर्ता तक पहुंच प्रदान करने के लिए आवश्यक होता है, जिसके उपकरण मैक पते पर इस पोर्ट के साथ काम करने का अधिकार नहीं है, और प्रत्येक बार अनुमत मैक पते को कॉन्फ़िगर करना बहुत मुश्किल है। आप नहीं चाहते कि लोग इस पोर्ट का दुरुपयोग करें, लेकिन साथ ही साथ आप सभी को एक पंक्ति में पहुँच से वंचित नहीं करना चाहते। इस मामले में, आपको 802.1X मानक के ईएपी प्रोटोकॉल को लागू करने की आवश्यकता है - यह पी 2 पी नेटवर्क में एक प्रमाणीकरण ढांचा है।

यदि आपके पास एक भौतिक स्विच पोर्ट है, तो मान लीजिए कि एक नेटवर्क आउटलेट पैच कॉर्ड द्वारा 48-पोर्ट स्विच से जुड़ा हुआ है, तो आप 802.1X के साथ काम करने के लिए इनमें से प्रत्येक पोर्ट को कॉन्फ़िगर कर सकते हैं।



जब आप ऐसा करते हैं, तो कोई भी डीएचसीपी, टीएफटीपी, एचटीटीपी ट्रैफिक आदि। LAN पर विशेष EAPoL प्रोटोकॉल, या एक्स्टेंसिबल प्रमाणीकरण प्रोटोकॉल का उपयोग करके ट्रैफ़िक को छोड़कर अवरुद्ध किया जाएगा। यह ट्रैफ़िक AAA सर्वर पर जाएगा, और यदि उपयोगकर्ता नाम और पासवर्ड एक्सेस स्तर से मेल खाते हैं, तो स्विच पोर्ट खुला रहेगा। उसके बाद, सभी पहले से प्रतिबंधित डीएचसीपी, टीएफटीपी, केआरबी 5, एचटीटीपी ट्रैफिक को गंतव्य पर भेजने की अनुमति होगी। यदि उपयोगकर्ता नाम और पासवर्ड एक्सेस की शर्तों को पूरा नहीं करते हैं, तो कुछ भी नहीं बदलेगा - ईएपीओएल ट्रैफ़िक को छोड़कर सभी ट्रैफ़िक अभी भी इस पोर्ट के लिए अस्वीकार कर दिए जाएंगे। 802.1X मानक क्या करता है यह सबसे सरल स्पष्टीकरण है। आइए इस मानक की कार्य प्रक्रिया को देखें, जिसमें 3 घटक होते हैं।



पहला घटक आवेदक है, जिसे उपयोगकर्ता को नेटवर्क प्रमाणीकरण से गुजरना होगा। आमतौर पर, सप्लीमेंट का मतलब विशेष सॉफ्टवेयर है जो कई आधुनिक ऑपरेटिंग सिस्टम के साथ शामिल है। यदि आपके ओएस में यह शामिल नहीं है, तो आपको इस तरह के कार्यक्रम को स्थापित करने की आवश्यकता होगी। यह आपको 802.1X प्रोटोकॉल का उपयोग करके उपलब्ध स्विच पोर्ट से कनेक्ट करने की अनुमति देता है। स्विच दूसरा घटक है जिसे "प्रमाणक" कहा जाता है। यह आवेदक और तीसरे घटक, प्रमाणीकरण सर्वर के बीच स्थित है। सबसे पहले, सभी उपयोगकर्ता ट्रैफ़िक को स्विच पोर्ट द्वारा अवरुद्ध किया जाता है, क्योंकि डिवाइस में आईपी पता भी नहीं होता है, क्योंकि ऑथेंटिकेशन के साथ सभी संचार केवल ईएपीओएल प्रोटोकॉल का उपयोग करके किया जाता है।

अनुपूरक सॉफ्टवेयर एक EAPoL फ्रेम बनाता है और इसे प्रमाणक को भेजता है। वह एक नया आईपी पैकेट बनाता है। यदि RADIUS का उपयोग किया जाता है, तो यह एक UDP पैकेट होगा, यदि TACACS +, तो TCP पैकेट जिसमें EAPoL फ्रेम रखा गया है। पैकेट को प्रमाणीकरण सर्वर पर भेजा जाता है, जो उपयोगकर्ता नाम और पासवर्ड की जांच करता है और इस उपयोगकर्ता के काम की अनुमति देता है या इनकार करता है।

