太阳集团网站(古天乐代言)·Website homepage

园区交换机新技术——iConnect
发布时间:2024-05-23
iConnect是智简园区网络解决方案中网络层的生态名称,通过iConnect可实现物联网终端的即插即用和接入安全。
面向物联终端,提升部署效率
在智简园区场景中,物联网络如楼宇自动化BA(Building Automation)建设早于园区网络的部署,因此,需要园区网络支持物联网络的局部测试。部分物联设备,如门禁、空调联网温控等没有网络操作界面,对物联设备安装调试人员的要求比较高;物联设备接入网络后还存在很多安全隐患,如门禁、闸机、摄像头等容易受到攻击、仿冒,因此物联终端还需要通过网络进行数字证书申请和下发,操作比较复杂。iConnect的出现,很好的解决了上述问题。
使用iConnect的物联网终端也被称为iConnect终端。iConnect可以创建一个带有iConnect标识的SSID,iConnect终端自动关联该SSID,并实现终端的即插即用;iConnect终端还可自动申请并加载数字证书,无需在终端上人工导入数字证书,从而简化安装配置,提升部署效率。
iConnect应用场景
无线终端通过AP接入网络。SwitchA为接入交换机,SwitchB支持随板AC功能,iConnect终端和其他类型的终端(即图中的STA)同时接入网络。用户希望网络规划满足如下要求:
  • 无线终端的IP地址通过DHCP服务器动态分配。
  • iConnect终端进行免认证授权,STA使用Portal认证。

图片

iConnect终端免认证组网图

iConnect工作模式

 

iConnect电子身份信息

iConnect-URL是在MUD-URL的基础上做了扩展定义。
MUD全称Manufacture Usage Description Specification,是RFC 8520定义的一种终端标识自己身份和对网络功能的诉求的方法。初期设计用于网络访问控制,后面逐步应用于其它领域。同时RFC定义了一种MUD-URL,网络访问这个MUD-URL获取到MUD描述文件,并根据该文件获取终端的身份和网络功能诉求,继而给终端开通相应的网络权限。

iConnect终端本地认证

管理员为管理和控制不携带iConnect信息的终端而在设备上配置NAC功能,但对iConnect终端没有管理控制的要求,仅需要iConnect终端能接入网络。此时,可以在设备上使能iConnect终端不认证即上线功能。使能该功能后,设备识别出的iConnect终端不认证就可以上线。

图片

iConnect终端本地认证流程

  • 无线iConnect终端关联SSID,接入无线网络。该SSID为iConnect引导SSID。
  • AP将iConnect终端的身份信息(即iConnect-URL)通过CAPWAP报文发送到设备。
  • 设备根据身份信息判断该用户为iConnect终端,同时设备已经配置iConnect终端不认证即上线功能,则保持该用户在线。否则,若用户没有携带iConnect终端身份信息,或者设备没有配置iConnect终端不认证即上线功能,则用户需要完成非iConnect终端的认证流程。

iConnect终端RADIUS认证

如果管理员未在设备上开启iConnect终端不认证即上线功能,则可以进行iConnect终端RADIUS认证。
iConnect终端的电子身份信息由RADIUS报文(华为RADIUS扩展属性26-202)携带至RADIUS服务器。
RADIUS服务器根据该信息识别终端是否为iConnect终端。如果该终端属于iConnect终端,则RADIUS服务器根据用户账号查询对应的授权策略,并将授权策略封装到认证回应报文中。针对iConnect终端,建议同时配置重定向功能有关的RADIUS属性(例如HW-Redirect-ACL或者HW-Portal-URL),从而使iConnect终端在认证成功并访问网络后被重定向到URL地址并下载EAP-TLS证书,最终触发EAP-TLS认证。

 

图片

iConnect无线终端RADIUS认证流程

  • 无线iConnect终端关联SSID,接入无线网络。该SSID为iConnect引导SSID。

  • AP将iConnect终端的身份信息(即iConnect-URL)通过CAPWAP报文发送到设备。

  • 设备向RADIUS服务器发送RADIUS认证请求报文,认证请求报文中携带终端身份信息。

  • RADIUS服务器通过RADIUS属性HW-MUD-URL携带的终端身份信息识别该用户为iConnect终端,同时RADIUS服务器根据账号查询该用户的授权策略(例如RADIUS属性HW-Redirect-ACL)封装并发送认证回应报文。

  • 设备按照认证回应报文中的授权策略对用户进行授权,因此在认证成功后下发重定向策略。

  • 终端被重定向到URL地址(一般是RADIUS服务器提供的Portal页面的地址)下载数字证书,并在加载该证书后完成EAP-TLS认证。

XML 地图