EAP, IEEE 802.1x va IPSec standartlari

100 
IEEE 802 xillaridagi kanal sathidagi protokollar bazasida ishlaydi va IP 
protokolini ishlatishni talab qilmaydi. 
EAP 
simsiz 
tarmoq 
elementlarining 
va 
tarmoqdan 
foydalanuvchilarning 
markazlashgan 
autentifikatsiyasini, 
shifrlash 
kalitlarini dinamik generatsiyalash imkoni bilan, madadlaydi. 
EAP 
simli 
va 
simsiz 
muhitlardagi 
ajratilgan 
va 
kommutatsiyalanuvchi qurilmalarda ishlatilishi mumkin. Hozirda EAP 
protokoli xostlarda va marshrutizatorlarda amalga oshirilgan. Protokol 
IEEE 802 protokollarini ishlatuvchi kommutatorlarda va foydalanish 
nuqtalarida ham amalga oshirilishi mumkin. IEEE 802 simli muhitlarda 
EAP ning inkapsulyasiyasi IEEE-802.1x standartda, simsiz muhitlarda esa 
- IEEE 802.11i standartda tavsiflangan.
EAP arxitekturasining afzalliklaridan biri uning moslanuvchanligi. 
EAP autentifikatsiyaning muayyan mexanizmini tanlashga xizmat qiladi. 
Autentifikatsiya 
mexanizmiga 
binoan 
foydalanuvchi 
autentifikatsiyalanuvchi 
tomonga 
(masalan 
RADIUS-serverga) 
autentifikatsiya so’rovini jo’natadi. So’ngra autentifikatsiyalanuvchi 
tomon qo’llanuvchi muayyan autentifikatsiya usulini aniqlash uchun 
qo’shimcha axborotni so’raydi. Foydalanuvchi tomonidan javob 
olinganidan so’ng autentifikatsiyalovchi tomon avtorizatsiyalash va 
tarmoq trafigini uzatish huquqini olishga ruhsat beradi. 
IEEE 802.1x 
standart 
ma’lumotlarni 
uzatish 
tarmog’idan 
foydalanuvchilarni va ishchi stansiyalarni autentifikatsiyalash va 
avtorizatsiyalash uchun ishlatiladi. IEEE 802.1x standart foydalanuvchiga, 
u tegishli guruhga bog’liq holda, tarmoqdan va uning servislaridan 
foydalanish huquqini taqdim etadi. 
Simsiz tarmoqlar uchun IEEE 802.1x standart autentifikatsiyasi uchta 
komponentdan iborat (8.4-rasm): 
- simsiz mijoz (mijoz qurilmasining dasturiy ta’minoti); 
- autentifikator (foydalanish nuqtasi); 
- autentifikatsiya serveri (RADIUS). 
IEEE 802.1x standartning autentifikatsiya himoyasi simsiz tarmoq 
mijozidan foydalanish nuqtasiga so’rovni boshlab beradi. Foydalanish 
nuqtasi mijozning haqiqiyligini mos RADIUS serverida EAP protokoli 
orqali aniqlaydi. RADIUS serveri foydalanuvchi autentifikatsiyasini (parol 
yoki sertifikat yordamida) yoki kompyuter autentifikatsiyasini (MAC-
adres yordamida) bajarishi mumkin. Nazariy jihatdan, simsiz tarmoq 
mijozi tarmoqqa tranzaksiya tugamasdan oldin kira olmaydi. 

