Динамичен VLAN на превключвателя - Конфигуриране на RADIUS сървър за динамично задаване на VLAN

Динамичното задаване на VLAN разделя и изолира устройствата в различни мрежови сегменти въз основа на удостоверяването на устройството или потребителя и техните характеристики.

Сценарий и топология

В повечето мрежи администраторите може да се наложи да ограничат устройствата на различни мрежови устройства поради съображения за сигурност.

Честият начин за постигане на този вид мрежови ограничения е чрез статично задаване на VLAN. Администраторите създават VLAN-и и конфигурират съответния VLAN номер за всеки порт на превключвателя в режим на достъп. Обратно, администраторът трябва само да настрои порта на превключвателя като trunk и фиксиран порт и няколко политики на RADIUS сървъра за динамично задаване на VLAN. Това намалява значително действията/работата на мрежовия администратор.

Целта на това ръководство за конфигуриране е да демонстрира всяка стъпка за конфигуриране на динамично задаване на VLAN както на превключвателя, така и на RADIUS сървъра.

Конфигурация

Следващите стъпки са приложими за превключватели, поддържащи комбинирано удостоверяване. Поддържаните превключватели са GS2220 и XGS2210 в самостоятелен режим и съвместно с RADIUS сървър (Windows Server 2019).

Конфигурация на превключвателя

• Конфигурирайте IP адреса на RADIUS, споделената тайна и AAA настройките на:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Конфигурирайте 802.1x, MAC удостоверяване и гост VLAN, както и комбинирано удостоверяване на клиентския порт на

Advanced Application > Port Authentication

• Запазете режима на комбинирано удостоверяване като strict за клиентския порт

Настройка на NPS на Windows Server 2019

Отворете Network Policy Server и кликнете с десен бутон върху RADIUS Clients > New, за да конфигурирате Friendly name, IP адрес и Shared secret.

Конфигуриране на Connection Request Policies (CRP)

• Кликнете с десен бутон на CRP > New
• Посочете име на CRP политика
• Посочете условия

Препоръчваме да използвате NAS Identifier (име на устройството) и NAS IPv4 адрес тук, ако не сте запознати с тази страница. Освен това, ако имате много устройства, които планирате да добавите като RADIUS клиенти, можете да използвате символа *, за да избегнете добавяне на много условия за една CRP, например „GS22*“ или „192.168*“.

• Посочете Connection Request Forwarding > Next
• Посочете Authentication Methods > Next
• Конфигурирайте Settings > Next
• Проверете всичко, което току-що конфигурирахте, и кликнете Finish.

Конфигуриране на Network Policies

• Кликнете с десен бутон на Network Policies > New
• Посочете име на Network Policy
• Посочете условия > Add > изберете Windows Groups

• Посочете Access Permission > Next
• Конфигурирайте Authentication Methods

• Конфигурирайте Constraints > Next
• Конфигурирайте Settings.

• Проверете всичко, което сте конфигурирали, и кликнете Finish.

Настройка на потребителски/устройствен акаунт на Windows Server 2019

• Отворете Active Directory Users and Computers
• Кликнете с десен бутон върху домейна > New > User
• Създайте акаунти за 802.1x и MAC удостоверяване

Забележка: за MAC удостоверяване на потребител, потребителското име за влизане трябва да бъде попълнено точно в същия формат, както е зададено в страницата за MAC удостоверяване на превключвателя.

• Освен това, паролата на потребителя трябва да съвпада с настройката на превключвателя.

Проверка

• Клиентът преминава комбинираното удостоверяване; получава IP адрес от Data VLAN

• Клиентът не преминава комбинираното удостоверяване; получава IP адрес от Guest VLAN

Забележка:

1. Уверете се, че DHCP сървърът функционира в мрежата.
2. L3 превключвателят трябва да активира DHCP Smart Relay и да сочи към DHCP сървъра.
3. Ако вашият NPS сървър е инсталиран във виртуална машина и услугата NPS не функционира, въпреки че е стартирана, трябва да спрете и стартирате отново услугата NPS.