Switch Dynamic VLAN – RADIUS-Server für dynamische VLAN-Zuweisung konfigurieren

Die dynamische VLAN-Zuweisung trennt und isoliert Geräte in verschiedene Netzwerksegmente basierend auf der Geräte- oder Benutzerautorisierung und deren Eigenschaften.

Szenario & Topologie

In den meisten Netzwerken müssen Administratoren aus Sicherheitsgründen Geräte auf verschiedenen Netzwerkgeräten einschränken.

Eine gängige Methode, um diese Art von Netzwerkeinschränkung zu erreichen, ist die statische VLAN-Zuweisung. Administratoren erstellen daher VLANs und konfigurieren die entsprechende VLAN-Nummer für jeden Switch-Port im Zugriffsmodus. Im Gegensatz dazu muss der Administrator beim dynamischen VLAN-Assignment nur den Switch-Port als Trunk- und festen Port einstellen und einige wenige Richtlinien auf dem RADIUS-Server konfigurieren. Dadurch werden erhebliche Aufwände für den Netzwerkadministrator reduziert.

Der Zweck dieses Konfigurationsleitfadens ist es, jeden Schritt zur Konfiguration der dynamischen VLAN-Zuweisung sowohl am Switch als auch am RADIUS-Server zu demonstrieren.

Konfiguration

Die folgenden Schritte gelten für Switches, die die zusammengesetzte Authentifizierung unterstützen. Unterstützte Switches sind GS2220 und XGS2210 im Standalone-Modus und in Kombination mit einem RADIUS-Server (Windows Server 2019).

Switch-Konfiguration

• Konfigurieren Sie die RADIUS-IP-Adresse, das Shared Secret und die AAA-Einstellungen unter:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Konfigurieren Sie 802.1x, MAC-Authentifizierung und Gast-VLAN sowie zusammengesetzte Authentifizierung am Client-Port unter

Advanced Application > Port Authentication

• Belassen Sie den Modus der zusammengesetzten Authentifizierung für den Client-Port auf „strict“ (streng)

NPS auf Windows Server 2019 einrichten

Öffnen Sie den Network Policy Server und klicken Sie mit der rechten Maustaste auf RADIUS Clients > Neu, um einen Anzeigenamen, die IP-Adresse und das Shared Secret zu konfigurieren.

Verbindung-Anforderungsrichtlinien (CRP) konfigurieren

• Rechtsklick auf CRP > Neu
• Geben Sie einen Namen für die CRP-Richtlinie an
• Geben Sie Bedingungen an

Wir empfehlen, hier NAS Identifier (Gerätename) und NAS IPv4-Adresse zu verwenden, falls Sie mit dieser Seite nicht vertraut sind. Wenn Sie viele Geräte haben, die als RADIUS-Clients hinzugefügt werden sollen, können Sie das Symbol * verwenden, um viele Bedingungen für eine CRP zu vermeiden, z. B. „GS22*“ oder „192.168*“.

• Geben Sie Verbindung-Anforderungsweiterleitung an > Weiter
• Geben Sie Authentifizierungsmethoden an > Weiter
• Konfigurieren Sie Einstellungen > Weiter
• Überprüfen Sie alle Ihre Einstellungen und klicken Sie auf Fertigstellen.

Netzwerkrichtlinien konfigurieren

• Rechtsklick auf Netzwerkrichtlinien > Neu
• Geben Sie einen Namen für die Netzwerkrichtlinie an
• Geben Sie Bedingungen an > Hinzufügen > wählen Sie Windows-Gruppen

• Zugriffsberechtigung angeben > Weiter
• Authentifizierungsmethoden konfigurieren

• Einschränkungen konfigurieren > Weiter
• Einstellungen konfigurieren.

• Überprüfen Sie alle Einstellungen und klicken Sie auf Fertigstellen.

Benutzer-/Gerätekonto auf Windows Server 2019 einrichten

• Öffnen Sie Active Directory-Benutzer und -Computer
• Rechtsklick auf Domäne > Neu > Benutzer
• Erstellen Sie Konten für 802.1x- und MAC-Authentifizierung

Hinweis: Für MAC-Authentifizierungsbenutzer muss der Benutzeranmeldename exakt im gleichen Format ausgefüllt werden wie auf der Switch-MAC-Authentifizierungsseite eingestellt.

• Außerdem sollte das Benutzerpasswort mit der Switch-Konfiguration übereinstimmen.

Verifikation

• Der Client besteht die zusammengesetzte Authentifizierung und erhält eine IP-Adresse des Daten-VLANs

• Der Client schlägt bei der zusammengesetzten Authentifizierung fehl und erhält eine IP-Adresse des Gast-VLANs

Hinweis:

1. Stellen Sie sicher, dass der DHCP-Server im Netzwerk funktioniert.
2. Der L3-Switch sollte DHCP Smart Relay aktivieren und auf den DHCP-Server verweisen.
3. Wenn Ihr NPS-Server in einer VM installiert ist und der NPS-Dienst nicht funktioniert, obwohl er läuft, sollten Sie den NPS-Dienst stoppen und erneut starten.