Switch VLAN Dinámica - Configurar Servidor RADIUS para asignación dinámica de VLAN

La asignación dinámica de VLAN separa e aísla dispositivos en diferentes segmentos de red basándose en la autorización del dispositivo o usuario y sus características.

Escenario y Topología

En la mayoría de las redes, los administradores pueden tener que restringir dispositivos en una variedad de dispositivos de red por motivos de seguridad.

Una forma común de lograr este tipo de restricción de red es mediante asignaciones estáticas de VLAN. Por lo tanto, los administradores crean VLANs y configuran el número de VLAN correspondiente en cada puerto del switch en modo acceso. Por el contrario, el administrador solo necesita configurar el puerto del switch como troncal y puerto fijo y unas pocas políticas en el servidor RADIUS para la asignación dinámica de VLAN. Esto reduce considerablemente las acciones/tareas para el administrador de red.

El propósito de esta guía de configuración es demostrar cada paso para configurar la asignación dinámica de VLAN tanto en el switch como en el servidor RADIUS.

Configuración

Los siguientes pasos son aplicables para switches que soportan autenticación compuesta. Los switches soportados son GS2220 y XGS2210 en modo independiente y colocados junto con un servidor RADIUS (Windows Server 2019).

Configuración del switch

• Configurar la dirección IP del RADIUS, el secreto compartido y los ajustes AAA en:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Configurar 802.1x, autenticación MAC y VLAN de invitado así como autenticación compuesta en el puerto cliente en

Advanced Application > Port Authentication

• Mantener el modo de autenticación compuesta como estricto para el puerto cliente

Configurar NPS en Windows Server 2019

Abra Network Policy Server y haga clic derecho en RADIUS Clients > New, para configurar el nombre amigable, la dirección IP y el secreto compartido.

Configurar Políticas de Solicitud de Conexión (CRP)

• Haga clic derecho en CRP > New
• Especifique el nombre de la política CRP
• Especifique las condiciones

Sugerimos usar el Identificador NAS (nombre del dispositivo) y la Dirección IPv4 NAS aquí si no está familiarizado con esta página. Además, si tiene muchos dispositivos que planea añadir como clientes RADIUS, puede usar el símbolo * para evitar agregar muchas condiciones a una CRP, por ejemplo, “GS22*” o “192.168*”.

• Especifique Reenvío de Solicitud de Conexión > Siguiente
• Especifique Métodos de Autenticación > Siguiente
• Configure Ajustes > Siguiente
• Revise todo lo configurado y haga clic en Finalizar.

Configurar Políticas de Red

• Haga clic derecho en Políticas de Red > Nuevo
• Especifique el nombre de la Política de Red
• Especifique Condiciones > Agregar > elija Grupos de Windows

• Especifique Permiso de Acceso > Siguiente
• Configure Métodos de Autenticación

• Configure Restricciones > Siguiente
• Configure Ajustes.

• Revise todo lo configurado y haga clic en Finalizar.

Configurar una cuenta de usuario/dispositivo en Windows Server 2019

• Abra Usuarios y Equipos de Active Directory
• Haga clic derecho en el dominio > Nuevo > Usuario
• Cree cuentas para autenticación 802.1x y MAC

Nota: para el usuario de autenticación MAC, el nombre de inicio de sesión del usuario debe llenarse exactamente con el mismo formato que la configuración en la página de autenticación MAC del switch.

• Además, la contraseña del usuario debe coincidir con la configuración del switch también.

Verificación

• El cliente pasa la autenticación compuesta; obtiene dirección IP de la VLAN de datos

• El cliente falla la autenticación compuesta; obtiene dirección IP de la VLAN de invitados

Nota:

1. Asegúrese de que el servidor DHCP funcione en la red.
2. El switch L3 debe habilitar DHCP Smart Relay y apuntar al servidor DHCP.
3. Si su servidor NPS está instalado en una máquina virtual y el servicio NPS no funciona aunque esté en ejecución, debe DETENER y INICIAR nuevamente el servicio NPS.