Dynamic VLAN Switch - Configureer RADIUS-server voor dynamische VLAN-toewijzing

Dynamische VLAN-toewijzing scheidt en isoleert apparaten in verschillende netwerksegmenten op basis van apparaat- of gebruikersautorisatie en hun kenmerken.

Scenario & Topologie

In de meeste netwerken moeten beheerders mogelijk apparaten op verschillende netwerkapparaten beperken voor beveiligingsdoeleinden.

Een gebruikelijke manier om dit soort netwerkbeperkingen te bereiken is via statische VLAN-toewijzingen. Beheerders maken daarom VLAN's aan en configureren het bijbehorende VLAN-nummer voor elke switchpoort met toegangsmode. Omgekeerd hoeft een beheerder alleen de switchpoort in te stellen als trunk en vaste poort en enkele beleidsregels op de RADIUS-server voor dynamische VLAN-toewijzing. Dit vermindert aanzienlijke handelingen/taken voor de netwerkbeheerder.

Het doel van deze configuratiehandleiding is om elke stap te demonstreren om dynamische VLAN-toewijzing te configureren op zowel de switch als de RADIUS-server.

Configuratie

De volgende stappen zijn van toepassing op switches die compound authenticatie ondersteunen. Ondersteunde switches zijn GS2220 en XGS2210 in standalone modus en samen met een RADIUS-server (Windows Server 2019).

Switchconfiguratie

• Configureer RADIUS IP-adres, gedeeld geheim en AAA-instellingen bij:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Configureer 802.1x, MAC-authenticatie en Gast-VLAN evenals Compound Authentication op de clientpoort bij

Advanced Application > Port Authentication

• Houd de Compound Authentication Mode strikt voor de clientpoort

Instellen van NPS op Windows Server 2019

Open Network Policy Server en klik met de rechtermuisknop op RADIUS Clients > New om een vriendelijke naam, IP-adres en gedeeld geheim te configureren.

Configureer Connection Request Policies (CRP)

• Klik met de rechtermuisknop op CRP > New
• Specificeer de naam van het CRP-beleid
• Specificeer voorwaarden

We raden aan om hier NAS Identifier (apparaat-hostnaam) en NAS IPv4-adres te gebruiken als u niet vertrouwd bent met deze pagina. Bovendien, als u veel apparaten heeft die u wilt toevoegen aan RADIUS-clients, kunt u het symbool * gebruiken om te voorkomen dat u veel voorwaarden voor een CRP moet toevoegen, bijvoorbeeld “GS22*” of “192.168*”.

• Specificeer Connection Request Forwarding > Volgende
• Specificeer Authenticatiemethoden > Volgende
• Configureer Instellingen > Volgende
• Controleer alles wat u zojuist hebt geconfigureerd en klik op Voltooien.

Configureer Netwerkbeleid

• Klik met de rechtermuisknop op Network Policies > New
• Specificeer de naam van het netwerkbeleid
• Specificeer voorwaarden > Toevoegen > kies Windows Groups

• Specificeer Toegangsrechten > Volgende
• Configureer Authenticatiemethoden

• Configureer Beperkingen > Volgende
• Configureer Instellingen.

• Controleer alles wat u hebt geconfigureerd en klik op Voltooien.

Maak een gebruiker/apparaataccount aan op Windows Server 2019

• Open Active Directory Users and Computers
• Klik met de rechtermuisknop op domein > New > User
• Maak accounts aan voor 802.1x en MAC-authenticatie

Opmerking: voor MAC-authenticatiegebruikers moet de gebruikersaanmeldnaam precies dezelfde indeling hebben als ingesteld op de switch MAC-authenticatiepagina.

• Daarnaast moet het gebruikerswachtwoord ook overeenkomen met de instellingen van de switch.

Verificatie

• Client slaagt voor compound authenticatie; deze krijgt een IP-adres van het Data VLAN

• Client faalt voor compound authenticatie; deze krijgt een IP-adres van het Gast VLAN

Opmerking:

1. Zorg ervoor dat de DHCP-server functioneert in het netwerk.
2. De L3-switch moet DHCP Smart Relay inschakelen en verwijzen naar de DHCP-server.
3. Als uw NPS-server is geïnstalleerd in een VM en de NPS-service niet functioneert hoewel deze draait, moet u de NPS-service STOPPEN en opnieuw STARTEN.