Switch Dynamic VLAN - RADIUS-palvelimen määrittäminen dynaamista VLAN-määritystä varten

Dynaaminen VLAN-määritys erottaa ja eristää laitteet eri verkkosegmentteihin laitteen tai käyttäjän valtuutuksen ja niiden ominaisuuksien perusteella.

Tilanne ja topologia

Useimmissa verkoissa ylläpitäjien on rajoitettava laitteita erilaisilla verkkolaitteilla turvallisuussyistä.

Yleinen tapa saavuttaa tällainen verkkorajoitus on staattiset VLAN-määritykset. Ylläpitäjät luovat VLAN:t ja määrittävät vastaavan VLAN-numeron jokaiselle kytkimen portille käyttötilassa. Toisaalta ylläpitäjän tarvitsee vain asettaa kytkimen portti trunk- ja kiinteäksi portiksi sekä muutama käytäntö RADIUS-palvelimelle dynaamista VLAN-määritystä varten. Tämä vähentää merkittävästi verkon ylläpitäjän tehtäviä.

Tämän konfigurointiohjeen tarkoituksena on näyttää jokainen vaihe dynaamisen VLAN-määrityksen tekemiseksi sekä kytkimelle että RADIUS-palvelimelle.

Määritys

Seuraavat vaiheet soveltuvat kytkimille, jotka tukevat yhdistettyä todennusta. Tuetut kytkimet ovat GS2220 ja XGS2210 itsenäisessä tilassa ja yhdessä RADIUS-palvelimen (Windows Server 2019) kanssa.

Kytkimen määritys

• Määritä RADIUS IP-osoite, jaettu salaisuus ja AAA-asetukset kohdassa:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Määritä 802.1x, MAC-todennus, Guest VLAN sekä yhdistetty todennus asiakasportille kohdassa

Advanced Application > Port Authentication

• Pidä yhdistetty todennus -tila tiukkana asiakasportilla

NPS:n määrittäminen Windows Server 2019:ssä

Avaa Network Policy Server ja napsauta hiiren oikealla RADIUS Clients > New määrittääksesi ystävällisen nimen, IP-osoitteen ja jaetun salaisuuden.

Yhdyskäytäväpyyntökäytäntöjen (CRP) määrittäminen

• Napsauta hiiren oikealla CRP > New
• Määritä CRP-käytännön nimi
• Määritä ehdot

Suosittelemme käyttämään NAS Identifieria (laitteen isäntänimi) ja NAS IPv4 -osoitetta, jos et ole perehtynyt tähän sivuun. Lisäksi, jos sinulla on paljon laitteita, jotka aiot lisätä RADIUS-asiakkaiksi, voit käyttää *-merkkiä välttääksesi monien ehtojen lisäämisen CRP:hen, esimerkiksi “GS22*” tai “192.168*”.

• Määritä Connection Request Forwarding > Seuraava
• Määritä Authentication Methods > Seuraava
• Määritä Settings > Seuraava
• Tarkista kaikki määrittämäsi asetukset ja napsauta Finish.

Verkkokäytäntöjen määrittäminen

• Napsauta hiiren oikealla Network Policies > New
• Määritä verkkokäytännön nimi
• Määritä ehdot > Lisää > valitse Windows Groups

• Määritä Access Permission > Seuraava
• Määritä Authentication Methods

• Määritä Constraints > Seuraava
• Määritä Settings.

• Tarkista kaikki määrittämäsi asetukset ja napsauta Finish.

Käyttäjä-/laitetilin määrittäminen Windows Server 2019:ssä

• Avaa Active Directory Users and Computers
• Napsauta hiiren oikealla toimialueella > New > User
• Luo tilit 802.1x- ja MAC-todennusta varten

Huomautus: MAC-todennuskäyttäjälle käyttäjätunnuksen tulee olla täsmälleen sama kuin kytkimen MAC-todennussivulla määritetty muoto.

• Lisäksi käyttäjän salasanan tulee vastata kytkimen asetuksia.

Varmistus

• Asiakas läpäisee yhdistetyn todennuksen; se saa Data VLANin IP-osoitteen

• Asiakas epäonnistuu yhdistetyssä todennuksessa; se saa Guest VLANin IP-osoitteen

Huomautus:

1. Varmista, että DHCP-palvelin toimii verkossa.
2. L3-kytkimen tulee ottaa käyttöön DHCP Smart Relay ja osoittaa DHCP-palvelimelle.
3. Jos NPS-palvelimesi on asennettu virtuaalikoneeseen ja NPS-palvelu ei toimi vaikka se on käynnissä, sinun tulee pysäyttää ja käynnistää NPS-palvelu uudelleen.