प्रक्रिया पर अधिक विस्तार से विचार करें। यह सभी डिवाइस के स्टार्ट संदेश के साथ शुरू होता है, लेकिन सभी डिवाइस इसे नहीं भेजते हैं। लेकिन भले ही उपयोगकर्ता का उपकरण इस तरह के संदेश के बिना पोर्ट से कनेक्ट हो, लेकिन प्रमाणक अभी भी उसे एक पहचान अनुरोध भेजता है। सेटिंग्स के आधार पर, सिस्को प्रमाणीकरणकर्ता हर कुछ मिनट या सेकंड में यह अनुरोध भेजता है। यदि डिवाइस एक प्रारंभ संदेश भेजता है, तो स्विच पहचान अनुरोध तुरंत भेजा जाएगा। इसके बाद, उपयोगकर्ता डिवाइस एक पहचान प्रतिक्रिया भेजता है पहचान प्रतिक्रिया को पहचानें, जिसमें उपयोगकर्ता नाम शामिल है, उदाहरण के लिए, इमरान, और यह फ्रेम प्रमाणक के पास जाता है। वह "इमरान" नाम लेता है, इसे एक आईपी पैकेट में डालता है और इसे प्रमाणीकरण सर्वर को भेजता है। इस संदेश को एक्सेस रिक्वेस्ट या एक्सेस रिक्वेस्ट कहा जाता है। सर्वर कहता है: "महान, मुझे उपयोगकर्ता नाम" इमरान "मिला, अब मुझे उसका पासवर्ड भेजें", और संबंधित एक्सेस चैलेंज अनुरोध को प्रमाणक को भेजता है।

इस प्रक्रिया के गहन अध्ययन के बारे में चिंता न करें, क्योंकि ICND2 पाठ्यक्रम में 802.1X मानक के विषय वर्णनात्मक हैं।

प्रमाणीकरणकर्ता आवेदक को एक संबंधित अनुरोध भेजता है, और आवेदक उसे एक पासवर्ड भेजता है। यहां बारीकियां हैं: उपयोगकर्ता एक साधारण पाठ संदेश के रूप में सर्वर को पासवर्ड नहीं भेज सकता है, एन्क्रिप्शन का उपयोग कर सुरंग बनाने की आवश्यकता है। इस मामले में, सप्लीमेंट को टीएलएस या पीआईपी - संरक्षित आईपी, या एमएस-सीएचपी प्रमाणीकरण प्रोटोकॉल का उपयोग करना चाहिए।

तो, उपयोगकर्ता का डिवाइस एन्क्रिप्टेड सुरंग पर पासवर्ड भेजता है, और यह एक्सेस अनुरोध के अंदर प्रमाणीकरण सर्वर पर आता है। यदि पासवर्ड सही है, तो सर्वर एक्सेस एक्सेप्ट अनुमति को वापस भेजता है। यदि परीक्षण सफल होता है, तो प्रमाणक उपयोगकर्ता को एक सफल संदेश भेजता है, जिसके बाद पोर्ट खुलने के बाद यातायात को गुजरने देता है। यह 802.1X नेटवर्क प्रमाणीकरण मानक के प्रोटोकॉल के अनुसार एक फ़िल्टरिंग राज्य से पोर्ट को स्थानांतरित करने या बंद करने की प्रक्रिया को एक खुले राज्य में करने की प्रक्रिया है। हम कह सकते हैं कि यह ढांचा आपको मानक पोर्टसेक्रिटी की तुलना में उच्च स्तर की नेटवर्क एक्सेस सुरक्षा प्रदान करता है।



वायरलेस एक्सेस डिवाइस के लिए यह मानक व्यापक रूप से उपयोग किया जाता है जब नेटवर्क तक पहुंचने के लिए कई लैपटॉप इस तरह के डिवाइस से जुड़े होते हैं। एक वायरलेस डिवाइस, या एक्सेस प्वाइंट, प्रमाणीकरण सर्वर से जुड़ता है और उपयोगकर्ताओं के लिए नेटवर्क एक्सेस का आयोजन करता है।

उपयोग किए गए प्रोटोकॉल, RADIUS या TACACS + के आधार पर, उपयोगकर्ता उपकरणों को एक विशिष्ट वीएलएएन के साथ काम करने की अनुमति है। उदाहरण के लिए, प्रमाणीकरण के बाद, लैपटॉप 1 संचार के लिए वीएलएएन 100 का उपयोग कर सकता है, और लैपटॉप 2 वीएलएएन 200 का उपयोग कर सकता है। इन सभी मापदंडों को उल्लिखित 802.1 एक्स प्रमाणीकरण प्रोटोकॉल का उपयोग करके कॉन्फ़िगर किया जा सकता है।


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV नीदरलैंड के 199 डॉलर में से है! डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $ 99 से! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?