8、企业网络认证与授权设计全解析

企业网络认证与授权设计全解析

1. 远程访问服务概述

远程访问服务中，远程访问服务（RAS）是早于VPN的传统协议。RAS客户端通过调制解调器和使用电话线的拨号网络连接，速度受限。VPN和RAS有多种认证方法：
- 密码认证协议（PAP） ：应避免使用，因为密码以明文传输，易被捕获。
- 挑战握手认证协议（CHAP） ：用于连接RAS服务器，分四个阶段：
1. 客户端向远程访问服务器发出连接请求。
2. RAS服务器回复一个随机字符串作为挑战。
3. 客户端使用其密码作为加密密钥对挑战进行加密。
4. RAS服务器使用为用户存储的密码对原始挑战进行加密，若两者值匹配，则客户端登录成功。
- MS CHAP/MSCHAP版本2 ：是微软的版本，MS CHAP已被MS CHAP v2取代，可用于VPN和RAS。

2. 访问控制方案

访问控制主要包括识别、认证和授权三个部分：
| 部分 | 说明 | 示例 |
| ---- | ---- | ---- |
| 识别 | 类似银行账户通过银行卡上的账户信息识别，在安全环境中可能涉及用户账户、智能卡或指纹识别器等，具有唯一性。 | 每个人有自己的银行账户，通过账户信息识别。 |
| 认证 | 个人插入识别方式后，通过输入密码或PIN等进行认证。 | 插入银行卡后输入密码进行认证。 |
| 授权 | 根据个人所属组，给予对特定数据的访问级别，遵循最小特权原则。 | 销售经理可访问销售组和经理组的数据，仅获得完