EAP介绍.pdf
对于EAP协议的介绍内容。EAP的架构非常灵活,在Authenticator(认证方)和Supplicant(客户端)交互足够多的信息之后,才会决定选择一种具体的认证方法,即允许协商所希望的认证方法。内容简单易懂。简介定义EAP(扩展认证协议)一个支持多路认证方法的P2P协议。EAP通常直接运行在数据链路层,例如PPP协议或者是EE802,不需要|P地址。EAP提供了它自己支持的重复删除和转发,但是它依赖于底层正确的排序。EAP本身不支持分片,然而特殊的EAP方法可能支持这个。当数据包的长度超出最大值<圆p时,就要分片BiCopyright 2011 BIl Groupwww.bllgroup.comCONFIDENTIAL天地互连简介1、在没有后台认证服二、术语解释务器时,EAP服务器是认证者的一部分。◆ Authenticator(认证者):启动EAP认证链路2、在认证者工作在传递模式时,EAP服务器◆Per(被认证者):回应认证器的链路终端入位于后台认证服务器◆后台认证服务器:为认证者提供认证服务的实体。◆EAP服务器:终止被认证者的EAP认证方法的实体。◆MSK(主会话密钥):密钥材料从被认证者和服务器间获取。◆EMsK(扩展主会话密钥):附加的密钥材料从EAP客户端和服务器间获取<圆pwww.bllgroup.com3BiCopyright 2011 BIl GroupCONFIDENTIAL天地互连简介三、认证过程AuthenticatorPeerAP是一个锁步认证者被认证者协议,因此除了初始请求外,请求包中有个新的请求不能1、发送请求认证被认证者个类型字段来够在收到有效响指出什么正在应之前被提前发2、被认证者发送一个回应包来回复合法的请求被请求关3、认证者发送一个附加的请求包,被认证者回复个数据包4、依据结果,发送成功或失败数据包<圆BiCopyright 2011 BIl Groupwww.bllgroup.comCONFIDENTIAL天地互连简介四、优缺点优点:缺点:●EAP协议支持多种认证方●在PPP中使用EAP,需要法,不需要预谈判一个特殊增加一个新的认证类型到的PPP LCP,因此PPP需要更NAS设备不需要理解每个改以使用它认证方法,也不需要为后台●认证者和后台认证服务器认证服务器作中继代理。分开,它使安全性分析复杂●认证者和后台认证服务器化,如果需要的话,密钥分相离简化了证件管理和政策配也复杂化了。的制定。<圆pCopyright 2011 BIl Groupwww.bllgroup.com5BiCONFIDENTIAL天地互连模开支持序列EAP会话可能利用各种方法,但是在一个会话中被认证者和认证者必须使用一种认证方法,发送的数据包也只能是同一种类型,在会话结束后认证者必须发送成功或失败数据包。因此不支持身份请求。EAP会话中不支持多路认证方法,因为它们睿易受到拦截式攻击,并与现有的实现不兼容使用隧道方<法可解决这个问题www.bllgroup.com6BiCopyright 2011 BIl GroupCONFIDENTIAL天地互连模开完成认证算二、多路复用法和通过下层传输EAP+-+-+-+-+-+-+-+-+-+-+-+-++-+-+-+-+-+-消息EAP method EAp methed IEAP met hod EAP method I上eTXT+-+-+-十-!-+-+-+-+-+-+-+-++-+-+-+-!-+-+-+-+-+-+-+-+I EAP! Peer layerE三FAuth. layer基于代码段,多路分用输+-+-+-+-!-+-+-+-+-+-+-+-++-+-+-+-!-+-+-+-+-+-+-+-+入的EAP包EAPlaver下AP到上层通过底层接-+-+1!-+-+-+=+-+-+-+-++-+-+-+-!=+-+-+-+-+收和转发负责在被认证laverLower! layerEAP数据包,者和认证者之完成重复检一+一++-!-+一+-+一+一+-++一++一+一+一+-|一+一十一+-+一+一+-+-间转发和接收测和转发,EAP帧PeerAuthent icat or同时从上层十传递和接收<圆p信息Copyright 2011 BIl Groupwww.bllgroup.comBiCONFIDENTIAL天地互连模开三、传递模型它把从被认PeerPass-through Authenticator Authentication证者收到的ServerEAP数据包,当作为一个传经过它自己递认证者时,的认证层发认证者检查代EAP methodFAP met hod送到后台认码,身份,字+++1+++++++++++++++++++++!+++证服务器段长度。EEAPpeerAuth. EAF Aut h从后台认证LEAP peerFAP!Auth。服务器接收-+-+-1-+-+-++-+-+-+--+-+-+-+-+-1-+-+-+-++-+-+-!-+-+-+到的数据包发送到被认EAP layerEAP layerl EAP ! layerEAP !layer证者。十-+-十-|-十-+-十+--十-+-|-+-十-十-十-+--十-十-+-++-+-+-!-十一十-十I Lower! layer lLower! layerl AAA !/IP/IP+-+-+-!-+-+-++-+-+-+-|-++-+-+-+-!-+-+-+-++-+-+-!-+-+-+<圆p+=====-==8BiCopyright 2011 BIl Groupwww.bllgroup.comCONFIDENTIAL天地互连模开四、P2P由于EAP是P2P对等协议,独立和同步认证可能发生在相反的方向上。两个链路的终端可能同时作为认证者和被认证者。这种情况下,两个终端都必须实施EAP认证者和被认证者层。另外,在两个节点的EAP方法的实现必须同时支持验证和对等的功能。
用户评论
