Switch Dynamisk VLAN - Konfigurer RADIUS-server for dynamisk VLAN-tilordning

Dynamisk VLAN-tilordning skiller og isolerer enheter i forskjellige nettverkssegmenter basert på enhetens eller brukerens autorisasjon og deres egenskaper.

Scenario og topologi

I de fleste nettverk kan administratorer måtte begrense enheter på ulike nettverksenheter av sikkerhetsmessige årsaker.

En vanlig måte å oppnå denne typen nettverksbegrensning på er via statiske VLAN-tilordninger. Administratorer oppretter derfor VLAN og konfigurerer det tilsvarende VLAN-nummeret til hver switchport med tilgangsmodus. Derimot trenger administrator bare å sette switchporten som trunk og fast port samt noen få policyer på RADIUS-serveren for dynamisk VLAN-tilordning. Dette reduserer betydelige handlinger/oppgaver for nettverksadministratoren.

Formålet med denne konfigurasjonsveiledningen er å demonstrere hvert steg for å konfigurere dynamisk VLAN-tilordning på både switch og RADIUS-server.

Konfigurasjon

Følgende trinn gjelder for switcher som støtter sammensatt autentisering. Støttede switcher er GS2220 og XGS2210 i frittstående modus og samlokalisert med en RADIUS-server (Windows Server 2019).

Switch-konfigurasjon

• Konfigurer RADIUS IP-adresse, delt hemmelighet og AAA-innstillinger under:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Konfigurer 802.1x, MAC-autentisering og gjeste-VLAN samt sammensatt autentisering på klientport under

Advanced Application > Port Authentication

• Hold sammensatt autentiseringsmodus som streng for klientporten

Sett opp NPS på Windows Server 2019

Åpne Network Policy Server og høyreklikk på RADIUS Clients > New for å konfigurere vennlig navn, IP-adresse og delt hemmelighet.

Konfigurer Connection Request Policies (CRP)

• Høyreklikk på CRP > New
• Angi navn på CRP-policy
• Angi betingelser

Vi anbefaler å bruke NAS Identifier (enhetsnavn) og NAS IPv4-adresse her hvis du er usikker på denne siden. I tillegg, hvis du har mange enheter som skal legges til som RADIUS-klienter, kan du bruke symbolet * for å unngå å legge til mange betingelser for en CRP, for eksempel "GS22*" eller "192.168*".

• Angi Connection Request Forwarding > Neste
• Angi Authentication Methods > Neste
• Konfigurer Settings > Neste
• Sjekk alt du nettopp har konfigurert, og klikk Fullfør.

Konfigurer nettverkspolicyer

• Høyreklikk på Network Policies > New
• Angi navn på nettverkspolicy
• Angi betingelser > Legg til > velg Windows Groups

• Angi tilgangstillatelse > Neste
• Konfigurer autentiseringsmetoder

• Konfigurer begrensninger > Neste
• Konfigurer innstillinger.

• Sjekk alt du har konfigurert, og klikk Fullfør.

Sett opp en bruker-/enhetskonto på Windows Server 2019

• Åpne Active Directory Users and Computers
• Høyreklikk på domenet > New > User
• Opprett kontoer for 802.1x og MAC-autentisering

Merk: for MAC-autentiseringsbruker skal brukernavnet fylles ut nøyaktig i samme format som innstillingen på switchens MAC-autentiseringsside.

• I tillegg bør brukerpassordet samsvare med switch-innstillingen.

Verifisering

• Klienten passerer sammensatt autentisering; den får IP-adresse fra Data VLAN

• Klienten feiler sammensatt autentisering; den får IP-adresse fra Gjeste-VLAN

Merk:

1. Sørg for at DHCP-server fungerer i nettverket.
2. L3-switch bør aktivere DHCP Smart Relay og peke til DHCP-serveren.
3. Hvis NPS-serveren er installert i en VM, og NPS-tjenesten ikke fungerer selv om den kjører, bør du STOPPE og STARTE NPS-tjenesten på nytt.