Switch Dynamic VLAN - Configurare server RADIUS pentru atribuirea dinamică a VLAN-urilor

Atribuirea dinamică a VLAN-urilor separă și izolează dispozitivele în segmente de rețea diferite, bazându-se pe autorizarea dispozitivului sau utilizatorului și pe caracteristicile acestora.

Scenariu și topologie

În majoritatea rețelelor, administratorii trebuie să restricționeze dispozitivele pe o varietate de echipamente de rețea din motive de securitate.

O metodă comună pentru a realiza acest tip de restricție în rețea este prin atribuirea statică a VLAN-urilor. Administratorii creează astfel VLAN-uri și configurează numărul corespunzător VLAN fiecărui port de switch în modul de acces. În schimb, administratorul trebuie doar să seteze portul switch ca trunk și port fix și câteva politici pe serverul RADIUS pentru atribuirea dinamică a VLAN-urilor. Aceasta reduce considerabil acțiunile/sarcinile administratorului de rețea.

Scopul acestui ghid de configurare este să demonstreze fiecare pas pentru configurarea atribuției dinamice a VLAN-urilor atât pe switch, cât și pe serverul RADIUS.

Configurare

Următorii pași sunt aplicabili pentru switch-urile care suportă autentificarea compusă. Switch-urile suportate sunt GS2220 și XGS2210 în modul standalone și colocate cu un server RADIUS (Windows Server 2019).

Configurare switch

• Configurați adresa IP RADIUS, secretul partajat și setările AAA la:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Configurați 802.1x, autentificarea MAC și VLAN-ul Guest precum și autentificarea compusă pe portul client la

Advanced Application > Port Authentication

• Păstrați modul de autentificare compusă ca strict pentru portul client

Configurare NPS pe Windows Server 2019

Deschideți Network Policy Server și faceți clic dreapta pe RADIUS Clients > New pentru a configura numele prietenos, adresa IP și secretul partajat.

Configurare politici de cerere de conexiune (CRP)

• Faceți clic dreapta pe CRP > New
• Specificați numele politicii CRP
• Specificați condițiile

Recomandăm să folosiți NAS Identifier (numele dispozitivului) și NAS IPv4 Address aici dacă nu sunteți familiarizat cu această pagină. În plus, dacă aveți multe dispozitive care urmează să fie adăugate ca clienți RADIUS, puteți folosi simbolul * pentru a evita adăugarea multor condiții pentru un CRP, de exemplu „GS22*” sau „192.168*”.

• Specificați Connection Request Forwarding > Next
• Specificați Authentication Methods > Next
• Configurați Settings > Next
• Verificați tot ce ați configurat și faceți clic pe Finish.

Configurare politici de rețea

• Faceți clic dreapta pe Network Policies > New
• Specificați numele politicii de rețea
• Specificați condițiile > Add > alegeți Windows Groups

• Specificați Access Permission > Next
• Configurați Authentication Methods

• Configurați Constraints > Next
• Configurați Settings.

• Verificați tot ce ați configurat și faceți clic pe Finish.

Configurare cont utilizator/dispozitiv pe Windows Server 2019

• Deschideți Active Directory Users and Computers
• Faceți clic dreapta pe domeniu > New > User
• Creați conturi pentru autentificarea 802.1x și MAC

Notă: pentru utilizatorii de autentificare MAC, numele de logare al utilizatorului trebuie să fie completat exact în același format ca cel setat în pagina de autentificare MAC a switch-ului.

• În plus, parola utilizatorului trebuie să corespundă și cu setarea switch-ului.

Verificare

• Clientul trece autentificarea compusă; primește adresa IP a VLAN-ului de date

• Clientul nu trece autentificarea compusă; primește adresa IP a VLAN-ului Guest

Notă:

1. Asigurați-vă că serverul DHCP funcționează în rețea.
2. Switch-ul L3 trebuie să activeze DHCP Smart Relay și să fie configurat să indice către serverul DHCP.
3. Dacă serverul NPS este instalat într-o mașină virtuală și serviciul NPS nu funcționează chiar dacă rulează, trebuie să opriți și să reporniți serviciul NPS.