101 
8.4-rasm. 802.1x/EAP da autentifikatsiya jarayoni 
IEEE 802.1x simsiz lokal tarmoq mijoziga faqat autentifikatsiya 
serveriga 
atributlarni 
uzatish 
vositalarini 
taqdim 
etadi 
va 
autentifikatsiyaning turli usullari va algoritmlarining ishlatilishiga yo’l 
quyadi. Autentifikatsiya serverining vazifasi tarmoq xavfsizligi siyosati 
talab etuvchi autentifikatsiya usullarini madadlash hisoblanadi. 
Autentifikator (foydalanish nuqtasi) har bir mijoz uchun, uning 
assotsiyalangan identifikatori asosida mantiqiy port yaratadi. Mantiqiy port 
ma’lumotlarni almashish uchun ikkita kanalga ega - nazoratlanuvchi va 
nazoratlanmaydigan kanallar. Nazoratlanmaydigan kanal trafikni simsiz 
segmentdan simliligiga va aksincha qarshiliksiz o’tkazadi, nazoratlanuvchi 
kanal esa tarmoq trafigining qarshiliksiz o’tkazilishi uchun muvaffaqiyatli 
autentifikatsiyani talab etadi. 
Mijoz aktivlashadi va foydalanish nuqtasi bilan assotsiyalanadi (yoki 
simli lokal tarmoq xolida segmentga fizik ulanadi). Autentifikator ulanish 
faktini aniqlaydi va mijoz uchun mantiqiy portni, uni darhol 
"avtorizatsiyalanmagan" holiga o’tkazib, aktivlashtiradi. Natijada mijoz 
porti orqali faqat IEEE 802.1x protokol trafigi almashishi mumkin, barcha 
boshqa trafik uchun port blokirovka qilingan. IEEE 802.11 ning lokal 
tarmoqlarda fizik portlarning mavjud emasligi sababli, simsiz mijoz 
qurilmasi va foydalanish nuqtasi orasidagi assotsiatsiya foydalanishning 
tarmoq porti hisoblanadi. Mijoz ham autentifikatsiya jarayonini ishga 
tushirish uchun EAP Start (EAP autentifikatsiyaning boshlanishi) xabarini 
jo’natishi mumkin (majbur emas). 
Autentifikatsiya so‘rovi 
Autentifikatsiya so‘rovi 
1-MIJOZ 
2-MIJOZ 
RADIUS- 
server 
2-mijoz so‘rovining rad 
etilishi va tarmoq trafigini 
uzatishning taqiqlashi 
1-mijoz avtorizatsiyasi va 
tarmoq trafigini uzatishning 
ruxsati 
Foydalanish 
nuqtasi 
1-mijoz autentifi-
katsiyasiga so‘rov 
So‘rov tasdig‘i 
Ethernet 
2-mijoz autentifi-
katsiyasiga so‘rov 
So‘rovning rad etilishi 

102 
Autentifikatsiya tugaganidan so’ng server autentifikatorga RADIUS-
ACCEPT (qabul qilish) xabarini yoki RADIUS-REJECT (rad etish) 
xabarini jo’natadi. RADIUS-ACCEPT xabari olinganida autentifikator 
mijoz 
portini 
"avtorizatsiyalangan" 
holatiga 
o’tkazadi 
va 
foydalanuvchining barcha trafigini uzatish boshlanadi. 
IEEE 802.1x standartda kanal sathidagi foydalanuvchilarning 
autentifikatsiyasi EAP protokoli bo’yicha bajariladi. EAP protokoli ChAP 
(Challenge Handshake Authentication Protocol - o’zaro autentifikatsiya 
protokoli) ga o’xshash. ChAP protokoli PPP da (Point to Point Protocol - 
"nuqta-nuqta" ulanish protokolida) ishlatiladi. 
EAP 
autentifikatsiyaning 
turli 
usullarini 
ta’minlovchi 
autentifikatsiya, avtorizatsiya va ro’yxatga olish (authentication, 
authorization and accounting - AAA) tizimida "umumlashgan" protokol 
hisoblanadi. 
AAA-mijoz (simsiz tarmoqda foydalanish serveri AAA atamalarida 
foydalanish nuqtasi orqali ifodalangan) EAP ni madadlaydi. EAP 
autentifikatsiya jarayonida mijoz va tarmoq tomonidan ishlatiluvchi 
muayyan usullarni tushunmasligi mumkin. Foydalanish serveri (AAA-
mijoz) mijoz va server almashuvchi autentifikatsiya protokoli xabarlarini 
tunnellaydi. Foydalanish serverini faqat autentifikatsiya jarayonining 
boshlanishi va tugallanishi fakti qiziqtiradi. 
Turli kompaniya - ishlab chiqaruvchilari ishtirokida loyixalangan 
EAP ning bir necha variantlari mavjud (EAP-MD5, EAP-TLS, EAP-
LEAP, PEAP). Bunday xilma-xillik qo’shiluvchanlikka qo’shimcha 
muammolarni kelib chiqaradi, ya’ni simsiz tarmoq uchun munosib 
uskunani va dasturiy ta’minotni tanlash murakkab masala bo’lib qoladi. 

Download 2,59 Mb.