Przełącznik Dynamic VLAN - Konfiguracja serwera RADIUS dla dynamicznego przypisywania VLAN

Dynamiczne przypisywanie VLAN oddziela i izoluje urządzenia w różne segmenty sieciowe na podstawie autoryzacji urządzenia lub użytkownika oraz ich cech.

Scenariusz i topologia

W większości sieci administratorzy mogą potrzebować ograniczyć dostęp urządzeń na różnych urządzeniach sieciowych ze względów bezpieczeństwa.

Popularnym sposobem na osiągnięcie tego rodzaju ograniczeń sieciowych jest statyczne przypisywanie VLAN. Administratorzy tworzą więc VLAN-y i konfigurują odpowiedni numer VLAN dla każdego portu przełącznika w trybie dostępu. Natomiast administrator musi jedynie ustawić port przełącznika jako trunk i port stały oraz kilka zasad na serwerze RADIUS dla dynamicznego przypisywania VLAN. Upraszcza to znacząco pracę administratora sieci.

Celem tego przewodnika konfiguracyjnego jest pokazanie każdego kroku konfiguracji dynamicznego przypisywania VLAN zarówno na przełączniku, jak i na serwerze RADIUS.

Konfiguracja

Następujące kroki mają zastosowanie do przełączników obsługujących uwierzytelnianie złożone. Obsługiwane przełączniki to GS2220 i XGS2210 w trybie samodzielnym oraz współpracujące z serwerem RADIUS (Windows Server 2019).

Konfiguracja przełącznika

• Skonfiguruj adres IP RADIUS, wspólny sekret i ustawienia AAA w:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Skonfiguruj 802.1x, uwierzytelnianie MAC oraz VLAN gościa oraz uwierzytelnianie złożone na porcie klienta w

Advanced Application > Port Authentication

• Ustaw tryb uwierzytelniania złożonego jako ścisły dla portu klienta

Konfiguracja NPS na Windows Server 2019

Otwórz Network Policy Server i kliknij prawym przyciskiem myszy na RADIUS Clients > New, aby skonfigurować przyjazną nazwę, adres IP oraz wspólny sekret.

Konfiguracja zasad żądania połączenia (CRP)

• Kliknij prawym przyciskiem myszy na CRP > New
• Określ nazwę zasady CRP
• Określ warunki

Zalecamy użycie NAS Identifier (nazwa hosta urządzenia) oraz NAS IPv4 Address, jeśli nie jesteś zaznajomiony z tą stroną. Dodatkowo, jeśli masz wiele urządzeń do dodania jako klienci RADIUS, możesz użyć symbolu * aby uniknąć dodawania wielu warunków dla jednej zasady CRP, np. „GS22*” lub „192.168*”.

• Określ Connection Request Forwarding > Dalej
• Określ Authentication Methods > Dalej
• Skonfiguruj Ustawienia > Dalej
• Sprawdź wszystkie ustawienia i kliknij Zakończ.

Konfiguracja zasad sieciowych

• Kliknij prawym przyciskiem myszy na Network Policies > New
• Określ nazwę zasady sieciowej
• Określ warunki > Dodaj > wybierz Windows Groups

• Określ uprawnienia dostępu > Dalej
• Skonfiguruj metody uwierzytelniania

• Skonfiguruj ograniczenia > Dalej
• Skonfiguruj ustawienia.

• Sprawdź wszystkie ustawienia i kliknij Zakończ.

Utwórz konto użytkownika/urządzenia na Windows Server 2019

• Otwórz Active Directory Users and Computers
• Kliknij prawym przyciskiem myszy na domenę > New > User
• Utwórz konta do uwierzytelniania 802.1x i MAC

Uwaga: dla użytkownika uwierzytelniania MAC nazwa logowania użytkownika powinna być wpisana dokładnie w takim samym formacie, jak ustawienia na stronie uwierzytelniania MAC przełącznika.

• Ponadto hasło użytkownika powinno odpowiadać ustawieniom na przełączniku.

Weryfikacja

• Klient przechodzi uwierzytelnianie złożone; otrzymuje adres IP VLAN danych

• Klient nie przechodzi uwierzytelniania złożonego; otrzymuje adres IP VLAN gościa

Uwaga:

1. Upewnij się, że serwer DHCP działa w sieci.
2. Przełącznik L3 powinien mieć włączony DHCP Smart Relay i wskazywać na serwer DHCP.
3. Jeśli serwer NPS jest zainstalowany w maszynie wirtualnej, a usługa NPS nie działa mimo, że jest uruchomiona, należy zatrzymać i ponownie uruchomić usługę NPS.