Динамическое VLAN на коммутаторе - настройка RADIUS-сервера для динамического назначения VLAN

Динамическое назначение VLAN разделяет и изолирует устройства в разные сетевые сегменты на основе авторизации устройства или пользователя и их характеристик.

Сценарий и топология

В большинстве сетей администраторам может потребоваться ограничить устройства на различных сетевых устройствах в целях безопасности.

Обычным способом достижения такого ограничения в сети является статическое назначение VLAN. Администраторы создают VLAN и настраивают соответствующий номер VLAN для каждого порта коммутатора с режимом доступа. В то же время администратору достаточно установить порт коммутатора как транковый и фиксированный, а также настроить несколько политик на RADIUS-сервере для динамического назначения VLAN. Это значительно снижает количество действий и задач для сетевого администратора.

Цель данного руководства по настройке — продемонстрировать каждый шаг для конфигурации динамического назначения VLAN как на коммутаторе, так и на RADIUS-сервере.

Конфигурация

Следующие шаги применимы для коммутаторов, поддерживающих составную аутентификацию. Поддерживаемые коммутаторы — GS2220 и XGS2210 в автономном режиме и совместно с RADIUS-сервером (Windows Server 2019).

Настройка коммутатора

• Настройте IP-адрес RADIUS, общий секрет и параметры AAA в разделе:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Настройте 802.1x, аутентификацию по MAC, гостевой VLAN, а также составную аутентификацию на клиентском порту в разделе

Advanced Application > Port Authentication

• Установите режим составной аутентификации как строгий для клиентского порта

Настройка NPS на Windows Server 2019

Откройте Network Policy Server и щёлкните правой кнопкой мыши на RADIUS Clients > New, чтобы настроить дружественное имя, IP-адрес и общий секрет.

Настройка политик запросов подключения (CRP)

• Щёлкните правой кнопкой мыши на CRP > New
• Укажите имя политики CRP
• Укажите условия

Рекомендуется использовать NAS Identifier (имя устройства) и NAS IPv4 Address, если вы не знакомы с этой страницей. Кроме того, если у вас много устройств, которые планируется добавить в RADIUS-клиенты, можно использовать символ * для сокращения количества условий в CRP, например, “GS22*” или “192.168*”.

• Укажите Connection Request Forwarding > Далее
• Укажите Authentication Methods > Далее
• Настройте параметры > Далее
• Проверьте все настройки и нажмите Завершить.

Настройка сетевых политик

• Щёлкните правой кнопкой мыши на Network Policies > New
• Укажите имя сетевой политики
• Укажите условия > Добавить > выберите Windows Groups

• Укажите разрешение доступа > Далее
• Настройте методы аутентификации

• Настройте ограничения > Далее
• Настройте параметры.

• Проверьте все настройки и нажмите Завершить.

Создание учётной записи пользователя/устройства на Windows Server 2019

• Откройте Active Directory Users and Computers
• Щёлкните правой кнопкой мыши по домену > New > User
• Создайте учётные записи для 802.1x и аутентификации по MAC

Примечание: для пользователя аутентификации по MAC имя входа пользователя должно быть заполнено в точности в том же формате, что и в настройках аутентификации MAC на коммутаторе.

• Кроме того, пароль пользователя должен совпадать с настройками на коммутаторе.

Проверка

• Если клиент успешно проходит составную аутентификацию, он получает IP-адрес из Data VLAN

• Если клиент не проходит составную аутентификацию, он получает IP-адрес из Guest VLAN

Примечание:

1. Убедитесь, что DHCP-сервер функционирует в сети.
2. Коммутатор уровня L3 должен включить DHCP Smart Relay и указать адрес DHCP-сервера.
3. Если ваш NPS-сервер установлен в виртуальной машине и служба NPS не функционирует, несмотря на то, что запущена, следует остановить и снова запустить службу NPS.