Switch Dynamic VLAN - Konfigurace RADIUS serveru pro dynamické přiřazení VLAN

Dynamické přiřazení VLAN odděluje a izoluje zařízení do různých segmentů sítě na základě autorizace zařízení nebo uživatele a jejich charakteristik.

Scénář a topologie

Ve většině sítí mohou administrátoři potřebovat omezit zařízení na různých síťových zařízeních z bezpečnostních důvodů.

Běžným způsobem, jak dosáhnout tohoto typu síťového omezení, je statické přiřazení VLAN. Administrátoři proto vytvářejí VLANy a konfigurují odpovídající číslo VLAN pro každý port switche v přístupovém režimu. Naopak administrátor pouze potřebuje nastavit port switche jako trunk a pevný port a několik politik na RADIUS serveru pro dynamické přiřazení VLAN. To výrazně snižuje počet úkonů/prací pro síťového administrátora.

Cílem tohoto konfiguračního návodu je demonstrovat každý krok konfigurace dynamického přiřazení VLAN jak na switchi, tak na RADIUS serveru.

Konfigurace

Následující kroky platí pro switche podporující složenou autentizaci. Podporované switche jsou GS2220 a XGS2210 v samostatném režimu a umístěné společně s RADIUS serverem (Windows Server 2019).

Konfigurace switche

• Konfigurujte IP adresu RADIUS serveru, sdílené heslo a nastavení AAA na:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Nakonfigurujte 802.1x, MAC autentizaci, Guest VLAN a také složenou autentizaci na klientském portu na

Advanced Application > Port Authentication

• Udržujte režim složené autentizace jako přísný (strict) pro klientský port

Nastavení NPS na Windows Server 2019

Otevřete Network Policy Server a klikněte pravým tlačítkem na RADIUS Clients > New, abyste nakonfigurovali přátelský název, IP adresu a sdílené heslo.

Konfigurace Connection Request Policies (CRP)

• Klikněte pravým tlačítkem na CRP > New
• Zadejte název politiky CRP
• Zadejte podmínky

Doporučujeme použít zde NAS Identifier (hostname zařízení) a NAS IPv4 Address, pokud nejste s touto stránkou obeznámeni. Navíc, pokud máte mnoho zařízení, která plánujete přidat mezi RADIUS klienty, můžete použít symbol * k vyhnutí se přidávání mnoha podmínek do CRP, například „GS22*“ nebo „192.168*“.

• Zadejte Connection Request Forwarding > Next
• Zadejte Authentication Methods > Next
• Nakonfigurujte Settings > Next
• Zkontrolujte vše, co jste právě nakonfigurovali, a klikněte na Finish.

Konfigurace Network Policies

• Klikněte pravým tlačítkem na Network Policies > New
• Zadejte název Network Policy
• Zadejte podmínky > Add > vyberte Windows Groups

• Zadejte Access Permission > Next
• Nakonfigurujte Authentication Methods

• Nakonfigurujte Constraints > Next
• Nakonfigurujte Settings.

• Zkontrolujte vše, co jste nastavili, a klikněte na Finish.

Nastavení uživatelského/zařízení účtu na Windows Server 2019

• Otevřete Active Directory Users and Computers
• Klikněte pravým tlačítkem na doménu > New > User
• Vytvořte účty pro 802.1x a MAC autentizaci

Poznámka: pro uživatele MAC autentizace musí být uživatelské přihlašovací jméno vyplněno přesně ve stejném formátu, jaký je nastaven na stránce MAC autentizace switche.

• Dále by mělo heslo uživatele odpovídat nastavení switche.

Ověření

• Klient projde složenou autentizací; získá IP adresu z Data VLAN

• Klient neprojde složenou autentizací; získá IP adresu z Guest VLAN

Poznámka:

1. Ujistěte se, že DHCP server funguje v síti.
2. L3 switch by měl mít povolený DHCP Smart Relay a směřovat na DHCP server.
3. Pokud je váš NPS server nainstalován ve virtuálním stroji a služba NPS nefunguje, i když běží, měli byste službu NPS zastavit a znovu spustit.