A dinamikus VLAN hozzárendelés elkülöníti és izolálja az eszközöket különböző hálózati szegmensekbe az eszköz vagy felhasználó hitelesítése és jellemzői alapján.
Forgatókönyv és topológia
A legtöbb hálózatban az adminisztrátoroknak biztonsági okokból korlátozniuk kell az eszközöket különféle hálózati eszközökön.
Egy gyakori módja az ilyen hálózati korlátozások elérésének a statikus VLAN hozzárendelés. Az adminisztrátorok ezért VLAN-okat hoznak létre, és konfigurálják a megfelelő VLAN számot minden switch porton hozzáférési módban. Ezzel szemben az adminisztrátornak csak annyit kell tennie, hogy a switch portot trunk és fix portként állítja be, valamint néhány szabályt a RADIUS szerveren a dinamikus VLAN hozzárendeléshez. Ez jelentősen csökkenti a hálózati adminisztrátor feladatait.
Ennek a konfigurációs útmutatónak a célja, hogy bemutassa a dinamikus VLAN hozzárendelés beállításának minden lépését mind a switchen, mind a RADIUS szerveren.
Konfiguráció
A következő lépések azokra a switchekre alkalmazhatók, amelyek támogatják az összetett hitelesítést. A támogatott switchek a GS2220 és az XGS2210 önálló módban, valamint RADIUS szerverrel (Windows Server 2019) egy helyen telepítve.
Switch konfiguráció
- Állítsa be a RADIUS IP címet, megosztott titkot és AAA beállításokat a következő helyen:
Advanced Application > AAA > RADIUS Server Setup & AAA Setup- Konfigurálja az 802.1x, MAC hitelesítést, vendég VLAN-t, valamint az összetett hitelesítést az ügyfél porton a következő helyen:
Advanced Application > Port Authentication- Tartsa az összetett hitelesítési módot szigorúnak az ügyfél porton
NPS beállítása Windows Server 2019-en
Nyissa meg a Network Policy Server-t, majd kattintson jobb gombbal a RADIUS Clients > New menüpontra, hogy konfigurálja a barátságos nevet, IP címet és megosztott titkot.
Kapcsolatkérés szabályainak (CRP) konfigurálása
- Kattintson jobb gombbal a CRP > New menüpontra
- Adja meg a CRP szabály nevét
- Adja meg a feltételeket
Javasoljuk, hogy használja a NAS Identifier-t (eszköz hosztnév) és a NAS IPv4 címet, ha nem ismeri ezt az oldalt. Ezen túlmenően, ha sok eszközt szeretne hozzáadni RADIUS kliensként, használhatja a * szimbólumot, hogy elkerülje sok feltétel hozzáadását egy CRP-hez, például „GS22*” vagy „192.168*”.
- Adja meg a Connection Request Forwarding beállítást > Tovább
- Adja meg az Authentication Methods-t > Tovább
- Konfigurálja a beállításokat > Tovább
- Ellenőrizze az összes beállítást, majd kattintson a Befejezésre.
Hálózati szabályok konfigurálása
- Kattintson jobb gombbal a Network Policies > New menüpontra
- Adja meg a hálózati szabály nevét
- Adja meg a feltételeket > Hozzáadás > válassza a Windows Groups-ot
- Adja meg a hozzáférési engedélyt > Tovább
- Konfigurálja az Authentication Methods-t
- Konfigurálja a Constraints-t > Tovább
- Konfigurálja a beállításokat.
- Ellenőrizze az összes beállítást, majd kattintson a Befejezésre.
Felhasználói/eszköz fiók létrehozása Windows Server 2019-en
- Nyissa meg az Active Directory Users and Computers alkalmazást
- Kattintson jobb gombbal a domainre > Új > Felhasználó
- Hozzon létre fiókokat 802.1x és MAC hitelesítéshez
Megjegyzés: a MAC hitelesítéshez használt felhasználó esetén a felhasználói bejelentkezési névnek pontosan meg kell egyeznie a switch MAC hitelesítési oldalán beállított formátummal.
- Ezen felül a felhasználói jelszónak is meg kell egyeznie a switch beállításaival.
Ellenőrzés
- Az ügyfél sikeresen teljesíti az összetett hitelesítést; megkapja az adat VLAN IP-címét
- Az ügyfél nem teljesíti az összetett hitelesítést; megkapja a vendég VLAN IP-címét
Megjegyzés:
- Győződjön meg róla, hogy a DHCP szerver működik a hálózatban.
- Az L3 switchen engedélyezze a DHCP Smart Relay-t, és állítsa be a DHCP szerver címét.
- Ha az NPS szerver virtuális gépen van telepítve, és az NPS szolgáltatás nem működik, még ha fut is, akkor állítsa le és indítsa újra az NPS szolgáltatást.
Hozzászólások
0 hozzászólásHozzászólások írásához jelentkezzen be.