浅谈可扩展的身份验证协议EAP

　　EAP 身份验证方法

　　使用可扩展的身份验证协议 （EAP），任意身份验证机制都可以对远程访问连接进行身份验证。通过远程 VPN 客户端和验证程序（ISA 服务器或 RADIUS 服务器）协商要使用的确切身份验证方案。ISA 服务器Microsoft® Internet Security and Acceleration （ISA） Server 2004 是可扩展的企业防火墙以及构建在 Microsoft Windows Server? 2003 和 Windows® 2000 Server 操作系统安全、管理和目录上的 Web 缓存服务器，以实现基于策略的网际访问控制、加速和管理。Internet 为组织提供与客户、合作伙伴和员工连接的机会。这种机会的存在，同时也带来了与安全、性能和可管理性等有关的风险和问题。ISA 服务器旨在满足当前通过 Internet 开展业务的公司的需要。ISA 服务器提供了多层企业防火墙，来帮助防止网络资源受到病毒、黑客的攻击以及未经授权的访问。ISA Server 2004 Web 缓存使得组织可以通过从本地提供对象（而不是通过拥挤的 Internet）来节省网络带宽并提高 Web 访问速度。

　　EAP 允许远程 VPN 客户端和验证程序之间进行开端对话。对话由对身份验证信息的验证程序请求和远程 VPN 客户端的响应组成。例如，当 EAP 与安全标记卡一起使用时，验证程序可以单独查询远程访问客户端的名称、PIN 和卡标记值。经过提问和回答一轮查询之后，远程访问客户端将通过身份验证的另一个级别。正确回答所有问题之后，将对远程访问客户端进行身份验证。

　　特定的 EAP 身份验证方案称为 EAP 类型。远程访问客户端和验证程序必须支持相同的 EAP 类型才能成功进行身份验证。

　　EAP 结构

　　EAP 是一组以插件模块的形式为任何 EAP 类型提供结构支持的内部组件。为了成功进行身份验证，远程访问客户端和验证程序必须安装相同的 EAP 身份验证模块。ISA 服务器支持两种 EAP 类型：MD5-Challenge 和 EAP-TLS。企业应用平台，也称企业管理软件平台是一种高度开放的，集成了若干种企业管理软件模块，如HR、ERP、CRM、OA等功能的企业管理软件应用平台，不同于传统的ERP集成了多种功能的套件，EAP可以选择企业需要的管理模块进行安装和使用，而不安装不需要的功能，EAP平台是一种面向业务人员使用的平台，普通的业务人员经过简单的培训就可以在EAP平台上开发企业应用软件，并且可以将所开发的应用软件模块后在其他EAP平台上安装使用。

　　MD5-Challenge

　　Message Digest 5 Challenge （MD5-Challenge） 是一种必需的 EAP 类型，其使用与基于 PPP 的 CHAP 相同的质询/握手协议，但是质询和响应是作为 EAP 消息发送的。MD5-Challenge 的典型用法是通过使用用户名和密码安全系统对远程 VPN 客户端的凭据进行身份验证。

　　EAP-TLS

　　EAP-Transport Level Security （EAP-TLS） 是在基于证书的安全环境中使用的 EAP 类型。如果您将智能卡用于远程访问身份验证，则必须使用 EAP-TLS 身份验证方法。EAP-TLS 的消息交换可以提供远程 VPN 客户端和验证程序之间的相互身份验证、加密方法的协商和加密密钥的确定。

　　EAP-RADIUS

　　EAP-RADIUS 并不是一种 EAP 类型，但是可以通过验证程序将任何 EAP 类型的 EAP 消息传递到 RADIUS 服务器，以便进行身份验证。例如，将 ISA 服务器配置为用于 RADIUS 身份验证时，将封装在远程 VPN 客户端和 ISA 服务器之间发送的 EAP 消息，并在远程访问服务器和 RADIUS 服务器之间将格式设置为 RADIUS 消息。

　　EAP-RADIUS 用在将 RADIUS 作为身份验证提供程序的环境中。使用 EAP-RADIUS 的优势在于不需要在每个远程访问服务器上安装 EAP 类型，只需要在 RADIUS 服务器上安装即可。