RADIUS是一種C/S結(jié)構(gòu)的協(xié)議，它的客戶端最初就是NAS(Net Access Server)服務(wù)器，現(xiàn)在任何運(yùn)行RADIUS客戶端軟件的計(jì)算機(jī)都可以成為RADIUS的客戶端。

RADIUS協(xié)議認(rèn)證機(jī)制靈活，可以采用PAP、 CHAP或者Unix登錄認(rèn)證等多種方式。RADIUS是一種可擴(kuò)展的協(xié)議，它進(jìn)行的全部工作都是基于Attribute-Length-Value的向量進(jìn)行的。RADIUS也支持廠商擴(kuò)充廠家專有屬性。

一、一般情況下，我們運(yùn)行的是Windows Server 2003或更高版本的Active Directory，通常可以通過(guò)組策略將網(wǎng)絡(luò)設(shè)置(包括802.1X和任何數(shù)字證書(shū))分發(fā)到windows XP以及隨后加入這個(gè)域的機(jī)器。

但是對(duì)于不在域中的機(jī)器，例如用戶自備的筆記本電腦、智能手機(jī)和平板電腦，除了手動(dòng)用戶配置外，還有其他解決方案可供你選擇，這里要注意的是RADIUS服務(wù)器使用的證書(shū)頒發(fā)機(jī)構(gòu)的根證書(shū)，如果使用EAP-TLS的話的用戶證書(shū)，以及網(wǎng)絡(luò)和802.1X設(shè)置。

二、我們可以使用免費(fèi)的SU1X 802.1X配置部署工具用于Windows XP(SP3)、Vista和Windows 7。你需要進(jìn)入設(shè)置和偏好，從已經(jīng)設(shè)置好網(wǎng)絡(luò)的PC中捕捉網(wǎng)絡(luò)信息，然后這個(gè)工具將會(huì)創(chuàng)建一個(gè)向?qū)?，用戶可以在其?jì)算機(jī)上運(yùn)行這個(gè)向?qū)б宰詣?dòng)配置網(wǎng)絡(luò)和其他設(shè)置。該工具支持根證書(shū)以及網(wǎng)絡(luò)和802.1X設(shè)置的分發(fā)。

此外，你可以配置它來(lái)添加/刪除其他網(wǎng)絡(luò)配置，修改網(wǎng)絡(luò)優(yōu)先事項(xiàng)，以及開(kāi)啟NAP/SoH。該工具甚至還可以為IE和Firefox配置自動(dòng)或手動(dòng)代理服務(wù)器設(shè)置，以及添加/刪除網(wǎng)絡(luò)打印機(jī)。

三、用于802.1X配置部署的商業(yè)產(chǎn)品包括XpressConnect、ClearPass QuickConnect以及ClearPass Onboard，XpressConnect支持根證書(shū)、其他用戶證書(shū)以及網(wǎng)絡(luò)和Windows、Mac OS X、Linux、Android和iOS設(shè)備上的802.1X(PEAP、TLS和TTLS(通道傳輸層安全))設(shè)置的分布。

對(duì)于TTLS，它還支持SecureW2 TTLS客戶端的安裝。XpressConnect是一個(gè)基于云計(jì)算的解決方案，你可以在web控制臺(tái)定義你的網(wǎng)絡(luò)設(shè)置，然后它會(huì)創(chuàng)建一個(gè)向?qū)?，你可以將其分發(fā)給用戶。

四、ClearPass QuickConnect和ClearPass Onboard都支持根證書(shū)和網(wǎng)絡(luò)以及Windows、Mac OS X、Linux、Android和iOS設(shè)備上的802.1X(PEAP、TLS和TTLS)的分發(fā)。ClearPass QuickConnect 是基于云計(jì)算的服務(wù)，不支持分發(fā)任何用戶證書(shū)。

ClearPass Onboard是針對(duì)ClearPass Policy Manager平臺(tái)的軟件模塊，支持用戶證書(shū)分發(fā)，對(duì)于一些移動(dòng)操作系統(tǒng)，也有專門(mén)的解決方案可供你用于分發(fā)802.1X和其他網(wǎng)絡(luò)設(shè)置。

五、保護(hù)802.1X客戶端設(shè)置，802.1X很容易受到中間人攻擊，例如，攻擊者可以通過(guò)修改后的RADIUS服務(wù)器來(lái)設(shè)置一個(gè)重復(fù)的Wi-Fi信號(hào)，然后讓用戶連接，以捕捉和跟蹤用戶的登錄信息。然而，你可以通過(guò)安全地配置客戶端計(jì)算機(jī)和設(shè)備來(lái)阻止這種類型的攻擊：

1、驗(yàn)證服務(wù)器證書(shū)：該設(shè)置應(yīng)該啟用。應(yīng)該從列表框中選擇你的RADIUS服務(wù)器使用的證書(shū)頒發(fā)機(jī)構(gòu)，者能夠確保用戶連接到的網(wǎng)絡(luò)使用的RADIUS服務(wù)器擁有由證書(shū)頒發(fā)機(jī)構(gòu)頒發(fā)的服務(wù)器證書(shū)。

2、連接到這些服務(wù)器：該設(shè)置應(yīng)該啟用。應(yīng)該輸入你的RADIUS服務(wù)器的證書(shū)上列出的域，者能夠確保客戶端只能與具有服務(wù)器證書(shū)的RADIUS服務(wù)器通信。

3、不要提示用戶授權(quán)新服務(wù)器或者可信證書(shū)頒發(fā)機(jī)構(gòu)：應(yīng)該啟用以自動(dòng)拒絕位置RADIUS服務(wù)器，而不是提示用戶他們具有接受和連接的能力。

六、在Windows Visat和更高版本中，前兩個(gè)設(shè)置應(yīng)該在用戶第一次登陸時(shí)，自動(dòng)啟用和配置。然而，最后一個(gè)設(shè)置應(yīng)該手動(dòng)啟用，或者通過(guò)組策略或者其他分發(fā)方法來(lái)啟用。在Windows XP中，用戶必須手動(dòng)配置所有設(shè)置，或者你也可以使用組策略或者其他分發(fā)方法。

七、保護(hù)RADIUS服務(wù)器，不要忘了RADIUS服務(wù)器的安全性問(wèn)題，畢竟它是處理驗(yàn)證的主要服務(wù)器。

考慮專門(mén)使用一個(gè)單獨(dú)的服務(wù)器來(lái)作為RADIUS服務(wù)器，確保其防火墻被鎖定，并對(duì)位于另一臺(tái)服務(wù)器上的RADIUS服務(wù)器用的任何數(shù)據(jù)庫(kù)連接使用加密鏈接，當(dāng)生成共享秘密時(shí)，你需要輸入到NAS(網(wǎng)絡(luò)接入服務(wù)器)客戶端列表或者RADIUS服務(wù)器數(shù)據(jù)庫(kù)，使用強(qiáng)大的秘密。

由于用戶不必知道或者記住它們，可以使用非常長(zhǎng)且復(fù)雜的秘密。請(qǐng)記住，大多數(shù)RADIUS服務(wù)器和NAS設(shè)備最多支持32個(gè)字符。

由于802.1X很容易受到中間人攻擊，尤其是用戶密碼，所以請(qǐng)確保用戶密碼的安全性。如果你有一個(gè)類似Active Directory的目錄服務(wù)，你可以執(zhí)行密碼政策以確保密碼足夠復(fù)雜和定期更換。