一、TLS认证简介
1.TLS认证
（1）认证过程
· 最安全认证技术
· 实施最复杂
（2）TLS双向证书认证
· 服务器对客户端进行认证
· 客户端对服务器进行认证
2.TLS认证过程
3.交换机认证模式
（1）MAC认证模式
· 该模式下连接到同一端口的每个设备都需要单独进行认证；
· 华为交换机默认模式。
（2）端口认证模式
· 只要连接到端口的某个客户端通过认证；
· 其它客户端则不需要认证，就可以访问网络资源。
4.测试组网
（1）组网说明
· 交换机使用华为的S5720；
· 服务器采用开源的Freeradius；
· 测试仪和交换机两个接口相连，并且在同一个VLAN里；
· 在交换机G0/0/1接口启用DOT1X。
（2）测试思路
· 测试仪P1向P2发送两条流量：DOT1X-Traffic，Back-Traffic，源MAC分别为0000-0011-1111, 00-0000-0022-2222，初始情况下两条流量都不通；
· 测试仪P1模拟DOT1X客户端，源MAC地址是0000-0011-1111，和服务器进行 TLS认证；
· 如果认证通过，流DOT1X-Client能通。
二、环境准备
1.配置前准备：华为交换机配置
（1）配置Radius认证（传统模式）
undo authentication unified-mode
radius-server template radTem
radius-server shared-key cipher xinertel
radius-server authentication 80.1.1.3 1812 weight 80
aaa
authentication-scheme radTemp
authentication-mode radius
domain dot1x
authentication-scheme radTemp
radius-server radTem
（2）全局配置DOT1X
domain dot1x
dot1x enable
dot1x authentication-method eap
（3）接口配置
interface GigabitEthernet0/0/1
port link-type access
port default vlan 2
dot1x enable //接口配置dot1x
interface GigabitEthernet0/0/2
port link-type access
port default vlan 2
interface GigabitEthernet0/0/3
undo portswitch
ip address 80.1.1.1 255.255.255.0
2.配置前准备：查看交换机接口的DOT1X信息
（1）接口信息
· 802.1X使能
· 默认是MAC-based
· 认证模式是EAP
3.配置前准备：查看交换机DOT1X统计信息
4.配置前准备： Freeradius配置 外层隧道
（1）修改Client的配置
· 文件：/etc/raddb/clients.conf
· 添加如下内容
· Secret要和交换机上配置相同
（2）修改eap配置
· 文件：/etc/raddb/mods-available/eap
· 修改默认认证类型为tls
5.配置前准备： Freeradius配置 证书
（1）修改eap配置
· 指定证书所在的位置
· 文件：/etc/raddb/mods-available/eap
6.配置前准备： Freeradius测试
（1）打开测试账号：修改eap配置
· 文件：/etc/raddb/users
· 去掉下面内容的注释
（2）以Debug模式启动Freeradius
（3）如果出现如下的回复，则配置成功
7.配置前准备： MariaDB配置
（1）修改Freeradius中的数据库类型
· 文件：/etc/raddb/mods-available/sql
· 去掉下面内容的注释
（2）在MariaDB中添加账号
（3）使用新添加的内容查看
8.配置前准备：最后测试
（1）环境搭建好标识
· 在华为交换机中测试通过
下篇我们将为您带来网络测试技术——802.1X TLS认证的详细测试场景配置以及仪器操作方式，我们不见不散！