Switch Dynamic VLAN - Configurare il Server RADIUS per l'assegnazione dinamica della VLAN

L'assegnazione dinamica della VLAN separa e isola i dispositivi in diversi segmenti di rete basandosi sull'autorizzazione del dispositivo o utente e sulle loro caratteristiche.

Scenario e Topologia

Nella maggior parte delle reti, gli amministratori possono dover limitare i dispositivi su una varietà di dispositivi di rete per motivi di sicurezza.

Un modo comune per ottenere questo tipo di restrizione di rete è tramite assegnazioni VLAN statiche. Gli amministratori quindi creano VLAN e configurano il numero VLAN corrispondente su ogni porta dello switch in modalità accesso. Al contrario, l'amministratore deve solo impostare la porta dello switch come trunk e porta fissa e alcune politiche sul server RADIUS per l'assegnazione dinamica della VLAN. Questo riduce significativamente le azioni/compiti per l'amministratore di rete.

Lo scopo di questa guida di configurazione è dimostrare ogni passaggio per configurare l'assegnazione dinamica VLAN sia sullo switch che sul server RADIUS.

Configurazione

I seguenti passaggi sono applicabili agli switch che supportano l'autenticazione composita. Gli switch supportati sono GS2220 e XGS2210 in modalità standalone e collocati con un server RADIUS (Windows Server 2019).

Configurazione dello switch

• Configurare l'indirizzo IP RADIUS, il segreto condiviso e le impostazioni AAA in:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Configurare 802.1x, autenticazione MAC, VLAN Guest e Autenticazione Composita sulla porta client in

Advanced Application > Port Authentication

• Mantenere la modalità di Autenticazione Composita come rigorosa per la porta client

Configurare NPS su Windows Server 2019

Aprire Network Policy Server e fare clic destro su RADIUS Clients > New, per configurare Nome amichevole, indirizzo IP e segreto condiviso.

Configurare le Connection Request Policies (CRP)

• Fare clic destro su CRP > New
• Specificare il nome della policy CRP
• Specificare le Condizioni

Si suggerisce di utilizzare NAS Identifier (nome host del dispositivo) e NAS IPv4 Address qui se non si ha familiarità con questa pagina. Inoltre, se si hanno molti dispositivi da aggiungere come client RADIUS, è possibile usare il simbolo * per evitare di aggiungere molte condizioni per una CRP, ad esempio, “GS22*” o “192.168*”.

• Specificare Connection Request Forwarding > Avanti
• Specificare Authentication Methods > Avanti
• Configurare le Impostazioni > Avanti
• Controllare tutto ciò che è stato configurato e cliccare su Fine.

Configurare le Network Policies

• Fare clic destro su Network Policies > New
• Specificare il nome della Network Policy
• Specificare le Condizioni > Aggiungi > scegliere Windows Groups

• Specificare Access Permission > Avanti
• Configurare Authentication Methods

• Configurare Constraints > Avanti
• Configurare le Impostazioni.

• Controllare tutto ciò che è stato configurato e cliccare su Fine.

Configurare un account utente/dispositivo su Windows Server 2019

• Aprire Active Directory Users and Computers
• Fare clic destro sul dominio > New > User
• Creare account per autenticazione 802.1x e MAC

Nota: per l'utente di autenticazione MAC, il nome di accesso utente deve essere compilato esattamente nello stesso formato impostato nella pagina di autenticazione MAC dello switch.

• Inoltre, la password dell'utente deve corrispondere anche all'impostazione dello switch.

Verifica

• Il client supera l'autenticazione composita; ottiene un indirizzo IP della VLAN dati

• Il client non supera l'autenticazione composita; ottiene un indirizzo IP della VLAN Guest

Nota:

1. Assicurarsi che il server DHCP funzioni nella rete.
2. Lo switch L3 deve abilitare il DHCP Smart Relay e puntare al server DHCP.
3. Se il server NPS è installato in una VM e il servizio NPS non funziona anche se è in esecuzione, è necessario FERMARE e AVVIARE nuovamente il servizio NPS.